sou · H5B350 · 2017-06-09 00:00:00 — Etikprövning bör vara den lämpliga och särskilda skydds- åtgärden även för de kategorier av personuppgifter som till- kommit i uppräkningen av särskilda kategorier personuppgifter i artikel 9.1 i dataskyddsförordningen. Kravet på etikprövning bör även fortsättningsvis omfatta personuppgifter om lagöver- 38 Se vidare 4 a § förordning (2003:615) om etikprövning av forskning som avser människor. Etikprövning av personuppgiftsbehandling för forskningsändamål trädelser som innefattar brott, domar i brottmål, straffprocessu- ella tvångsmedel eller administrativa frihetsberövanden och inte enbart sådana uppgifter som anges i artikel 10 i dataskyddsför- ordningen. Dataskyddsförordningen nämner inte etikprövning över huvud taget. Något krav enligt förordningen på etikprövning för varken all eller viss personuppgiftsbehandling för forskningsändamål finns således inte. Förordningen kräver emellertid lämpliga skyddsåtgär- der för all behandling av personuppgifter för forskningsändamål (artikel 89.1) och lämpliga och särskilda åtgärder fastställda i unions- rätten eller medlemsstaternas nationella rätt för behandling av käns- liga personuppgifter för forskningsändamål (artikel 9.2 j). För be- handling av personuppgifter rörande lagöverträdelser m.m. av andra än myndigheter kräver förordningen lämpliga skyddsåtgärder fast- ställda i unionsrätten eller medlemsstaternas nationella rätt (arti- kel 10). Utredningen har tidigare konstaterat att etikprövning är att anse som en skyddsåtgärd i enlighet med förordningen, se avsnitt 14.3.4. Frågan är här om etikprövning är en lämplig skyddsåtgärd för all personuppgiftsbehandling för forskningsändamål och inte bara för vissa uppgiftskategorier. Vad som skulle kunna tala för att utvidga etikprövningslagens tillämpningsområde till att omfatta all personuppgiftsbehandling för forskningsändamål är om det finns skäl att flytta bedömningen avseende vilken slags personuppgiftsbehandling som ska etikprövas från forskningshuvudmannen till etikprövningsnämnderna. Detta gäller framför allt de fall som skulle kunna vara svårbedömda ut- ifrån dagens avgränsning. Risken för att forskning som av integri- tetsskäl bör etikprövas inte blir bedömd av en etikprövningsnämnd skulle på så vis elimineras och samhällets insyn skulle öka än mer. Frågan är dock om det finns reella behov av en sådan utvidgning. Dagens avgränsning i etikprövningslagen är väl inarbetad. Såväl känsliga personuppgifter som personuppgifter om lagöverträdelser m.m. är explicit definierade i personuppgiftslagen och det torde vara svårt att undandra forskning omfattande behandling av sådana personuppgifter en föregående etikprövning. I samband med ut- lämnande av denna typ av uppgifter för forskningsändamål krävs som huvudregel godkänd etikprövning. Behovet av att undanröja risken för att forskning som av integritetsskäl bör etikprövas inte Etikprövning av personuppgiftsbehandling för forskningsändamål SOU 2017:50 blir bedömd av en etikprövningsnämnd verkar därför vara litet. finns dessutom ett förfarande med rådgivande yttrande för ärenden där det skulle kunna råda viss osäkerhet om huruvida forskningen omfattas av etikprövningslagen eller inte. Frågan är vidare om det finns ett behov av att etikpröva sådan forskning som inte omfattar känsliga personuppgifter eller person- uppgifter om lagöverträdelser m.m. Sådana uppgifter har i tidigare utredningssammanhang inte bedömts vara av särskilt integritets- känslig karaktär. Det är dock viktigt att i sammanhanget påminna om att en sådan bedömning naturligtvis kan skilja från person till person, vad någon uppfattar som integritetskänsligt kan en annan uppfatta som helt oproblematiskt. Av den anledningen har tidigare utredningar företrädesvis haft personuppgiftslagens kategoriser- ingar avseende känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. som utgångspunkt för vad som generellt kan karaktärisera integritetskänsliga personuppgifter. Om etikprövningslagen skulle omfatta all personuppgiftsbehand- ling för forskningsändamål skulle det innebära etisk prövning av behandling av alla slags personuppgifter. En personuppgift är, enligt definitionen i 3 § personuppgiftslagen, all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Kravet på etikprövning skulle således omfatta varje slags behand- ling för forskningsändamål även av indirekta personuppgifter utan någon integritetsmässig risk, dvs. etiskt oproblematisk person- uppgiftsbehandling för forskningsändamål. En sådan utvidgning av etikprövningslagens tillämpningsområde ter sig enligt utredningen såväl onödig som orimlig. Etikprövningens syfte är, bland annat, att skydda den enskilde från skada vid kränkning av den personliga integriteten. Finns ingen risk för sådan skada behöver inte heller någon etikprövning ske. Utredningens samlade bedömning är därför att en utvidgning av etikprövningslagen till att omfatta all personuppgiftsbehandling för forskningsändamål skulle undergräva själva syftet med lagen och dessutom riskera att urholka förtroendet för etikprövningssyste- met. För att uppnå ett adekvat skydd i enlighet med dataskydds- förordningens krav för personuppgiftsbehandling för forsknings- ändamål som inte omfattar känsliga personuppgifter eller person- uppgifter om lagöverträdelser m.m. bör således andra typer av Etikprövning av personuppgiftsbehandling för forskningsändamål skyddsåtgärder komma ifråga. Utredningen lämnar överväganden och förslag på sådana skyddsåtgärder i kapitel 12. Utredningens sammantagna bedömning är således att etikpröv- ningslagens tillämpningsområde inte bör utvidgas till att omfatta all personuppgiftsbehandling för forskningsändamål. Definitionerna av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. Dataskyddsförordningens definitioner av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. innebär vissa skill- nader jämfört med nuvarande reglering. Detta medför att utred- ningens förslag att etikprövningslagen även fortsatt ska omfatta känsliga personuppgifter samt personuppgifter om lagöverträdelser m.m. kräver en närmare analys av vilka personuppgifter som avses. Dataskyddsförordningens definition av sådana slags personupp- gifter som det här är fråga om framgår av artikel 9.1 och artikel 10: Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, bio- metriska uppgifter för att entydigt identifiera en fysisk person, upp- gifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexu- ella läggning ska vara förbjuden. Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhets- åtgärder enligt artikel 6.1 får endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Dataskyddsförordningens definition av känsliga personuppgifter är utökad jämfört med dataskyddsdirektivets och personuppgiftslag- ens. De kategorier av personuppgifter som tillkommit i definitionen är genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person samt uppgift om en fysisk persons sexuella läggning39. 39 Uppgift om en fysisk persons sexualliv är kategoriserad som en känslig personuppgift enligt 13 § personuppgiftslagen. Etikprövning av personuppgiftsbehandling för forskningsändamål Utredningens förslag att godkänd etikprövning ska vara ett krav för att få behandla känsliga personuppgifter för forskningsändamål innebär således visst utökat tillämpningsområde för etikprövnings- lagen till följd av den EU-rättsliga utvecklingen. Personuppgiftsbehandling för forskningsändamål även av gene- tiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en fysisk persons sexuella lägg- ning bör således enligt utredningens mening etikprövas i samband med att dataskyddsförordningen och den anpassade regleringen i etikprövningslagen börjar tillämpas. Det är dock svårt för utredningen att bedöma i vilken mån denna utvidgade definition av känsliga personuppgifter kommer att generera en ökad arbets- mängd för etikprövningsnämnderna. Det är i sammanhanget viktigt att förtydliga att kravet på etik- prövning som skyddsåtgärd vid behandling av känsliga personupp- gifter, i enlighet med definitionen i artikel 9.1 i dataskyddsförord- ningen, omfattar all behandling för forskningsändamål som avser dessa speciella kategorier av personuppgifter. Detta innebär att oavsett om behandlingen utförs med samtycke eller är nödvändig enligt någon av de andra rättsliga grunderna enligt artikel 6.1 krävs det etikgodkännande enligt etikprövningslagen om behandlingen utförs för forskningsändamål. Artikel 9.2 j i dataskyddsförordningen omfattar all personuppgiftsbehandling som är nödvändig för forsk- ningsändamål. Det lagstadgade kravet på etikprövning för all behand- ling av känsliga personuppgifter för forskningsändamål innebär vidare att samtycke inte ensamt kan upphäva förbudet mot behand- ling av känsliga personuppgifter enligt artikel 9.2 a, inom ramen för etikprövningslagens tillämpningsområde. Beträffande definitionen av personuppgifter om lagöverträdelser m.m. är dataskyddsförordningens formulering något snävare än den nuvarande bestämmelsen i 21 § personuppgiftslagen, som stadgar: Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Utredningen har i kapitel 8 analyserat skillnaderna mellan formuler- ingarna i 21 § personuppgiftslagen och artikel 10 i dataskyddsför- ordningen. Utredningen lämnar där ett förslag om att införa en be- stämmelse i forskningsdatalagen som ger andra än myndigheter rätt Etikprövning av personuppgiftsbehandling för forskningsändamål att behandla personuppgifter om lagöverträdelser m.m. för forsk- ningsändamål. Detta förslag är förenligt med artikel 10 i dataskydds- förordningen. Förordningens krav på fastställda lämpliga skyddsåtgärder gäller dock enbart för sådana personuppgifter om lagöverträdelser m.m. som framgår av artikel 10. Som tidigare framgått är det utredning- ens bedömning att etikprövningslagens nuvarande tillämpnings- område bör kvarstå. Detta innefattar den vidare definition av person- uppgifter om lagöverträdelser m.m. som gäller enligt 21 § person- uppgiftslagen. Utredningen finner inte skäl för att undanta sådana typer av personuppgifter som omfattas av etikprövningslagens nu- varande krav från samma skydd framöver. Utredningen kan inte heller finna att det skulle stå i strid med dataskyddsförordningen att även fortsättningsvis låta kravet på etikprövning enligt etikprövningslagen omfatta sådana personupp- gifter om lagöverträdelser m.m. som anges i 21 § personuppgifts- lagen. Utredningen föreslår således att etikprövningslagen även fortsättningsvis ska tillämpas på forskning som innefattar behand- ling av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. Det är utredningens bedömning att etikprövningslagens krav även fortsättningsvis bör omfatta personuppgiftsbehandling för forsk- ningsändamål av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. Detta innebär i praktiken att tillämpnings- området avseende känsliga personuppgifter utökas i förhållande till , i syfte att vara förenligt med dataskyddsförordningens defini- tion i artikel 9.1. Det innebär vidare att definitionen av person- uppgifter om lagöverträdelser m.m. enligt etikprövningslagen kvar- står enligt den avgränsning som återfinns i 21 § personuppgifts- lagen, vilket i sin tur innebär en vidare definition än artikel 10 i dataskyddsförordningen. Utredningen vill i detta sammanhang avslutningsvis framhålla att det är vårt uppdrag att överväga om etikprövningslagens krav bör utvidgas till att gälla all personuppgiftsbehandling för forsk- ningsändamål, eller om dagens avgränsning till behandling av käns- liga personuppgifter och personuppgifter om lagöverträdelser m.m. Etikprövning av personuppgiftsbehandling för forskningsändamål Uppdraget omfattar således inte en analys av en utvidg- ning av tillämpningsområdet till att omfatta viss annan personupp- giftsbehandling för forskningsändamål. Vilka slags personuppgifter som upplevs som integritetskänsliga är en subjektiv bedömning. Vad som är integritets- kränkande för någon kan vara relativt okomplicerat för en annan person. En uppgift om medlemskap i fackförening kan te sig mindre integritetskänsligt än till exempel en uppgift om någons privat- ekonomi, vilket inte omfattas av förordningens definition av käns- liga personuppgifter. Detsamma gäller för omfattande sammanställ- ningar av personuppgifter som var för sig inte är så känsliga men som tillsammans med en stor mängd andra personuppgifter kan ut- göra ett integritetskänsligt material. I , med anledning av regeringens uppdrag att kartlägga forskningsområden där en etisk problemställning skulle kunna uppkomma och som inte täcks av etikprövningslagen, var ett av förslagen att all personuppgiftsbehand- ling för forskningsändamål utan informerat samtycke skulle om- fattas av kravet på etikgodkännande.40 Detta förslag återgavs men behandlades inte närmare av den utredning som sedan föregick införandet av etikprövningslagens nuvarande tillämpningsområde.41 Slutsatsen i den utredningen var dock att en lämplig avgränsning av lagens tillämpningsområde var att all personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter, oavsett inhämtat informerat samtycke eller ej, skulle etikprövas. Det ligger inte inom vårt uppdrag att utreda förslag till utvidgat tillämp- ningsområde vidare. Vi är medvetna om de behov av ytterligare nyansering som förs fram i olika forskningssammanhang och att det kan vara motiverat att se över vilken slags personuppgiftsbehandling för forsknings- ändamål, även i andra fall än som direkt framgår av vårt uppdrag, som borde etikprövas. Mot bakgrund av det tydliga utredningsupp- draget och den högst begränsade utredningstiden är det dock vår bedömning att en sådan översyn av etikprövningslagens tillämp- ningsområde inte låter sig göras inom ramen för detta utrednings- uppdrag. 40Dnr U2003/4070/F. Etikprövning av personuppgiftsbehandling för forskningsändamål 14.5Behov av fortsatt översyn Utredningen har, som redan framkommit, i uppdrag att överväga om kravet på etikprövning bör utvidgas till att gälla all personupp- giftsbehandling för forskningsändamål. Om utredningen kommer fram till att kravet på etikprövning ska utvidgas till att gälla all person- uppgiftsbehandling för forskningsändamål ska utredningen enligt sitt uppdrag analysera vilka anpassningar som kan behöva göras i de bestämmelser i etikprövningslagen som reglerar handläggningen av ärenden. För det fallet utredningen skulle förorda en utvidgning av kravet på etikprövning skulle vi överväga behovet av att införa ett enklare förfarande vid etikprövning när det är fråga om en behand- ling av personuppgifter som innebär en liten risk för intrång i den enskildes integritet. Så som utredningen redan har redogjort för är vårt ställnings- tagande emellertid att etikprövningslagen även fortsatt bör omfatta behandling för forskningsändamål begränsat till känsliga person- uppgifter och personuppgifter om lagöverträdelser m.m. Enligt utredningens bedömning bör etikprövningslagen således inte utvid- gas till att gälla all personuppgiftsbehandling för forskningsända- mål. Någon anpassning av de bestämmelser i etikprövningslagen som reglerar handläggningen av ärenden aktualiseras därför inte med hänvisning till ett utvidgat tillämpningsområde. Inte heller behöver en analys göras av ett eventuellt behov av förenklingar i etikprövningsförfarandet vid personuppgiftsbehandlingar som inne- bär en liten risk för intrång i den enskildes integritet, mot bakgrund just av att utredningen inte föreslår ett utökat tillämpningsområde. har utredningen under arbetets gång på olika sätt blivit varse om behovet av att inom ramen för dagens tillämpnings- område se över etikprövningsförfarandet i samband med behand- ling av personuppgifter. har vi närmare be- stämt fått ta del av konkreta exempel och vad som framstår som välgrundade synpunkter avseende behovet av vissa förändringar av etikprövningsförfarandet. Sammantaget är det utredningens uppfattning att det är av stor vikt att dessa aspekter på etikprövning riktad mot personuppgifts- behandling utreds vidare. Mot bakgrund av att utredningen i detta skede har sitt huvudsakliga fokus på anpassningar till dataskydds- Etikprövning av personuppgiftsbehandling för forskningsändamål förordningen, är det dock vår bedömning att en sådan översyn bör ske i ett annat sammanhang. Utredningen kommer därför i det följande att återge exempel på behov av vidare analys över ett för- ändrat, och vad som kan betecknas som differentierat, etikprövnings- förfarande som har identifierats . 14.5.2Etikprövning vid lägre risk för intrång i den enskildes integritet Etikprövning ska enligt utredningens förslag utgöra den huvudsak- liga skyddsåtgärden för all behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. för forsknings- ändamål. Sådan behandling av personuppgifter förekommer inom många forskningsområden med användning av olika metoder. Risken för intrång i den enskildes integritet kan därför variera högst avse- värt även inom sådan slags personuppgiftsbehandling som kräver etikgodkännande. Etikprövning är en omfattande skyddsåtgärd som är utformad på i princip samma sätt för all etikprövning av personuppgiftsbehandling. Basen utgörs av begreppet personuppgift som ges en långtgå- ende definition i dataskyddsförordningen. Enligt artikel 4.1 avses med personuppgifter: Varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hän- visning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Denna definition gäller för alla slags personuppgifter. Detta inne- bär att det även avseende känsliga personuppgifter och personupp- gifter om lagöverträdelser m.m. finns såväl direkta som indirekta personuppgifter. Utredningen har både för egen del och av andra aktörer upp- märksammats på ett antal varianter av personuppgiftsbehandling för forskningsändamål vilka omfattas av etikprövningslagen krav, men som kan antas innebära en lägre risk för intrång i den enskildes integritet. Etikprövning av personuppgiftsbehandling för forskningsändamål Behandling av kodade personuppgifter från myndighetsregister (U 2013:01) lade fram ett förslag i sitt betänkande SOU 2014:45 Unik kunskap genom registerforsk- ning som avsåg ett förenklat förfarande för behandling av person- uppgifter som hämtats från myndighetsregister med uppgifter som primärt samlats in för andra ändamål än forskning och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde. Förslaget baserades på att , enligt uppgift från , har utvecklat en praxis enligt vilken forskningsprojekt som endast innefattar sådan person- uppgiftsbehandling i regel anses medföra mycket små risker för den personliga integriteten. Någon egentlig värdering av forsknings- projektets nytta anses därför inte behövas i samband med etikpröv- ningen. förslag till förenklat förfarande innebär att sådana ärenden skulle få avgöras av nämndens ordförande ensam, genom en ändring av den befintliga 27 § etikprövningslagen. I 27 § anges under vilka förutsättningar ordföranden, eller annan ledamot, i en regional etikprövningsnämnd får fatta beslut ensam. En sådan situation är när ett ärende är av den typen att tidigare vägledande avgöranden kan tillämpas, dvs. när det finns en väl etablerad praxis på området.42 I våra direktiv anges som alter- nativt förslag att sådana ärenden skulle kunna avgöras av ordföran- den i samråd med en vetenskaplig ledamot. Enligt anses behandling av kod- ade personuppgifter som hämtats ur ett myndighetsregister utgöra liten eller obefintlig risk för skada eller obehag för forsknings- personerna. Någon bedömning av forskningens vetenskapliga bär- kraft behöver därför inte göras, eftersom risksidan aldrig kommer att väga tyngre än värdesidan. Utredningen bedömde att ordföran- den ensam är lämpad att utföra riskbedömningen och besluta i ärendet, eftersom det inte krävs en avvägning mellan riskerna för skada för den enskilde och det förväntade värdet av forskningen. Prövningen i sig skulle enligt förslaget alltjämt utföras enligt de principer som gäller enligt etikprövningslagen och i de fall ordfö- 42 SOU 2014:45 s. 375 f. Etikprövning av personuppgiftsbehandling för forskningsändamål randen anser ärendet vara av sådan karaktär att det bör behandlas i nämnden skulle ärendet hänvisas dit. Enligt Registerforsknings- utredningens förslag skulle detta förenklade förfarande enbart gälla de regionala etikprövningsnämnderna eftersom ärenden som över- klagas till centrala nämnden ansågs vara av mer komplicerad karaktär och något förenklat förfarande inte bedömdes motiverat.43 I samband med remissbehandlingen av Registerforskningsutred- ningens förslag inkom synpunkter på förslaget om förenklat etik- prövningsförfarande till regeringen. Ett flertal remissinstanser ställde sig positiva till förslaget i sin helhet,44 medan ett par i övrigt positiva svar föreslog att förslaget kompletterades med att sådana ärenden i samråd med en vetenskaplig ledamot ska avgöras av ordföranden (som enligt etikprövningslagen ska vara eller ha varit ordinarie dom- are).45 Bland övriga inkomna synpunkter märktes förslaget att helt slopa kravet på etikprövning för forskning baserad på avidentifierade registeruppgifter (dvs. indirekta personuppgifter), för att i stället införa ett system där utlämning av sådana personuppgifter kan ske till auktoriserade institutioner utan särskild prövning i varje enskilt fall.46 I andra änden av skalan ansåg en remissinstans att ett förenklat förfarande inte borde tillämpas mot bakgrund av utredningens argu- ment, eftersom en vägning av risk mot nytta alltid behöver göras för att värna registrens legitimitet och allmänhetens tillit till forsk- ning.47 Andra synpunkter rörde bland annat att det inte förelåg övertygande argument för förslaget samt att grundregeln borde vara att ärenden som avser registerforskning granskas av nämnden i sin helhet.48 Flera risker belystes i ytterligare ett remissvar. Detta gällde såväl att en befarad ökad arbetsbelastning för ordförandena riskerar att motverka effektivitetsargumentet i förslaget som att personuppgiftsbehandling enligt förslaget får en stämpel av att inte vara så integritetskänsligt med risk för mindre ansvarsfull hantering.49 44Bland annat Nationellt biobanksråd, , , , Inspektionen för socialförsäkringen, , , och Kammarrätten i . 45Till exempel , och Forte. 46Lunds universitet, Ekonomihögskolan. 47Lunds universitet, Medicinska fakulteten. 48Statens Medicinsk-etiska råd. 49Myndigheten för vårdanalys. Etikprövning av personuppgiftsbehandling för forskningsändamål anförde i sitt remissyttrande att nämnden inte gärna ser att man inför bestämmelser som medför särbehandling av visst slag av forskning.