sou · H6B336 · 2018-06-05 00:00:00 — I de allra flesta fall innebär forskningen att direkt identifikation av personer är ointressant. Det är därför oftast möjligt att arrangera uppgifterna på ett för den aktuella frågeställningen relevant sätt redan innan utlämnandet. Detta underlättas vidare om forskningsdatabasen förvaltas av forskningshuvudmannen där avståndet mellan forskare och databasförvaltare är relativt kort och de senare besitter den kompetens som forskningshuvudmannen bedömer nödvändig. Av dataskyddsförordningen framgår också att tillämpningen av pseudonymisering kan minska riskerna för de registrerade och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Ett uttryckligt införande av pseudonymisering i förordningen är dock inte avsett att utesluta andra åtgärder för dataskydd (skäl 28). För att en åtgärd ska utgöra pseudonymisering krävs alltså att upp- gifter som möjliggör identifikation ska förvaras separat. En s.k. kod- nyckel kan användas för att ersätta direkta identifierare (t.ex. person- nummer eller namn) I vissa fall kan kodnyckeln vara tillräcklig för att också eliminera möjligheten till indirekt identifiering. I andra fall krävs ytterligare separation av uppgifter från det ursprungliga mate- rialet för att kriterierna för pseudonymisering ska vara uppfyllda. Vid fjärråtkomst till forskningsdatabasen kan en pseudonymisering åstad- kommas genom att åtkomst erbjuds endast till en del av uppgifterna. Pseudonymiserade uppgifter är fortfarande personuppgifter och faller därför inom förordningens tillämpningsområde. Pseudonymi- sering framhålls på flera ställen i dataskyddsförordningen som en tänkbar skyddsåtgärd. I praktiken är också pseudonymisering och liknande åtgärder viktiga för att skydda enskildas integritet i samband med forskning. Vid registerbaserad forskning är det exempelvis vanligt att personuppgifter lämnas ut från registren i kodad eller pseudonymiserad form. Förslag till reglering av forskningsdatabaser Alternativ till pseudonymisering enligt dataskyddsförordningen Den legaldefinition av pseudonymisering som finns i dataskydds- förordningen är strikt och ställer framför allt kravet på att uppgifterna inte ska kunna tillskrivas en specifik registrerad utan att komplet- terande uppgifter (som en kodnyckel) används. Detta kräver att all information som direkt kan identifiera en person ersätts med pseudonymer/koder. Utöver detta krävs även att annan information som kan användas för att indirekt identifiera personen behandlas så att detta är möjligt. Sådan behandling kan medföra att uppgifterna blir mindre lämpade för det aktuella forskningsändamålet.61 till syftet med pseudonymi- sering bör det därför vara möjligt att använda alternativa skydds- åtgärder, som uppfyller samma syfte, och därmed ger ett likvärdigt eller bättre skydd. Utvecklingen, framför allt på det tekniska området, gör det mindre lämpligt att föreskriva en viss form av skyddsåtgärder om lämpligare tekniker kan komma att utvecklas . Vad är likvärdigt skydd? Det skydd som följer av pseudonymisering utgörs främst av att identifierande uppgifter avlägsnas från de uppgifter som behandlas. Information som kan användas för att identifiera den enskilde bevaras separat och omgärdas av säkerhetsåtgärder. Detta hindrar att den enskilde sammankopplas med sina uppgifter. Med likvärdigt skydd avser vi en åtgärd eller kombination av åtgärder som i samma utsträckning som pseudonymisering förhindrar att den enskilde obehörigen sammankopplas med sina person- uppgifter. Med obehörig sammankoppling avser vi här en samman- koppling mellan den enskilde och dennes uppgifter som inte framgår från det angivna ändamålet med behandlingen. Alternativa åtgärder kan åstadkomma ett likvärdigt skydd genom att exempelvis begränsa åtkomst till identifierande uppgifter, eller omfatta instruktioner för hur personuppgiftsbehandling får bygga på användning av identifierande uppgifter. Exempel på sådana åtgärder kan vara att en separat organisation har hand om sådan information 61Se exempelvis diskussionen om skyddsåtgärderna randomisering och generalisering i avsnitt 12.3.3 i vårt delbetänkande SOU 2017:50. Förslag till reglering av forskningsdatabaser som kan användas för att identifiera den enskilde, eller att instruk- tionerna för personuppgiftsbehandling inom ramen för forskningen uttryckligen förbjuder försök till återidentifiering.62 Detta likvärdighetskriterium för skyddsåtgärder gör det möjligt att exempelvis använda mindre ingripande metoder för att behandla uppgifterna, exempelvis att endast ersätta direkt identifierande upp- gifter med pseudonymer eller koder (kodning), under förutsättning att ytterligare åtgärder vidtas för att säkerställa att någon obehörig sammankoppling mellan den enskilde och dennes personuppgifter inte görs. Undantag från kravet på pseudonymisering eller likvärdigt skydd Av artikel 89.1 i dataskyddsförordningen framgår att skyddsåtgärder vid personuppgiftsbehandling får inbegripa pseudonymisering under förutsättning att ändamålen kan uppfyllas på det sättet. Det finns alltså ett utrymme i förordningen att inte tillämpa pseudonymisering. Det kan förekomma forskningsmetoder där identifierande uppgifter såsom personnummer måste bevaras och/eller behandlas i själva forskningsverksamheten. Forskningsmetoden kan utgöra det minst ingripande sättet att uppnå det förväntade resultatet, och forsk- ningens vetenskapliga värde kan väga upp risken för den enskildes personliga integritet. Det bör därför finnas en möjlighet att inte tillämpa pseudonymisering eller något annat likvärdigt skydd, om det är nödvändigt för att uppfylla ändamålet med den forskning upp- gifterna lämnas ut till.63 Nödvändighetsrekvisitet ska här tolkas som i dataskydds- förordningen, dvs. en behandling är nödvändig om det önskade resultatet inte rimligen kan uppnås på annat sätt (jfr skäl 39). I vårt delbetänkande gjorde vi bedömningen att användning av person- uppgifter kan medföra högre kvalitet och tillförlitlighet i forsknings- resultatet, och att detta bör kunna beaktas vid en nödvändighets- bedömning. Vi diskuterade i detta sammanhang ingående nödvändig- hetsrekvisitet.64 Även användning av direkt identifierbara uppgifter kan i vissa fall medföra högre kvalitet och tillförlitlighet i forsknings- resultat än om pseudonymiserade eller på likvärdigt sätt skyddade 62SOU 2017:50, avsnitt 12.3.2. 63SOU 2017:50 s. 288. 64SOU 2017:50 s. 124 ff. Förslag till reglering av forskningsdatabaser Detta ska enligt vår mening beaktas vid bedöm- ningen av om det är nödvändigt att personuppgifterna som lämnas ut är direkt identifierbara. I sammanhanget bör även uppmärksammas att 10 § etikprövnings- lagen ställer krav på att integritetskänslig forskning inte får godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners personliga integritet m.m. Med beaktande av skaderisken vad gäller intrånget i den registrerades personliga integritet som sammankopplingen mellan dennes identitet och anknytande personuppgifter medför anser vi att det ska vara en huvudregel att forskningshuvudmannen ska skydda personupp- gifterna i forskningsdatabasen genom att vid utlämning av uppgifterna tillämpa pseudonymisering eller något annat likvärdigt skydd. Endast undantagsvis ska det vara tillåtet för forskningshuvudmannen att lämna ut personuppgifter utan sådant skydd. 8.11.4Utlämnande av uppgifter till och andra forskningsdatabaser i I kapitel 11 lämnar vi förslag till en ny bestämmelse i offentlighets- och sekretesslagen som ska göra det möjligt att pröva utlämnande av uppgifter till forskningsdatabaser utanför som omfattas av dataskyddsförordningen. 8.11.5Direktåtkomst ska inte vara tillåten för andra än de registrerade Vårt förslag: Personuppgifter i en forskningsdatabas får inte lämnas ut genom direktåtkomst annat än till den enskilde själv. Syftet med den föreslagna lagen om forskningsdatabaser är att en forskningsdatabas ska kunna lämna ut uppgifter som ska ligga till grund för forskning och att dess uppgifter ska vara tillgängliga för många olika forskningsprojekt. Frågan uppkommer då på vilket sätt Förslag till reglering av forskningsdatabaser som uppgifterna i forskningsdatabasen ska få lämnas ut. Hanteringen förenklas om det är möjligt och tillåtet att lämna ut uppgifterna elektroniskt, t.ex. genom direktåtkomst. Med direktåtkomst avses vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av.65 Se även avsnitt 3.3.9 om begreppets användning i olika sammanhang. Effektivitetsskäl skulle kunna tala för ett utlämnande genom direktåtkomst av uppgifter från den forskningshuvudman som ansvarar för databasen och det forskningsprojekt som ska använda uppgifterna. Det finns integritetsskäl som talar mot en sådan reglering. En forskningsdatabas kommer att innehålla personuppgifter, även käns- liga personuppgifter och uppgifter om lagöverträdelser, om en stor mängd personer. Dessa skulle genom direktåtkomst kunna göras tillgängliga utan att forskningsprojektet kommer ha ett egentligt behov av samtliga uppgifter. Att ett större antal personer har möjlig- het att ta del av uppgifter ökar risken för obehörig vidarespridning även om de personer hos den andra myndigheten som får del av informationen har tystnadsplikt. Bestämmelser om direktåtkomst medför vidare att ett forsknings- projekt hos en mottagande myndighet vid en begäran om utlämnande måste överföra och ta del av information för att kunna göra en sekretessprövning, även av sådan information som den mottagande myndigheten egentligen inte är behov av i sin egen verksamhet. Att flera myndigheter ska göra sekretessprövning avseende samma material ökar också risken för att de olika myndigheterna tillämpar den gällande sekretessbestämmelsen på olika sätt. Sammanfattningsvis anser vi att integritetsskäl talar mot att de mottagande forskningsprojekten ska ha direktåtkomst till person- uppgifter i en forskningsdatabas. Lagen bör därför innehålla en bestämmelse av vilken det framgår att utlämnande av personuppgifter i databasen genom direktåtkomst inte får förekomma. 65Se t.ex. prop. 2004/05:164 s. 83, 2009/10 :85 s. 168 och 2011/12 :45 s. 133. Förslag till reglering av forskningsdatabaser Eftersom avsikten är att personuppgifter i register enligt den föreslagna lagen ska kunna lämnas ut för att behandlas vidare i viss registerbaserad forskning, gör vi dock bedömningen att det inte bör uppställas några restriktioner för andra former av elektroniskt utlämnande av personuppgifter än direktåtkomst. Det bör således inte uppställas några särskilda begränsningar i fråga om t.ex. utlämnande på medium för automatiserad behandling. Utlämnande genom fjärråtkomst utgör ett automatiserat ut- lämnande (således inte direktåtkomst) och kan reducera eller helt eliminera behovet av att kopiera uppgifter när de ska användas i enskilda forskningsprojekt. En forskningsdatabas som är gemensam för flera forskningsprojekt kan huvudsakligen lämna ut uppgifter genom fjärråtkomst. Denna metod för utlämnande kan ses som ett sätt att tillfredsställa dataskyddsförordningens princip om uppgifts- minimering. SCB:s MONA-system kan här användas som förebild. 8.11.6Direktåtkomst för den registrerade själv Vårt förslag: En forskningshuvudman ska få medge en registrerad direktåtkomst till direkt identifierbara uppgifter om den enskilde själv som behandlas i en forskningsdatabas. Innan uppgifterna lämnas ut på detta sätt till den registrerade ska forskningshuvudmannen pröva om uppgifterna får lämnas ut. Den registrerade får under samma förutsättningar medges direktåtkomst till loggdokumentation. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst. Allt fler medborgare förväntar sig att i de flesta sammanhang kunna använda sig av olika elektroniska tjänster. Inom hälso- och sjukvården t.ex. kan patienter söka information om sjukdomar och behandlingar via internet. Det har också blivit vanligt att patienter kan boka tider, förnya recept eller ställa frågor via internet. Patienter har även i stor utsträckning möjlighet att ta del av sina patientjournaler på nätet. Mot bakgrund av den ökade digitaliseringen i samhället framstår det som naturligt att registrerade ges möjlighet att få direktåtkomst till sådana direkt identifierbara uppgifter i en forskningsdatabas som Förslag till reglering av forskningsdatabaser får lämnas ut till dem. Vi anser att det är rimligt att erbjuda de registrerade möjlighet till insyn i den behandling av personuppgifter som en forskningsdatabas utgörs av. Det blir ett sätt för forskningen att ge något tillbaka till dem som bidrar med sina uppgifter för att möjliggöra ett ökat kunskapsläge. Möjligheten att erbjuda patienter direktåtkomst till sina patient- journaler infördes genom patientdatalagen, som trädde 2008. Det har tagit för vårdgivarna att införa system som möjliggör det. Det var först som möjlighet till sådan åtkomst kunde erbjudas i stor skala. Någon rättighet för enskilda att ha direkt- åtkomst till sina uppgifter till forskningsdatabaser bör därför inte införas . skulle det föra för långt att ålägga samtliga forskningshuvudmän en sådan skyldighet. Det är nödvändigt att ett sådant erbjudande kan genomföras på ett säkert sätt. Det måste t.ex. gå att säkerställa den registrerades identitet på ett sådant sätt att det är rätt person som får åtkomst till uppgifterna. Direktåtkomsten bör avse sådana uppgifter om den enskilde själv som är lämpliga att lämnas ut till honom eller henne och som är direkt identifierbara. Om uppgifterna i en forskningsdatabas är pseudonymi- serade eller skyddade på annat likvärdigt sätt, ska direktåtkomst inte erbjudas. Forskningshuvudmannen ska inte behöva göra uppgifterna direkt identifierbara i syfte att erbjuda direktåtkomst. Uppgifterna i en forskningsdatabas kommer ofta vara av mycket integritetskänslig karaktär, och regelmässigt omfattas av sekretess (avsnitt 8.9.5). Enligt 12 kap. 1 § OSL gäller sekretess som huvudregel inte mot den enskilde, om inte annat anges i lagen. I de fall där det saknas tillämpliga undantag från denna huvudregel utgör därför inte sekretessreglering ett hinder mot att erbjuda direktåtkomst för den enskilde. Forskningsdatabaser kan omfattas av personuppgifter som är in- samlade från hälso- och sjukvården. I vården är dessa uppgifter omfattade av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. En sådan sekretess kan i undantagsfall gälla mot patienten själv (25 kap. 6 § OSL). Det är en bestämmelse som ytterst sällan används, men som alltjämt finns kvar.66 I teorin skulle det därför kunna finnas uppgifter i en forskningsdatabas, som i hälso- och sjukvården inte skulle lämnas 66Utredningen om rätt information i vård och omsorg föreslog i sitt betänkande Rätt infor- mation på rätt plats i rätt tid (SOU 2014:23) att denna sekretessbestämmelse skulle upphöra att gälla, s. 886 ff. Förslag till reglering av forskningsdatabaser ut till patienten. Vi föreslår inte att det ska finnas någon sådan bestäm- melse om sekretess mot den registrerade själv i anslutning till den forskningssekretess som ingår i våra förslag. Däremot ska ju en sekretessprövning göras vid utlämnande av uppgifter. Om forsknings- huvudmannen vet att det finns uppgifter i forskningsdatabasen som det skulle kunna innebära men för den registrerade om de lämnades ut till denne, bör uppgifterna inte lämnas ut. Forskningshuvud- mannen bör alltså inte erbjuda direktåtkomst till sådana uppgifter. Detta är dock troligen ett teoretiskt problem som sällan bör uppstå. En registrerad som har fått direktåtkomst till sina uppgifter och som på egen hand tar del av dessa kanske kan ha svårt att förstå upp- gifterna. En forskningshuvudman som erbjuder forskningsperso- nerna direktåtkomst till sina uppgifter bör därför också erbjuda de registrerade hjälp med att förstå vad det är de får ta del av. Forskningshuvudmannen ansvarar för att enbart rätt personer i verksamheten får åtkomst till uppgifterna och för att åtkomsten används på rätt sätt. Därför finns det i vårt lagförslag krav på att forsk- ningshuvudmannen ska styra och kontrollera åtkomsten. Genom att erbjuda de registrerade möjlighet till direktåtkomst till de loggar som dokumenterar vilken åtkomst som förekommit, kan forsknings- huvudmannen få den registrerades hjälp med denna kontroll. Vet- skapen om att en sådan kontroll från den registrerade kan förekomma, kan också ha en avhållande effekt mot felaktig användning av uppgifterna. Vi bedömer att det krävs säkerhetsåtgärder för att forsknings- huvudmän ska kunna medge de registrerade direktåtkomst till sina uppgifter. Det måste t.ex. finnas tillräckligt säkra tekniska lösningar för att säkerställa identifieringen av den som efterfrågar uppgifter. Det är inte möjligt att i lag precisera de krav som bör ställas. Vi föreslår därför att regeringen, eller den myndighet som regeringen bestämmer, efter samråd med Datainspektionen får meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid direktåtkomst för forsk- ningspersoner. Sammanfattningsvis föreslår vi således att forskningshuvudmän ska få erbjuda forskningspersoner direktåtkomst till direkt identi- fierbara uppgifter om sig själva och till den logginformation som finns om åtkomst till dessa uppgifter. Förslag till reglering av forskningsdatabaser 8.11.7Uppförandekoder som stöd vid behandling av personuppgifter i forskningsdatabaser Vårt förslag: ska få i uppdrag att stödja forsk- ningshuvudmännen i utarbetandet av gemensamma uppförande- koder. Principen om ansvarsskyldighet som den uttrycks i dataskydds- förordningen innebär en skyldighet att kunna visa att regelverket följs. Förordningen pekar också på hur detta kan gå till. Exempelvis är ett sätt för den personuppgiftsansvarige att visa detta, att ansluta sig till en godkänd uppförandekod eller en godkänd certifieringsmekanism (art 24.3 och art 32.3). I syfte att specificera hur dataskyddsförordningen ska tillämpas inom en viss bransch eller sektor, får sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden, utarbeta uppförandekoder (artikel 40). I dataskyddsförordningens artikel 40 regleras vidare att medlems- staterna, tillsynsmyndigheterna, Europeiska dataskyddsstyrelsen67 och kommissionen ska uppmuntra utarbetandet av uppförandekoder. Dessa koder är avsedda att bidra till att förordningen efterlevs, med hänsyn till särdragen hos de olika sektorer där uppgifter behandlas, och de särskilda behoven hos mikroföretag samt små och medelstora företag. En gemensam uppförandekod är alltså enligt dataskyddsförord- ningen en möjlighet för sammanslutningar som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden inom en viss bransch eller sektor, att specificera hur man i praktiken ska tillämpa dataskyddsförordningens bestämmelser, som i många avseenden är allmänt hållna. Uppförandekoder är möjliga även om det finns nationella bestämmelser som, med stöd i dataskyddsförordningen, närmare reglerar hur uppgifter får behandlas inom en sektor. 67Europeiska dataskyddsstyrelsen kommer att inrättas när dataskyddsförordningen börjar tillämpas . Den kommer att bestå av representanter från samtliga EU-länders dataskyddsmyndigheter, däribland Datainspektionen (artikel 68 i dataskyddsförordningen). Styrelsen har befogenhet att fatta beslut i frågor där nationella tillsynsmyndigheter inte kan komma överens, ge råd och vägledning om hur dataskyddsförordningen ska tillämpas och godkänna EU-omfattande uppförandekoder och certifieringar (artikel 40–42 m.fl. artiklar i dataskyddsförordningen). Förslag till reglering av forskningsdatabaser Uppförandekoder kan på flera sätt spela en viktig roll i tillämp- ningen av förordningen. En sådan kan tydliggöra hur förordningen ska tillämpas och på det sättet underlätta för den ansvarige att visa att den följer förordningen och på vilket sätt. Av dataskyddsförordningen framgår att de som får utarbeta uppförandekoder är sammanslutningar och andra organ, som före- träder kategorier av personuppgiftsansvariga eller personuppgifts- biträden. Det är med andra ord företrädare för personuppgifts- ansvariga eller personuppgiftsbiträden som står bakom en kod, och som står som författare till koden. Förordningen innehåller vidare ett aktivitetskrav på både natio- nella myndigheter och EU-gemensamma organ när det gäller ut- arbetandet av uppförandekoder. I förordningens artikel 40 sägs att medlemsstaterna, tillsynsmyndigheterna, dataskyddsstyrelsen och kommissionen ska uppmuntra utarbetandet av uppförandekoder. anförde i sitt slutbetänkande att ”upp- muntra” bör förstås som att de nämnda organen ska initiera och stödja företrädare för personuppgiftsansvariga eller personuppgiftsbiträden i arbetet med att ta fram uppförandekoder.68 Enligt dataskyddsförordningen ska sammanslutningar och andra organ som avser att utarbeta en uppförandekod eller ändra eller utöka befintliga uppförandekoder, lämna in utkastet till den behöriga till- synsmyndigheten. ska yttra sig om utkastet överensstämmer med förordningen och godkänna det om den finner att tillräckliga garantier tillhandahålls. Om utkastet till kod godkänns, och om den berörda uppförande- koden inte avser behandling i flera medlemsstater, ska tillsynsmyndig- heten registrera och offentliggöra uppförandekoden. Dataskyddsförordningens regler behöver i många fall specificeras och förtydligas. Förordningens krav behöver beskrivas i praktiska anvisningar till de personuppgiftsansvariga för att kraven ska kunna göra någon verklig skillnad för den personliga integriteten och faktiskt bidra till bättre skydd och större tydlighet för de registrerade. Vi bedömer att uppförandekoder på ett pedagogiskt sätt kan anpassas till de befattningshavare i de berörda verksamheterna som i praktiken gör bedömningar och val avseende hur uppgifterna ska behandlas i en forskningsdatabas. Vi anser därför att det vore önskvärt om de forskningshuvudmän som ansvarar för forskningsdatabaser tog 68Integritetskommitténs slutbetänkande Så stärker vi den personliga integriteten (SOU 2017:52), s. 75. Förslag till reglering av forskningsdatabaser fram en uppförandekod till stöd för tillämpningen av dataskydds- förordningen och forskningsdatabaslagen vid behandling av person- uppgifter. En säkrare rättstillämpning inom detta område stärker skyddet för den personliga integriteten. Även om utarbetandet av förslag till uppförandekoder ska utföras av de personuppgiftsansvarigas eller personuppgiftsbiträdenas bransch- organisationer, kommer arbetet med att uppmuntra, granska och god- känna uppförandekoder att behöva göras av nationella myndigheter och EU-gemensamma organ. Vi bedömer att är den branschspecifika myndig- heten som bäst känner till forskningshuvudmännen och de vanligast förekommande integritetsrelaterade frågorna och problemen. Det kan således vara lämpligt att myndigheten initierar arbetet genom att exempelvis samla forskningshuvudmännen till ett första möte där möjligheten till uppförandekod diskuteras. Myndigheten kan också vid behov hålla samman arbetet fram till dess att koden ska godkännas. Vi föreslår därför att ska få i uppdrag att initiera och stödja arbetet med framtagande av uppförandekoder för behandling av personuppgifter i forskningsdatabaser. Detta uppdrag stämmer väl överens med det uppdrag som myndigheten redan har att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål och bistå forskare med information om rele- vanta bestämmelser om register.