sou · H6B352 · 2018-06-28 00:00:00 — Registerlagen bör endast innehålla de från ett ändamåls- eller integritetsskyddsperspektiv viktigaste särbestämmelserna i förhållande till dataskyddsförordningens och dataskyddslagens bestämmelser. Utredningen gör därför bedöm- ningen att det är lämpligt att låta även den nya lagen gälla utöver dataskyddslagen. Alternativet, att i registerlagen heltäckande reglera vilka bestämmelser i dataskyddslagen och anknytande föreskrifter som ska gälla, kan möjligen passa för verksamheter där det behövs ett stort antal undantag och särregler i förhållande till den generella 2017/18:95 s. 51 ff. 2017/18:171 s. 173. En ny lag om behandling av personuppgifter Ett sådant sätt att reglera framstår dessutom som mindre lämpligt mot bakgrund av att även bestämmelserna i den direkt tillämpliga dataskyddsförordningen ska tillämpas. Eftersom dataskyddslagen är subsidiär, behövs ingen materiell bestämmelse för att den nya lagen ska gälla utöver dataskyddslagen. Av tydlighetsskäl innehåller dock flertalet registerförfattningar en bestämmelse om förhållandet till den generella regleringen. Utred- ningen föreslår därför en bestämmelse som innebär att dataskydds- lagen gäller vid behandling av personuppgifter enligt den föreslagna lagen, om inte annat följer av den föreslagna lagen eller föreskrifter som har meddelats med stöd av den. När dataskyddslagen är tillämp- lig, är också bestämmelser som regeringen meddelat i anslutning till dataskyddslagen tillämpliga. Det innebär att eventuella förordnings- bestämmelser om undantag från dataskyddslagens tillämplighet gäller. Bestämmelsen om förhållandet till dataskyddslagen bör formu- leras som i andra registerlagar inom verksam- hetsområde som har anpassats till dataskyddsförordningen.7 Lagen om etikprövning av forskning som avser människor, etik- prövningslagen, innehåller bestämmelser om etikprövning av forsk- ning som avser människor. ska lagen tillämpas bl.a. på forsk- ning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden enligt 21 § personupp- giftslagen. Lagen ska dock enligt ett remitterat utkast till lagråds- remiss anpassas till dataskyddsförordningen och tillämpas bl.a. på forskning som innefattar behandling av personupp- gifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening, genetiska uppgifter, biometriska uppgifter för att entydigt 2017/18:171 s. 74. En ny lag om behandling av personuppgifter identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Av dessa kategorier av uppgifter är genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell lägg- ning nya i förhållande till vad som gällde innan dataskyddsförord- ningen började tillämpas. När det gäller uppgifter om lagöverträd- elser föreslås inte någon ändring beträffande vilka uppgifter som ska omfattas.8 Med forskning avses enligt 2 § etikprövningslagen vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund.9 Forskning som omfattas av etikprövningslagens tillämpningsområde får enligt 6 § utföras bara om den godkänts vid en etikprövning. Myndigheten för vård- och omsorgsanalys bedömer att dess verk- samhet, trots många likheter med forskning, inte utgör någon forskning (se avsnitt 4.3). Utredningens förslag i kapitel 10–12 om att det för viss behandling av personuppgifter i analysverksamheten ska krävas en prövning och godkännande av Etikprövningsmyndig- heten eller av ett annat särskilt organ för prövning av etiska frågor avser således inte sådan verksamhet som utgör forskning. Om myndigheten i något fall ändå skulle bedriva forskning, bör den lyda under samma regler som all annan forskning när det gäller behandling av personuppgifter och inte under den av utredningen föreslagna specialregleringen. En bestämmelse som förtydligar att etikprövningslagen ska tillämpas vid forskning bör därför införas. Med forskning av ses detsamma som enligt etikprövningslagen. 8Utkast till lagrådsremiss dnr U2018/01639/F s. 73 och 87 f. 9Förslag på ny definition av begreppet forskning har lämnats i SOU 2017:104. 10Krav på extern prövning vid riskfyllda behandlingar utan samtycke 10.1Det behövs en prövning i varje enskilt fall vid riskfyllda behandlingar Utredningens bedömning: Det behövs en prövning i varje en- skilt fall av en extern oberoende instans för att Myndigheten för vård- och omsorgsanalys ska få utföra särskilt riskfyllda behand- lingar. Problemet vid reglering av behandling av personuppgifter vid myn- digheter som har i uppdrag att göra analyser, uppföljningar eller tillsyn (eller bedriva spaning), som kräver behandling av personupp- gifter, är att dessa myndigheter som regel behöver behandla alle- handa personuppgifter för vitt skilda konkreta ändamål som i prak- tiken inte låter sig sammanfattas på förhand i lagstiftning på ett sådant sätt att behandlingen kan begränsas. Så är fallet när det gäller Myndigheten för vård- och omsorgsanalys behov av behandling av personuppgifter. En ändamålsbestämmelse i lag med förutsättningar för att behandling ska få ske skulle därför behöva vara så allmänt hållen att man, enligt utredningens bedömning, inte gärna kan över- låta åt myndigheten att själv tillämpa den i de fall det gäller mer integritetskänslig behandling av personuppgifter. Motsvarande problem med att på förhand fastställa tillräckligt konkreta förutsättningar för behandling av personuppgifter finns vid forskning, som ju kan avse vad som helst och kräva vilka per- sonuppgifter som helst. Myndigheten för vård- och omsorgsanalys Krav på extern prövning vid riskfyllda behandlingar utan samtycke konkretiserar i sin verksamhet med uppföljning och analys fråge- ställningarna på motsvarande sätt som vid forskning och använder samma metoder som vid forskning för att besvara dessa. Vid forskning är problemet, när det gäller känsliga personupp- gifter och uppgifter om lagöverträdelser, numera löst genom systemet med etikprövning som innebär att en extern instans med expert- kompetens enligt ganska konkreta avvägningsnormer i varje enskilt fall bedömer om integritetsintrånget är försvarligt med hänsyn till intresset av behandlingen. löstes problemet genom att det krävdes tillstånd av Datainspektionen för att få föra ett forskningsregister och att inspektionen kunde förena tillståndet med skräddarsydda villkor. När personuppgiftslagen infördes avskaffades tillståndssystemet för nya behandlingar. Behandling av känsliga personuppgifter för forsk- ningsändamål var enligt den ursprungliga lydelsen av personupp- giftslagen tillåten med samtycke eller efter en kvalificerad intresse- avvägning.1 Behandlingen var tillåten om den var nödvändig och om samhällsintresset av det forskningsprojekt där behandlingen ingick klart vägde över den risk för otillbörligt intrång i enskildas person- liga integritet som behandlingen kunde innebära. Det betonades att det behövde göras en prövning i varje enskilt fall och att den som regel skulle göras av någon oberoende instans. Därför infördes också en bestämmelse om att förutsättningarna enligt den kvalificerade intresseavvägningen skulle anses uppfyllda om behandlingen hade godkänts av en forskningsetisk kommitté. Med forskningsetisk kommitté avsågs ett sådant särskilt organ för prövning av forsk- ningsetiska frågor som hade företrädare för såväl det allmänna som forskningen och som var knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierade forskning. Genom införandet 2004 av etikprövningslagen avskaffades möj- ligheten för den personuppgiftsansvarige att själv avgöra om och under vilka förutsättningar behandling utan samtycke av känsliga personuppgifter (och uppgifter om lagöverträdelser) för forsknings- ändamål var tillåten. Den prövningen anförtroddes åt de då nyinrätt- ade oberoende etikprövningsnämnderna, med en person med domar- kompetens som ordförande och i övrigt ledamöter med vetenskaplig 1SOU 1997:39 s. 294 ff. och prop. 1997/98:44 s. 70 ff. Krav på extern prövning vid riskfyllda behandlingar utan samtycke kompetens och ledamöter som företräder allmänna intressen. I etik- prövningslagen infördes också mer precisa bestämmelser om hur prövningen och den kvalificerade intresseavvägningen skulle gå till. ska också forskning som sker med samtycke prövas av etikprövningsnämnd. Myndigheten för vård- och omsorgsanalys har behov av att behandla vissa känsliga personuppgifter, uppgifter om lagöverträdel- ser och att i vissa fall behandla personuppgifter i sådan omfattning att det, med hänsyn till den stora mängden personuppgifter, uppgifternas integritetskänsliga karaktär och behovet av att koppla samman uppgifterna, innebär en kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen (särskilt riskfyllda behandlingar). Det är utredningens slutsats att det bästa sättet att tillfredsställande reglera när Myndigheten för vård- och omsorgsanalys ska få utföra särskilt riskfyllda behand- lingar är att föreskriva att det i varje enskilt fall ska göras en be- dömning av en oberoende och kompetent instans. I kapitel 11–13 redogörs närmare för vilka särskilt riskfyllda behandlingar som Myndigheten för vård- och omsorgsanalys behöver utföra och som bör prövas av en oberoende och kompetent instans. En del av de analyser Myndigheten för vård- och omsorgsanalys utför sker till följd av uttryckliga uppdrag från regeringen. Om analysprojekten underställs en extern prövning av ett annat organ innebär det en risk för att myndigheten, om ett godkännande inte lämnas, inte kan utföra uppdraget. Lämpligheten i en sådan kon- struktion kan därför diskuteras. Det är dock bara den metod för uppdragets utförande som varit underställd prövningen som inte kan användas om ett godkännande inte lämnas. I många fall kommer myndigheten att kunna anpassa uppläggningen av projektet på ett sätt som gör att regeringsuppdraget ändå kan utföras, exempelvis genom att den del som innefattar särskilt känslig behandling av personuppgifter utgår eller justeras. har övervägt om kravet på etikpröv- ning i etikprövningslagen bör utvidgas till att gälla all behandling av personuppgifter för forskningsändamål i stället för att som endast omfatta behandling av känsliga personuppgifter och upp- gifter om lagöverträdelser. En sådan utvidgning skulle innebära att Krav på extern prövning vid riskfyllda behandlingar utan samtycke även behandling av personuppgifter som inte innebär någon integri- tetsmässig risk skulle omfattas av kravet på etikprövning. Vid be- handling av personuppgifter som inte innebär risk för kränkning av den personliga integriteten finns det dock enligt Forskningsdata- utredningen inte något behov av etikprövning. En utvidgning av etikprövningslagens tillämpningsområde till att omfatta all behand- ling av personuppgifter för forskningsändamål skulle därför, enligt , undergräva syftet med etikprövnings- lagen och riskera att urholka förtroendet för systemet. Forsknings- datautredningen har av den anledningen gjort bedömningen att tillämpningsområdet för etikprövningslagen inte bör omfatta all behandling av personuppgifter för forskningsändamål.2 I ett remitterat utkast till lagrådsremiss om behandling av personuppgifter för forsk- ningsändamål görs samma bedömning.3 Mot denna bakgrund anser utredningen att det inte är lämpligt att införa ett krav på en extern prövning av alla myndighetens pro- jekt. Detta kan inte heller anses nödvändigt av integritetsskyddsskäl eller annars. 10.2Någon extern prövning behövs inte vid samtycke Utredningens förslag: Behandling av personuppgifter med stöd av den registrerades samtycke ska inte omfattas av kravet på pröv- ning av en extern instans. Etikprövningslagen är som nämnts tillämplig på forskning som innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser även om behandlingen sker med den registrerades samtycke. Utredningen har därför övervägt om det bör uppställas ett krav på extern prövning också för sådana projekt i vilka myn- digheten behandlar personuppgifter med stöd av samtycke. Som anges i avsnitt 7.2.2 har Myndigheten för vård- och omsorgs- analys i många fall möjlighet att behandla känsliga personuppgifter med stöd av bestämmelsen om uttryckligt samtycke i artikel 9.2 a i dataskyddsförordningen. Vid enkätundersökningar som riktar sig till ett slumpmässigt urval av befolkningen kan myndigheten tillfråga 2SOU 2017:50 s. 346 ff. 3Utkast till lagrådsremiss U2018/01639/F s. 71 f. Krav på extern prövning vid riskfyllda behandlingar utan samtycke personerna om de vill delta i en viss studie och om de samtycker till behandling av känsliga personuppgifter. Samma sak gäller vid använd- ning av patientpaneler som finns hos undersökningsföretag, där patienterna på förhand samtyckt till att personuppgifterna behandlas i syfte att kontakta dem om olika enkäter. I dessa situationer har den registrerade möjlighet att aktivt ta ställning till frågan om dennes känsliga personuppgifter ska få behandlas av myndigheten. Den registrerade kan då själv göra en bedömning av hur känsliga de efter- frågade uppgifterna är och vilka integritetsrisker behandlingen av personuppgifterna medför. Behandling som grundas på den regi- strerades uttryckliga samtycke innebär därför som regel inte samma integritetsintrång som behandling som sker utan att den registrerade tillfrågas. Det har inte framkommit att de studier som sker med stöd av den registrerades samtycke medför sådana integritetsrisker att det är nödvändigt med en extern prövning. Den oberoende prövningen kan i dessa fall sägas ske genom den enskildes egna överväganden. Behandling av personuppgifter som sker med samtycke omfattas inte heller av skyddet mot betydande intrång i den personliga integri- teten enligt 2 kap. 6 § andra stycket regeringsformen.4 Behandling av personuppgifter som sker med stöd av den registrerades samtycke bör därför inte omfattas av ett krav på extern prövning. Är det fråga om behandling av känsliga personuppgifter, krävs enligt artikel 9.2 a i dataskyddsförordningen att samtycket är uttryckligt. Som anges i avsnitt 7.1.2 måste myndigheten i varje enskilt fall ta ställning till om det är möjligt att grunda en behandling på samtycke. I sammanhanget bör noteras att sådan behandling av person- uppgifter som sker i syfte att ta fram kontaktuppgifter till personer med t.ex. en viss hälsoegenskap, såsom personer med en viss diag- nos, för att kunna tillfråga dem om samtycke till behandling av känsliga personuppgifter inte kan ske med uttryckligt samtycke. Eftersom kontaktuppgifterna i ett sådant fall avser personer med viss hälsoegenskap, utgör redan behandlingen av kontaktuppgifterna en behandling av känsliga personuppgifter, som inte kan ske med ut- tryckligt samtycke. Det innebär att projekt som förutsätter att per- soner med sådana egenskaper som är känsliga personuppgifter eller uppgifter om lagöverträdelser söks fram måste genomgå en extern 2009/10:80 s. 178 f. Krav på extern prövning vid riskfyllda behandlingar utan samtycke prövning, även om behandlingen av personuppgifter för själva ana- lysen eller uppföljningen avses ske med uttryckligt samtycke. 10.3Vilken oberoende instans ska göra prövningen? Det är en etisk prövning som behöver göras där det bedöms om det i det enskilda fallet är försvarligt att utsätta människor för den aktu- ella behandlingen. Därför bör den instans som gör prövningen helst ha vana att göra etiska bedömningar. Prövningen bör förstås ske sakligt och opartiskt och det är en fördel om instansen har tillgång till kompetens i fråga om ärende- handläggning. Därför bör den prövande instansen vara eller ingå i en myndighet, som vid fullgörandet av offentliga förvaltningsuppgifter ska iaktta saklighet och opartiskhet (1 kap. 9 § regeringsformen). Med hänsyn till att Myndigheten för vård- och omsorgsanalys är en statlig myndighet med ett rikstäckande uppdrag bör bara statliga myndigheter komma i fråga. Det är samhällets intresse och behov av den kunskap som det aktuella analysprojektet kan ge som kan motivera integritetsintrånget; i nästa avsnitt redogörs närmare för den avvägningsnorm som bör tillämpas. Därför bör personer som företräder det allmänna ingå i den instans som gör prövningen. Till exempel riksdagsledamöter eller andra ledande företrädare för riksdagspartier är väl skickade att bedöma samhällets intresse och behov. De har också goda förut- sättningar att bedöma hur stort ett visst integritetsintrång kan sägas vara. Det kan inte vara försvarligt att göra ett integritetsintrång för att få fram viss kunskap som samhället i och för sig har behov av, om den kunskapen redan finns eller om den kan tas fram utan eller med ett mindre integritetsintrång. Därför bör personer med vetenskaplig kompetens också ingå i den instans som gör prövningen. Dugliga forskare på det aktuella området har en kunskapsöverblick och goda förutsättningar för att bedöma vilka metoder som finns för att få fram kunskap. Krav på extern prövning vid riskfyllda behandlingar utan samtycke 10.3.2Etikprövningsmyndigheten är den naturliga instansen Utredningens förslag: , eller för etikprövning, ska göra den externa prövningen av de projekt som bedrivs av Myndigheten för vård- och omsorgs- analys. finns det regionala etikprövningsnämnder och en central som har till arbetsuppgift att pröva ansökningar om etikprövning enligt etikprövningslagen. Etikprövningslagen innehåller bestämmelser om etikprövning av forskning som avser människor. Syftet med lagen är att skydda den enskilda människan och respekten för människovärdet vid forskning. Med forskning avses enligt 2 § etikprövningslagen vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund.5 Etikprövningslagen ska enligt ett utkast till lagrådsremiss tillämpas på bl.a. forskning som innefattar behandling av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) eller personuppgifter om lagöverträd- elser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden (3 §).6 Även behandling som sker med den registrerades samtycke omfattas numera av etik- prövningslagens tillämpningsområde.7 Forskning får enligt 6 § utföras bara om den godkänts vid en etikprövning. Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskningen får innefatta behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser bara om behandlingen har godkänts vid etikprövningen. Utgångspunkterna för etikprövningen regleras i 7–11 §§ etik- prövningslagen. Av bestämmelserna följer bl.a. att etikprövnings- nämnden vid sin prövning ska göra en intresseavvägning där riskerna för den personliga integriteten vägs mot forskningens vetenskapliga värde. 5I SOU 2017:104 föreslås att definitionen av begreppet forskning ska ändras. 6Utkast till lagrådsremiss U2018/01639/F s.10. 2007/08:44 s. 21 ff. Krav på extern prövning vid riskfyllda behandlingar utan samtycke I etikprövningslagen regleras även etikprövningsnämndernas verk- samhet och sammansättning. ändras organisa- tionen.8 De regionala etikprövningsnämnderna ersätts av Etikpröv- ningsmyndigheten och den centrala om till . Etikprövningsmyn- digheten ska vara indelad i verksamhetsregioner (25 § etikprövnings- lagen). Varje verksamhetsregion ska ha en eller flera avdelningar. En avdelning ska pröva ärenden inom vissa forskningsområden. Avdel- ningen ska bestå av en ordförande och femton övriga ledamöter, varav tio ska ha vetenskaplig kompetens och fem företräda allmänna intressen. Ordföranden och ersättare för ordföranden ska vara eller ha varit ordinarie domare. beslut överklagas till för etikprövning. Vidare kan en avdelning inom Etikpröv- ningsmyndigheten som är oenig om utgången av etikprövningen lämna över ärendet för avgörande till 29 § etikprövningslagen). också till uppgift att utöva tillsyn och att pröva vissa frågor i samband med inrättande av biobanker enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. för etikprövning ska bestå av en ordförande, som ska vara eller ha varit ordinarie domare, och sex övriga ledamöter. Av de övriga ledamöterna ska fyra ha vetenskaplig kompetens och två före- träda allmänna intressen. Eftersom ändringarna av etikprövningsorganisationen kommer att gälla som utredningens förslag föreslås träda i kraft, formulerar utredningen sina förslag med utgångspunkt i den nya etikprövningsorganisationen. Myndigheten för vård- och omsorgsanalys har till uppgift att ur ett patient-, brukar-, och medborgarperspektiv följa upp och ana- lysera verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg. Myndigheten har inget uttryckligt uppdrag att bedriva forskning och anser inte att dess verksamhet utgör forskning i etikprövningslagens mening. Det analysarbete som myn- digheten ägnar sig åt har dock stora likheter med forskning. I ana- lysarbetet tillämpas vetenskapliga principer och metoder. Som en del i detta använder myndigheten statistiska metoder. Det kan även konstateras att merparten av myndighetens anställda är disputerade 8SFS 2018:147 och prop. 2017/18:45. Krav på extern prövning vid riskfyllda behandlingar utan samtycke forskare och att myndigheten anlitar externa forskare som bedriver forskning på myndighetens uppdrag. När myndigheten ger i upp- drag åt externa forskare att genomföra vissa analyser där känsliga personuppgifter ingår ansöker forskaren om etikprövning enligt etik- prövningslagen. Myndighetens analyser medför motsvarande risker för den personliga integriteten som forskning. Myndighetens ana- lysprojekt verkar därför i och för sig lämpa sig för den avvägning som görs av eller en etikprövning enligt etikprövningslagen. Den etablerade etikprövningsorganisationen har redan stor vana av och organisation för att hantera ansökningar om etikprövning av projekt och skulle tillämpa samma formella och materiella bestäm- melser på myndighetens ansökningar som på ansökningar som gäller forskningsprojekt (se avsnitt 10.4.1). och sammansättning och leda- möternas kompetens är reglerad i lag. I organen ingår såväl före- trädare för det allmänna som forskningen. Regleringen av ledamöter- nas kompetens uppfyller alltså de krav på vilka företrädare utredningen bedömer att den instans som ska göra prövningen av myndighetens projekt bör ha. Sammansättningen gör att organen har goda förut- sättningar att bedöma det samhälleliga intresset av den kunskap som myndighetens projekt kan förväntas resultera i och på samma sätt som görs vid forskningsprojekt väga detta mot motstående intressen. En farhåga som lyfts under utredningsarbetet är att det skulle kunna tolkas som att det analys- och uppföljningsarbete som Myn- digheten för vård- och omsorgsanalys ägnar sig åt utgör forskning, om projekten etikprövas av etikprövningsorganisationen för forsk- ning. och pröv- ning kommer dock inte att ske på grund av bestämmelserna om forskning i etikprövningslagen utan till följd av regleringen i den föreslagna lagen om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys.