sou · H6B336 · 2018-06-05 00:00:00 — •sammanläggning av uppgifter på variabler från olika källor för samma registrerade, eller •tillförsel av såväl nya registrerade som nya variabler och dessutom nya mätvärden på existerande variabler för de redan registrerade. För att göra uppdateringar av data behöver uppgifterna vara identi- fierbara. Det kan i undantagsfall vara möjligt att göra detta genom att vid särskilda tillfällen använda separat förvarade kodnycklar. Detta förutsätter att kodnyckeln bevaras under hela forskningsdatabasens livscykel. Enligt dataskyddsförordningen ska uppgifterna i forskningsdata- basen korrigeras om de är felaktiga. I vissa fall kan den registrerade begära att få uppgifterna strukna. För detta krävs direkt eller indirekt identifierbara uppgifter. För att kunna tillföra, rätta och radera uppgifter bedömer vi att det i normalfallet torde vara nödvändigt att forskningsdatabasen inne- håller direkt identifierbara personuppgifter. Forskningshuvudmannen ska ta ställning till om det behövs direkt identifierbara uppgifter för den aktuella forskningsdatabasen, eller om uppgifterna i forskningsdatabasen på något annat sätt kan identifieras vid tillförande, förändring eller radering av uppgifter. Vi föreslår därför att det ska vara tillåtet att behandla direkt identifierbara uppgifter i en forskningsdatabas. Beroende på vilken typ av uppgifter som behövs för att uppfylla ändamålet med forsk- ningsdatabasen, ska forskningshuvudmannen besluta om uppgifterna ska vara direkt identifierbara eller om det är tillräckligt att uppgifterna är pseudonymiserade eller skyddade på likvärdigt sätt. I avsnitt 8.11.3 föreslår vi att uppgifter som lämnas ut från forsk- ningsdatabasen som huvudregel ska vara pseudonymiserade eller skyddade på likvärdigt sätt. Förslag till reglering av forskningsdatabaser 8.9.3En forskningsdatabas kan helt eller delvis bestå av uppgifter som samlas in direkt från den registrerade Vår bedömning: Dataskyddsförordningen bör normalt inte inne- bära något hinder för forskningshuvudmän att använda samtycke som rättslig grund för sin personuppgiftsbehandling. Det måste dock beaktas om det föreligger en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt, särskilt när den personuppgiftsansvarige är en offentligrättslig forsknings- huvudman. Forskningsdatabaser som skapas med stöd av vårt förslag till reglering kommer att kunna bestå av personuppgifter som samlas in från myndigheter respektive direkt från forskningspersonerna. Eventuellt kommer det även att skapas forskningsdatabaser som enbart behand- lar uppgifter som samlas in direkt från forskningspersonerna. Samtycke är en av de rättsliga grunder för behandling som är tillåten enligt dataskyddsförordningen. Om en behandling av person- uppgifter i en forskningsdatabas grundar sig på samtycke ska forsk- ningshuvudmannen kunna visa att den registrerade har samtyckt till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a och 7.1 i dataskyddsförordningen). Med samtycke avses varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne (artikel 4.11). Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställnings- alternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i samman- hanget tydligt visar att den registrerade godtar den avsedda behand- lingen av sina personuppgifter (skäl 32). En förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat bör tillhandahållas i en begriplig och lättillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Förslag till reglering av forskningsdatabaser Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke (skäl 42). Samtycke bör inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den person-uppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar (skäl 43). I skäl 33 konstateras det att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för forsk- ningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. Artikel 29-gruppen44 har yttrat att samtycke i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter. Det bör enligt yttrandet göras en noggrann kontroll för att se om samtycket faktiskt är tillräckligt frivilligt. När den registeransvarige är en offentlig myndighet kommer den rättsliga grunden för att legiti- mera behandlingen av personuppgifter att vara fullgörandet av en rättslig förpliktelse eller utförandet av en uppgift av allmänt intresse snarare än samtycke.45 Möjligheten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offentligrättsligt reglerade. Denna begränsning innebär dock inte att ett inhämtande av samtycke ska förbises. Eftersom vi föreslår att en forskningsdatabas ska etikgodkännas kan ett samtycke, i de fall där det är genomförbart, anses vara en skyddsåtgärd som stärker data- basens legitimitet. 44Artikel 29-gruppen är EU:s oberoende rådgivande instans för dataskydd och skydd för privatlivet och som består av en företrädare för varje nationell tillsynsmyndighet i EU- medlemsstaterna, en företrädare för och den europeiske datatillsyns- mannen. 45Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet samtycke s. 13–14 och 16–17. Förslag till reglering av forskningsdatabaser 8.9.4Den registrerade kan invända mot behandlingen Vår bedömning: Det framgår av dataskyddsförordningen att den registrerade kan invända mot behandlingen av hans eller hennes personuppgifter i en forskningsdatabas. Den registrerade ska, enligt artikel 21 i dataskyddsförordningen, av skäl som hänför sig till dennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e (bl.a. uppgift av allmänt intresse) eller f (intresseavvägning). Den personuppgiftsansvarige får i så fall inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det görs för fastställande, utövande eller försvar av rättsliga anspråk (artikel 21.1). Senast vid den första kommunikationen med den registrerade ska bl.a. rätten att göra invändningar uttryckligen meddelas den regist- rerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Om personuppgifter behandlas för bl.a. vetenskapliga eller historiska forskningsändamål i enlighet med artikel 89.1 ska den registrerade ha rätt att göra invändningar mot behandling av hans eller hennes personuppgifter om inte behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Det är tre rättsliga grunder för behandling av personuppgifter som är relevanta vid forskning: samtycke, uppgift av allmänt intresse eller intresseavvägning. Artikel 21.6 i dataskyddsförordningen innebär att om den registrerade invänder mot behandling av dennes person- uppgifter för forskningsändamål måste den personuppgiftsansvarige beakta om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse har den registrerade inte rätt att invända. Artikel 21.1 blir tillämplig om forskningen däremot baseras på den rättsliga grunden intresseavvägning. Om den registrerade gör invänd- ningar mot att dennes personuppgifter behandlas i forsknings- projektet får den personuppgiftsansvarige inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter. Förslag till reglering av forskningsdatabaser Artikel 21 omfattar alltså de rättsliga grunder som personuppgifts- behandling för forskningsändamål i praktiken kommer att grundas på, förutom samtycke som enligt artikel 7.2 alltid kan återkallas. Bestämmelserna i dataskyddsförordningen innebär att den en- skilde har vissa möjligheter att motsätta sig behandlingen av uppgifter i en forskningsdatabas. Vilka möjligheter den enskilde har att motsätta sig beror på vilken rättslig grund för behandling som forsknings- huvudmannen använder sig av. Eftersom rätten att göra invändningar mot behandlingen av personuppgifter är reglerad i dataskyddsförordningen ska det inte finnas någon sådan bestämmelse i den lag vi föreslår. Vårt förslag: Sekretess ska gälla hos en forskningshuvudman för uppgift om enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Forskningssekretess ska innebära en inskränkning i meddelar- friheten. Forskningssekretessen ska regleras i offentlighets- och sekre- tesslagen och ska ersätta bestämmelsen om sekretess för psyko- logiska undersökningar, som i stället ska omfattas av den nya bestämmelsen. Forskningssekretessen ska inte omfattas av bestämmelserna som medger undantag från sekretess i 10 kap. 23 och 27 §§ offent- lighets- och sekretesslagen. Vår bedömning: De privata lärosäten som enligt vårt förslag ska få ansvara för forskningsdatabaser kommer att omfattas av den bestämmelse om forskningssekretess som vi föreslår. Det finns ingen sekretessbestämmelse som generellt reglerar sekretesskyddet för enskilds personliga och ekonomiska förhållanden inom forskningsverksamheten. Som angetts i kapitel 5 finns det inom forskningsverksamheten vissa områden som inte är reglerade av någon primär sekretessbestämmelse. Sekretesskyddet för uppgifter i forsk- ningen har därför blivit svåröverskådligt och inte heltäckande. Förslag till reglering av forskningsdatabaser tillämpningsproblem är något som forskare gett uttryck för i samband med vår utredning. Detta har också konstaterats av Registerforsk- ningsutredningen, som lämnat förslag på forskningssekretess och sekretess för uppgifter i forskningsdatabaser.46 Statistiksekretess är enligt huvudregeln i 24 kap. 8 § OSL absolut, vilket innebär att inga uppgifter får lämnas ut. Bestämmelsen inne- håller detta till trots fyra undantag från huvudregeln. Det undantag som är mest relevant i forskningssammanhang är att uppgifter som behövs för forskningsändamål får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men (ett så kallat omvänt skaderekvisit). Här mjukas alltså den absoluta sekretessen upp. I kapitel 5 redogör vi mer utförligt om innebörden av de olika sekretessreglerna som finns . pekade på de praktiska problem som ett bristande sekretesskydd kan ge upphov till vid sekretess- prövningen hos den utlämnande myndigheten. Som ett exempel nämndes att SCB och endast lämnar ut uppgifter om det står klart att uppgifterna kommer skyddas av statistiksekretessen enligt 24 kap. 8 § OSL hos den mottagande myndigheten.47 Utred- ningen menade att en forskarsekretess var vägen fram till ett starkare sekretesskydd som inte bara omfattar ett brett tillämpningsområde, utan även stärker den enskildes personliga integritet. Av det skälet menade utredningen också att sekretessen i en forskningssekretess- bestämmelse enligt huvudregeln skulle vara absolut. Även här före- slogs dock ett undantag för utlämnande för forskningsändamål genom ett omvänt skaderekvisit.48 Det innebär att det är möjligt att lämna ut uppgifter för forskningsändamål efter en menprövning. Sekretessen är alltså inte absolut när det gäller utlämnande till forskning. De praktiska problem som tar upp i sitt betänkande har ännu inte fått någon lösning. 46SOU 2014:45, s. 395 ff. 0ch 452 ff. 47SOU 2014:45 s. 407. 48En uppgift som omfattas av en sekretessregel med ett omvänt skaderekvisit är bara offentlig om det står klart att den kan lämnas ut utan risk för skada. Tvärt emot vad som gäller vid ett rakt skaderekvisit så är sekretess alltså huvudregeln och offentlighet undantaget. Förslag till reglering av forskningsdatabaser sekretesskydd saknas fortfarande. För att upprätthålla allmänhetens förtroende för forskningen är det viktigt att regelverket tillgodoser den enskilda individens integritetsskydd. Det finns flera olika bestämmelser som innebär sekretesskydd för personuppgifter som behandlas i forskning. Regelverket är dock inte lätt att överblicka, vilket skapar oklarhet om vad som gäller. Vi föreslår därför en bestäm- melse om forskningssekretess till skydd för uppgift om enskilds personliga och ekonomiska förhållanden. Undantaget från huvudregeln om absolut sekretess i statistik- sekretessen innebär att man i stället tillämpar ett omvänt skaderekvisit vid utlämnande till forskning. Vi anser därför att samma sekre- tesskydd, det vill säga ett omvänt skaderekvisit ska gälla för forsk- ningssekretessen. Detta ligger dessutom i linje med hälso- och sjukvårdssekretessen i 25 kap. 1 § OSL som även den omfattas av ett omvänt skaderekvisit. På så vis skapas ett heltäckande sekretesskydd med samma skyddsnivå oavsett vilken verksamhet som de begärda uppgifterna kommer från. Vi föreslår således en ny bestämmelse om forskningssekretess som ska gälla hos en forskningshuvudman. Sekretessen ska omfatta upp- gifter om enskilds personliga och ekonomiska förhållanden. Denna sekretessbestämmelse gäller således för uppgifter hos en forsknings- huvudman oavsett om uppgifterna behandlas i en forskningsdatabas eller i enskilda forskningsprojekt. Uppgifter får bara lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller denna närstående lider skada eller men. Forskningssekretess hos privata forskningshuvudmän som får ansvara för forskningsdatabaser Sekretess innebär förbud att röja uppgift, vare sig det görs muntligen, skriftligen eller på något annat sätt. Som nämnts ovan omfattas i regel enskild forskningsverksamhet inte av sekretess enligt OSL annat än genom överföring och förbehåll. Vid utlämnande av uppgifter som omfattas av statistiksekretessen till en privat forskningshuvudman brukar i stället den utlämnande myndigheten upprätta ett förbehåll som inskränker den enskildes rätt att lämna uppgifterna vidare. Annorlunda blir det dock då uppgifterna samlas in till en privat forskningshuvudman direkt från den enskilde Förslag till reglering av forskningsdatabaser I dessa fall saknas ett sekretesskydd för uppgifterna hos forsk- ningshuvudmannen. Vi föreslår att det enbart är vissa privata forskningshuvudmän som ska få ansvara för forskningsdatabaser (avsnitt 8.8.2). Juridiska personer och enskilda näringsidkare som bedriver högre utbildning och som har examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § OSL ska jämställas med myndigheter ska få ha ett sådant ansvar. Genom att det enbart är forskningshuvudmän som omfattas av offentlighets- och sekretess- lagen som får vara personuppgiftsansvariga för forskningsdatabaser, kommer samtliga forskningshuvudmän som får inrätta forsknings- databaser att omfattas av bestämmelsen om forskningssekretess. I kapitel 5 har vi redovisat att bestämmelsen om överföring av sekretess i 11 kap. 3 § OSL medför att sekretessen kan överföras från den utlämnande myndigheten, om den mottagande myndigheten inte omfattas av en bestämmelse om primär sekretess. Detta innebär att en forskare vid ett statligt universitet eller högskola som inhämtar uppgifter från en statistikansvarig myndighet såsom t.ex. Social- styrelsen ska tillämpa statistiksekretessen i 24 kap. 8 § OSL. Detta beror på att det inte finns någon sådan generell forskningssekre- tess, som vi föreslår i detta kapitel. Får en myndighet i sin forskningsverksamhet från en annan myndighet en sekretessreglerad uppgift, blir sekretessbestämmelsen enligt 11 kap. 3 § OSL tillämplig på uppgiften även hos den mot- tagande myndigheten. Forskningssekretess kommer därför att kunna överföras med stöd av denna bestämmelse. Om det inte skulle finnas någon sekretessbestämmelse som skyddar uppgifterna hos den myndighet som efter sekretessprövning får ut uppgifter, så kommer forskningssekretessen att bli tillämplig även hos den mottagande myndigheten. Vårt förslag om en särskild forskningssekretess kom- mer därför att göra skyddet för uppgifter inom forskningen mer heltäckande. Förslag till reglering av forskningsdatabaser I avsnitt 5.5.3 redogör vi för meddelarfriheten och inskränkningarna därav. Vid införandet av en ny sekretessbestämmelse måste man ta ställ- ning till om den föreslagna tystnadsplikten bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Enligt förarbetena till gamla sekretesslagen (1980:100) ska återhållsamhet iakttas vid pröv- ningen av om en sekretessbestämmelse ska innehålla ett undantag från meddelarfriheten. En avvägning mellan sekretessintresset och rätten till offentlig insyn ska göras. Det angavs inga fasta kriterier på när en sådan begränsning får göras. Däremot ansåg lagstiftaren att sekretess- bestämmelsens konstruktion kan ge viss vägledning. Ett omvänt skaderekvisit anges som ett skäl att överväga undantag från meddelar- friheten. Även det fallet där en uppgift lämnas av en enskild i en förtroendesituation bör tala för att ett undantag kan vara berättigat.49 Den sekretessbestämmelse vi föreslår avser uppgifter som används för forskningsändamål. I vissa fall kommer uppgifterna lämnas till forskaren direkt av en enskild. Syftet med vårt förslag är att dels stärka skyddet för de uppgifter som förekommer i forskningsverksamheter, dels bibehålla förtroendet för forskningen. Vi anser därför att den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Enligt generalklausulen i 10 kap. 27 § OSL får en sekretessbelagd uppgift lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Viss sekretess, som det har ansetts särskilt angeläget att upprätthålla i förhållande till andra myndigheter, bl.a. statistiksekretessen enligt 24 kap. 8 § OSL och hälso- och sjukvårds- sekretessen i 25 kap. 1–8 §§ OSL har undantagits från general- klausulens tillämpningsområde. I vissa fall har det ansetts viktigt att även sådan sekretess som har undantagits från generalklausulen kan brytas, bl.a. när det är fråga om misstankar om brott. När det bl.a. gäller uppgifter inom hälso- och sjukvården hindrar sekretess för uppgift i sådan verksamhet inte att 1979/80:2 Del A s. 111. Förslag till reglering av forskningsdatabaser uppgift lämnas till en åklagarmyndighet eller en polismyndighet om uppgiften angår misstanke om vissa brott mot unga som inte fyllt (10 kap. 21 och 22 §§ OSL). Som nämnts i avsnitt 5.5.3 får enligt 10 kap. 23 § OSL en uppgift som angår misstanke om ett begånget brott och som är sekretess- belagd enligt bl.a. 24 kap. 8 § och 25 kap. 1 §, 2 § andra stycket eller 3–8 §§ samma lag lämnas till en åklagarmyndighet, polismyndighet eller annan myndighet som har till uppgift att ingripa mot brottet endast om misstanken angår brott för vilket det inte är föreskrivet lindrigare straff än fängelse , försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse , eller försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse om gärningen innefattat försök till överföring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168). När den s.k. LifeGene-lagen infördes bedömde regeringen att det skulle finnas vissa möjligheter att bryta sekretessen vid misstanke om allvarligare brottslighet. På motsvarande sätt föreslog Registerforsk- ningsutredningen en sekretessbrytande regel i 10 kap. 23 § OSL för att möjliggöra ett utlämnande av uppgifter till en polismyndighet med anledning av grovt brott. Några av remissinstanserna50 avstyrkte dock denna del av utredningens förslag. Det motiverades med att en enskild som samtyckt till att medicinska uppgifter används i forskningens intresse, kan uppfatta detta som ett allvarligt integritetsintrång. Det anfördes också att en sådan möjlighet kan skada allmänhetens förtroende, vilket i förlängningen riskerar att göra det svårare att få samtycke till angelägen forskning. instämmer i dessa remissinstansers uppfattning och anser att dessa argument talar emot en reglering liknande den som föreslog och som gäller för LifeGene-lagen. Vi föreslår därför att forskningssekre- tessen inte ska omfattas av möjligheterna till undantag som regleras i 10 kap. 23 § OSL. Av samma integritetsskäl anser vi att forskningssekretessen inte heller ska omfattas av möjligheterna till undantag från sekretess med stöd av generalklausulen i 10 kap. 27 § OSL. 50SACO, TCO och . Förslag till reglering av forskningsdatabaser 8.9.6Tystnadsplikt hos samtliga privata forskningshuvudmän Vårt förslag: Den som arbetar hos en enskild (privat) forsknings- huvudman ska inte obehörigen få röja vad han eller hon i sitt arbete har fått veta om en enskilds personliga eller ekonomiska förhållanden. När någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning ska detta inte anses utgöra obehörigt röjande. I det allmännas verksamhet ska bestämmelserna i offentlighets- och sekretesslagen tillämpas. Sekretess innebär förbud att röja uppgift, vare sig det görs muntligen, skriftligen eller på något annat sätt. Forskningsverksamhet hos en privat forskningshuvudman omfattas inte av sekretess enligt OSL annat än genom överföring och förbehåll. De privata forsknings- huvudmän som får ansvara för forskningsdatabaser kommer dock att omfattas av bestämmelserna i offentlighets- och sekretesslagen (se avsnitt 8.9.5 ovan). En utlämnande myndigheten brukar därför vid utlämnande till en privat forskningshuvudman upprätta ett förbehåll, som inskränker den enskildes rätt att lämna uppgifterna vidare. I de fall då uppgifterna samlas in till en privat forskningshuvudman direkt från den enskilde själv saknas ett sekretesskydd för uppgifterna hos forskningshuvud- mannen. Avsnitt 5.5.4 handlar om tystnadsplikt i privat verksamhet. Motsvarande förhållande mellan privata och offentliga huvudmän gäller i hälso- och sjukvården. Inom den offentligt bedrivna vården gäller hälso- och sjukvårdssekretess enligt OSL. För att uppgifter hos privata vårdgivare ska omfattas av motsvarande skydd gäller i stället tystnadsplikt enligt annan lagstiftning i den verksamheten. I privat hälso- och sjukvård gäller att den som tillhör eller har tillhört hälso- och sjukvårdspersonal inte obehörigen får röja vad han eller hon i sin verksamhet fått veta om den enskildes hälsotillstånd eller personliga förhållanden. Denna tystnadsplikt regleras i patientsäkerhetslagen (2010:659).