sou · H6B336 · 2018-06-05 00:00:00 — Bestämmelserna om begräns- ningar av användares åtkomst till personuppgifter samt om upp- följning av åtkomsten är tänkta att innebära en konkretisering av dataskyddsförordningens bestämmelser om säkerhet. Genom att användaren endast får tillgång till sådana personuppgifter som han eller hon exempelvis har behov av i sitt arbete, kan risken för otillåten behandling av personuppgifter förbyggas eller åtminstone minskas. Loggkontroller medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då person- uppgifter behandlats på ett otillåtet sätt. Dataskyddsförordningen hindrar således inte att föreskrifter med- delas på detta område och inte heller att föreskriftsrätten delegeras.57 Vårt förslag: Den som arbetar hos en forskningshuvudman ska bara få ta del av personuppgifter i en forskningsdatabas om han eller hon behöver uppgifterna för sitt arbete hos huvudmannen. Med inre sekretess avses frågan om i vilken omfattning befatt- ningshavare får ta del av uppgifter som omfattas av sekretess och i vilken mån sådana uppgifter får lämnas mellan befattningshavarna. Bestämmelser om inre sekretess reglerar hur den interna elektroniska åtkomsten till personuppgifter får användas. I kapitel 5 redogör vi för inre sekretess. I förarbetena till patientdatalagen (2008:355) menar man att inre sekretess inrymmer ett antal frågeställningar om hur integritets- känsliga personuppgifter om enskildas hälsa och andra personliga förhållanden bör hanteras inom en verksamhet för att motverka obefogade intrång i den personliga integriteten. Exempel på åtgärder som bedömdes som viktiga för att stärka den inre sekretessen var 57Jfr SOU 2017:66 s. 285 ff. och 337 samt prop. 2017/18:171 s. 136 ff. Förslag till reglering av forskningsdatabaser behörighetstilldelning och kontroll av elektronisk åtkomst, s.k. loggning.58 Det är vår bedömning att dessa tankegångar även gäller hos en forskningshuvudman. Regler om inre sekretess avser att skydda enskilda från att upp- gifter om dem sprids på ett obehörigt sätt inom ett sekretessområde. Även om uppgifterna finns tillgängliga inom en viss verksamhetsdel betyder det inte att uppgifterna får användas eller spridas obefogat inom detta område. Den som t.ex. arbetar i hälso- och sjukvården ska bara ta del av de uppgifter som han eller hon behöver för att utföra sina arbetsuppgifter. Den inre sekretessen avseende dokumenterade uppgifter är reglerad i patientdatalagen. Dessa centrala bestämmelser och principer bärs upp både av vårdgivare och yrkesutövare och säker- ställer ett grundläggande skydd för patientens integritet. Detta skydd är helt nödvändigt för allmänhetens förtroende för hälso- och sjuk- vården. Vi anser att det i forskningsdatabaslagen ska införas en mot- svarande bestämmelse om inre sekretess som ska gälla hos en forsk- ningshuvudman. Det ligger ett ansvar på forskningshuvudmannen att med hjälp av den enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen (se avsnitt 8.10.3) utveckla goda rutiner och adekvata metoder för att uppfylla de krav på säker och ändamålsenlig hantering av personuppgifter som måste ställas. Det innebär ett ansvar för att genom utbildning och på annat sätt se till att personalen känner till vad som gäller avseende hantering av personuppgifter. I detta ansvar ingår att följa upp att utarbetade rutiner och andra interna regler verkligen tillämpas av personalen i det vardagliga arbetet. Syftet med en sådan bestämmelse är att bidra till att stärka integritetsskyddet och upprätthålla förtroendet för informations- hanteringen i forskningsdatabasen samt göra det tydligt för den som arbetar med den när man får bereda sig åtkomst till uppgifterna. Vi föreslår alltså att personuppgifterna i forskningsdatabasen ska skyddas av en uttrycklig bestämmelse om inre sekretess. Den som arbetar med en forskningsdatabas ska bara få ta del av de uppgifter som denne behöver för att utföra sina arbetsuppgifter hos forsk- ningshuvudmannen. 58Regeringens proposition m.m. (prop. 2007/08:126), s. 141 ff. Förslag till reglering av forskningsdatabaser Vårt förslag: Forskningshuvudmannen ska bestämma villkoren för tilldelning av behörighet för elektronisk åtkomst till person- uppgifter i en forskningsdatabas. Behörigheten ska anpassas och begränsas till vad som behövs för att en anställd eller en upp- dragstagare ska kunna fullgöra sina arbetsuppgifter. Regler om behörighetsstyrning är enligt utredningens bedömning nödvändiga för att tillgodose enskildas behov av integritetsskydd inom forskningen. Bestämmelser om behörighetsstyrning syftar till att upp- rätthålla integritetsskyddet och allmänhetens förtroende för infor- mationshantering i forskningsdatabaser. En välutvecklad behörig- hetsstyrning kan ha positiva effekter inte bara på integritetsskyddet och på kvaliteten och effektiviteten i forskningen, utan även på infor- mationssystemens användbarhet. Vi vill tydliggöra att behörighetsstyrning inte endast handlar om åtgärder som begränsar utan även om åtgärder som anpassar infor- mationstillgången efter användarens behov. Vi anser därför att det i bestämmelsen inte bara ska uttryckas att behörigheterna ska begrän- sas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter utan också att behörigheterna ska anpassas till vad som behövs för arbetsuppgifterna. Utformningen av behörigheten för åtkomst ska inte enbart skydda den registrerades integritet utan den ska också säkerställa tillgång till de uppgifter som behövs för att förvalta och använda forskningsdatabasen på det sätt som avses i regleringen. Behörighet för åtkomst är en användares faktiska möjligheter att ta del av uppgifter exempelvis i en forskningsdatabas. Behörighets- styrningen är de organisatoriska, administrativa och tekniska åtgärder som ska vidtas för att anpassa och begränsa behörigheten efter användarens behov för att kunna utföra sitt arbete. Den som arbetar hos en forskningshuvudman ska tilldelas en individuell behörighet för åtkomst till uppgifter om enskilda. Det är inte endast användarens behörighet för åtkomst till upp- gifter som avgör vad som är tillåtet i enskilda fall. Behörigheten anger generellt, som nämnts ovan, endast vad användaren kan göra, dvs. vilka tekniska möjligheter användaren har att ta del av uppgifter. För att en användare ska få ta del av uppgifter krävs dessutom att denne Förslag till reglering av forskningsdatabaser har behov av de aktuella uppgifterna för att kunna utföra sitt arbete. Det är här bestämmelserna om inre sekretess blir tillämpliga, se ovan. Ju mer omfattande användarnas behörigheter är, desto större kan utrymmet sägas bli mellan vad användarna kan göra och vad de får göra. Det ställer stora krav på olika former av integritetsskyddande åtgärder som verkar både preventivt och reaktivt. Det handlar exem- pelvis om kontinuerlig information till användarna om vilka förvänt- ningar forskningshuvudmannen har på hur uppgifter ska användas i verksamheten, om vad som är tillåten användning och inte. Ytterligare en viktig åtgärd är självklart systematiska och fortlöpande kontroller av användarnas åtkomst till uppgifter om enskilda. Det är den enhet som ska ansvara för informationssäkerheten och integritetsskyddet (se 8.10.3) som ska ansvara för arbetet med behörighetsstyrningen till personuppgifterna i forskningsdatabasen. Vi föreslår att forskningshuvudmannen ska bestämma villkoren för tilldelning av behörighet för elektronisk åtkomst till personupp- gifter i en forskningsdatabas. Behörigheten ska anpassas och begrän- sas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter. Detta utgör en viktig beståndsdel de tekniska och organisatoriska åtgärder som krävs för att skydda personuppgifterna i forskningsdatabasen. Kontroll av elektronisk åtkomst Vårt förslag: Forskningshuvudmannen ska se till att elektronisk åtkomst till personuppgifter i en forskningsdatabas dokumenteras och kan kontrolleras. Forskningshuvudmannen ska göra systematiska och återkom- mande kontroller av om någon obehörigen kommer åt person- uppgifter i en forskningsdatabas. En förutsättning för att överhuvudtaget kunna kontrollera om någon obehörig har tagit del av uppgifter om enskilda i en forskningsdatabas är att den åtkomst som förekommer till uppgifter dokumenteras, dvs. Loggen bildar den behandlingshistorik som behövs för att kunna ta ställning till om en otillåten åtkomst har ägt rum. Av behandlings- historiken måste det därför gå att utläsa den information som behövs Förslag till reglering av forskningsdatabaser för att historiken ska kunna ligga till grund för den systematiska och återkommande kontrollen av obehörig åtkomst. Bestämmelsen som vi föreslår innebär att forskningshuvudmannen ska genomföra systematiska och återkommande kontroller av om någon obehörigen kommit åt uppgifter om enskilda. Det räcker därmed inte att göra kontroller vid särskilda fall när obehörig åtkomst misstänkts, utan kontrollerna ska göras systematiskt och återkom- mande. Det är den enhet som ska säkerställa informationssäkerheten och integritetsskyddet (se avsnitt 8.10.3) i forskningsdatabasen som ska utföra arbetet med att dokumentera och kontrollera åtkomsten till personuppgifterna i forskningsdatabasen. Vi föreslår att forskningshuvudmannen ska dokumentera och kon- trollera åtkomsten till personuppgifter. Detta arbete utgör en viktig beståndsdel i de tekniska och organisatoriska åtgärder som krävs för att skydda personuppgifterna i forskningsdatabasen. 8.10.6Intern uppföljning (revidering) Vårt förslag: Forskningshuvudmannen ska regelbundet ta ställ- ning till om behandlingen av personuppgifter i en viss forsknings- databas ska fortsätta. Forskningshuvudmannen är personuppgiftsansvarig för behandlingen av personuppgifterna i forskningsdatabasen. Detta ansvar innebär att behandlingen i varje stund måste vara laglig. Det finns därför anled- ning för den ansvarige att regelbundet bilda sig en uppfattning om hur forskningsdatabasen fungerar. Kan den användas på det sätt som planerades när beslutet om att inrätta en forskningsdatabas fattades? Är forskningsdatabasen ändamålsenlig? Kommer den att användas fortsättningsvis? Om forskningshuvudmannen får indikationer på att forsknings- databasen inte fungerar ändamålsenligt finns anledning att överväga om behandlingen av personuppgifter ska fortsätta. Finner forsknings- huvudmannen att det inte finns någon sådan anledning måste forsk- ningsdatabasen avvecklas. Se vidare avsnitt 8.12 om avvecklingen av en forskningsdatabas. Förslag till reglering av forskningsdatabaser En långsiktigt bevarad forskningsdatabas kan visa sig kunna utgöra ett värdefullt underlag för annan forskning än den som var avsedd vid databasens tillkomst. Det kan, som anges i dataskyddsförordningens skäl 33, vara svårt att i detalj avgöra vilka frågeställningar inom forskningen som kan komma att få användning av databasen inom från början dess definierade gränser. Det kan även förekomma att det grundläggande ändamålet kan komma att behöva förändras i grunden. Ett gammalt forskningsområde kan ha fått minskad betydelse, exempelvis i samband med att det samhälls- problem som varit föremål för forskning försvunnit (t.ex. en smittsam sjukdom) eller ändrat karaktär. Forskningshuvudmannen bör därför löpande utvärdera formuleringen av ändamålet och vid behov ta ett beslut om förändrad inriktning. I samband med ett sådant ställnings- tagande måste forskningshuvudmannen bedöma om en sådan för- ändring är förenlig med grundläggande bestämmelser om dataskydd. Vi föreslår att forskningshuvudmannen regelbundet ska ta ställ- ning till om behandlingen av personuppgifter i en viss forsknings- databas ska fortsätta. 8.10.7Extern uppföljning och utvärdering Vårt förslag: ska regelbundet följa upp och ut- värdera verksamheten i en forskningsdatabas. ska i sin utvärdering granska forskningsdatabasen avseende säkerhet och ändamålsenlighet. ska redovisa resultatet av sin utvärdering till regeringen. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om på vilket sätt och hur ofta Vetenskaps- rådets uppföljning och utvärdering ska utföras. Vårt förslag till en reglering av forskningsdatabaser syftar till att göra det såväl lagligt som säkert att behandla personuppgifter i forsknings- databaser. Eftersom behandling av personuppgifter i en forsknings- databas kan innebära integritetsrisker för enskilda, måste verksam- heten omgärdas av ändamålsenliga skyddsåtgärder och regler om organisation och ansvarstagande. Behandlingen av personuppgifter i Förslag till reglering av forskningsdatabaser forskningsdatabaser kommer att vara föremål för tillsyn av Data- inspektionen. Det är nödvändigt att det finns en kontroll över forsk- ningsdatabasen så att denna personuppgiftsbehandling bedrivs med hög säkerhet och på ett rättsenligt sätt. Vi anser dock att det, utöver den insyn och kunskap som kan utvinnas genom tillsyn av verksam- heten i forskningsdatabasen, även behövs en annan typ av myndig- hetskontroll. Såväl regeringen som och tillsynsmyndigheten har behov av kunskap för att kunna följa utvecklingen när det gäller inrättande av forskningsdatabaser med stöd av den lagstiftning som utredningen föreslår. Sådan kunskap behövs för att på olika sätt kunna påverka utvecklingen i önskvärd riktning. Kunskapen är exempelvis värdefull när det gäller att bedöma effekterna av den nya lagstiftningen och kunna ställning till behov av förändringar i regleringen. Den utvärdering som vi föreslår att ska göra utgör således inte tillsyn. Däremot kan utvärderingen utgöra viktig information för tillsynsmyndigheten. Detta uppdrag stämmer också väl överens med det uppdrag som redan har inom forskningens område. Myndigheten ska enligt sin instruktion bl.a. utvärdera forskning och bedöma forsk- ningen och dess vetenskapliga kvalitet och betydelse och genomföra forskningspolitiska analyser samt ge regeringen råd i forsknings- politiska frågor. En betydelsefull del av myndighetens uppgifter handlar om att stödja utvecklingen av forskningsinfrastrukturer. I detta ingår att förbättra tillgängligheten till och underlätta använd- ningen av registeruppgifter för forskningsändamål och bistå forskare med information om relevanta bestämmelser om register. Vi föreslår därför att också ska få i uppdrag att regelbundet följa upp och utvärdera verksamheten i forsknings- databaser och redovisa resultatet till regeringen. Varje forsknings- databas ska vara godkänd vid etikprövning. Information om vilka forskningsdatabaser som finns kommer därför att kunna inhämtas från . Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om på vilket sätt och hur ofta uppföljning och utvärdering ska utföras. Sådana föreskrifter kan t.ex. reglera hur omfattande och frekvent sådana utvärderingar ska göras. Förslag till reglering av forskningsdatabaser 8.11Användningen av en forskningsdatabas 8.11.1Behov av reglering i detta steg av livscykeln En forskningshuvudman skapar en forskningsdatabas för att uppgifts- samlingen ska komma till användning i forskningen. Därför kommer de frågor som hör ihop med detta steg i livscykeln främst att handla om villkoren och sättet för utlämning av uppgifter från forsknings- databasen. Bestämmelserna om sekretess hör därför till detta steg, men dessa förslag behandlar vi dock i steg 2. Dessa frågor aktualiseras redan i samband med insamlingen av uppgifter till databasen. Formerna för åtkomst till uppgifterna i databasen hör också till detta steg. Andra skyddsåtgärder som aktualiseras i detta steg är kravet på etikprövning av det forskningsprojekt som vill använda uppgifter i forskningsdatabasen. Uppgiften för att initiera och stödja arbetet med utarbetandet av uppförandekoder (avsnitt 8.11.7) utgör också exem- pel på en typ av skyddsåtgärd som kommer att göra det lättare för forskningshuvudmännen att göra rätt. 8.11.2Villkor för utlämnande av personuppgifter från en forskningsdatabas Vårt förslag: Personuppgifter i en forskningsdatabas ska få lämnas ut till ett forskningsprojekt under förutsättning att 1.tystnadsplikt enligt offentlighets- och sekretesslagen eller denna lag inte hindrar det, och 2.forskningsprojektet har godkänts enligt etikprövningslagen. Etikprövningslagen ska utvidgas så att kravet på etikprövning ska gälla alla forskningsprojekt som använder sig av personuppgifter som samlas in från forskningsdatabaser. Personuppgifter som behandlas för att lämnas ut till forskning, får också lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Förslag till reglering av forskningsdatabaser Utöver de integritetsrisker som behandling av personuppgifter som insamlingen till och bevarandet av uppgifterna i forskningsdatabasen innebär tillkommer ytterligare riskfaktorer i samband med ut- lämnandet av uppgifter från forskningsdatabasen. Syftet med forsk- ningsdatabasen är att använda uppgifterna för forskningsändamål. Forskningsdatabasen måste kunna fungera ändamålsenligt som den enskildes integritet skyddas. Det är därför nödvändigt att omgärda själva utlämnandet av uppgifterna med en tydlig reglering som innefattar ytterligare skyddsåtgärder. När en forskningshuvudman får en förfrågan om utlämnande av personuppgifter från en forskningsdatabas ska en prövning göras om uppgifterna får lämnas ut med hänsyn till reglerna om tystnadsplikt. Uppgifter ska kunna lämnas ut från forskningsdatabasen såväl till forskningsprojekt där en myndighet är forskningshuvudman som till forskningsprojekt som bedrivs av privata forskningshuvudmän. Det är inte vilken typ av huvudman som ansvarar för projektet som ska ha betydelse för frågan om uppgifterna får lämnas ut, utan om de grundläggande villkoren är uppfyllda. Utöver att det krävs att uppgifterna får lämnas ut med hänsyn till tystnadsplikten ska också krävas att forskningsprojektet har godkänts vid etikprövning. Detta krav ska gälla oavsett om forskningsprojektet avser att behandla känsliga personuppgifter eller uppgifter om lag- överträdelser eller inte. För forskningsprojekt som inte kommer att använda sig av uppgifter från forskningsdatabaser kommer de regler fortsätta att gälla som gäller , det vill säga att endast forsknings- projekt som ska använda känsliga personuppgifter eller uppgifter om lagöverträdelser behöver ha ett etikgodkännande. Vi bedömer dock att det är ändamålsenligt att kräva en extra skyddsåtgärd avseende forskning som använder sig av personuppgifter från en forsknings- databas. Behandling av personuppgifter i en forskningsdatabas och ut- lämnande av uppgifter från den innefattar risker för den personliga integriteten som måste beaktas. För att sådan behandling ska vara godtagbar anser vi att det måste ställas sådana krav på säkerhet vid hanteringen att risker för felaktig hantering av uppgifterna minimeras. Vi anser därför att den behandling av personuppgifter som är syftet med en forskningsdatabas – att samla in och sedan lämna ut uppgifter för forskningsändamål – måste omfattas av etikprövning i två steg. Såväl själva forskningsdatabasen, som de forskningsprojekt som ska Förslag till reglering av forskningsdatabaser använda sig av den måste vara etikprövade. Vi förslår därför att detta ska regleras som villkor i lagen om forskningsdatabaser, men det måste också leda till en utvidgning av den prövning som regleras i etikprövningslagen. Vi förslår därför även ändringar av etikprövnings- lagens tillämpningsområde. Lagen ska tillämpas på forskning som innefattar behandling av personuppgifter i en forskningsdatabas och även på forskning som innefattar behandling av uppgifter som samlas in från en forskningsdatabas. Etikprövning av forskning som avser behandling av personupp- gifter som begärs ut från en forskningsdatabas ska göras på mot- svarande sätt som etikprövning av andra forskningsprojekt. Den enda skillnaden är att etikprövningen ska göras av alla sådana forsknings- projekt oavsett vilken typ av personuppgifter som begärs ut från forskningsdatabasen. En sådan forskning ska således etikprövas även om forskningen inte omfattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser. I 7–11 §§ nu gällande etikprövningslagen anges de allmänna utgångspunkter som ska kontrolleras vid etikprövningen. Det är dessa villkor som ska prövas även för forskningsprojekt som använder uppgifter som begärs ut från forskningsdatabaser. Vi bedömer att det är en lämplig skyddsåtgärd att all person- uppgiftsbehandling som hör ihop med forskningsdatabaser ska omfattas av etikprövning. Därför föreslår vi att sådan forskning som ska baseras på uppgifter som begärs ut från en forskningsdatabas alltid ska etikprövas. Det huvudsakliga syftet med en forskningsdatabas ska alltså vara att göra det möjligt att bygga upp databaser som kan utgöra underlag för forskningsprojekt och att lämna ut uppgifter till sådana projekt. För att möjliggöra granskning av sådana projekt som använder personuppgifter från en forskningsdatabas krävs också att utlämnande får göras även till ett universitet eller en högskola som genomför en utredning om misstanke om oredlighet i forskning. Vi anser också att lämnande av uppgifter till vara möjlig så att yttrande enligt 1 kap. 16 § högskoleförordningen (1993:100) i samband med en sådan utredning kan lämnas.59 59Enligt lagen (2018:147) om ändring i lagen (2003:460) om etikprövning av forskning som avser människor kommer den att ersättas av för etikprövning. Enligt vad utredningen kunnat inhämta finns ännu inga beslutade ändringar av högskoleförordningen och förordningen. (2007:1068) med instruktion för Förslag till reglering av forskningsdatabaser Vi föreslår således att personuppgifter i en forskningsdatabas ska få användas för att lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Enligt de regler som finns om god forskningssed60 ska forskningen kunna kontrolleras, vilket ställer krav på att andra forskare ska kunna få tillgång till uppgifterna. Forskningresultaten ska alltså kunna verifieras genom att det är möjligt att i detalj kontrollera beräkningar och analyser. Utöver detta ska ny forskning kunna verifiera resultat genom oberoende analyser med användning av samma metoder som den ursprungliga forskningen använde. Tillräcklig vetenskaplig evidens för att överföra forskningsresultat till praktisk tillämpning anses inte föreligga förrän en sådan verifierings- och replikerings- process har genomförts. För att detta ska vara möjligt krävs ofta till- gång till de ursprungliga uppgifterna. Om forskningen ska kontrolle- ras genom sådan annan forskning, ska i stället de grundläggande bestämmelserna om utlämnande till forskningsprojekt tillämpas. 8.11.3Pseudonymisering och annat likvärdigt skydd Vårt förslag: Personuppgifter som lämnas ut från en forsknings- databas ska vara pseudonymiserade eller skyddade på likvärdigt sätt. Personuppgifter får dock vara direkt identifierbara vid ut- lämnandet, om det är nödvändigt för att uppfylla ändamålet med den forskning uppgifterna ska lämnas ut till. Vi föreslår att uppgifterna som samlas in till och behandlas i en forsk- ningsdatabas ska få vara direkt identifierbara om det är nödvändigt för att uppfylla ändamålet med uppgiftssamlingen (avsnitt 8.9.2). Där- emot anser vi att de uppgifter som lämnas ut från forskningsdatabasen för att användas i forskningen som regel inte ska få vara direkt Sådana förslag till ändringar finns i departements- promemorian En ny organisation för etikprövning av forskning, Ds 2016:46. 60Vetenskapsrådet har uppdaterat sin publikation God forskningssed, som finns att hämta på myndighetens webbplats Förslag till reglering av forskningsdatabaser identifierbara utan ska vara pseudonymiserade eller skyddade på lik- värdigt sätt.