sou · H6B336 · 2018-06-05 00:00:00 — 12.4Finns det ett behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning? 12.4.1Hur omfattande skydd behövs för uppgifter om avlidna? Vårt uppdrag i denna del är att ta ställning till om det finns ett behov av att stärka skyddet för uppgifter om avlidna inom forensisk forsk- ning. Som utgångspunkt för en sådan behovsbedömning kan man beakta att den svenska lagstiftaren avstått från den möjlighet som funnits redan i EU:s tidigare dataskyddsdirektiv, nämligen att likställa uppgifter om avlidna med uppgifter om nu levande personer. Detta på grund av att man ansett att regleringen reserveras för de fall där behovet av skydd är mest uttalat, nämligen när det gäller den som är levande och som själv kan ha ett eget anspråk på personlig integritet. har lagstiftaren på vissa särskilda områden likställt behandling av uppgifter om avlidna med uppgifter om nu levande personer (se avsnitt 12.3.4). Vad gäller skyddet för avlidnas kroppsliga integritet och friden över deras minne finns inte minst i tydliga indikationer på att dessa intressen är skyddsvärda. Vad gäller uppgiftshantering i allmänhet är den omständigheten att skyddet för den enskilde i offentlighets- och sekretesslagen principiellt är tillämp- ligt även för avlidna personer av stor betydelse, inte minst för den registerbaserade forskningen. Det finns alltså redan exempel på att lagstiftaren ansett uppgifter om avlidna som något som är skyddsvärt 30Utredningen om dataskydd vid slutbetänkande Stärkt integritet i verksamhet (SOU 2017:80), s. 129 ff. Skydd för uppgifter om avlidna i forskning i sig själv, oberoende av om dessa skulle utgöra indirekta uppgifter om nu levande personer. Man kan sammanfatta den inställning som framträder i svensk lagstiftning med att uppgifter om avlidna är skyddsvärda, men inte på samma sätt som för nu levande personer. Det egentliga skydds- objektet är inte sällan de efterlevandes känslor, vilket bl.a. kommer till uttryck i rekvisiten för brottet förtal av avliden, som även offentlig- hets- och sekretesslagens skydd för avlidna tolkas utifrån. 12.4.2Skyddet som avlidna som en indirekt effekt av skyddet för efterlevande Eftersom det inte kan uteslutas att uppgifter om avlidna i praktiken utgör indirekta uppgifter om nu levande personer innebär data- skyddslagstiftningen att avlidnas uppgifter har ett visst skydd som en följd av detta. Detta gäller inte minst känsliga uppgifter om hälsa och etnisk tillhörighet. I de fall sådana uppgifter även utgör känsliga uppgifter om nu levande personer utgör kravet på etikprövning när uppgifterna behandlas för forskningsändamål en stark skyddsåtgärd. 12.4.3En tredelad modell för skydd för uppgifter om avlidna Utifrån ovanstående resonemang om hur skyddet för uppgifter om avlidna ser ut i svensk rätt, tillsammans med hur skyddet för person- uppgifter om efterlevande i vissa fall kan skydda även uppgifter om avlidna, kan man bedöma behovet av skydd huvudsakligen i tre olika fall. Det fall där uppgifter om avlidna har starkast skydd är när det är fråga om känsliga uppgifter som utgör känsliga indirekta personuppgifter om nu levande personer. Genom kravet på etik- prövning när dessa uppgifter behandlas för forskningsändamål uppnås ett starkt skydd även för uppgifter om avlidna. Ett fall med något svagare skydd är när uppgifter om avlidna utgör indirekta, men inte känsliga, personuppgifter om nu levande personer. Vid forskning på sådana uppgifter finns inte ett krav på etikprövning, men som för all personuppgiftsbehandling krävs fortfarande att det finns en tillämplig rättslig grund och att de grund- läggande principerna för personuppgiftsbehandling är uppfyllda. Skydd för uppgifter om avlidna i forskning Det sista fallet är när uppgifter om avlidna inte på något sätt utgör indirekta uppgifter om nu levande personer. I detta fall finns inte något skydd i dataskyddsförordningen eller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. I många registerförfattningar finns dock ett särskilt skydd för upp- gifter om avlidna oberoende av om dessa skulle utgöra sådana indirekta uppgifter. Särskilt offentlighets- och sekretesslag- stiftningens tillämplighet på uppgifter om avlidna kan utgöra ett betydelsefullt skydd mot att uppgifter om avlidna används i forsk- ningssammanhang på ett sätt som kränker den avlidne. 12.4.4Behov av tydligare tillämpningsområde för kravet på etikprövning Vår bedömning: Regleringen av i vilka fall ett forskningsprojekt som behandlar uppgifter om avlidna behöver etikprövas är till- räckligt tydlig i gällande rätt. I RMV:s rapport nytt författningsstöd för behandling av personuppgifter, m.m. anförs att ett skäl för en tydligare reglering på området är att vissa regionala etikprövningsnämnder anser att etikprövningslagen är tillämplig på forskning som avser uppgifter om avlidna, medan andra inte gör det. Vi gör i detta sammanhang den bedömningen att etikprövnings- lagstiftningen är tillräckligt tydlig i det att den uttryckligen anknyter till personuppgiftslagens definitioner av vilka personuppgifter som medför krav på etikprövning. Det ankommer på det enskilda forsk- ningsprojektet att tydligt klargöra vilka uppgifter som ska behandlas i forskningen så att en bedömning kan göras om forskningen faller inom etikprövningens tillämpningsområde. I detta ingår att bedöma om de uppgifter som behandlas kan utgöra indirekta känsliga person- uppgifter eller uppgifter om lagöverträdelser om nu levande personer. I sammanhanget bör dock påpekas att etikprövningslagen även är tillämplig på vissa studier som inte innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser. Särskilt 4 § 4 och 5 p anger att lagen är tillämplig när forskningen innebär ett fysiskt ingrepp på en avliden människa, eller när den avser studier på Skydd för uppgifter om avlidna i forskning biologiskt material som har tagits för medicinskt ändamål från en avliden människa och kan härledas till denna människa.31 12.4.5Det saknas behov av ett utökad skydd för uppgifter om avlidna i forskning Vår bedömning: Det finns inte ett tillräckligt behov av en ändring av etikprövningslagen för att utöka dess tillämpningsområde till att omfatta uppgifter om avlidna människor. Det saknas av samma anledning behov att utnyttja dataskyddsförordningens möjlighet att i nationell rätt föreskriva att den ska vara tillämplig på uppgifter om avlidna när dessa behandlas i forskningssyfte. Som vi har beskrivit ovan finns flera olika skyddsmekanismer som samverkar för att skydda uppgifter om avlidna. Den avlidnes kropps- liga integritet är väl skyddad genom befintliga regler (avsnitt 12.3.2) och så är även dennes eftermäle (avsnitt 12.3.3). Vad gäller uppgifter om identifierade men avlidna personer gör vi generellt samma bedöm- ning som gjordes vid personuppgiftslagens införande att dessa inte tillhör de fall där behovet av skydd för den personliga integriteten är mest uttalat.32 Vad gäller behandlingen av sådana uppgifter i forsk- ningssammanhang beaktar vi särskilt att patientdatalagen samt offent- lighets- och sekretesslagen båda inkluderar avlidna i sina skydds- objekt, varför risken för kränkning av den avlidnes personliga integritet i praktiken minskar jämfört med om så inte var fallet. När man önskar ett skydd för avlidnas integritet är det i praktiken ofta de efterlevande som är skyddsvärda. I de fall när uppgifter sam- tidigt utgör indirekta uppgifter om efterlevande får dessa efterlevande enligt dataskyddsförordningen i praktiken ett integritetsskydd direkt genom dataskyddsförordningen. När det är fråga om forskning som behandlar uppgifter som utgör indirekta, men känsliga, person- uppgifter om nu levande personer har utredningen tidigare föreslagit att dagens system med krav på etikprövning behålls.33 31Ett exempel på det senare utgör etikprövningsnämnden i beslut i ärende 2011/296. 32Datalagskommitténs betänkande Integritet – Offentlighet – Informationsteknik (SOU 1997:39), s. 340. 33SOU 2017:50 s. 200. Skydd för uppgifter om avlidna i forskning Utredningen föreslår inte att det införs något ytterligare skydd för uppgifter om avlidna. Vi gör bedömningen att befintlig lagstiftning tillsammans med utredningens förslag om generell forskningssekre- tess (se avsnitt 8.9.5) utgör ett tillräckligt skydd för det skydds- intresse som utgörs av uppgifter om avlidna. Vid denna bedömning har vi även beaktat att skyddet för efterlevande indirekt skyddar även den avlidne. I detta kapitel redovisar vi konsekvenserna av utredningens förslag i enlighet med 14–15 a §§ kommittéförordningen (1998:1474) och 6– 7 §§ förordningen (2007:1244) om konsekvensutredning vid regel- givning. Enligt direktiven ska utredningen utöver detta även redo- visa förslagens konsekvenser för den personliga integriteten. Av betänkandets disposition framgår att vi strukturerat utred- ningens arbete utifrån vårt huvuduppdrag (avsnitt 13.2) och ett antal särskilda uppdrag (avsnitt 13.3–13.6). 13.2Långsiktig reglering av forskningsdatabaser Utredningen föreslår i denna del att behandlingen av personuppgifter i en forskningsdatabas ska regleras i en särskild lag, lagen om forsk- ningsdatabaser (forskningsdatabaslagen). Lagen reglerar bland annat vilka forskningshuvudmän som ska få ansvara för forskningsdatabaser och vilka skyddsåtgärder som krävs för att en forskningsdatabas ska vara rättsenlig. Vårt förslag presenteras mer detaljerat i kapitel 8. Det problem som utredningens förslag ska lösa har beskrivits översiktligt i såväl utredningsdirektiven1 som den tidigare Register- forskningsutredningens betänkande. Vi har redovisat problembe- skrivningen mer utförligt i kapitel 4. Problemet som utredningen har att adressera kan kort beskrivas som att värdefulla möjligheter till 1Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65), s. 13 ff. forskning inte kan tas till vara såvida inte särskilda forskningsdata- baser byggs upp. Exempelvis kan värden som skapas i form av insam- lade och bearbetade forskningsdata i ett projekt inte återanvändas på ett effektivt sätt av andra projekt. Till bilden hör att den personupp- giftsbehandling som ändå visat sig förekomma i forskningsdatabas- liknande former utförs i en rättslig gråzon utan ordentlig kontroll på skyddsåtgärder. Det övergripande målet med vårt förslag till reglering är att möj- liggöra behandling av personuppgifter i en forskningsdatabas. Syftet är också att säkerställa att de registrerades personliga integritet skyddas vid sådan behandling. För behandling av personuppgifter i en forskningsdatabas ska krävas ett godkännande av Etikprövnings- myndigheten. På så sätt omgärdas forskningsdatabasen av samma skydd som forskningen i övrigt. Det finns flera tänkbara alternativ till vårt förslag. Ett s.k. nollalter- nativ skulle vara att inte införa någon ny generell reglering, utan endast, inom ramen för vad dataskyddsförordningen tillåter, införa specifika registerförfattningar för enskilda forskningsdatabaser, samt i övrigt låta skapandet av uppgiftssamlingar för forsknings- ändamål göras inom ramen för avgränsade etikprövade forsknings- projekt. En sådan reglering skulle dock inte lösa det ovan beskrivna huvudproblemet på ett tillfredsställande sätt eftersom den inte skulle underlätta återanvändning av forskningsdata från tidigare eller på- gående projekt. En sådan lösning skulle inte heller underlätta rätts- tillämpningen för den forskningsdatabasliknande personuppgifts- behandling som utförs i en rättslig gråzon. föreslog en reglering med en sär- skild ramlag med generella regler för forskningsdatabaser, som för varje databas skulle kompletteras med en registerförfattning på för- ordningsnivå. Registerförfattningen skulle reglera specifika frågor om den enskilda databasen, till exempel ändamål och innehåll (se vidare avsnitt 6.3). Avvägningen mellan forskningens behov och de registre- rades fri- och rättigheter med avseende på deras personuppgifter skulle göras i dessa registerförfattningar, beslutade av regeringen utifrån förslag på vilka forskningsdatabaser som skulle finnas. Vi har utifrån det som framgår av remissinstansernas synpunkter på förslag (se avsnitt 6.4) och vad som i övrigt framkommit om forskningens behov (kap. 4) kommit fram till en delvis annan konstruktion på regleringen. Initiativet till att skapa forskningsdatabaser bör enligt vår mening komma från forskningsinstitutionerna. Det är där som behovet kan identifieras och formuleras. Forskningshuvudmännen måste ta ansvaret för att behandlingen är laglig, bl.a. genom att de grundläggande dataskydds- principerna efterlevs. Därutöver måste regleringen omgärdas av flera skyddsåtgärder. En central skyddsåtgärd ska vara etikgodkännande av själva databasen innan personuppgiftsbehandling i den kan inledas. 13.2.3Vem berörs av förslagen Det finns sju huvudsakliga kategorier av fysiska och juridiska perso- ner som berörs av förslagen. 1.De forskningshuvudmän som kan bli huvudmän för en forsk- ningsdatabas. Det är såväl de statliga högskolorna och univer- siteten som omfattas av högskolelagen, som de privata lärosäten som omfattas av offentlighetsprincipen samt har examensrätt som ska få behandla personuppgifter i forskningsdatabaser. Även andra myndigheter än sådana som bedriver undervisning ska få ansvara för forskningsdatabaser, om forskning ingår i deras upp- drag. 2.Övriga forskningshuvudmän, framför allt de privata forsknings- utförare som inte är lärosäten med examensrätt och som omfattas av offentlighetsprincipen. Dessa berörs så till vida att de enligt förslaget inte kan bli huvudmän för en forskningsdatabas. 3.Alla forskare som har behov av uppgifter från en eller flera forsk- ningsdatabaser i sin forskning. 4.Forskningspersoner, dvs. de registrerade fysiska personer vars personuppgifter behandlas i en forskningsdatabas. 5.Etikprövningsmyndigheten, som får utökat uppdrag att även pröva ansökningar om etikgodkännande av forskningsdatabaser. 6.Vetenskapsrådet, som får nya uppdrag att regelbundet följa upp och utvärdera verksamheten vid forskningsdatabaser samt initiera och stödja forskningshuvudmännen i utarbetandet av ge- mensamma uppförandekoder. 7.Myndigheter som för register över sådana uppgifter som kan vara aktuella för forskning, som har att pröva utlämnande av uppgifter till forskningsdatabaser. Den föreslagna regleringen bygger på EU:s dataskyddsförordning. Vi bedömer att behandling av personuppgifter i en forskningsdata- bas genom den reglering vi föreslår är förenlig med dataskydds- förordningen givet att den enskilda databasen har ett avgränsat ändamål. Behandling av känsliga personuppgifter eller uppgifter om lag- överträdelser omfattas av ytterligare krav enligt dataskyddsförord- ningen. Vi bedömer att sådan behandling i en forskningsdatabas kan vara förenlig med dataskyddsförordningen med stöd av de skydds- åtgärder, inklusive etikprövning av själva forskningsdatabasen, som vi föreslår. Vi föreslår att forskningsdatabaslagen samt övriga lagändringar ska träda i kraft . Många forskningshuvudmän som skulle kunna vara huvudmän för forskningsdatabaser kommer då få tid för att utreda och förbereda etikansökan inför detta datum. Eftersom ett etikgodkännande är en förutsättning för att behandla person- uppgifter i en forskningsdatabas enligt vår föreslagna forsknings- databaslag medför detta att det inte kommer vara möjligt att ha en rättslig grund för personuppgiftsbehandling i en forskningsdatabas vid forskningsdatabaslagens ikraftträdande. Först efter att forskningshuvudmannen sökt och fått ett etikgodkännande för forskningsdatabasen kan en sådan databas drivas med stöd av forsk- ningsdatabaslagen. Vi föreslår att lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska upphävas genom att forskningsdatabaslagen träder i kraft. Forskningsdata- baser som förs med stöd av den lagen kan föras med stöd av forskningsdatabaslagen samt ett etikgodkännande. Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa är tidsbegränsad till . Dess giltighetstid förlängdes senast , i avvaktan på att forskningsdatautredningen skulle redovisa sitt betänkande. Med hänvisning till att lagstiftningsarbete kan ta förlängdes lagen med viss marginal.2 när utredningens förslag presenteras finns behov av en så omfattande marginal. För att den pågående verksamheten ska kunna fortgå föreslår vi istället att lagen ska få fortsätta att tillämpas fram till den 31 decem- ber 2019. Detta medför att pågående forskningsdatabaser kommer ha rättsligt stöd reglerat i lagen från det att forsk- ningsdatabaslagen och ändringarna i etikprövningslagen träder i kraft, vilket ger en möjlighet för denna verksamhet att ansöka om och få ett etikgodkännande . I 14 § kommittéförordningen anges att om förslagen i ett betän- kande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär sam- hällsekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommu- ner och landsting ska kommittén föreslå en finansiering. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet, enligt 15 a § kommittéförordningen. 2Regeringens proposition Fortsatt giltighet av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa (prop. 2016/17:204), s. 13. En grundläggande skyddsåtgärd som vi föreslår är att en forsknings- databas måste godkännas enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Dessutom föreslår vi att all forskning som ska använda uppgifter i en forsk- ningsdatabas ska vara etikgodkänd. Detta kan förväntas öka antalet ärenden. är det etikpröv- ningsnämnderna som gör prövningen, men ska ärendena handläggas av . Exakt i vilken omfattning antalet ärenden kommer att öka är svårt att bedöma. Med ledning av redovisade behov av forskningsdatabaser (kapitel 4) och av att redan befintliga forskningsdatabaser omfattas av förslaget, gör vi ett antagande att tillströmningen av ärenden inledningsvis kommer att vara stort. Vi bedömer att antalet ansökningar därefter kommer att gå ner till ett mindre antal nya ärenden . Vi gör uppskattningen att den initiala mängden ärenden som kommer att inkomma kommer vara i storleksordningen hundra ärenden, och att normalnivån därefter kommer vara cirka tio ärenden . Vi har i avsnitt 8.8.5 föreslagit en ny avgift för denna typ av etik- prövningsärende med målsättning att avgiften ska kunna täcka Etik- prövningsmyndighetens kostnader för prövningen. Förslaget skulle på så sätt bli kostnadsneutralt för i denna del. Vad gäller etikgodkännande för forskning som ska använda upp- gifter från en forskningsdatabas kan vi inledningsvis konstatera att sådan forskning i många fall kräver etikgodkännande. Endast i de fall där forskningen inte ska omfatta behandling av vare sig känsliga personuppgifter eller uppgifter om lagöverträdelser med- för detta en ny tillströmning av etikprövningsärenden. Dessa fall tor- de vara relativt sällsynta. Vår bedömning är att denna del av förslaget endast kommer öka mängden ärenden marginellt. Den beslutade lagändringen (SFS 2018:147) om ny organisation för etikprövningen3 som träder i kraft påverkar inte ovanstående bedömningar. 3Regeringens proposition En ny organisation för etikprövning av forskning som avser människor (prop. 2017/18:45). ges i uppdrag att regelbundet följa upp och utvär- dera verksamheten vid forskningsdatabaser samt initiera och stödja forskningshuvudmännen i utarbetandet av gemensamma upp- förandekoder. Vad gäller såväl antal utvärderingar som kommer att behöva göras, som vilken arbetsinsats som krävs för en enskild utvärdering är detta svårt att förutsäga innan verksamheten inleds. En försiktig bedöm- ning är att detta arbete kan kräva mellan en och tre årsarbetskrafter, motsvarande mellan en och . Vad gäller arbetet med att initiera och stödja utarbetandet av gemensamma uppförandekoder är detta arbete tidsbegränsat och av mindre omfattning, då en stor del av arbetet med att ta fram sådana uppförandekoder faller på forskningshuvudmännen. Vi uppskattar kostnaderna för i denna del till cirka en halv års- arbetskraft , vilket motsvarar ungefär 1 miljon kro- nor totalt. Ekonomiska konsekvenser för huvudmän för forskningsdatabaser De tänkbara ekonomiska konsekvenserna av att inrätta forsknings- databaser med stöd vårt förslag skulle kunna delas in i tre kategorier: 1.Ansökningsavgift samt övriga kostnader föranledda av etikpröv- ningsförfarandet. 2.Kostnader för övriga tekniska och organisatoriska skyddsåtgär- der som följer av vårt förslag. 3.Övriga kostnader för förvaltning av databasen. Kostnader för skyddsåtgärder och förvaltning (kategori 2 och 3) av en forskningsdatabas har forskningshuvudmännen för de befintliga forskningsdatabaserna. Vad gäller kategori 1 föreslår vi en ansökningsavgift på 15 000 kro- nor. Utformningen av en ansökan om etikprövning kommer även att kräva arbete med att ta fram underlag. Denna arbetskostnad är dock relativt liten i jämförelse med den faktiska förvaltningen av forskningsdatabasen, och kan även ses som en del av kostnaderna för förvaltningen. Vad gäller kategori 2 föreslår vi som tekniska och organisatoriska skyddsåtgärder bl.a. krav på utsedd verksamhetschef, organisatorisk enhet för integritetsskyddet i forskningsdatabasen och ett syste- matiskt och riskbaserat informationssäkerhetsarbete (med till- delning av tillräckliga resurser), inre sekretess, anpassad behörighet till vad som behövs för att kunna utföra arbetsuppgifter och logg- ning. Vår bedömning är att dessa skyddsåtgärder utgör en preci- sering av det krav på skyddsåtgärder som följer av artikel 9.2 j samt Vårt förslag är därför i denna del inte kostnadsdrivande jämfört med vad dataskyddsförordningen i sig kräver för dessa aktiviteter. Våra förslag innebär därför i sig inga ytterligare kostnader för forskningshuvudmännen. Vad gäller kategori 3 är det fråga om kostnader som inte beror på vårt förslag, utan snarare hör ihop med de behov som själva databasens omfattning och syfte medför. En stor databas med många variabler kommer att ha en högre förvaltningskostnad än en mindre, skarpare avgränsad databas. Våra förslag innebär därför i sig inga ytterligare kostnader för forskningshuvudmännen. Forskningens behov av forskningsdatabaser har beskrivits i kapi- tel 4. Hur stora de praktiska konsekvenserna för forskningsprojekt blir är avhängigt i vilken utsträckning den föreslagna regleringen fak- tiskt utnyttjas för att skapa forskningsdatabaser som är tillgängliga för utomstående forskare. Vår bedömning, baserad främst på samtal med forskare och forskningsinstitutioner som bedriver register- baserad forskning, är att det finns ett stort intresse av att skapa och förvalta forskningsdatabaser. Jämfört med dagens situation är det vår bedömning att kon- sekvenserna för forskningsprojekt blir att de kan få tillgång till rele- vanta uppgifter snabbare, till lägre kostnad och potentiellt högre kvalitet jämfört med . Kravet på etikprövning för forskning som använder uppgifter från forskningsdatabaser, men inte ska omfatta behandling av vare sig känsliga personuppgifter eller uppgifter om lagöverträdelser medför en ny typ av situation där kostnader för Vi har ovan gjort bedömningen att sådana fall torde vara relativt sällsynta. 13.2.7Andra konsekvenser enligt kommittéförordningen Av 15 § kommittéförordningen framgår att om förslagen i ett betän- kande har betydelse för den kommunala självstyrelsen ska konse- kvenserna i det avseendet anges i betänkandet.