sou · H6B336 · 2018-06-05 00:00:00 — Slutligen, och av betydelse för hantering av forskningsdata i replikeringsstudier, utredningar om oegentlighet i forskning m.m., anger skäl 159 att för att tillgodose forskningens särskilda krav bör särskilda villkor gälla, särskilt vad avser offentliggörande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål. Av betydelse för registerbaserad forskning är att förordningen i skäl 157 lyfter fram att forskare kan erhålla ny kunskap av stort värde genom att koppla samman information från olika register. För att underlätta vetenskaplig forskning får personuppgifter behandlas för vetenskapliga forskningsändamål, med förbehåll för lämpliga villkor och skyddsåtgärder i unionsrätten eller i medlemsstaternas nationella rätt. Enligt vår bedömning talar detta skäl även för att i nationell rätt införa villkor och skyddsåtgärder för särskilda databaser för forsk- ningsändamål. Ytterligare underlag för tolkning av begreppet forskningsändamål finns i Artikel 29-gruppens riktlinjer om samtycke enligt dataskydds- förordningen.14 I samband med dataskyddsförordningens skäl 33, som behandlar situationer där det inte är möjligt att på ett tidigt 14Article 29 Data Protection Working Party, under Regulation 2016/679 (WP259), s. 27. Artikel 29-gruppen är en oberoende rådgivande EU-instans för skydd av personuppgifter och privatlivet. I samband med att dataskyddsförordningen börjat tillämpas har den ersatts av Europeiska Dataskyddsstyrelsen. Bakgrund, utgångspunkter och begrepp stadium fullt ut identifiera syftet med en behandling av personupp- gifter för vetenskapliga forskningsändamål, uttalar man följande om begreppet forskningsändamål (scientific research purposes): [T]he WP29 considers the notion may not be stretched beyond its common meaning and understands that ‘scientific research’ in this context means a research project set up in accordance with relevant sector-related methodological and ethical standards.” Dataskyddsförordningen ger i artikel 9.2 j en möjlighet för med- lemsstaterna att införa nationell lagstiftning som tillåter behandling av känsliga personuppgifter för forskningsändamål. Det är därför av betydelse för utredningens uppdrag hur forskningsändamål i förord- ningens mening ska uttolkas när det gäller om personuppgifts- behandling i en forskningsdatabas som ska stödja avgränsade forsk- ningsprojekt utan att själv producera sådana resultat kan anses falla inom definitionen för forskningsändamål. Vi har i detta slutbetänkande utgått från att personuppgifts- behandling hos en sådan verksamhet ryms inom förordningens begrepp ”forskningsändamål”. Detta i huvudsak med stöd från skäl 159, men också utifrån skäl 157 som belyser databasers betydelse för forskning. Med beaktande av Artikel 29-gruppens tolkning av forskningsbegreppet anser vi att det är viktigt och nödvändigt att även personuppgiftsbehandling som görs i en forskningsdatabas ska följa relevanta metodologiska och etiska standarder. Vår bedömning: Termen register har i dataskyddsförordningen en specifik betydelse som är snävare än den som har använts i svensk lagstiftning. Termen har även i svensk lagstiftning kommit att utmönstras i ett flertal sammanhang. För att undvika osäkerhet i vad som avses undviker vi därför att använda denna term. Termen databas saknar legaldefinition i dataskyddsförord- ningen. Vi anser att vi inte behöver definiera begreppet databas för att kunna använda begreppet forskningsdatabas. Bakgrund, utgångspunkter och begrepp Termerna register och databas används ofta synonymt för att beskriva en logisk sammanställning av uppgifter. Enligt Rikstermbanken15 är databas en mängd data med en gemensam struktur, lagrade på ett sätt som möjliggör sökning och presentation enligt olika kriterier. Man brukar skilja på begreppen databas och databashanterare, där det senare är den tekniska lösning (programvara) som används för att åstadkomma själva sökningen och presentationen.16 Termen ”databas” används inte alls i dataskyddsförordningen. I stället anges i regleringen av dess tillämpningsområde (artikel 2.1) att den är tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. Det finns alltså inte något krav på att informationen ska vara strukturerad på något särskilt sätt för att dataskyddsförordningen ska vara tillämplig, utan det är tillräckligt att informationen behandlas, helt eller delvis, på automatisk väg. Det räcker i princip med att informationen finns digitalt lagrad. Även personuppgifter som förekommer i material som helt saknar struktur som möjliggör sökning och presentation, exempelvis uppgifter som framgår av digital video eller av inskannade dokument som inte OCR- behandlats, omfattas av dataskyddsförordningen. Utöver digitalt lagrat material omfattar dataskyddsförordningen, likt tidigare dataskyddsdirektivet och personuppgiftslagen, även ”annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”. Begreppet register definieras i artikel 4.6 som ”strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier”. Motsvarande definition finns i dataskydds- direktivet (artikel 2 c) och personuppgiftslagen (5 § andra stycket). För att en strukturerad samling ska anses vara tillgänglig för sökning eller sammanställning enligt särskilda kriterier har Regeringsrätten17 ansett att det krävs något särskilt arrangemang för sökning bland uppgifterna, t.ex. i form av kortregister, sökmarkörer eller liknande, och att det därigenom ska finnas möjlighet till sökning av olika personuppgifter på ett betydligt effektivare sätt än i form av en genomgång och granskning dokument för dokument. 15Rikstermbanken är nationella termbank, 16I vardagligt tal används ibland ”databas” för att avse även den funktionalitet som åstad- kommer sökning och presentation. I denna framställning försöker vi dock skilja på själva samlingen av uppgifter som sådan och den infrastruktur, inklusive programvara som, krävs för att tillgängliggöra information från denna samling. 17RÅ 2001 ref 35 (KTH). Bakgrund, utgångspunkter och begrepp Ytterligare vägledning till begreppet kan fås från förordningens engelska översättning, där termen register har översatts med ”filing system”. Distinktionen är dock av begränsad betydelse för dagens forskningsdatabaser som uteslutande rör behandling av uppgifter på automatisk väg. Begreppet databas används även i andra delar av den svenska lagstiftningen, ibland med olika definitioner. Enligt 1 kap. 1 § 5 stycket yttrandefrihetsgrundlagen avses med databas en samling av information lagrad för automatiserad behandling. Begreppet infördes 2003 och ersatte då det registerbegrepp som tidigare använts. På samma sätt utmönstrades termen ”register” ur ett antal författningar på skatte-, exekutions- och tullväsendets område för att i stället ersättas med termen ”databas”. Som skäl för en sådan begreppsmässig ändring anfördes att begreppet register även har en teknisk anknytning och därför kan ha olika innebörd för olika yrkesgrupper. Vidare för begreppet tankarna till ett på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar osv.18 Inom upphovsrättens område reglerar 49 § lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk en form av till upp- hovsrätten närstående ensamrätt som tidigare kallats katalogskydd, men som , efter genomförandet av EU:s databasdirektiv19 oftare benämns databasskydd. Skyddsobjektet omfattar sådana arbeten i vilket ett stort antal uppgifter har sammanställts eller vilka är resul- tatet av en väsentlig investering. För att arbetet ska omfattas av det aktuella skyddet finns ett visst krav på att uppgifterna ska vara syste- matiskt och metodiskt sammanställda, dvs. ett visst krav på en struktur i databasen.20 Även om begreppet databas saknar en brett tillämplig legal- definition i nationell rätt eller unionsrätten är det ett användbart begrepp som är väl etablerat i både juridiskt och allmänt språkbruk. Vi finner inte att vi behöver definiera begreppet databas närmare, men 18Regeringens proposition Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 88 ff.). 19Direktiv /9/EG av om rättsligt skydd för databaser. 20Se allmänt , Databasskydd, (2016). Bakgrund, utgångspunkter och begrepp avser nedan att föreslå en definition för det mer avgränsade begreppet forskningsdatabas. Vårt förslag: Vi föreslår i avsnitt 8.7 att forskningsdatabas ska definieras som en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Det finns flera begrepp som beskriver de samlingar av uppgifter som forskare använder; t.ex. forskningsregister och forskningsdatabaser. För att beskriva forskningsdatabaser som samlar in uppgifter för flera tänkbara forskningsprojekt används ibland också begreppet databas- infrastruktur eller infrastruktur för forskning. använde i sitt förslag till lag om forskningsdatabaser följande definition av ordet forskningsregister: Med register avses i detta sammanhang i första hand strukturerade samlingar av personuppgifter som har upprättats inom myndigheter för primärt andra ändamål än forskning. […] Med register avses i utred- ningsdirektiven dock även vissa uppgiftssamlingar som primärt är skapade för forskningsändamål.21 definierade vidare begreppet forsk- ningsdatabas på följande sätt: en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infra- struktur för att tillhandahålla uppgifter till flera olika framtida forsk- ningsprojekt. Vår bedömning är att begreppet forskningsdatabas i den definition som registerforskningsutredningen använt fortsatt är ett värdefullt begrepp. Vi har därför valt att använda begreppet ifråga för sådana databaser som samlar in uppgifter för flera tänkbara forsknings- projekt. Vi har också valt i stort sett samma definition av begreppet som . Vi föreslår dock en mindre förenkling av begreppets definition, som inte är avsedd att innebära 21SOU 2014:45 s. 18. Bakgrund, utgångspunkter och begrepp någon förändring av betydelsen i sak. Hänvisningen till nationell infrastruktur tillför inte något för förståelsen av begreppet och riskerar en sammanblandning med det bredare begreppet forsknings- infrastruktur, se avsnitt 3.3.4 nedan. Den ersätts därför med begreppet nationell resurs. Forskningsdatabasen ska vara en nationellt tillgänglig resurs. En databas som endast är tillgänglig för en begränsad krets användare utgör inte en forskningsdatabas enligt vår definition. Vi definierar således forskningsdatabas som en databas (uppgifts- samling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhanda- hålla uppgifter till flera olika forskningsprojekt (avsnitt 8.7.1). Utanför lagens definition faller således forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller på ett på liknande sätt bestämd forskning Vi ser däremot inte någon anledning att närmare definiera och använda begreppet forskningsregister. Med tanke på dataskydds- förordningens definition av register som något som i första hand rör icke-automatiserad behandling av personuppgifter riskerar begreppet med definition att vilseleda. 3.3.4Forskningsinfrastruktur eller databasinfrastruktur för forskning Vår bedömning: Vi skiljer på de uppgiftssamlingar som våra för- slag syftar till att möjliggöra (forskningsdatabaser) och de tjänster som tillgängliggör uppgifterna från dessa uppgiftssamlingar. De senare kallar vi med ett gemensamt begrepp databasinfrastruktur för forskning. Sådan databasinfrastruktur för forskning är en form av forskningsinfrastruktur, men eftersom det senare begreppet även omfattar basutrustning, forskningsmaterial, IKT-infrastrukturer m.m. är det för brett för att användas i denna framställning. har i sin definition av forskningsdata- bas angett att en sådan utgör en nationell infrastruktur. Det föranleder oss att närmare definiera vad vi menar med sådan infrastruktur och vilken eller vilka termer som är lämpliga att använda för begrepp på området. Bakgrund, utgångspunkter och begrepp Med forskningsinfrastruktur avses vanligen olika medel som är nödvändiga för att utföra forskning, jfr definitionen i artikel 2 i ERIC- förordningen:22 anläggningar, resurser och därmed sammanhängande tjänster som forskar- samhället använder för att genomföra spetsforskning på alla områden; denna definition omfattar vetenskaplig basutrustning och forsknings- material, kunskapsbaserade resurser som samlingar, arkiv och strukturerad vetenskaplig information, IKT-infrastrukturer som nät, datorutrustning, programvara och kommunikationsverktyg samt alla andra unika medel som är nödvändiga för att uppnå vetenskaplig excellens. Sådana forsk- ningsinfrastrukturer kan vara lokaliserade på en enda plats eller organi- serade i ett nät (”spridda”). Det är alltså fråga om ett brett begrepp som visserligen kan innefatta databaser (eftersom dessa får anses vara kunskapsbaserade resurser i form av strukturerad vetenskaplig information), men som även innefattar fysiska resurser som utrustning och material som inte kan sägas omfatta forskningsdatabaser. Ett mer avgränsat begrepp som använts är databasinfrastruktur för forskning.23 Vi avser med denna term alla former av tjänster som till- gängliggör information från en forskningsdatabas, och som forskare kan använda för att hämta dessa uppgifter. I begreppet innefattas även den nödvändiga förvaltningen av den uppgiftssamling som utgör forskningsdatabasen, samt dokumentation i form av variabeldefini- tioner, datakvalitet uppdateringsfrekvenser, täckningsgrad m.m. 3.3.5Registerforskning eller registerbaserad forskning Vår bedömning: Med begreppet registerbaserad forskning avser vi den vetenskapliga metodik eller vetenskapliga metodinslag som utredningens förslag syftar till att underlätta, dvs. sådan forskning som använder sig av uppgifter från forskningsdatabaser. Termen registerforskning är enligt utredningen för allmän för att på ett rättvisande sätt beskriva den typ av forskning med hjälp av olika samlingar av personuppgifter som vi har att avhandla i detta betänkande. 22Rådets förordning (EG) nr 723/2009 av om gemenskapens rättsliga ram för ett konsortium för europeisk forskningsinfrastruktur (Eric-konsortium). 23Jfr förutsättningar för en databasinfrastruktur för forskning (11:2010). Bakgrund, utgångspunkter och begrepp Det finns även flera begrepp än ovan nämnda som beskriver den forskning som bedrivs med hjälp av personuppgifter i olika register eller databaser; registerforskning, registerbaserad forskning, data- baserad forskning, datadriven forskning och användning av register- data i forskning m.m. Enligt vad som framgår på webbplatsen registerforskning.se24 är registerforskning, eller mer korrekt registerbaserad forskning, forsk- ning som använder sig av uppgifter från ett eller flera register som förs av myndigheter eller andra organisationer. Med registerbaserad forskning avsågs i del- betänkande25 sådan forskning som använder sig av uppgifter som kan knytas till fysiska personer, härrör från myndigheter eller andra organisationer och som i första hand inte primärt är insamlade för forskningsändamål. Det kan enligt också röra sig om forskning med personuppgifter som samlats in för forsknings- ändamål där personidentifikationen behålls och där personerna följs upp med ny datainsamling vid ett eller flera tillfällen. Termen registerforskning är enligt utredningen för allmän för att på ett rättvisande sätt beskriva den typ av forskning med hjälp av olika samlingar av personuppgifter som vi ska avhandla i detta betänkande. Registerbaserad forskning är en något mer adekvat beteckning, efter- som den bättre beskriver att forskningen görs med hjälp av uppgifter ur register. Vi avser i denna framställning sådan forskning som görs såväl med hjälp av uppgifter ur forskningsdatabaser som sådana upp- gifter som inte primärt är insamlade eller sammanställda för forsk- ningsändamål. Vårt förslag: Vi föreslår i avsnitt 8.7 att med forskningshuvudman ska avses detsamma som i etikprövningslagen. 24Vetenskapsrådet har i uppdrag av regeringen att inom myndigheten bygga upp en verksamhet för att förbättra tillgängligheten till registeruppgifter i för forskningsändamål och underlätta användningen av dessa. Webbplatsen är ett led i detta arbete. 25SOU 2012:36, s. 19. Bakgrund, utgångspunkter och begrepp Vi ser ett behov av att reglera vilka forskningshuvudmän som får behandla personuppgifter i forskningsdatabaser och som ska ansvara för att det görs på ett ändamålsenligt och säkert sätt. Enligt 2 § etik- prövningslagen är en forskningshuvudman en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs. I vårt författningsförslag ska vissa forskningshuvudmän få ansvara för forskningsdatabaser under angivna förutsättningar (se avsnitt 8.7.2 och 8.8.2). Vi utgår i våra förslag från samma definition av forsknings- huvudman som används i etikprövningslagen. Vår bedömning: Det finns inget behov av att närmare definiera forskningsprogram i regleringen av forskningsdatabaser. Med forskningsprojekt avses detsamma som i etikprövningslagen. Vanliga beskrivningar av den empiriskt inriktade forskningsprocessen innefattar bl.a. bakgrundsstudier, litteraturgenomgång, idégenerering, planering, författande av forskningsansökan, eventuell etikprövning, datainsamling, konstruktion av databas, lagring av data (t.ex. person- uppgifter), analys av data, manusförfattande, publicering, dokumen- tation (bl.a. av data), samt arkivering av data. I vissa sammanhang kan denna process vara utsträckt i tiden över . Detta är särskilt vanligt förekommande om forskningen följer ett forskningsprogram med flera enskilda separata forskningsprojekt som ingående delar. Vi avser att i vårt huvuduppdrag föreslå reglering för forsknings- databaser som hanteras utanför ramen för ett enskilt forsknings- projekt. Med forskningsprojekt menar vi detsamma som avses med motsvarande begrepp i 6 § etikprövningslagen.26 Inom ramen för ett större forskningsprogram kan initiativ till nya forskningsdatabaser uppstå. Eftersom begreppet forskningsprogram, till skillnad från forskningsprojekt, inte har någon rättslig betydelse vad gäller personuppgiftsbehandling ser vi dock inte ett behov av att när- mare definiera detta begrepp. De avgörande kriterierna för att en forsk- ningsdatabas ska kunna skapas är inte avhängiga om verksamheten är organiserad som ett forskningsprogram eller på något annat sätt. 26Angående detta begrepps avgränsning, se regeringens proposition Etikprövning av forskning (prop. 2002/03:50), s. 195. Bakgrund, utgångspunkter och begrepp Vår bedömning: Med forskningsperson avses i denna framställ- ning en registrerad vars uppgifter används för forskning. Med forskningsperson avses en levande människa som någon viss forskning avser (jfr 2 § etikprövningslagen). Begreppet kan omfatta såväl en person som undersöks fysiskt, som en person vars person- uppgifter ingår i ett forskningsunderlag. Med registrerad avses enligt artikel 4.1 i dataskyddsförordningen en identifierad eller identifierbar fysisk person vars personuppgifter behandlas. När en forskningspersons personuppgifter ingår i ett forsknings- underlag på ett sådant sätt att det är fråga om behandling av dennes personuppgifter är samma fysiska person såväl en forskningsperson som en registrerad. 3.3.9Fjärråtkomst, direktåtkomst till och annat utlämnande från forskningsdatabaser Vår bedömning: Med direktåtkomst avser vi sådan åtkomst där upptagningar som kan innehålla personuppgifter är tillgängliga för en mottagande myndighet med ett tekniskt hjälpmedel som myndigheten själv utnyttjar.27 Vi använder begreppet även i sammanhanget direktåtkomst för den registrerade till sina egna uppgifter, och avser då samma form av åtkomst som patientdatalagen (2008:355) möjliggör. Även begreppet elektronisk åtkomst används på samma sätt som i patientdatalagen. Med automatiserat utlämnande avser vi sådan automatiserad åtkomst till forskningsdatabaser som erbjuds forskare och enskilda forskningspersoner, och som är utformad på så sätt att den ansvariga för forskningsdatabasen har kontroll över om och i så fall vilka uppgifter som ska lämnas ut i varje enskilt fall. 27Detta är samma definition som använt i HFD 2015 ref. 61. Bakgrund, utgångspunkter och begrepp Begreppet direktåtkomst förekommer i ett antal författningar och har diskuterats, särskilt i samband med informationsutbyte mellan myndigheter.28 Med direktåtkomst mellan myndigheter avses sådan tillgång till uppgifter i ett datorsystem där den myndighet som förfogar över systemet i vilket uppgifterna lagras (den utlämnande myndigheten) inte i det enskilda faller har kontroll över vilka upp- gifter som förs över till annan myndighet (den mottagande myndig- heten). Annan typ av informationsutbyte mellan myndigheter och även mellan myndigheter och enskilda betecknas vanligen (annat) elektroniskt utlämnande (eller i äldre sammanhang utlämnande av personuppgifter på medium för automatiserad behandling). Innebörden av begreppet direktåtkomst i socialförsäkringsbalken har varit föremål för bedömning i en dom från Högsta förvaltnings- domstolen.29 Den avgörande skiljelinjen mellan direktåtkomst och annat elektroniskt utlämnande knöts i domen till om uppgifterna kunde anses vara förvarade hos den mottagande myndigheten utifrån definitionen i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Upp- giftsutlämnandet förutsatte i det fallet att den utlämnande myndig- heten reagerade på en begäran från den mottagande myndigheten. Den mottagande myndigheten ansågs därför inte ha tillgång till uppgifterna på så sätt som krävs enligt 2 kap. 3 § andra stycket tryck- frihetsförordningen. I Högsta förvaltningsdomstolens avgörande behandlades begreppet så som det används i socialförsäkringsbalken vad gäller social- försäkringsdatabasen och i sammanhanget där en myndighet är mot- tagande part (114 kap. 18–22 §§ socialförsäkringsbalken). Den registrerade har inte möjlighet att få tillgång till sina uppgifter i socialförsäkringsdatabasen genom direktåtkomst. I patientdatalagen används begreppet även för att beskriva direkt- åtkomst för den registrerade (patienten). Lagen tillåter att privat- personer kan medges direktåtkomst till sina uppgifter (5 kap. 5 § patientdatalagen). När vi i avsnitt 8.11.6 diskuterar direktåtkomst för den registrerade själv använder vi begreppet på samma sätt som i patientdatalagen. 28Se särskilt E-delegationens rapport och utlämnande på medium för automatiserad behandling (2012), slutbetänkande Myndighetsdatalag (SOU 2015:39) och eSam Elektroniskt informationsutbyte – en vägledning för utlämnande i elektronisk form. 29Detta är samma definition som använt i HFD 2015 ref. 61. Bakgrund, utgångspunkter och begrepp Gemensamt för de båda formerna av direktåtkomst är att det är fråga om en viss form av elektroniskt utlämnande där den som är ansvarig för informationen inte har kontroll över vilka uppgifter som en mottagare vid ett visst tillfälle tar del av.30 Det vanliga förfarandet för att få ut uppgifter lagrade i en forsk- ningsdatabas torde vara att den forskare som behöver uppgifterna, med stöd av ett automatiserat system, formulerar en begäran om- fattande vissa uppgifter, och att forskningsdatabasen, likaledes auto- matiserat, svarar på denna begäran med de uppgifter som enligt databasens konfigurerade regler kan lämnas ut.