sou · H6B336 · 2018-06-05 00:00:00 — Vårt uppdrag är att vidarebereda förslag med hänsyn till remissinstansernas synpunkter och till de anpassningar som kan behövas med hänsyn till dataskyddsförord- ningen och dataskyddsutredningens förslag till kompletterande natio- nell lagstiftning.17 Enligt tidplanen i våra första direktiv18 skulle vi ha lämnat vårt slutbetänkande innan Utredningen om regleringen av biobanker lämnade sitt. Utredningstiden för vårt uppdrag förlängdes senare till den 25 maj 2018.19 när ett förslag ändå är framlagt av Utredningen om regleringen av biobanker är vårt förhållningssätt att vi bör beakta detta nyare för- slag, särskilt i den mån det vidareutvecklar Registerforsknings- utredningens förslag. Vad det gäller två avgränsade frågor avseende dels hur ett krav på uppgiftslämnande för vårdgivare ska utformas, dels de närmare förut- sättningarna för hur andra biobanker ska kunna registrera uppgifter i registret, anges uttryckligen i våra direktiv att dessa har ingått i uppdraget för Utredningen om regleringen av biobanker.20 Vi har därför inte vidareberett den delen av förslag som behandlar dessa frågor, och kommer således inte att lämna något förslag i denna del. Vad det gäller övriga delar av förslag innebär det nyare föreslagets uppdelning att personuppgifter dels ska behandlas i det oreglerade , dels i det . Jämfört med Registerforsknings- utredningens förslag hanterar det nu föreslagna registret färre upp- gifter och för färre ändamål. Som framgår av avsnitt 10.4.1 ansluter vi oss till denna del av Utredningens om regleringen av biobanker förslag. 17Dataskyddsutredningens betänkande Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Se även den beslutade lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 2016:65, s. 19. En reglering av ett nationellt biobanksregister Förutsättningarna för förslag blir därför så pass förändrade att vi inte har berett detta äldre förslag vidare i detalj. I stället har vi utgått från Utredningens om regleringen av biobanker förslag i det nedanstående. Vår bedömning: Vi ansluter oss i huvudsak till Utredningens om regleringen av biobanker förslag om reglering av ett nationellt register för prover i biobanker som ska få användas för forskning, kvalitetssäkring och framställning av statistik. 10.4.1Förslag i enlighet med Utredningens om regleringen av biobanker betänkande Ändamål och relation till Vi ansluter oss till förslaget att instifta ett nationellt biobanksregister för bl.a. forskningsändamål, skilt från det existerande svenska bio- banksregistret, med ett tydligt separat ändamål. Ändamålet med registret ska vara forskning, kvalitetssäkring och statistik samt att tillgodose självbestämmande via den enskildes rätt till tillgång (s.k. registerutdrag).21 Uppgifter tillgängliggörs för dessa ändamål efter beslut om utlämnande. Det bör kunna finnas kvar som ett separat register, och precis som ha som ändamål att bl.a. under- lätta sökandet efter tidigare tagna prov för en patients egen vård och behandling.22 Denna uppdelning i ändamål mellan det nationella biobanks- registret och medför ett mer begränsat ansvar för registrets huvudman jämfört med Registerforsknings- utredningens förslag. 21SOU 2018:4 s. 246. 22SOU 2018:4 s. 242. En reglering av ett nationellt biobanksregister Rättslig grund för behandlingen Förslaget innebär ett konstaterande att det är en uppgift av allmänt intresse att föra det för ovan angivna ändamål för den myndighet som får detta uppdrag. Detta medför att den personuppgiftsbehandling som är nödvändig för att utföra denna uppgift har en rättslig grund i dataskyddsförordningens artikel 6.1 e.23 Denna rättsliga grund blir genom författningsförslaget fastställd i nationell rätt, vilken uppfyller de krav på sådan rätt som framgår av artikel 6.3. Det kommer att innehålla stora mängder personuppgifter som i sin helhet kan medföra betydande risker för den personliga integriteten. De angivna ända- målen, skyddsåtgärderna och den föreslagna sekretessregleringen avgränsar dock vilken behandling som är möjlig. Vi bedömer samman- taget att denna nationella reglering är proportionell i förhållande till det eftersträvade målet. De uppgifter som kan förekomma i registret innefattar inte analyser, diagnoser eller andra direkta uppgifter om hälsa. Däremot ska registret innehålla uppgifter om provernas karaktär, vilket kan innefatta uppgift om vilket humanbiologiskt material som ingår i proverna, vilken del av kroppen provet kommer ifrån och vilka prov- tagningsmetoder som använts. 24 Sådana uppgifter kan utgöra i vart fall indirekta uppgifter om hälsa i den utsträckning de exempelvis avslöjar att en viss behandling eller en viss diagnosmetod har använts. Behand- ling av sådana uppgifter är enligt huvudregeln i artikel 9.1 förbjuden. I 3 kap. 3 § dataskyddslagen regleras vissa situationer där känsliga personuppgifter får behandlas av en myndighet. Av paragrafens andra stycke framgår dock att personuppgiftsbehandling i form av sök- ningar inte får göras med stöd av denna bestämmelse om syftet är att få fram ett urval av personer grundat på känsliga personuppgifter. När registret används för forskningsändamål måste det dock vara möjligt att göra urval baserade på de faktorer som ska studeras. Dessa faktorer kan utgöras av känsliga personuppgifter.25 Utredningens om regle- ringen av biobanker förslag anger också att de uppgifter som ingår i registret ska få användas som sökbegrepp.26 Det är därför inte möjligt 23Jfr SOU 2017:39 s. 117. 24SOU 2018:4 s. 247. 25Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50), s. 267 ff. 26SOU 2018:4 s. 250. En reglering av ett nationellt biobanksregister att bedriva den nödvändiga personuppgiftsbehandlingen med stöd av dataskyddslagen. I förarbetena till dataskyddslagen klargörs dock att i vissa verksamheter kommer att finnas ett berättigat behov av att behandla känsliga personuppgifter i större omfattning än vad dataskyddslagens bestämmelser medger. Vidare poängteras att bestämmelserna i data- skyddslagen inte ersätter artiklarna i dataskyddsförordningen och att känsliga personuppgifter får behandlas med stöd av artikel även i andra fall.27 Vi gör bedömningen att behandlingen är nödvändig av hänsyn till det viktiga allmänna intresset att uppnå en bra spårbarhet för biobanksprover som bevaras för de syften som registret ska till- godose. Bestämmelserna om rätt att motsätta sig registrering (opt- out, se nedan) och skyldigheten att informera den registrerade utgör bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Även känsliga personuppgifter kan därför behandlas med stöd av artikel . Efter- som personuppgiftsbehandlingen är nödvändig även för forsknings- ändamål kan även artikel 9.2 j utgöra stöd för densamma. Vi delar Utredningens om regleringen av biobanker bedömning att det inte är lämpligt att reglera att uppgifter om diagnos och analysresultat knutet till vävnadsprover ska överföras till och registre- ras i ett nationellt biobanksregister.28 I likhet med Utredningen om regleringen av biobanker anser vi att , i sin roll som huvudman för registret, bör bemyndigas att utfärda föreskrifter om hur uppgifterna ska överföras till registret. Vi delar däremot inte uppfattningen att bör bemyndigas att ändra vilka uppgifter som ska få finnas i registret (se avsnitt 10.4.2). 27Regeringens proposition Ny dataskyddslag (prop. 2017/18:105), s. 91. 28SOU 2018:4 s. 248 f. En reglering av ett nationellt biobanksregister Med undantag för den första biobanksutredningen har de tidigare redovisade utredningarna på området föreslagit att ska ansvara för ett nationellt biobanksregister. Den kritik som framförts mot denna bedömning har huvudsakligen gått ut på att myndigheten inte borde ha till uppgift att bistå hälso- och sjukvårdsverksamheten i enskilda ärenden. Även har delat den uppfattningen. Det befintliga föreslås dock finnas kvar. Det registret ska med stöd av reglerna om sammanhållen journal- föring tillhandahålla uppgifter om biobanksprover till hälso- och sjuk- vården. På så sätt renodlas uppdraget för det nationella biobanks- registrets huvudman. Mot bakgrund av detta gör vi bedömningen att kan ansvara för det . 10.4.2Bedömningar och förslag som avviker från Utredningens om regleringen av biobanker betänkande Hantering av redan insamlade uppgifter Vår bedömning: Dataskyddsförordningen lämnar inte utrymme att generellt underlåta att informera den registrerade om den personuppgiftsbehandling som görs i det nationella biobanks- registret, även om det är fråga om uppgifter som samlats in till lokala biobanker innan den föreslagna lagens ikraftträdande. Den rättsliga grunden för behandlingen i det nationella registret är enligt förslaget att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Behandlingen är alltså inte, till skillnad från förslag, beroende av ett aktivt sam- tycke från den registrerade. Vi anser dock, i likhet med Utredningen om regleringen av bio- banker,29 att den enskilde ska ha en absolut rätt att motsätta sig registrering och behandling i ett nationellt biobanksregister (opt- out). Den enskilde ska informeras om denna rätt av den vårdgivare eller biobankshuvudman som samlar in prover till en biobank och 29SOU 2018:4 s. 250 f. En reglering av ett nationellt biobanksregister överför uppgifter till det nationella registret. Om den enskilde mot- sätter sig att uppgifterna registreras får ingen registrering göras. Utredningen om regleringen av biobanker uttalar dock i motiven till den föreslagna bestämmelsen att situationen avseende dem som redan har sina prover bevarade hos en vårdgivare eller biobanks- huvudman när lagen träder i kraft är mer komplicerad.30 Det är i praktiken omöjligt att kontakta samtliga provgivare för att informera dem om rätten att motsätta sig registrering. Om uppgifter får registreras först från lagens ikraftträdande skulle det enligt Utred- ningens om regleringen av biobanker bedömning ta innan registret kommer till nytta. Mot bakgrund av detta föreslår utred- ningen ett undantag från informationskravet, och därmed från den praktiska möjligheten att motsätta sig behandling, för sådana uppgifter som redan finns sparade i biobanker vid lagens ikraft- trädande. I stället föreslog utredningen att allmänheten på lämpligt sätt skulle informeras om registrets existens, ändamål och innehåll. Utöver detta skulle en myndighet ges i uppdrag att utforma och genomföra en informationsinsats riktad till de provgivare som redan har prover bevarade i biobanker. Informationsinsatsen skulle så långt som möjligt tillse att dessa provgivare fick kännedom om överföring av information till det och sin rätt att motsätta sig registrering. föreslog, till skillnad från Utred- ningen om regleringen av biobanker, att registrering och behandling av personuppgifter i det skulle bygga på samtycke. För uppgifter som samlats in i lokala biobanker innan lagens ikraftträdande skulle dock ett motsvarande undantag på sam- tyckeskravet gälla.31 Som redovisats ovan var dock detta undantag från samtyckeskravet en av de regler som föranledde kritik från remiss- instanserna. Utredningens om regleringen av biobanker förslag utgår inte från att personuppgiftsbehandlingen i det ska bygga på samtycke. Den registrerade ska dock informeras om behand- lingen och om sin rätt att motsätta sig behandling, vilket i praktiken leder till ett förfarande som låter den enskildes inställning vara av- görande för om behandling ska få utföras. På samma sätt som 30SOU 2018:4 s. 252. 31SOU 2014:45 s. 484. En reglering av ett nationellt biobanksregister föreslog ett undantag från sam- tyckeskravet för redan insamlade uppgifter, föreslår Utredningen om reglering av biobanker ett undantag från informationskravet vad gäller redan insamlade uppgifter. Det föreslagna undantaget från infor- mationskravet framgår dock bara tydligt från utredningens motiv- uttalanden – det författningsförslag som presenterats innehåller inte något uttryckligt undantag från informationsplikten för sådana uppgifter som redan finns sparade i biobanker vid lagens ikraft- trädande. I sammanhanget bör dataskyddsförordningens reglering av infor- mationsplikt uppmärksammas. Eftersom uppgifterna som ska registreras i det inte tillhandahålls av den registrerade blir artikel 14 tillämplig. Enligt denna bestämmelse ska den personuppgiftsansvariga förse den registrerade med bl.a. upp- gifter om sin identitet och kontaktuppgifter, ändamålen med och den rättsliga grunden för behandlingen samt de kategorier av person- uppgifter som behandlingen gäller. Det finns ett antal möjliga undan- tag från denna informationsplikt i artikel 14.5, bl.a. om tillhanda- hållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning (artikel 14.5 b). Vår bedömning är att dataskyddsförordningen inte tillåter ett generellt undantag från informationsplikten för ett nationellt bio- banksregister. Om det visar sig oproportionerligt svårt att kontakta en viss provgivare får den personuppgiftsansvarige göra bedömningen om något undantag från informationsplikten kan vara tillämpligt i det enskilda fallet. Vi bedömer att allmänt riktad kommunikation, exem- pelvis information på myndighetens webbplats, inte uppfyller för- ordningens krav på informationsplikt. Om provgivaren har avlidit utgör uppgifterna om dennes prov inte längre personuppgifter. I dessa fall utgör överföringen av uppgifterna till ett nationellt register ingen personuppgiftsbehandling. Det finns därmed i dessa fall inte något krav på information till den registrerade. En reglering av ett nationellt biobanksregister Vårt förslag: En ny sekretessregel med omvänt skaderekvisit ska gälla för uppgifterna i det . Den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter. Vi gör i likhet med Utredningen om regleringen av biobanker bedöm- ningen att uppgifterna i ett nationellt biobanksregister är känsliga på sådant sätt att de bör omfattas av en sekretessbestämmelse. I detta beaktar vi att uppgiften om att någon lämnat vävnadsprov i hälso- och sjukvårdssammanhang kan utgöra en i vart fall indirekt känslig personuppgift. Utredningen om reglering av biobanker har gjort bedömningen att uppgifterna i det om- fattas av statistiksekretess. Statistiksekretess gäller enligt 24 kap. 8 § OSL i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska för- hållanden och som kan hänföras till den enskilde. Som huvudregel är sekretessen absolut, även om en uppgift kan lämnas ut om den behövs för forsknings- eller statistikändamål och det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada. Huruvida statistiksekretess är tillämplig på en uppgift i en myndighets verksamhet beror bl.a. på om den förekommer i sådan särskild verksamhet som avser framställning av statistik. Vid den bedömningen är det inte myndigheten som sådan eller dess eventuella ställning som statistikansvarig myndighet32 som avgör om det är fråga om sådan särskild verksamhet. Med särskild verksamhet avses verk- samhet som är skild från annan verksamhet hos myndigheten.33 Utmärkande är att verksamheten är organiserad som en egen enhet eller liknande.34 Det aktuella registret föreslås ha flera olika syften där statistik är ett. Förslaget omfattar dock inte vilken typ av statistik som ska fram- ställas från uppgifterna i registret. Mer framträdande är i stället registrets roll att tillhandahålla underlag till forskning samt möjliggöra 32Vilka myndigheter som är statistikansvariga framgår av bilagan till förordningen (2001:100) om den officiella statistiken. ingår bland dessa myndigheter. 33Regeringens proposition Ändringar av statistiksekretessen (prop. 2013/14:162), s. 9. 34Regeringens proposition med förslag till sekretesslag m.m. (prop. 1979/80:2), del A s. 263. En reglering av ett nationellt biobanksregister för den enskilde att motsätta sig vidare behandling av vävnadsprover och personuppgifter i biobankerna. Under dessa förutsättningar gör vibedömningen att registret inte kommer att föras i sådan särskild verksamhet som avses i 24 kap. 8 § OSL. Inte heller hälso- och sjuk- vårdssekretess i enlighet med 25 kap. 1 § OSL torde vara tillämplig på uppgifterna hos , eftersom myndigheten inte omfattas av bestämmelsen som gäller sekretess i hälso- och sjukvården. Vi föreslår (avsnitt 8.9.5) att det ska införas en ny generell forsk- ningssekretess. Tillämpningsområdet för denna sekretess är dock begränsat till myndigheter som själva behandlar uppgifter för forsk- ningsändamål. Det har enligt vårt förslag ett bredare syfte och passar därför inte in på forskningssekretessens tillämpningsområde. Däremot skulle uppgifterna åtminstone omfattas av den svagare sekretessen i 21 kap. 1 § OSL. Vi bedömer dock att sekretessens styrka i detta fall (rakt skaderekvisit) inte är tillräcklig. För att till- försäkra uppgifterna i registret ett godtagbart skydd föreslår vi i stället en särskilt avgränsad sekretessbestämmelse som avser uppgifter om enskild i ett nationellt biobanksregister. Sekretessen ska gälla såvida det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (omvänt skaderekvisit). Sekretess kommer alltså att vara huvudregeln för dessa uppgifter. Det är samma sekretesskydd som gäller för dessa uppgifter när de hanteras ihälso- och sjukvården. Syftet med vårt förslag är att dels stärka skyddet för de uppgifter som förekommer i ett nationellt biobanksregister, dels bibehålla förtroendet för forskningen. Vi anser därför att den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Mot bakgrund av uppgifternas skyddsvärde anser vi därför att uppgifterna ska omfattas av det undantag från meddelarfriheten som regleras i 24 kap. 9 § OSL. Föreskrifter om vilka uppgifter som ska överföras till registret Vårt förslag: bör inte bemyndigas att meddela föreskrifter om vilka uppgifter som ska överföras till registret. Sådana ändringar bör ges i lagform. En reglering av ett nationellt biobanksregister Utredningen om regleringen av biobanker anger i sitt författnings- förslag att det uttryckligen endast ska innehålla vissa uppräknade uppgifter (3 kap. 2 § i förslaget till ny bio- bankslag), men föreslår att ska bemyndigas att meddela föreskrifter om vilka uppgifter som ska överföras till registret (9 kap 4 § 3 p). Vi utgår i vår bedömning från att en sådan föreskrift att resultera i att de överförda uppgifterna också lagras i registret. Effekten av bemyndigandet skulle då bli att en myndighetsföreskrift i praktiken ges företräde framför en lag. En utökning av uppgifter i registret kan, om det görs utan den registrerades samtycke, medföra att det blir fråga om så betydande intrång i den personliga integriteten att det kan utgöra en kartläggning av den registrerades personliga förhållanden. En sådan inskränkning i den enskildes rätt får enligt 2 kap. 6 och 21–22 § regeringsformen endast göras i lag. Vi anser därför att det inte är lämpligt att lämna ett bemyndigande vars tillämpning riskerar att strida mot grundlagen. En ändring av vilka uppgifter som registret får innehålla bör därför beredas i lagform. Eftersom vår beredning av frågan om ett nationellt biobanksregister inte föranleder oss att lämna något eget förslag till en reglering hänvisar vi till Utredningens om regleringen av biobanker förslag till en ny biobankslag, med de ändringar som vi ovan föreslagit.35 Vi före- slår dock en annan konstruktion för sekretessreglering av det natio- nella biobanksregistret. Vi har i detta kapitel vidareberett förslag till reglering av ett nationellt biobanksregister, och särskilt beaktat den kritik som framkommit bland remissinstanserna. Vi har i denna del i betydande utsträckning anslutit oss till de bedömningar som gjorts av Utredningen om reglering av biobanker. 35SOU 2018:4 s. 53. 11Utlämnande av uppgifter till europeiska forskningsdatabaser 11.1Vårt uppdrag i denna del Internationella organisationer som FN och EU har satt upp mål för att minska inkomstskillnaderna. FN:s Agenda 2030 för hållbar utveckling har bl.a. som mål att utrota fattigdomen och minska inkomstspridningen inom och mellan länder. 1 EU har ett mål om att antalet människor inom EU som lever eller riskerar att leva i fattigdom och social utestängning ska ha minskat med minst 20 miljoner till år 2020.2 Svenska forskare har bidragit till den internationella forskningen om befolkningens inkomstskillnader, fattigdom och hur skatte- och socialförsäkringssystemen påverkar befolkningens disponibla inkomster. Bidragande till detta har varit den goda till- gången på registerdata av hög kvalitet som finns att tillgå hos (). Forskningen har även underlättats av ett internationellt samarbete kring en databas benämnd Income Study (LIS-databasen). Databasen administreras av en icke vinstdrivande forskningsorganisation i , Center (). LIS-databasen innehåller uppgifter om individers inkomster, skatter, socialförsäkringar och bidrag i cirka SCB levererade uppgifter till databasen från det att den skapades år SCB har därefter bedömt att det saknas rättsliga förutsättningar för myndigheten att leverera uppgifter. Riks- revisionen har granskat förutsättningarna för SCB att lämna ut data till . 1https://sustainabledevelopment.un.org/ 2http://ec.europa.eu/europe2020/targets/eu-targets/index_sv.htm 3http:///our-data/lis-database/ Utlämnande av uppgifter till europeiska forskningsdatabaser Internationella jämförelser av inkomstskillnader – möjlig- heter att bidra med statistik (RIR 2016:24). konsta- terade i rapporten att de uppgifter som har behov av torde omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretess- lagen (2009:400), förkortad OSL. För att möjliggöra ett utlämnande av uppgifterna krävs det därför en författningsreglerad skyldighet för SCB att lämna ut dem till . rekommenderade att regeringen, utifrån en avvägning mellan databasens nytta för forsk- ningen och den enskildes behov av integritet, tar ställning till om uppgifterna ska lämnas ut till . I våra direktiv4 anges att databasen har stor betydelse för forskning på området och att det är av vikt att uppgifter från svenska myndig- heter kan ingå i databasen. Enligt direktiven krävs det en sekretess- brytande bestämmelse för att SCB ska kunna lämna ut uppgifterna. Vidare behöver vissa frågor utredas närmare, bl.a. vilka uppgifter som bör lämnas ut, i vilket format uppgifterna ska lämnas och SCB:s möjligheter att lämna ut uppgifterna utifrån dataskyddsförordningen5 och de kompletterande författningsbestämmelserna i dataskydds- lagen (2018:218). Vi har därför fått i uppdrag att analysera vilken rättslig reglering som behövs och är lämplig för att SCB ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till den organisation som administrerar databasen samt att lämna nödvändiga författningsförslag. Det är dock inte enbart LIS-databasen som är av intresse för vårt uppdrag att möjliggöra behandling av personuppgifter i forsknings- databaser.6 Inom EU finns fler exempel på forskningssamarbeten där deltar tillsammans med andra länder. Vår bedömning av gällande rätt kan därför komma att omfatta även andra forsknings- databaser än LIS-databasen. Av den anledningen är nedanstående bedömningar även applicerbara på det generella behovet av utbytet med forskningsdatabaser inom . 4Tilläggsdirektiv till (U 2016:04) (dir. 2017:61), s. 3.