sou · H6B336 · 2018-06-05 00:00:00 — 22https://ec.europa.eu/research/infrastructures/index.cfm?pg=eric 23Ett sådant exempel kan vara Levnadsnivåundersökningen, på en persons bakgrund (t.ex. exponering för risk) påverkar värdet på en annan variabel (såsom förekomst av viss sjukdom). kan detta göras genom att samla in alla uppgifter i efterhand, men ofta krävs att uppgifterna uppdateras löpande under forsknings- databasens livscykel. Ett exempel på denna typ av forskningsdatabas utgörs av den (i särskild ordning reglerade) databasen vid ut- värdering.24 Ett annat exempel utgörs av de uppgifter som används för mikrosimulering.25 En annan form av registerbaserad forskning är att kombinera upp- gifter från flera olika myndigheter. Det kan vara fråga om att jämföra inkomstuppgifter från SCB med uppgifter från och/eller uppgifter om sjukvård från hälso- och sjukvårdens kvalitetsregister. En annan vanlig modell för forskningsdatabaser är den där uppgifter som samlats in direkt från den registrerade för forskningsändamål kombineras med uppgifter som tas från uppgiftssamlingar med annat ändamål insamlade vid annat tillfälle. Det kan handla om att komplet- tera en direkt frågeundersökning, en provtagning eller en medicinsk undersökning för forskningsändamål med uppgifter från sociala register eller tidigare insamlade biologiska uppgifter från hälso- och sjukvårdens biobanker. Det kan också vara fråga om att komplettera sådant material som samlats in från en myndighet (exempelvis före- komst av sjukdomsdiagnos eller riskexponering) med direkt in- samlade uppgifter (exempelvis frågor, prover, eller kompletterande uppgifter från patientjournaler). kan en sådan insamling innebära att enbart en mindre del av det ursprungliga materialet behålls i forskningsdatabasen. Det kan vara fråga om att söka efter uppgifter i register som täcker hela befolk- ningen för en grupp personer som finns i en mindre uppgiftssamling, t.ex. en frågeundersökning på slumpmässigt utvalda personer eller ett patientmaterial från en lokal eller regional vårdgivare. 24Se SOU 2014:45 s. 355 f. 25Se exempelvis Reglering av mikrosimuleringsmodellen Fasit (Ds 2018:2, ). vara fråga om att utifrån ett brett definierat material i ett befolk- ningsbaserat register (t.ex. patientregistret) söka efter uppgifter i ett begränsat register (t.ex. en biobank). Ett välkänt exempel på en kombinerad forskningsdatabas av ovan- stående slag är LifeGene, där biologiska prover och uppgifter om levnadsvillkor samlas in för att i ett senare skede kombineras med hälsouppföljning i syfte att kartlägga inverkan från arv och miljö på hälsan på lång sikt. Denna s.k. epigenetiska forskning är på stark fram- marsch inom den epidemiologiska forskningen där man upptäckt att genetiska förutsättningar och social miljö samverkar på lång sikt. Denna forskning har inneburit ett ökat behov av att bygga upp, förvalta och uppdatera långsiktiga forskningsdatabaser. förslag till reglering av forsknings- databaser avsåg kombinerade forskningsdatabaser. De skulle alltså kunna bestå såväl av uppgifter direkt insamlade från enskilda och av uppgifter från myndighetsregister. Enligt förslaget till reglering skulle forskningsdatabaser kunna skapas vid statliga universitet och högskolor samt vid andra statliga myndigheter som har i uppdrag att bedriva forskning. Det skulle således inte vara tillåtet för privata lärosäten eller landsting och kom- muner att ansvara för forskningsdatabaser. skulle ha i uppdrag att föreslå för regeringen vilka forskningsdatabaser som ska få finnas. skulle träffa avtal med värduniversiteten om finansiering, organisation och till- gänglighet. Det skulle finnas ett tydligt behov av en databas inom det aktuella området och det skulle ställas höga krav på kvalitet och säkerhet hos den verksamhet som ska hålla databasen. Tanken med förslaget var att forskningsdatabasen skulle bevaras och möjliggöra longitudinella studier av samma personer eller jämförande studier av likvärdiga urval av personer . Utgångspunkten var att det endast skulle finnas en forskningsdatabas för varje större forskningsfält i . 7.4.2Forskningsdatabaser som vi avser att reglera Vi kommer i vårt förslagskapitel (8) lämna förslag till en rättslig reglering av forskningsdatabaser. Det existerar redan flera olika sorters forskningsdatabaser (se ovan och i kapitel 4) hos flera olika typer av forskningshuvudmän. En reglering som bara omfattar ett fåtal centralt utpekade forskningsfält och ett mindre antal forskningshuvudmän skulle inte vara tillräcklig för att tillgodose en säker hantering av personuppgifter i forsknings- databaser. Vår utgångspunkt är därför att föreslå en reglering som omfattar så många databaser som möjligt. Vi finner också att forskningens frihet innebär att initiativet till att skapa en forskningsdatabas bör komma från forskningshuvudmännen och inte från regeringen. Vi konstaterar att det är i forskningsverk- samheten som behoven av uppgiftssamlingar bäst kan identifieras och formuleras. I förevarande kapitel redogör vi för utredningens förslag till reglering av personuppgiftsbehandling i forskningsdatabaser. Detta innefattar ett förslag till en ny lag om forskningsdatabaser och förslag till ändringar i lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen), i offentlighets- och sekretesslagen (2009:400), förkortad OSL, och i förordningen (2009:975) med instruktion för . Från och med avsnitt 8.8 och till och med avsnitt 8.12 utgår utred- ningens presentation av förslagen från en forskningsdatabas livscykel. Livscykelmodellen beskrivs i kapitel 7. Vår bedömning: I vårt förslag till reglering av forskningsdatabaser måste en forskningsdatabas godkännas vid etikprövning. Genom detta krav etableras en i nationell rätt fastställd rättslig grund för forskningshuvudmännens behandling av personuppgifter i en forskningsdatabas. Etikprövning enligt etikprövningslagen är även en sådan i svensk rätt fastställd lämplig och särskild åtgärd som krävs för behandling av känsliga personuppgifter för andra forsknings- ändamål än klinisk läkemedelsprövning enligt dataskyddsförord- ningen.1 1Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av Förslag till reglering av forskningsdatabaser Etikprövning är också en sådan i svensk rätt fastställd lämplig skyddsåtgärd som krävs för behandling av personuppgifter om lagöverträdelser för forskningsändamål enligt dataskyddsförord- ningen. I vårt delbetänkande har vi ingående redogjort för de rättsliga förut- sättningarna för personuppgiftsbehandling för forskningsändamål och hur förutsättningarna kommer att ändras när dataskyddsförord- ningen börjar tillämpas. I kapitel 5 i detta slutbetänkande har vi åter gått igenom på vilket sätt dataskyddsförordningen reglerar behandling av personuppgifter för forskningsändamål i forskningsdatabaser eller på annat sätt. Här beskriver vi enbart kortfattat vilka rättsliga grunder som olika forsk- ningshuvudmän kan tillämpa vid behandling av personuppgifter och vad som i övrigt krävs för att behandlingen av personuppgifter i en forskningsdatabas ska vara förenlig med dataskyddsförordningen. För att det ska vara tillåtet att behandla personuppgifter i en forsk- ningsdatabas måste forskningshuvudmannen bedöma: •om det finns någon rättslig grund för behandlingen (artikel 6), •i de fall den rättsliga grunden är sådan som avses i artikel 6.1 c eller e, om den är fastställd i nationell rätt eller i unionsrätten (artikel 6.3), •i de fall behandlingen omfattar känsliga personuppgifter (artikel 9.1), om något av undantagen mot förbudet att behandla känsliga personuppgifter kan vara tillämpligt (artikel 9.2), och om det i sådana fall finns stöd för undantagen i unionsrätten eller nationell rätt, sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen. Förslag till reglering av forskningsdatabaser •i de fall behandlingen omfattar uppgifter om lagöverträdelser (artikel 10), om behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, •om behandlingen omfattas av lämpliga skyddsåtgärder (artikel 89.1), och •om de grundläggande principerna för behandling är uppfyllda (artikel 5). Vår bedömning av vilka rättsliga grunder som de olika forsknings- huvudmännen kan tillämpa framgår kortfattat i det följande.2 Vi utgår i våra bedömningar från att uppbyggnaden av en forskningsdatabas omfattar personuppgiftsbehandling för forskningsändamål (se vidare avsnitt 3.3.1). Behandling av personuppgifter i en forskningsdatabas utgör således en fas i själva forskningsprocessen. Uppgiften att forska är en uppgift av allmänt intresse i dataskydds- förordningens mening.3 För att den rättsliga grunden i artikel 6.1 e, uppgift av allmänt intresse, ska vara tillämplig och kunna åberopas krävs dock enligt artikel 6.3 att uppgiften att forska är fastställd i enlighet med unionsrätten eller den nationella rätten. Förutsätt- ningarna för detta varierar beroende på vilken typ av rättssubjekt som är forskningshuvudman. och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt. I 2 kap. 18 § andra stycket regerings- formen (RF) fastslås att forskningens frihet är skyddad enligt bestäm- melser som meddelas i lag. Högskolelagen (1992:1434) reglerar verk- samhet vid universitet och högskolor under statligt huvudmannaskap och innehåller bestämmelser som tar avstamp i grundlagsregleringen. I 1 kap. 2 § högskolelagen anges forskning som en huvuduppgift. 2Jfr utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). 3Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50), s. 128, jfr även utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). Förslag till reglering av forskningsdatabaser I 1 kap. 3 a § samma lag ställs det krav på att vetenskapens tro- värdighet och god forskningssed värnas i verksamheten. 1 kap. 6 § regleras sedan forskningens frihet genom att det anges allmänna principer för den delen av högskolornas verksamhet. För forskningen ska gälla att forskningsproblem får fritt väljas, forskningsmetoder får fritt utvecklas och forskningsresultat får fritt publiceras. Vår bedömning är därför att för universitet och högskolor med staten som huvudman är forskningsuppgiften fastställd i svensk lag och de kan därför behandla personuppgifter i en forskningsdatabas som är nöd- vändiga för att utföra forskningen med stöd av artikel 6.1 e. och högskolor behandlar många andra statliga myndigheter personuppgifter för forskningsändamål. Dessa myndig- heters möjligheter att behandla personuppgifter för forskningsända- mål med stöd av artikel 6.1 e är beroende av vilket uppdrag och vilka uppgifter som har ålagts respektive myndighet i gällande rätt. Flera myndigheter har en förordningsreglerad uppgift som omfattar forsk- ning, se t.ex. 2 § förordningen (2007:1170) med instruktion för eller 4 § förordningen (2013:1020) med instruktion för . Uppgiften att forska kan även regleras på annat sätt, t.ex. direkt i lag eller genom särskilda regerings- beslut. Om uppgiften att forska är tydligt fastställd på detta sätt för en myndighet har myndigheten möjlighet att grunda behandling av personuppgifter som är nödvändig för att skapa en forskningsdatabas på artikel 6.1 e. drivs ofta i myndighetsform, vilket medför att samma resonemang kan föras för dem som för myndig- heter i allmänhet. Exempel på sådana forskningsinstitut är och . Det finns dock även forskningsinstitut som drivs i aktiebolagsform med staten som delägare helt eller delvis. () är ett exempel på nätverk av teknikinriktade forskningsinstitut som sam- verkar med akademi, näringsliv och samhälle. För sådana organ är det bedömningarna beträffande privaträttsliga forskningsutförare som är relevanta (se nedan). Förslag till reglering av forskningsdatabaser Verksamheten vid kommuner och landsting är reglerad i RF, kom- munallagen (2017:725) och speciallagstiftning för t.ex. skola, miljö och vård- och omsorg. När det gäller kommunernas verksamhet anges det i 14 kap. 2 § RF att kommunerna sköter lokala och regionala angelägenheter av allmänt intresse på den kommunala självstyrelsens grund. Kommunallagen reglerar såväl kommuner som landsting på en övergripande nivå. Där anges att kommuner och landsting får själva ha hand om angelägenheter av allmänt intresse som har anknytning till kommunens eller område eller deras medlemmar. Forskning och innovation är en viktig del av många kommuners utvecklingsarbete. Nämnas kan att enligt hälso- och sjukvårdslagen (2017:30) ska landsting och kommuner medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forsk- ningsarbete. När det gäller kommuner och landsting kan forskningsuppgiften vara fastställd genom beslut om verksamheten i kommunen som fattats av fullmäktige i enlighet med bestämmelserna i kommunal- lagen. I sådana beslut bör forskningsuppgiften anges tydligt så att forskningsuppgiften därigenom kan anses vara fastställd i nationell rätt. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter i en forsknings- databas som är nödvändig för att utföra forskningen. En privaträttslig forskningshuvudmans forskningsuppgift är fastställd i enlighet med nationell rätt om det krävs tillstånd för forsknings- projektet enligt t.ex. etikprövningslagen och huvudmannen har fått de tillstånd som krävs. Vårt förslag till reglering av forskningsdatabaser innebär att forskningsdatabasen måste vara etikgodkänd. En privat forskningshuvudman får därigenom sin uppgift att behandla person- uppgifter i en forskningsdatabas fastställd i enlighet med svensk rätt om tillstånd har meddelats i enlighet med etikprövningslagen. Ett beslut enligt etikprövningslagen och stöd av sådana andra författningar som nämns i detta avsnitt ger enligt vår uppfattning en Förslag till reglering av forskningsdatabaser sådan grund för behandlingen som är fastställd i enlighet med natio- nell rätt enligt artikel 6.3 dataskyddsförordningen. Detta innebär att en privat forskningshuvudman som avser att skapa en forsknings- databas som kräver godkännande enligt etikprövningslagen kan åberopa den rättsliga grunden allmänt intresse för den person- uppgiftsbehandling som är nödvändig för projektet eller forsknings- databasen, om forskningen godkänts av Etikprövningsmyndigheten4 (se vidare avsnitt 8.8.2 för vår bedömning av vilka privata forsknings- huvudmän som ska kunna få ansvara för en forskningsdatabas). Detta gäller på motsvarande sätt även för offentliga forskningshuvudmän, men som redovisats ovan har dessa i regel möjlighet att åberopa den rättsliga grunden allmänt intresse redan mot bakgrund av en i nationell rätt fastställd uppgift att forska. Behandlingar av personuppgifter i en forskningsdatabas kommer ofta att omfatta känsliga personuppgifter enligt artikel 9.1 i dataskydds- förordningen. Om så är fallet måste forskningshuvudmannen ta ställ- ning till om något av undantagen mot förbudet att behandla känsliga personuppgifter kan vara tillämpligt enligt artikel 9.2. De undantag som enligt vår bedömning kan komma i fråga, är att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel ), eller av hänsyn till vetenskapliga eller historiska forsk- ningsändamål (artikel 9.2 j). Det är därför nödvändigt att göra en bedömning av om kraven i artikel eller 9.2 j är uppfyllda. Kraven innefattar förutom de beskrivna ändamålen att det finns stöd för undantagen i unionsrätten eller nationell rätt. Vi har tidigare gjort bedömningen att vid personuppgiftsbehandling för forskningsända- mål ska undantaget i artikel 9.2 j användas,5 och vi ser inte något skäl att frångå den bedömningen vid forskningsverksamhet i form av forskningsdatabaser. Forskning som innefattar känsliga personuppgifter kräver enligt gällande rätt – oavsett om forskningshuvudmannen är en statlig myndighet eller en fysisk eller juridisk person – ett godkännande enligt 6 § etikprövningslagen. Av dess sista stycke framgår även att ett 4Etikprövningsnämnderna ersätts av , se avsnitt 5.4.1. 5SOU 2017:50 s. 191. Förslag till reglering av forskningsdatabaser godkännande enligt den lagen inte medför att forskningen får utföras om den strider mot någon annan författning. Det är alltså för ett forskningsprojekt inte alltid tillräckligt med ett beslut om god- kännande enligt etikprövningslagen utan det kan även krävas tillstånd av myndigheter enligt andra författningar, exempelvis krävs tillstånd av vid kliniska läkemedelsprövningar. Behandling av känsliga personuppgifter för forskningsändamål måste omfattas av lämpliga och särskilda åtgärder som är fastställda i unions- rätt eller nationell rätt (artikel 9.2 j). Behandling av personuppgifter om lagöverträdelser för forskningsändamål som utförs av andra än myndigheter får utföras när behandling är tillåten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder måste vara fastställda (artikel 10). Dataskyddsförordningen preciserar inte närmare hur de nationella skyddsåtgärderna ska utformas för att anses vara lämpliga och sär- skilda. Av dataskyddsförordningen framgår att lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utveck- lingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolik- hetsgrad och allvar, för fysiska personers rättigheter och friheter måste vidtas av personuppgiftsansvariga och personuppgiftsbiträden (artiklarna 24 och 32). Enligt etikprövningslagen får forskning bara godkännas om den kan utföras med respekt för människovärdet. Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen sam- tidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför sam- hällets och vetenskapens behov och forskning får bara godkännas om de risker som den kan medföra för forskningspersoners hälsa, säker- het och personliga integritet uppvägs av dess vetenskapliga värde. Forskning får vidare inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forsknings- personers hälsa, säkerhet och personliga integritet. Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser får Förslag till reglering av forskningsdatabaser bara godkännas om den är nödvändig för att forskningen ska kunna utföras och forskning får bara godkännas om den ska utföras av eller under överinseende av en forskare som har den vetenskapliga kompe- tens som behövs (7–11 §§ etikprövningslagen). Vi föreslår i detta kapitel att etikprövningslagen ska utvidgas så att lagen även ska tillämpas på forskningsdatabaser. Vi har tidigare bedömt att etikprövning uppfyller förordningens krav på skyddsåtgärder vid personuppgiftsbehandling för forsknings- ändamål.6 En etikprövning enligt etikprövningslagen uppfyller enligt vår uppfattning dataskyddsförordningens krav på en objektiv bedöm- ning av de risker personuppgiftsbehandlingen kan medföra för den registrerades grundläggande rättigheter och friheter även vid sådan forskning som utgörs av forskningsdatabaser. Vi bedömer således att etikprövning av forskning i form av forskningsdatabaser är en sådan i nationell rätt fastställd lämplig och särskild åtgärd som artikel 9.2 j i dataskyddsförordningen kräver vid nödvändig behandling av känsliga personuppgifter för forskningsändamål. 8.2.5Grundläggande principer för behandling All personuppgiftsbehandling måste, utöver kraven i artikel 6, 9 och 10, som vi redogjort för ovan, också uppfylla de grundläggande princi- perna som framgår av artikel 5. Forskningshuvudmännen ansvarar för att behandlingen i en forskningsdatabas uppfyller även dessa data- skyddsprinciper. I avsnitt 5.3.5. har vi redogjort för dessa krav. 8.3En lag om forskningsdatabaser Vårt förslag: Villkoren för att behandla personuppgifter i forsk- ningsdatabaser ska vara reglerade i lag. Bestämmelserna ska finnas i en ny lag om forskningsdatabaser. Ytterligare skyddsbestämmel- ser utöver de som ska finnas i den nya lagen ska införas i etikpröv- ningslagen och i offentlighets- och sekretesslagen. När den nya lagen träder i kraft ska lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa upphöra att gälla. 6SOU 2017:50 s. 332 ff. Förslag till reglering av forskningsdatabaser Ett av våra uppdrag är att föreslå en långsiktig reglering av forsknings- databaser. Vi ska föreslå ändamålsenliga bestämmelser om hur person- uppgifter får behandlas i sådana databaser. Regleringen ska vara ändamålsenlig på så vis att den ger goda förutsättningar för forsk- ningen att använda personuppgifter för att skapa ny kunskap. En sådan reglering måste säkerställa den enskildes fri- och rättigheter. Vårt förslag måste innefatta sådana skyddsåtgärder att den enskildes integritet skyddas på ett godtagbart sätt vid behandlingen av personuppgifter i forskningsdatabasen. I 2 kap. regeringsformen, förkortad RF, finns bestämmelser som ger ett grundläggande skydd för den personliga integriteten. Var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket). Detta integritetsskydd får begränsas genom lag (2 kap. 20 §). Begränsningar i skyddet av den personliga integri- teten får enligt 2 kap. 21 § RF göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och inte heller gå utöver vad som är nödvändigt med hänsyn till det ändamål som föranlett den. I den typ av uppgiftssamling som en forskningsdatabas utgör kommer personuppgifter som avser ett stort antal människor att behandlas . Det kan också handla om särskilt integritetskänsliga personuppgifter såsom uppgifter om sjukdomar och hälsotillstånd samt uppgifter om lagöverträdelser. Vi anser att forskningsdatabaser ska regleras i lag. Vi föreslog i vårt delbetänkande7 en ny lag om reglering av person- uppgiftsbehandling för forskningsändamål. Lagen skulle komplettera dataskyddsförordningen vid personuppgiftsbehandling för forsk- ningsändamål. Syftet med förslaget var att möjliggöra personuppgifts- behandling för forskningsändamål som den enskildes fri- och rättigheter skyddas. har lämnat ett utkast till en lagrådsremiss.8 Departementet föreslår dock inte någon forskningsdatalag. Enligt departementet ger dataskydds- förordningen och lagen (2018:218) med kompletterande bestäm- melser till EU:s dataskyddsförordning (dataskyddslagen) tillsammans 8Utbildningsdepartementets utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). Förslag till reglering av forskningsdatabaser med etikprövningslagen ett tillräckligt stöd för behandling av person- uppgifter för forskningsändamål. Mot denna bakgrund föreslår att de nya bestämmelserna som gör det tillåtet med personuppgiftsbehand- ling i forskningsdatabaser ska finnas i en egen lag – lagen om forsk- ningsdatabaser. Lagen innebär en generell reglering av forskningsdatabaser. Det hindrar i och för sig inte att vissa forskningsdatabaser kan ha en specialreglering. Det är upp till lagstiftaren att bedöma om en forsk- ningsdatabas är av en sådan karaktär att det av olika skäl vore lämp- ligare att reglera den i en särskild lag.