sou · H6B336 · 2018-06-05 00:00:00 — Vi har fått flera tilläggsdirektiv. Vi har fått uppdrag att analysera behovet och föreslå kompletterande reglering till dataskyddsförord- ningen och dataskyddslagen för behandling av personuppgifter i verksamhet, och genom ytterligare tilläggs- direktiv utvidgades uppdraget till att omfatta personuppgifts- behandling vid alla forskningsbibliotek.7 Dessutom har vi i tilläggsdirektiv uppdragits att analysera behovet av och föreslå reglering för att möjliggöra () utlämnande av uppgifter om individers inkomstförhållanden till Income Study.8 2.1.1Uppdraget att föreslå långsiktiga regleringar av forskningsdatabaser Regeringen har konstaterat att någon långsiktig reglering av forsk- ningsdatabaser inte kommer att vara på plats när dataskydds- förordningen börjar tillämpas . Den första delen av vårt uppdrag, som avrapporterades i delbetänkandet,9 var därför att föreslå kompletterande reglering till de anpassningar av svensk lagstiftning som har föreslagit ska träda i kraft vid detta datum.10 Regeringen har därutöver efterfrågat långsiktiga lösningar på behovet att förbättra förutsättningarna för registerbaserad forsk- ning. Förslag har tidigare lämnats av Registerforskningsutred- ningen.11 I vårt uppdrag har därmed också ingått att ta ställning till om en långsiktig reglering av , som bedrivs med stöd av en tidsbegränsad lag,12 och andra liknande initiativ med syftet att bygga gemensamma forskningsdatabaser innehållande personuppgifter för forskningsändamål kan åstadkommas utan att varje sådan databas regleras var för sig. Vårt uppdrag är således att 7Tilläggsdirektiv till (U 2016:04), dir. 2017:29 och 2017:87. 10Regeringen har därefter föreslagit en ny dataskyddslag i prop. 2017/18:105. 12Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Vårt uppdrag och arbete föreslå de författningsförslag som behövs för en långsiktig reglering av forskningsdatabaser. Vi tolkar att uppdraget i denna del är att föreslå kompletterande reglering så att den lagstiftning som gäller efter möjliggör en ändamålsenlig behandling av personuppgifter för forskningsändamål i forskningsdatabaser, som skyddet för den enskildes fri- och rättigheter upprätthålls. Vi uppfattar detta som vårt huvuduppdrag för utredningens andra fas. 2.1.2Reglering av rättspsykiatriskt forskningsregister () är personuppgiftsansvarigt för ett rättspsykiatriskt forskningsregister. Registret får användas för behandling av personuppgifter för forskning inom rättspsykiatrin och för RMV:s uppföljning, utvärdering och kvalitetssäkring av sin verksamhet inom rättspsykiatrin. Registret regleras i lagen (1999:353) om rättspsykiatriskt forskningsregister. RMV har analyserat behovet av rättsligt stöd och anser att de begränsningar som finns i den befintliga regleringen gör att registret inte utgör ett ändamålsenligt stöd för den rättspsykiatriska forsk- ningen vid myndigheten. RMV föreslår att lagen upphävs och ersätts av annan lagstiftning.13 Vi har i vårt delbetänkande tills vidare föreslagit vissa anpass- ningar av lagen om rättspsykiatriskt forskningsregister inför att dataskyddsförordningen ska börja tillämpas den 25 maj 2018.14 I utredningens andra fas har vi haft i uppgift att •undersöka hur lagen om rättspsykiatriskt forskningsregister används , •analysera om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och hur en sådan regle- ring i så fall bör utformas, och •lämna behövliga författningsförslag. 13Ett nytt författningsstöd för behandling av personuppgifter, m.m. (Ju2013/8833/Å). Vårt uppdrag och arbete 2.1.3Reglering av ett nationellt biobanksregister Utredningen om regleringen av biobanker hade bl.a. i uppdrag att se över lagen (2002:297) om biobanker i hälso- och sjukvården och andra angränsande författningar. Syftet med utredningen var att anpassa lagstiftningen så att den underlättar utvecklingen och förbättrar förutsättningarna för användning av prover och uppgifter i svenska biobanker för patientens, hälso- och sjukvårdens och forskningens behov. Utredningen överlämnade sitt slutbetänkande.15 Där ingår ett förslag till reglering av ett nationellt biobanksregister med syfte att kunna spåra prover, bland annat för forskningsändamål. Våra respektive direktiv är närliggande i denna del och utformades mot bakgrund av att föreslog att skulle vara personuppgiftsansvarig för det sam- ordnande , att registret skulle innehålla personuppgifter (inklusive provsvar), och att registret skulle regleras i en särskild lag, lagen om . Regeringen ansåg att en vidare beredning av förslag måste göras med beaktande av remissinstansernas syn- punkter och med anledning av att dataskyddsförordningen och kompletterande nationell lagstiftning blir tillämpliga i . Vi har därför i uppdrag att lämna förslag till en reglering av ett nationellt biobanksregister. 2.1.4Utlämnande av personuppgifter till Income Study Svenska forskare har bidragit till den internationella forskningen om inkomstskillnader, fattigdom och om hur social- politikens transfereringar påverkar befolkningens disponibla in- komster. Denna forskning har underlättats genom ett internationellt samarbete och en internationell forskningsdatabas benämnd Income Study () med säte i och med jämförande uppgifter från 47 länder. SCB levererade uppgifter till databasen från dess tillkomst fram , men har där- efter bedömt att det saknas rättsliga förutsättningar för myndig- heten att leverera uppgifter. är därmed ett av få länder som 15Utredningens om regleringen av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4). Vårt uppdrag och arbete inte kan bidra till inkomstdatabas. () har granskat SCB:s förutsättningar att lämna ut personuppgifter från inkomststatistiken till . RRV har konstaterat att de uppgifter som behövs omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), och att det därför skulle krävas en författningsreglerad skyldighet för att SCB ska kunna lämna ut uppgifterna. Regeringen anser att denna forskning och LIS-data- basen är av stor betydelse, men att vissa frågor återstår att analysera. Vi har därför fått i uppdrag att •analysera vilken rättslig reglering som behövs och är lämplig för att SCB ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till den organisation som administrerar för att uppgifterna ska ingå i databasen, och •lämna nödvändiga författningsförslag. 2.1.5Skydd för uppgifter om avlidna i forensisk forskning Dataskyddsförordningen gäller inte behandling av uppgifter om avlidna personer. Medlemsstaterna får enligt förordningen fastställa bestämmelser för behandlingen av uppgifter om avlidna personer. I vissa registerförfattningar finns det ett uttryckligt skydd för upp- gifter om avlidna. RMV anser dock att integritetsskyddet för upp- gifter om avlidna personer i forskning bör ses över. Med anledning av detta har vi i uppgift att •kartlägga vilket skydd som finns för sådana uppgifter om avlidna som hanteras inom forensisk forskning, •analysera och ta ställning till om det finns behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning, och •vid behov föreslå de författningsändringar som behövs. 2.1.6Reglering av forskningsbibliotekens personuppgiftsbehandling I tilläggsdirektiv har utredningen fått i uppdrag att analysera vilken reglering som, utöver dataskyddsförordningen, kan behövas för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i Vårt uppdrag och arbete verksamhet.16 Vi fick därefter i ytterligare tilläggsuppdrag att analysera i vilken utsträckning dataskydds- förordningen kommer att vara tillämplig när personuppgifter behandlas i verksamheten hos forskningsbiblioteken och för vilken behandling av personuppgifter som forskningsbiblioteken har ett personuppgiftsansvar, samt vilka rättsliga förutsättningar som i sådana fall finns i dataskyddsförordningen för behandling av person- uppgifter i den verksamhet som bedrivs av forskningsbiblioteken.17 Vi skulle även analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av det för- slag till kompletterande dataskyddslag som lagts fram av Data- skyddsutredningen18 samt lämna de författningsförslag som behövs. Dessa två uppdrag har redovisats tillsammans i en särskild prome- moria . Den ingår som bilaga till detta slut- betänkande.19 Arbetet har bedrivits i utredningens sekretariat som, utöver den särskilda utredaren, har bestått av en huvudsekreterare och fyra ytterligare sekreterare. Till utredningen har förordnats nio experter och fyra sakkunniga. , verksjurist vid RMV, har ingått i expertgruppen och har bidragit med underlag till den del av våra uppdrag som gäller Rättspsykiatriska forskningsregistret och uppgifter om avlidna i forskningen. , verksjurist vid , har varit expert i utredningen och har bidragit med underlag till biblioteksuppdragen.20 Docent har anlitats för ett kortare uppdrag och har lämnat underlag med avseende på forskningsdatabaser, etikprövning m.m. i andra länder. 18Förslaget har lett till att lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan kallad dataskyddslagen) utfärdades . Lagen trädde i kraft . 19Personuppgiftsbehandling i forskningsbibliotekens verksamhet, bilaga 5. Vårt uppdrag och arbete Vår expertgrupp (inbegripet de sakkunniga) har sammanträtt sam- manlagt tio gånger, varav fyra efter det att vi lämnade vårt del- betänkande. I samband med dessa möten har några promemorior och utkast till betänkandetext presenterats och diskuterats, vilka senare bildat stommen i förvarande betänkande. Enskilda experter och sakkunniga har även bistått utredningen i dialog om specifika frågor. 2.2.2Besök vid lärosäten och myndigheter Vi har och gjort ett antal besök vid lärosäten och myndigheter som vad gäller forskning berörs av data- skyddsförordningen och de kompletterande regleringar som föreslås eller förväntas föreslås. Vi har besökt universitetsledningar och berörda forskare vid universiteten i , , , och samt vid , och . Vi har också besökt , och . Vi har därutöver tillsammans med en representant för Utredningen om regleringen av biobanker medverkat vid Register- dataråd. 2.2.3Övriga kontakter och framträdanden Vi har medverkat i flera konferenser och informerat om dataskydds- förordningen ur ett forskningsperspektiv i en rad olika samman- hang. Detta har innefattat föredrag vid sammanslutningar av forskare och dataförvaltare inom olika områden, exempelvis flera nationella konferenser med hälso- och sjukvårdens kvalitetsregister, sjukvårdens forskningsdagar, konferens om personlig medicin vid , forskardagar, nationell konferens med etikprövningsnämnderna, nationellt möte med FoU-chefer21 vid landstingen, samt nordisk epidemiologi- 21Chefer för forskning och utveckling. Vårt uppdrag och arbete Öppna föredrag om den allmänna dataskydds- förordningen har hållits vid universiteten i , , , och vid . Vi har utöver detta tillsammans med representanter medverkat i nordiskt samarbete mellan företrädare för regeringar och myndigheter kring förberedelser inför data- skyddsförordningens införande. 2.2.4Annat underlag i utredningsarbetet har under arbetets andra fas tagit del av och beaktat förslag lämnade av , Dataskydds- utredningen, , Utredningen om till- synen över den personliga integriteten och Utredningen om översyn av etikprövningen. Vissa möten med representanter för dessa utred- ningar har också förekommit. Med anledning av att uppdragen till Utredningen om regleringen av biobanker har legat särskilt nära våra direktiv i den del som berör reglering av ett nationellt biobanks- register har kontakter upprätthållits med den utredningen under arbetets gång. Vi har tagit del av och beaktat dataskyddslagen jämte pro- positionen med förslag till denna lag22 samt propositionen om data- skydd inom verksamhetsområde.23 Vi har också tagit del av det slutbetänkande som överlämnats av Utred- ningen om regleringen av biobanker.24 Utöver detta har vi tagit del av och beaktat det utkast till lagrådsremiss som lämnats med avseende på utredningens eget delbetänkande rörande person- uppgiftsbehandling för forskningsändamål.25 2017/18:105. 2017/18:171. 25Remiss U2018/01639/F. Vårt uppdrag och arbete Betänkandet inleds i kapitel 3 med en redogörelse för bakgrunden till vårt uppdrag och vilka utgångspunkter som vi tagit med oss från arbetet med delbetänkandet.26 Vi redogör också för de begrepp som vi använder i detta slutbetänkande. Kapitel 4 behandlar behovet av forskningsdatabaser mot bak- grund av digitaliseringens utveckling och med utgångspunkt i bedömningar.27 Kapitel 5 innehåller en genomgång av de rättsliga förutsätt- ningarna för forskningsdatabaser. Kapitel 6 behandlar uppdrag och förslag med särskilt fokus på förslaget om reglering av forsk- ningsdatabaser. I kapitel 7 redogör vi för vår ansats, det vill säga de principiella utgångspunkter som ligger till grund för våra bedömningar och för- slag. Här introduceras utgångspunkten att forskningsdatabaser kan beskrivas ur ett livscykelperspektiv, samt redogörs för några exempel på forskningsdatabaser. I kapitel 8 redogör vi för utredningens förslag till reglering av personuppgiftsbehandling i forskningsdatabaser. De innefattar ett förslag till en ny lag om forskningsdatabaser samt förslag till ändringar av vissa andra lagar och förordningar som berör etikprövning och sekretess, samt av instruktion. Kapitlen 9–12 behandlar övriga uppdrag vid sidan om huvud- uppdraget. I kapitel 9 föreslås att lagen om rättspsykiatriskt forsk- ningsregister ska upphävas. I kapitel 10 bereds Registerforsknings- utredningens förslag till reglering av ett nationellt biobanksregister. Kapitel 11 behandlar utlämnande av uppgifter till europeiska forsk- ningsdatabaser med särskilt fokus på Income Study. I kapitel 12 undersöks om det behövs ett förstärkt skydd för avlidna i forskning. Vi har här vidgat perspektiven till att omfatta utlämnande av uppgifter till europeiska forskningsdatabaser i allmänhet och till bedömningar om det behövs skydd för avlidna även i sådan forskning som inte tillhör den forensiska forskningen. Kapitel 13 innehåller en konsekvensanalys och kapitel 14 innehåller kommentarer till författ- ningsförslagen. Vårt uppdrag och arbete Bilagorna 1, 2, 3 och 4 består av utredningens olika direktiv. Bilaga 5 utgörs av det tidigare lämnade förslaget till reglering av personuppgiftsbehandling i forskningsbibliotekens verksamheter. kan noteras att betänkandetexten är utformad med använd- ning av ”vi-form” omfattande utredningen i sin helhet. Arbetet har bedrivits med aktivt deltagande av och i samverkan med experter och sakkunniga. Det har förts särskilda mer ämnesinriktade diskussioner samt bilaterala dialoger med experter inom olika specialområden. Mot denna bakgrund redogör utredningen för uppdraget med användande av vi-form även om det inte funnits fullständig samsyn i alla delar. 3Bakgrund, utgångspunkter och begrepp I detta kapitel redogör vi kortfattat för bakgrunden till vårt uppdrag och vilka utgångspunkter som vi tagit med oss från arbetet med delbetänkandet.1 Vi redogör också för de begrepp som vi kommer att använda i detta slutbetänkande. Utredningen har i uppdrag att föreslå en långsiktig reglering av forskningsdatabaser. Därutöver har utredningen även uppdrag som avser personuppgiftsbehandling i rättspsykiatriskt forskningsregister, hantering av uppgifter om avlidna och om utlämnande av uppgifter till Income Study (). Vi har även i uppgift att lämna förslag till en reglering av ett nationellt biobanksregister.2 Vårt uppdrag i sin helhet handlar således om att utreda och för- bättra förutsättningarna för att behandla personuppgifter för forsk- ning i olika bemärkelser. Direktiven utgår från att registerbaserad forskning är värdefullt för vårt samhälle och måste kunna bedrivas på ett säkert och etiskt korrekt sätt. De lösningar som vi föreslår ska möjliggöra en ändamålsenlig behandling av personuppgifter för forsk- ningsändamål som det finns ett skydd för den enskildes fri- och rättigheter. Frågan om hur registerbaserad forskning bör vara reglerad har tidigare utretts av framför allt Statistikutredningen3 och Register- forskningsutredningen.4 lämnade ett förslag till lag om forskningsdatabaser. Lagen skulle ge stöd för statliga universitet eller 1Delbetänkande av Forskningsdatautrednigen Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). 2En mer noggrann redogörelse för alla delar i vårt uppdrag finns i kapitel 2. 3Delbetänkande av för forskning (SOU 2012:36). 4Betänkande av kunskap genom registerforskning (SOU 2014:45). Bakgrund, utgångspunkter och begrepp högskolor som omfattas av högskolelagen (1992:1434) och andra statliga myndigheter, som har i uppdrag att bedriva forskning, att utföra behandling av personuppgifter i forskningsdatabaser. I den föreslagna lagen finns det vissa generella regler för forskningsdata- baser som för varje databas ska kompletteras med en särskild för- ordning som reglerar t.ex. ändamål och innehåll. I kapitel 6 behandlas förslag utförligare. Enligt vårt uppdrag ska förslag beredas ytterligare med beaktande av remissinstansernas synpunkter (se kapitel 6). Det behövs enligt direktiven en analys av om förslaget är förenligt med dataskyddsförordningen5 och i annat fall vilka anpassningar av förslaget som kan krävas utifrån förordningen och den generella reglering som har föreslagit.6 Det finns förstås också annat arbete som redan pågår för att för- bättra förutsättningarna för registerbaserad forskning. Vetenskaps- rådet har t.ex. i uppdrag av regeringen7 att inom myndigheten bygga upp en verksamhet för att förbättra tillgängligheten till register- uppgifter i för forskningsändamål. I uppdraget ingår även att bistå forskare med information om register och om relevant lag- stiftning. Ett led i att uppfylla detta uppdrag är arbete med webbplatsen . Redan i delbetänkandet formulerade vi några utgångspunkter som också har haft bäring på det fortsatta arbetet med att hitta lösningar för en ändamålsenlig reglering av forskningsdatabaser: •Det är enligt utredningens bedömning en integrerad del av forsk- ningsprocessen att skapa forskningsinfrastrukturer som har bredare formulerade forskningsändamål än de som förekommer i enskilda forskningsprojekt. 5Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 6Dataskyddsutredningens betänkande Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Se även Regeringens proposition Ny dataskyddslag (prop. 2017/18:105) samt den beslutade lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 7Regeringsbeslut , U2013/6296/F, U2013/1927/F och U2013/2506/F. Bakgrund, utgångspunkter och begrepp •Det är enligt utredningens bedömning rimligt att uppbyggnaden av en forskningsdatabas kan bedömas som personuppgiftsbehand- ling för forskningsändamål och därmed utgöra en del av själva forskningen. En viktig utgångspunkt för vårt fortsatta arbete är därtill att •det är möjligt att ta fram en ändamålsenlig och säker reglering av forskningsdatabaser, som både uppfyller forskningens behov och innefattar ett gott skydd för den personliga integriteten. Dessa utgångspunkter hade vi med oss in i arbetet med att redovisa vårt uppdrag i detta slutbetänkande. I kapitel 7 har vi utvecklat våra utgångspunkter och vår ansats ytterligare. 3.3Centrala begrepp för slutbetänkandet Delbetänkandet8 innehåller en genomgång av de termer och begrepp som används i dataskyddsdirektivet9, personuppgiftslagen (1998:204) och dataskyddsförordningen för att beskriva forskning. I bilaga 3 till delbetänkandet finns dessutom en strukturerad begreppsgenomgång av dataskyddsförordningen. Även i Registerforskningsutredningens10 och Statistikutred- ningens11 betänkanden finns termer och begrepp beskrivna för det område som är relevant för vår utredning. Vi hänvisar därför till deras betänkande, för ytterligare fördjupning vad avser begreppen inom detta område. Här ska vi gå igenom några termer och begrepp som är särskilt viktiga för vår slutredovisning.12 8SOU 2017:50, s. 87 ff. 9Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 12Med begrepp avses en avgränsad mental föreställning av någon viss företeelse. Med term avses ett namn på ett begrepp. Bakgrund, utgångspunkter och begrepp Vår bedömning: Behandling av personuppgifter i en forsknings- databas omfattas av begreppet ”vetenskapliga eller historiska forskningsändamål” i dataskyddsförordningen. Vi diskuterade i delbetänkandet hur en avgränsning av begreppet forskning kan göras och särskilt hur begreppet kan avgränsas i förhållande till begreppet forskningsändamål. När det gäller den mer utvecklade analysen och diskussionen hänvisar vi till delbetänkandet.13 Uttrycket ”vetenskapliga eller historiska forskningsändamål” som används upprepade gånger i dataskyddsförordningen innefattar enligt vår bedömning forskningsändamål utan att någon särskild åtskillnad i betydelse bör göras mellan dessa två delar med avseende på person- uppgiftsbehandling. Vilka delar av forskningsprocessen som kan räknas in under begreppet forskning är viktigt för frågan om tillåten behandling av personuppgifter i forskningsdatabaser. En utgångspunkt för vår bedömning är att begreppet forsknings- ändamål har gemenskapsrättslig betydelse utifrån dataskyddsförord- ningen. Legaldefinitioner i nationell rätt kan inte påverka en bedöm- ning av om en viss behandling kan anses utföras för forskningsända- mål eller inte. De möjliga rättsliga grunderna för personuppgifts- behandling i artikel 6 är inte avhängiga av om en viss behandling anses utföras för forskningsändamål eller inte. Däremot är behandling som utförs för forskningsändamål i vissa fall särskilt gynnad när det gäller de grundläggande principerna för behandling av personuppgifter i artikel 5. För att det centrala undantaget från förbudet att behandla känsliga personuppgifter som återfinns i artikel 9.2 j ska bli tillämpligt krävs att en viss behandling är nödvändig för forskningsändamål. Avgräns- ningar eller preciseringar av forskningsbegreppet i de legaldefinitioner som finns i 2 § lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) har alltså ingen betydelse för om detta undantag kan tillämpas. Begreppet forskningsändamål definieras dock inte i dataskydds- förordningen. Viss vägledning kan hämtas i skäl 159, som anger att behandling av personuppgifter för vetenskapliga forskningsändamål 13SOU 2017:50 s. 97. Bakgrund, utgångspunkter och begrepp bör ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privat- finansierad forskning. Det finns alltså stöd i förordningen för en vidsträckt tolkning av begreppet. Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt artikel 179.1 i EUF-fördraget angående åstad- kommandet av ett europeiskt forskningsområde. Artikel 179.1 i EUF-fördraget anger att: Unionen ska ha som mål att stärka unionens vetenskapliga och tekniska grund genom att åstadkomma ett europeiskt forskningsområde med fri rörlighet för forskare, vetenskapliga rön och teknik, att främja ut- vecklingen av unionens konkurrensförmåga, inbegripet inom unionens industri, och att underlätta alla forskningsinsatser som anses nödvändiga enligt andra kapitel i fördragen. Skäl 159 breddar även begreppet genom att ange att vetenskapliga forskningsändamål också bör omfatta studier som utförs i allmän- hetens intresse inom folkhälsoområdet.