sou · H6B336 · 2018-06-05 00:00:00 — En ytterligare säkerhetsåtgärd är att kräva någon form av externt godkännande av forskningsdata- basen. Etikprövning av forskningsprojekt är en etablerad skyddsåtgärd. I delbetänkandet redovisade vi som vår bedömning att etikprövning enligt etikprövningslagen utgör en sådan fastställd lämplig och sär- skild åtgärd som krävs vid behandling av känsliga personuppgifter för forskningsändamål enligt artikel 9.2 j i dataskyddsförordningen. Vi gjorde även bedömningen att etikprövning enligt etikpröv- ningslagen utgör en sådan fastställd lämplig skyddsåtgärd som krävs för behandling av personuppgifter om lagöverträdelser m.m. enligt artikel 10 i dataskyddsförordningen.23 Eftersom det redan finns en välfungerande mekanism för att god- känna forskning anser vi att det är lämpligt att utvidga denna möjlig- het till prövning till att också omfatta en forskningsdatabas i sig. Möjligheten att utvidga etikprövningslagens tillämpningsområde på detta sätt övervägdes också av Registerforskningsutredningen.24 Mot bakgrund av det förslag till reglering som föreslogs ansåg utredaren dock att det inte var en lämplig lösning: Den beredning som VR förutsätts göra och den prövning som sedan regeringen gör inför en ny databasförordning kan förutsättas innehålla etiska överväganden av det slag som utförs av en etikprövningsnämnd. Regeringen har i denna process möjlighet att inhämta åsikter från till exempel , SCB och Datainspektionen för att på detta sätt belysa förslagets etiska aspekter. Jag menar därför att etikprövningsnämndens tillämpningsområde inte bör utvidgas till att omfatta även skapandet av forskningsdatabaser. 23SOU 2017:50, s. 332 ff. 24SOU 2014:45, s. 424 ff. Förslag till reglering av forskningsdatabaser föreslog en lösning med en centrali- serad beslutsprocess avseende inrättande av forskningsdatabaser. skulle förslå för regeringen vilka forskningsdatabaser som skulle få bildas och sedan skulle regeringen fatta beslut. Det framstår som om utredaren ansåg att den prövning som den centra- liserade lösningen innebär motsvarar en etikprövning. Vi föreslår till skillnad från en decentraliserad beslutsprocess, där varje enskild forskningshuvudman beslutar om att inrätta en forskningsdatabas i den egna verksamheten. Vi bedömer därför att en centraliserad, utomstående bedömning i form av etikprövning av forskningsdatabasen i sig är en lämplig skyddsåtgärd. Vårt förslag till reglering av forskningsdatabaser innebär att etik- prövningslagen måste få ett vidare tillämpningsområde och ett antal nya bestämmelser. Etikprövning ska omfatta såväl själva forsknings- databasen, som all forskning som ska utföras med hjälp av person- uppgifter i den. För att forskningsdatabasen ska få lämna ut uppgifter till forskning, ska forskningsprojekten vara godkända genom etik- prövning. Se vidare om utlämnande för forskning i avsnitt 8.11.2. I delbetänkandet lämnade vi ett författningsförslag avseende 3 § etikprövningslagen för att anpassa lagen till dataskyddsförordningen. När det gäller dessa anpassningar hänvisar vi till våra överväganden i delbetänkandet.25 Vi föreslår nu att lagens tillämpningsområde ut- vidgas. Lagen ska tillämpas även på forskning som innefattar behand- ling av personuppgifter i en forskningsdatabas och på forskning som använder personuppgifter som samlas in från en forskningsdatabas. Detta ska framgå av 3 § etikprövningslagen.26 25SOU 2017:50 s. 346 ff. 26I vårt författningsförslag i detta betänkande, avsnitt 1.3, återfinns den lydelse av 3 § första och andra punkterna etikprövningslagen som vi föreslog i SOU 2017:50. Förslag till reglering av forskningsdatabaser Avgifterna för etikprövningsärenden sätts av regeringen.27 Dessa avgifter ska beräknas så att full kostnadstäckning för prövningen uppnås.28 I praktiken uppnås inte detta ,29 utan nämndernas kostnad per ärende överstiger den schabloniserade avgiften (normalt ) med mellan . För ändringsärenden enligt 4 § etikprövningslagen överstiger nämndernas faktiska kostnader den schabloniserade avgiften () med mellan 85 till 183 procent.30 Frågan om avgifter för etikprövningsärenden har utretts i samband med utredande av en ny organisation för etikprövning (där en avgiftshöjning till för annan forskning än klinisk läkemedelsprövning föreslås, samt en höjning till för ändringsärenden)31. För just ärenden som rör klinisk läkemedels- prövning har föreslagits ett nytt förfarande, där kostnaden för den del av ansökningsavgiften för tillstånd att utföra klinisk läkemedels- prövning som avser etisk granskning bör vara 21 000 kronor.32 Vi utgår dock i vår bedömning från de avgifter som gäller . Vi gör bedömningen att ett ärende om etikprövning av forsknings- databaser i genomsnitt kommer att vara mer resurskrävande än andra etikprövningar, men att det är svårt att säga exakt hur mycket mer resurskrävande. Vi gör ett schablonartat antagande att den nya typen av prövning kommer kunna vara dubbelt så resurskrävande som en vanlig prövning. Ett genomsnittligt ärende har en kostnad på . En rimlig avgift för ansökan om forskningsdatabas skulle därför inledningsvis kunna sättas till . Vi föreslår att en sådan bestämmelse tas in i bilaga 2 till etikprövningsförord- ningen. Mot bakgrund av att ett ärende om etikprövning av en forsknings- databas kommer att vara mer resurskrävande behöver även tiden inom vilken ska ta ställning till etikprövningen 27Bilaga 2 förordningen (2003:615) om etikprövning av forskning som avser människor (etik- prövningsförordningen). 28Regleringsbrev för avseende regionala Etikprövningsnämnder, U2017/05023/BS (delvis), U2017/05089/F, s. 9. 29Riksrevisionens årliga rapport , s. 22. 30Årsredovisningar 2016 för de regionala etikprövningsnämnderna i , , , , och , tillgängliga via 31Departementsserien En ny organisation för etikprövning av forskning (Ds 2016:46), s. 116 f. 32Departementsserien Etisk granskning av klinisk läkemedelsprövning (Ds 2016:12), s. 86 ff. Förslag till reglering av forskningsdatabaser Enligt förordningen om (2003:615) om etikprövning av forsk- ning som avser människor bör en regional etikprövningsnämnds33 beslut om etikprövning av forskning göras . Med hänsyn till att etikprövning av forskningsdatabaser bedöms vara mer tidskrävande än andra etikprövningar föreslår vi ett tillägg till bestäm- melsen med innebörden att beslut om etikprövning av en forsknings- databas ska göras . Genom dessa grundläggande krav på behandlingen anser utredningen att stommen för en ansvarsfull och säker behandling av person- uppgifter i en forskningsdatabas är lagd. Därutöver måste fler skydds- åtgärder regleras. Vi beskriver dessa krav i det följande. 8.8.6Etikprövningen av en forskningsdatabas Vårt förslag: En forskningsdatabas ska bara få godkännas om behandlingen av personuppgifter i forskningsdatabasen kan ut- föras med respekt för människovärdet Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Männi- skors välfärd ska ges företräde framför samhällets och veten- skapens behov. En forskningsdatabas ska få godkännas bara om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Forskningsdatabasen får inte godkännas, om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet. Behandling av personuppgifter som avses får godkännas bara om den är nödvändig för att forskningen ska kunna utföras. Forskningsdatabasen får bara godkännas om forskningsdata- basen uppfyller villkoren för skapandet av en forskningsdatabas 33Ändringar med hänsyn till den nya organisationen har ännu inte gjorts i förordningen. Förslag till reglering av forskningsdatabaser och de krav på organisatoriska åtgärder som ställs i 3 och 4 kap. lagen om forskningsdatabaser. Forskning som är viktig för samhället och för människors välfärd bedrivs ofta med enskilda individer som försökspersoner eller genom att människor på annat sätt ingår i forskningen. I samband med sådan forskning uppkommer ofta olika etiska frågeställningar som berör ett allmänt intresse av att skydda de enskilda individerna, men också av att skydda människovärdet i stort. De deltagande försökspersonerna behöver skyddas från risker att skadas fysiskt, psykiskt eller integritetsmässigt i samband med forskning. Integritetsaspekterna i samband med forskning har, i takt med det moderna samhällets utveckling, allt mer kommit att koncen- treras till hanteringen av den information som samlas in och som utgör underlag för forskningen. I 7–11 §§ nu gällande etikprövningslagen anges de allmänna utgångspunkter som gäller vid etikprövningen. Bestämmelserna har sin bakgrund i artikel 16 i konvention om mänskliga rättigheter och biomedicin. Syftet med bestämmelserna är att skydda både människovärdet i stort och den enskilde forskningspersonens välbefinnande.34 En prövning från etiska utgångspunkter måste bygga på en hel- hetsbedömning av den forskning som en viss ansökan avser. Vid prövningen beaktas bland annat den aktuella forskningens frågeställ- ningar, syfte, vetenskapliga värde, utförande, risker för forsknings- personer eller för synen på människovärdet, tilltänkta kontakter med forskningspersoner samt forskningsledningens och de deltagande forskarnas kompetens.35 2002/03:50 s. 196. 35Utredningens om översyn av etikprövningen betänkande Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård (SOU 2017:104), s. 68 ff. Förslag till reglering av forskningsdatabaser Skyddet för de personer som deltar i forskning är således av central betydelse när formerna för etikprövning ska regleras. Denna omsorg om den enskilde uttrycks på det sättet att vid etikprövningen får forskning godkännas bara om den bedrivs med respekt för människo- värdet. Vi bedömer att detta villkor kan tillämpas även när forsk- ningen ska utföras i en forskningsdatabas. En forskningsdatabas ska alltså bara få godkännas om behandlingen av personuppgifter i forsk- ningsdatabasen kan utföras med respekt för människovärdet. Mänskliga rättigheter och forskning Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför samhällets och vetenskapens behov. Bestämmelserna innebär att välfärden för de människor som deltar i eller på annat sätt ingår i forskning ska gå före samhällets och veten- skapens intressen. De medför också enligt förarbetena att man vid etikprövningen bör se längre än till de direkta riskerna för de med- verkande. I förarbetena konstateras att lagens krav både kan tala för och emot forskningen, eftersom människans välfärd i stort ofta gynnas av att forskningen kommer till stånd. Det framhålls också att det från samhällelig synpunkt är mycket viktigt att det skapas möjlig- het att genom forskning utveckla ny kunskap.36 Vi bedömer att detta krav för godkännande utan materiella förändringar också ska tillämpas i samband med etikprövning av en forskningsdatabas. Avvägning mellan risk och vetenskapligt värde Av avvägningsregeln (9 § etikprövningslagen) följer att forskning får godkännas endast om de risker som den kan medföra för forsk- ningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Enligt förarbetena ligger det i sakens natur att riskerna i normalfallet måste vara begränsade och att sökanden 2002/03:50 s. 98. Förslag till reglering av forskningsdatabaser måste visa att värdet av forskningen verkligen är så högt att det väger tyngre än intresset av att forskningspersonerna skyddas mot risker.37 Avvägningen ska göras i två steg. Först ska en bedömning av forskningens vetenskapliga bärkraft göras. Forskningen ska kunna generera kunskap som är väl underbyggd. Vid avvägningen ska också beaktas om de metoder som används ger tillförlitliga svar på forsk- ningens frågeställningar eller det problem eller förhållande som forskaren vill belysa. Som allmänt krav på forskning där människor ska ingå bör gälla att forskningen ska kunna innebära teoretisk eller praktisk nytta för samhället och mänskligheten i stort. Efter bedömningen av forskningens vetenskapliga bärkraft ska en avvägning göras mellan riskerna för skada eller obehag och det väntade värdet av den kunskap forskningen sannolikt kan ge. Vid denna så kallade risk-värdebedömning får riskerna inte stå i bristande proportion till forskningens potentiella allmängiltiga värde. Risk- och värdebedömningen är enligt förarbetena ett av de mest centrala inslagen i etikprövningen. Avsaknaden av denna princip skulle teoretiskt kunna innebära att om bara det vetenskapliga värdet av viss forskning bedöms vara tillräckligt stort kan allvarliga skador på deltagande människor accepteras. Forskning kan leda till banbrytande upptäckter, men detta bör inte få genomföras på bekostnad av t.ex. bestående skador hos deltagande människor, i vart fall inte om skadorna kunnat förutses. Det bör därför finnas en grundnorm med innebörden att forskning får godkännas bara om den kan genomföras med respekt för människovärdet och om de risker för deltagarnas hälsa, säkerhet och personliga integritet som är förenade med forsk- ningen uppvägs av dess vetenskapliga värde.38 Vi bedömer att denna avvägning också bör utgöra ett villkor för godkännande när forskningen utförs i en forskningsdatabas. När det gäller forskningsdatabaser kommer det i första hand handla om att vid prövningen bedöma riskerna för den personliga integriteten. 2002/03:50 s. 98, 99 och 196. 2002/03:50 s. 99. Förslag till reglering av forskningsdatabaser Bedömning av det vetenskapliga värdet av en forskningsdatabas Vid bedömning av det vetenskapliga värdet av den uppgiftssamling som en forskningsdatabas utgör kan ledning t.ex. hämtas från de kriterier som ställer vid utlysning av bidrag till databaser.39 Eftersom godkännande av forskningsdatabaser innebär en ny uppgift i samband med etikprövning kan Etikprövningsmyndig- heten behöva anpassa sin kompetens till detta område, t.ex. genom att anlita externa experter för den vetenskapliga bedömningen av forsk- ningsdatabasen. Med utgångspunkt från de krav som ställer i samband med utlysning av bidrag, kan den vetenskapliga värderingen av en forskningsdatabas exempelvis göras utifrån följande kriterier. •Forskningsdatabasens nationella eller internationella (alternativt allmänna) intresse. •Forskningsdatabasens vetenskapliga mål. •Den aktuella och framtida forskning som möjliggörs eller avsevärt underlättas genom forskningsdatabasen. •Befintliga och förväntade framtida användargrupper. För att utgöra en forskningsdatabas i lagens mening måste databasen utgöra en nationell resurs. har återkommande inventeringar av vilka områden som anses ha tydliga behov av nya forskningsinfrastrukturer.40 Vid bedömningen av vilka forsknings- infrastrukturer som ska stödjas tar hänsyn till om resursen kommer att vara tillgänglig för alla forskare som är verk- samma inom området. Vi gör bedömningen att den nationella till- gängligheten även är ett viktigt kriterium att använda vid bedöm- ningen det vetenskapliga värdet av en forskningsdatabas. Vi bedömer att avvägningsregeln i etikprövningslagen kan tilläm- pas även på forskning i form av forskningsdatabaser. 39Vetenskapsrådets utlysning av bidrag till drift av databaser inom samhällsvetenskap och medicin 2015. 40Se Bilaga till guide till infrastrukturen, 2016. Förslag till reglering av forskningsdatabaser Bedömning av risker för den personliga integriteten Den materiella prövningen av riskerna för forskningspersonernas personliga integritet har tidigare bedömts inte böra detaljstyras i lagform, eftersom forskning bedrivs på så många olika sätt, och att forskningsmetoder och andra förhållanden av betydelse ständigt utvecklas och förändras.41 Vi gör bedömningen att inte heller när det är fråga om forsknings- databaser så bör kriterier för denna bedömning regleras. I stället bör mer generella normer på dataskyddsområdet beaktas. Några aspekter som allmänt bör ingå i bedömning av riskerna för den personliga integriteten är mängden uppgifter som ska behandlas om varje enskild forskningsperson, känsligheten av upp- gifterna isolerat och sammantaget, antalet forskningspersoner som totalt ingår i databasen, huruvida pseudonymisering kan användas i databasen och vilka källor som uppgifterna kommer ifrån. Bedömning av om det finns alternativa metoder Forskning får inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet (10 § etikprövningslagen). Forskningen bör således bara få genomföras om det inte finns några alternativa likvärdiga metoder som inte innefattar försök på männi- skor eller om det kan utföras annan forskning som visserligen inne- fattar risker för människor men som innebär mindre risker än i det projekt som ansökan avser.42 Behandling av känsliga personuppgifter eller personuppgifter som rör lagöverträdelser m.m. får godkännas bara om den är nödvändig för att forskningen ska kunna utföras (10 § andra stycket etikprövnings- lagen). Dessa befintliga villkor för etikgodkännande av forskning överens- stämmer vad gäller behandling av personuppgifter de generella krav som finns i dataskyddslagstiftningen. Vi gör bedömningen att dessa villkor också måste vara uppfyllda för att en forskningsdatabas ska 2002/03:50 s. 101. 2002/03:50 s. 100. Förslag till reglering av forskningsdatabaser Vi bedömer att denna bestämmelse i etikpröv- ningslagen kan tillämpas även på forskning i form av forskningsdata- baser. Grundläggande villkor och krav på organisatoriska åtgärder Forskning får enligt nu gällande etikprövningslag godkännas bara om den ska utföras av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs (11 § etikprövningslagen). Med detta krav avses för svenska förhållanden en forskare med doktors- examen eller en motsvarande utländsk examen. Forskaren förutsätts då ha lärt sig självständigt arbete och själv tillämpat vedertagna veten- skapliga undersökningsmetoder. Det bör enligt förarbetena inte ställas upp något generellt krav på viss examen eller kompetens. I stället får kompetensen ställas i relation till den forskning som är aktuell i ett visst fall och de etiska frågeställningar som den kan antas ge upphov till. Krav bör kunna ställas på att forskaren i fråga behärskar aktuella vetenskapliga metoder och i övrigt har visat sig lämpad att hantera ett sådant ansvar. Forskaren ska också ha erfarenhet av att ta ställning till forskningsetiska problem.43 Detta krav på forskare med behövlig vetenskaplig kompetens bör enligt vår mening gälla även för forskning i form av forsknings- databaser. Det torde oftast vara fråga om en forskare som i en överinseende roll kan bedöma det vetenskapliga värdet av databasen som sådan, vilket kan antas ge upphov till frågeställningar om bl.a. metodik vid registerbaserad forskning. Om verksamhetschefen för en forskningsdatabas (se avsnitt 8.10.2) inte besitter denna kompetens, så får forskningshuvudmannen se till att det finns någon annan som har den kompetens som krävs för uppgiften och som kan bistå verk- samhetschefen med att utöva den vetenskapliga kontrollen av forsk- ningsdatabasen. Utöver detta krav anser vi även att det i etikprövningslagen ska finnas uttryckliga krav på forskningsdatabasen som ska kontrolleras i samband med etikprövningen. Den skyddsåtgärd som etikprövningen i sig innebär fråntar på intet sätt forskningshuvudmannen från dennes ansvar att bedriva verksamheten vid en forskningsdatabas så att den 2002/03:50 s. 100. Förslag till reglering av forskningsdatabaser uppfyller de krav som ställs i dataskyddslagstiftningen och i forsk- ningsdatabaslagen. För att etikprövningen ska bli en verklig skydds- åtgärd bör prövningen dock omfatta vissa grundläggande krav som ställs i forskningsdatabaslagen. Vi anser att det är lämpligt att i sam- band med etikprövningen ställer krav på forskningshuvudmannen att denne kan visa hur de grundläggande villkoren för att få skapa en forskningsdatabas är uppfyllda liksom även hur kraven på organisa- toriska åtgärder uppfylls. Vi föreslår därför att dessa krav på etik- prövningen ska uttryckas i etikprövningslagen. 8.9Insamlingen av uppgifter till en forskningsdatabas 8.9.1Behov av reglering i detta steg av livscykeln En forskningsdatabas består av personuppgifter som samlas in från myndigheter, privata forskningshuvudmän och enskilda individer, eller från enbart någon av dessa källor. För att uppgiftssamlingen ska kunna få tillgång till uppgifter från myndigheter måste det finnas fungerande rutiner hos de registerförande myndigheterna för ut- lämnande av uppgifterna. Dessa myndigheter ska tillämpa de regler som gäller för utlämnande och kunna känna tillit till att uppgifterna hanteras på ett korrekt och säkert sätt i forskningsdatabasen. Vi gör därför bedömningen att en ändamålsenlig reglering av forskningsdatabaser måste omfatta olika skyddsåtgärder. Detta är under vissa omständigheter också ett krav enligt dataskyddsförord- ningen (se avsnitt 8.2.4). För att upprätthålla allmänhetens förtroende för forskningen är det viktigt att regelverket tillgodoser den enskilda individens integri- tetsskydd. Regleringen måste därför omfatta bestämmelser om sekretess och tystnadsplikt. Ett enhetligt sekretesskydd i forsknings- verksamhet underlättar såväl utlämnande av uppgifter till forsknings- databasen som utlämnande från databasen till olika forskningsprojekt. Vi anser att det är grundläggande att det finns tillämpliga regler om sekretess som gäller för forskningshuvudmannen, liksom att det finns bestämmelser om inre sekretess (se avsnitt 8.10.5) som gäller för verksamheten. På så sätt får den utlämnande myndigheten ett tyd- ligare underlag för sin menprövning. Förslag till reglering av forskningsdatabaser Om den som ska lämna ut en uppgift vet att uppgiften skyddas även hos mottagaren är det mer sannolikt att det inte innebär någon skada eller men att lämna ut uppgiften. I avsnitt 5.5.5 har vi redogjort för hur en prövning av en forskares begäran om att få ta del av upp- gifter från en statistikansvarig myndighet kan gå till. Vilken betydelse den registrerades inställning har till att person- uppgifter samlas in och används för forskning hör egentligen hemma i samtliga steg av livscykeln, men vi väljer att redovisa hur dessa frågor ska hanteras i detta avsnitt. 8.9.2Direkt identifierbara uppgifter ska få behandlas i en forskningsdatabas Vårt förslag: Personuppgifter i en forskningsdatabas får vara direkt identifierbara, om det är nödvändigt för att uppfylla ända- målet med forskningsdatabasen. Forskningshuvudmannen ska besluta om en forskningsdatabas ska få bestå av direkt identifierbara uppgifter eller om det är till- räckligt för ändamålet att uppgifterna är pseudonymiserade eller skyddade på annat sätt. Enligt vad utredningen inhämtat om de forskningsdatabaser som finns så är det en grundläggande egenskap hos de forsknings- databaser som bevaras , att uppgifter tillkommer eller förändras . Endast i undantagsfall tillförs nya registrerade utan att de uppgifter som redan finns i databasen förändras. I vissa fall uppdateras uppgifterna relativt sällan, medan man i många andra fall har återkommande eller löpande uppdatering av uppgifterna i realtid. En forskningsdatabas som fortlever kan basera sig på •återkommande insamlingar av en fast uppsättning variabler för en grupp registrerade personer, •successiv tillförsel av uppgifter på nya variabler för en grupp registrerade, •tillskott vid ett eller flera tillfällen av nya registrerade på en fast uppsättning variabler, Förslag till reglering av forskningsdatabaser