sou · H6B336 · 2018-06-05 00:00:00 — Det torde därför vara fråga om annat elektroniskt utlämnande. För att understryka dels att detta förfarande är huvudregeln, dels att det är fråga om automatiserad kommunikation mellan två digitala system, använder vi termen automatiserat utlämnande för sådan åtkomst. Begreppet är skiljt från begreppet fjärråtkomst, med vilket i registerbaserade forskningssammanhang avses åtkomst till en it-miljö i vilken man kan arbeta med data i en forskningsdatabas, utan att de enskilda uppgifterna behöver överföras till forskarens eget it-system (se vidare i avsnitt 8.11.5 om begreppet och dess potential att uppnå uppgiftsminimering, samt avsnitt 4.2.3 om just forskningens behov av fjärråtkomst). Samtliga ovanstående begrepp rör situationer där uppgifter lämnas ut till eller tillgängliggörs för en part utanför den organisation som har uppgifterna. Även internt inom en sådan organisation förekommer förstås att en anställd behöver tillgång till uppgifterna för att kunna fullgöra sina arbetsuppgifter. Vi använder termen elektronisk åtkomst för denna form av tillgång till uppgifter inom organisationen, vilket motsvarar det begrepp som används i 4 kap. 2–4 §§ patientdatalagen. Begreppsparet centraliserad/decentraliserad används i det följande för att beskriva både beslutsfattandet avseende forskningsdatabaser och för drift och övrigt förvaltande av själva databaserna, inklusive var uppgifterna fysiskt lagras. Med centraliserat beslutsfattande avser vi en sådan process där en central part (myndighet) har ansvaret för och kompetensen att fatta 30Regeringens proposition m.m. (prop. 2007/08:126), s. 87. Bakgrund, utgångspunkter och begrepp de aktuella besluten, även om beslutet rör andra parters verksamhet. Med decentraliserat beslutsfattande avser vi situationen att parten själv ansvarar för beslut rörande sin egen verksamhet. Med en centraliserad databas avses i stället en lösning där den faktiska lagringen av uppgifter, såväl som förvaltandet av it- systemet, utförs hos en och endast en part. Uppgifterna i en sådan databas kan i och för sig härstamma från olika källor (insamlade direkt från forskningspersonerna, hämtade från myndighetsregister, eller från andra källor), men det avgörande är att en part lagrar upp- gifterna på ett ställe och ansvarar självständigt för den behandling som denna lagring (och utlämnande) utgör. En decentraliserad databas har i stället delat upp förvaltning och lagring av data i flera separata, samverkande system. En sådan lösning benämns ofta distribuerad databas. Ett specialfall av detta är s.k. federerade databaser, där de ingående systemen har en hög grad av självständighet och heterogenitet.31 Det kan exempelvis vara fråga om register hos flera olika myndigheter som med automatiserat utlämnande momentant tillgängliggör uppgifter på ett sådant sätt så att det för användaren framstår som en sammanhållen databas. 31SOU 2017:50 s. 261 f. 4 Behov av forskningsdatabaser I direktiven till denna utredning anges att utredaren ska föreslå en långsiktig reglering av forskningsdatabaser och lämna de författnings- förslag som behövs.1 Förslag till anpassning av viss befintlig reglering till den allmänna dataskyddsförordning2 som ska tillämpas fr.o.m. har utredningen tillsammans med andra förslag lämnat i tidigare delbetänkande.3 Vad gäller lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (den s.k. LifeGene-lagen) är den tidsbegränsad, men har i avvaktan på en långsiktig lösning i flera omgångar fått förlängd giltighetstid.4 Regeringen och har även i vissa andra fall sett ett behov av att inrätta långsiktiga forsk- ningsdatabaser med breda ändamål. Det råder en rättslig osäkerhet inom detta område som har resulterat i speciallagstiftning i vissa fall. I kapitel 5 redogör vi för de rättsliga förutsättningarna för forsk- ningsdatabaser. Förslag till reglering av forskningsdatabaser har tidigare lämnats av ,5 men detta har ännu inte lett till några författningsförslag. Mot bakgrund av att rättsläget nu genom refor- mer på europeisk nivå blivit tydligare har regeringen efterfrågat en långsiktig generell lösning för forskningsdatabaser. En lösning behövs som tar hänsyn till bland annat den utredningens och Utredningens 1Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65). 2Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 3Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). 4Riksdagen har beslutat att förlänga denna lags giltighet till och med (Prot. 2017/18:27 § 15). 5Registerforskningsutredningens slutbetänkande Unik kunskap genom registerforskning (SOU 2014:45). om regleringen av biobanker6 slutbetänkanden, samt de möjligheter och begränsningar som kan finnas med anledning av dataskydds- förordningen och dess kompletterande svenska lagstiftning.7 I betänkande görs noggranna genomgångar av fördelarna med såväl registerbaserad forskning i allmänhet som forskningsdatabaser i synnerhet. Vi gör bedömningen att de slutsatser beträffande behovet av forskningsdatabaser som redovisade alltjämt i stort sett är rele- vanta. Vi hänvisar därför till det betänkandet när det gäller utred- ningen av behovet av forskningsdatabaser. Vi kommer i betänkandet endast att komplettera den utredning som redan gjorts, bl.a. med hän- syn till utvecklingen i samhället efter det att Registerforsknings- utredningen lämnade sitt betänkande . Detta kapitel tar därför sin utgångspunkt i Registerforsknings- utredningens bedömningar. Vi har i uppdrag att komma med förslag som reducerar eller eliminerar den rättsliga osäkerheten. Vi ska föreslå en generell reglering som underlättar personuppgiftsbehandling i forskningsdatabaser som den tillvaratar de krav på skydd av den personliga integriteten som den nya dataskyddsförordningen tillsammans med kompletterande och redan existerande bestämmelser ställer upp. 4.2Behövs det särskilda forskningsdatabaser? I betänkande diskuteras varför registeruppgifter är bra för forskning och vilka fördelar det finns med forskningsdatabaser.8 I korthet argumenteras där för att man med heltäckande stora befolkningsregister kan •studera ovanliga företeelser som förekommer alltför sparsamt i exempelvis urvalsundersökningar, •genom personnummer göra kopplingar mellan undersökningar av mindre grupper (t.ex. genom urval) och heltäckande register där alla individer kan återfinnas, 6Utredningens om regleringen av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4). 7Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 8SOU 2014:45, s. 93–114. •koppla uppgifter från biologiska prover i biobanker med uppgifter om personer i hälsodataregister, kvalitetsregister eller andra register från exempelvis (), •på lång sikt följa upp konsekvenser av tidigare händelser, •kartlägga den sociala omgivningens betydelse för individuella handlingar, •studera skillnader i sociala insatser och socialpolitiskt relevanta åtgärder mellan kommuner och regioner, •genomföra longitudinella studier där personer kan följas över långa tidsperioder utan att andra spårningsinsatser än personnummer och heltäckande registeruppgifter finns, och •simulera effekterna av ekonomiska och socialpolitiska reformer i skilda befolkningsgrupper. Det har sammantaget ofta framhållits att tillgången till register- uppgifter med personnummer har inneburit en stor potential för framgångsrik svensk forskning som bör utnyttjas bättre.9 Denna värdering återspeglas också i utredningens direktiv. Vi betraktar detta som utgångspunkt för den fortsatta analysen. Uppgiften är att föreslå en långsiktig lösning på de behov som enbart resulterat i lagstiftning om inrättande av vissa speci- ficerade forskningsdatabaser. Frågan om det utöver myndighets- registren och hälso- och sjukvårdens biobanker behövs särskilda data- baser eller biobanker avsedda huvudsakligen eller enbart för forsk- ning, ägnas uppmärksamhet i Registerforskningsutredningen.10 I det följande redogör vi kortfattat för deras slutsatser. Ett första preliminärt svar på om det behövs särskilda databaser för forskning går att få fram genom att undersöka den faktiska före- komsten av befintliga databaser som fungerar som underlag för ett 9Se exempelvis regeringens proposition Kunskap i samverkan för samhällets utmaningar och stärkt konkurrenskraft, (prop 2016/17:50) s. 97–98. 10SOU 2014:45, s. 342–362. flertal forskningsprojekt.11 En undersökning av detta slag inom samhällsvetenskap och medicin resulterade i en uppskattning av att det förekom minst 50 sådana databaser.12 Uppskattningen var troligen en underskattning av det verkliga antalet. Inventeringen inne- håller exempelvis inte många av de forskningsbiobanker13 som används av flera projekt.14 Ingen förnyad uppskattning av antalet har gjorts efter detta. Av detta kan man dra slutsatsen att forskningsdatabaser redan används i betydande omfattning inom ett antal centrala forsknings- områden. hänvisar också till att det utöver svenska forskningsdatabaser finns utländska initiativ för att bygga upp databaser i och . Man pekar på den satsning på forskningsinfrastruktur som gjorts av och som är en del av det europeiska programmet för utveckling av forskningsinfra- strukturer, ESFRI.15 I den satsningen utgör databaser en viktig kom- ponent. Detta behov framhålls även i den uppdaterade nationella guide till infrastrukturen som har publicerat efter betänkande.16 Det har ofta fram- hållits att tillgången till registeruppgifter med personnummer har inneburit en stor potential för framgångsrik svensk forskning och att denna resurs bör utnyttjas bättre. Varför är det då inte tillräckligt att bygga upp fokuserade data- mängder som inriktas på enskilda projekt? Registerforskningsutred- ningen anger att forskningsdatabaser kan möjliggöra olika forsknings- insatser inom breda fält17 och citerar som anger att forskningsdatabaser som infrastruktur handlar om ”material som kräver långsiktighet i planering, finansiering och användande och är för dyr och/eller kräver sådana tekniska och personella resurser att det 11Den nuvarande rättsliga grunden för att använda dessa personuppgifter för fler än ett ändamålsavgränsat projekt berörs inte här, men kan i allmänhet hänföras till det undantag från finalitetsprincipen som finns i 9 § personuppgiftslagen och som gäller vidareutnyttjande av uppgifter för bland annat forskningsändamål. 12Erikson R., ., Nationell samordning av frågeundersökningar och längd- snittsstudier, 2014. 13En förteckning över drygt 100 sådana provsamlingar återfinns på BBMRI.SE. 14Några studier som kombinerar lagring av prover med andra uppgifter, LifeGene och EpiHealth, finns däremot med. 15European on Research Infrastructures, 16Vetenskapsrådets guide till infrastrukturen 2014, 2015, s. 10. 17SOU 2014:45, s. 349. inte kan finansieras lokalt eller inom ramen för ett enskilt forsknings- projekt”.18 Det huvudsakliga generella skäl som anförs för gemen- samma databasresurser synes således vara att de medel som satsas på forskning ska användas på ett rationellt och resursbesparande sätt. Det finns ytterligare skäl för forskningsdatabaser när det existerar behov av att i forskningen använda uppgifter från befolkningsregister, som har samlats in av centrala och regionala myndigheter för andra ändamål än forskning. hade vid kon- takter med omkring femtiotalet forskare19 fått del av följande motiv till varför forskningsdatabaser med uppgifter från myndighetsregister behövs: •Det tar tid och kostar pengar att få ut uppgifter från exempelvis SCB. •Uppgifterna från myndighetsregistren går ofta inte att använda direkt utan kräver bearbetning, vilket tar tid, alltifrån några månader till . •Mindre fel i underlaget som inte spelar någon roll när myndigheter som SCB tar fram officiell statistik kan vara viktiga i forskningen och måste korrigeras. •Forskare måste ofta konstruera egna variabler genom att kombinera uppgifter ur olika register. •Det kräver tid och träning att lära sig vilka styrkor och svagheter en databas har, för att förstå hur den kan användas. Det är viktigt att några har den kompetensen för att kunna bistå forskare i konkreta forskningsprojekt.20 tog också ställning till om det skulle vara tillåtet och praktiskt möjligt att i stället för lokalt lagrade forsk- ningsdatabaser bestående av uppgifter som satts samman från olika källor (i det följande kallat sambearbetade forskningsdatabaser) använda sig av fjärranslutning till de datakällor som behövs. 18Vetenskapsrådet utredning Om forskningens infrastrukturer inom humaniora och samhällsvetenskap, citerad i SOU2014:45 s. 350. 19Registerforskningsutredningen samtalade med femtiotalet forskare vid sju särskilda forskarmöten, deltog utöver detta i flera forskarkonferenser och arrangerade ett särskilt seminarium med ledande forskare. 20SOU 2014:45 s. 356–357. Vid SCB finns ett system för fjärråtkomst, Microdata Online Access (). Det gör det möjligt att hos SCB lagra och använda forskningsregister med uppgifter som genererats såväl genom in- samling i forskningsprojekt som insamling och bearbetning av upp- gifter från myndighetsregister.21 Denna resurs fungerar väl när de forskargenererade uppgifterna är av begränsad omfattning och myndighetsuppgifterna tas från register som förs av eller lagras vid SCB och används inom den officiella statistiken vid myndigheten. MONA-systemet kan i viss utsträckning tillhandahålla åtkomst till uppgifter även från andra myndigheter än SCB. Den möjligheten har dock inte kunnat användas i så stor utsträckning. har t.ex. ansett att det finns legala hinder för att lägga fullständiga kopior av hälsodataregistren i . Man har också, i den utvärdering som gjordes av strax efter betän- kande, angivit att en rad rättsliga och finansieringsfrågor behöver genomlysas innan myndigheten är beredd att införa ett eget system för fjärråtkomst.22 rekommendation att liknande system skulle etableras inom andra myndigheter, inte minst , har således inte efterlevts.23 Det förekommer fall där många databaskällor varit aktuella och där omfattningen av de data som behöver kombineras är för stor för . Det gäller exempelvis när uppgifter från biobanker ska sambearbetas med hälsodataregister och med uppgifter från SCB. Data kan också förändras i en alltför snabb takt för att ett MONA- liknande system ska vara lämpligt. Man har då undersökt möjligheten till s.k. federerade databaser, som innebär att data från olika källor sammankopplas vid analystillfället utan att uppgifterna behöver förflyttas fysiskt till en gemensam databas som lagras vid ett och samma ställe.24 Vid tiden för betän- kande fanns ännu inte federerade system av den storleksordning och med den generella inriktning som skulle kunna utgjort ett realistiskt alternativ till fysiskt sambearbetade och lokalt hanterade databaser av det slag som utredningen föreslog. 21Microdata Online Access, 22Evaluation of the system (Microdata Online Access). rapporter , s. 19–20. 23SOU 2014:45, s. 363–364. 24SOU 2014:45, s. 364. SOU 2018:36Behov av forskningsdatabaser För att ett federerat system kan vara användbart i stor skala krävs ett omfattande och tekniskt avancerat utvecklingsarbete. (……) Det kan finnas skäl för regeringen att överväga att inrätta en särskild delegation för att följa detta arbete och ta de ytterligare initiativ som kan behövas. Regeringen har i den senaste forskningspropositionen25 aviserat ett initiativ men ännu har inget sådant tagits.26 4.2.2Har förutsättningarna ändrats ? Vår bedömning är att de ovan angivna motiven för forskningsdata- baser i stora drag alltjämt gäller. Det är dock inte tydligt vilka förut- sättningar det finns för att på ett rättsenligt sätt behandla person- uppgifter i en forskningsdatabas. har till uppgift att föreslå en långsiktig lösning på detta problem. I detta avsnitt redogörs för den utveckling som skett på området . När det gäller utbyggnad av de registerresurser som är potentiellt intressanta i samhället har utveckling främst skett inom dessa områden: •Digitaliseringen har utvecklats allt mer, framför allt med avseende på möjligheterna till distansarbete och på den teknik som medger att användare på ett säkert sätt kan fjärransluta sig till gemensamt tillgängliga resurser. •Antalet inom hälso- och sjukvården har ökat och en gemensam organisation för hantering av uttag för forskningsändamål m.m. har byggts upp.27 •Befintliga resurser inom biobanksområdet har samordnats, sam- arbetet mellan det nationella biobanksrådet och BBMRI28 har förstärkts, och ytterligare en offentlig utredning har rekom- menderat inrättandet av ett nationellt biobanksregister.29 •Den registerbaserade folkbokföring som baseras på lägenhets- registret och uppgifter ger en mer komplett och 25Regeringens proposition Forskning och innovation (prop. 2012/13:30). 26SOU 2014:45 s 364. Se även s. 337–340. 27Enligt patientdatalagen (2008:355) är kvalitetsregister en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. 28Biobank and Infrastructure, en europeisk infrastruktur för forskning med användning av biologiska prover. Behov av forskningsdatabaserSOU 2018:36 rättvisande bild av befolkning, boende och familjebildning i . •Viss utveckling av forskaranpassade databaser och registerservice har genomförts vid några myndigheter, exempelvis SCB, Social- styrelsen och . •Särskilt stöd till registerbaserad forskning i regi har inletts och myndighetens satsning på stöd till infrastrukturer som innehåller forskningsdatabaser har förstärkts. I följande avsnitt skisseras digitaliseringens utveckling med avseende på hur forskare utvecklat sina arbetssätt när det gäller användning av personuppgifter. Därefter följer en redogörelse för den utveckling vid statliga och kommunala myndigheter som är relevant för person- uppgiftsbehandling för forskningsändamål och som skisserats punkt- vis ovan. Slutligen görs en bedömning av om fysiskt sammanhållna centraliserade forskningsdatabaser är ett önskvärt tillväga- gångssätt för att tillgodose behovet av forskning med personuppgifter. 4.2.3Digitaliseringens inverkan på utveckling av forskningsdatabaser Traditionella personuppgiftssamlingar för forskningsändamål Användning i större skala av datorer i forskning inleddes på 1950- talet. Den innebar en stegvis genomgripande förändring av forsk- ningens villkor och möjligheter, både vad gäller beräkningsmöjlig- heter och möjligheten att använda stora datamängder. Inom den forskning som har personer som forskningsobjekt innebar datori- seringen till att börja med att registrerades uppgifter överfördes från insamlingskällan (exempelvis ett frågeformulär, ett provtagnings- protokoll eller en ljudinspelning) till hålkort. Vid analystillfället lästes dessa in för datorbearbetning tillsammans med de styrkort som användes för beräkningarna. Sedermera kunde man spara uppgifterna i datafiler i minnet på en dator eller på disketter, som också innehöll de datorprogram som användes för att analysera uppgifterna. , förvaltning och användning av data sköttes av enskilda forskare, forskargrupper eller programmerare vid lokala lärosäten och med användning av terminaler uppkopplade till en eller flera vid läro- sätet centralt placerade datorer. För att få tillgång till uppgifter hos myndigheter krävdes vanligen att forskaren gjorde sina analyser på den fysiska plats där uppgifterna förvarades. Dessa principer tillämpades exempelvis av SCB på 1970- talet. Då kunde man som forskare besöka myndigheten för att ta del av uppgifter som ursprungligen hade samlats in för statistikändamål. Utvecklingen ledde efter hand till att det blev möjligt att erhålla kopior av originaluppgifter. De förflyttades då fysiskt till forskarens egna datormiljö. Uppgifter av detta slag levererades ofta i anonymi- serad form. Efter hand uppstod behov av att analysera uppgifter om samma forskningspersoner från olika källor. Detta krävde tillgång till person- uppgifter med identifierare. Det svenska personnummersystemet, som är gemensamt för alla samhällssektorer och omfattar alla bosatta i landet, erbjöd här unika möjligheter jämfört med andra länder. Det gjorde det möjligt att komplettera egeninsamlade uppgifter med utdrag från administrativa uppgiftssamlingar och andra källor som använder personnumret. Utvecklingen ledde till att unika forsknings- material skapades i varje enskild forskningsmiljö. De bestod ofta av såväl egeninsamlade uppgifter som uppgifter från andra källor. Överföringen av uppgifter från originalkällan gjordes genom direkta kontakter mellan registerhållaren och användaren. De upp- giftssamlingar som skapades blev därmed avgränsade till de specifika behov som förelåg för det enskilda forskningsprojektet. Sam- bearbetning av register innehållande uppgifter som härrörde från statistikmyndigheterna med andra uppgifter sköttes ofta av myndig- heten. Det var anonymiserade eller pseudonymiserade uppgifter som skickades till forskargruppen. I uppstod en debatt om de integritets- risker bevarandet av personuppgifter för forskningsändamål innebar. Det uppmärksammades särskilt i samband med att intervjusvar från föräldrar i det s.k. ”” insamlade senare, i enlighet med den lagstiftning som då gällde, kombinerades med registeruppgifter från myndigheter utan de registrerades vetskap eller godkännande.30 Debatten kring Metropolit bidrog sannolikt till att integritetsfrågorna uppmärksammades särskilt 30Se , (2013) Född 1953: Folkhemsbarn i forskarfokus. senare hälft.31 Genomgripande förändringar av lagstiftningen kom dock först efter det europeiska dataskyddsdirektivets tillkomst 1995, som 1998 implementerades i genom personuppgiftslagen (1998:204). De regler som tillkom motsvarade dåtidens behov av koncentrerade uppgiftssamlingar med specifika ändamål. uppstod på olika håll tanken att forskare borde dela med sig av uppgifter till andra forskargrupper. I bildades ett konsortium för statsvetenskaplig forskning (ICPSR)32 med syftet att utveckla gemensamma dataresurser för forskning. Organisationen omfattar omkring 750 medlemsuniversitet över hela världen och omkring 750 000 uppgiftssamlingar inom ett brett område av akade- miska discipliner. En stor majoritet av samlingarna är anonymiserade och öppet tillgängliga, men kräver godkännande och är skyddade, bland annat av integritetsskyddande regler. Stora delar av den samhällsvetenskapliga forskningen har, särskilt i , grundats på sekundäranalys av data hämtade från konsortiet. Ett flertal svenska universitet är medlemmar och Svensk Nationell Datatjänst (SND) är nationell nod.33 På europeisk nivå finns samarbetsorganisationen of Archives (CESSDA- ) med säte i , . Utveckling av gemensamma forskningsdatabaser inom samhällsvetenskap och välfärdsforskning uppstod parallellt insamling av surveydata, dvs. uppgifter insamlade från de registrerade själva med hjälp av intervjuer eller postenkäter, avsedda för fler forskargrupper. Upp- giftssamlingar av detta slag är viktiga källor för den svenska och internationella välfärdsforskningen. 31Integritetsskyddskommitténs delbetänkande Skyddet för den personliga integriteten (SOU 2007:22), s. 510. 32Miller, W E. (1963), for , American Behavioral Scientist 7:3, s. 11–12. 33SND är således det nationella databibliotek som ingår som del av det internationella samarbetet inom ICPSR och . I gav Låginkomstutredning upphov till Levnads- nivåundersökningen (LNU), som har skötts av universitet.34 LNU innehåller personuppgifter, men den identifierande nyckelfilen förvaras vid SCB. Uppgifterna identifieras i samband med att de i undersökningen ingående personerna ska återintervjuas, vilket görs med jämna mellanrum.