sou · H6B336 · 2018-06-05 00:00:00 — Regeringen föreslår vidare en satsning på tvärvetenskaplig och tvär- sektoriell registerbaserad forskning, som kan bidra till att denna forskningsinfrastruktur utvecklas och utnyttjas effektivt. Vidare ökar regeringen anslagen till bland annat datadriven forskning (register- baserad forskning, se kap. 3) och ökat nyttjande av forskningsinfra- strukturer. 7Regeringens proposition Budgetpropositionen (2017/18:1), s. 213 f. samt s. 325. Regeringen presenterade en strategi8 för hur digitaliserings- politiken ska bidra till konkurrenskraft, full sysselsättning samt ekonomiskt, socialt och miljömässigt hållbar utveckling. Strategin anger inriktningen för regeringens digitaliseringspolitik. Det över- gripande målet är att ska vara bäst i världen på att använda digitaliseringens möjligheter. För att nå det övergripande målet sätts fem delmål upp om digital kompetens, digital trygghet, digital inno- vation, digital ledning och digital infrastruktur. Delmålen förklarar hur digitalisering ska kunna bidra till en positiv samhällsutveckling. En av ambitionerna i strategin är att öka fokus på digitalt driven inno- vation och forskning. I strategidokumentet anförs att den möjlighet som digitalisering genom avancerade analysmetoder, maskininlärning och artificiell intelligens (AI) medför när det gäller hantering av stora datamängder behöver synliggöras och potentialen tillvaratas. Exempelvis genererar modern forskning i allt snabbare takt ökande datavolymer som kräver utveckling av ändamålsenlig digital infrastruktur så att kunskap snabbare kan omsättas i nya frågeställningar. För att ytterligare stärka möjligheterna till datadriven och digitalt driven innovation behöver forskning och innovation inom relevanta områden prioriteras och uppmuntras. Följande anförs i digitaliseringsstrategin om användningen av befintliga register. När exempelvis forskningsdata tillhandahålls i öppen och återanvändbar form ökar förutsättningarna för datadriven forskning och innovation. har stora konkurrensfördelar inom klinisk forskning genom sina omfattande personbaserade register och biobankssamlingar, där ett ökat utnyttjande av dessa datamängder för forskning är prioriterat och kan bidra till kunskap och lösningar rörande stora folkhälsofrågor. Vi uppfattar att det är tydligt att regeringen genom sin politik vill stimulera registerbaserad forskning och att det finns en uttalad politisk vilja att forskningen ska dra nytta av den kunskap som går att utvinna från våra gemensamma register. Regeringen vill satsa på 8För ett hållbart digitaliserat – en digitaliseringsstrategi (dnr N2017/03643/D). registerbaserad forskning och ett ökat nyttjande av forskningsinfra- strukturer. 7.2.4Vår ansats utifrån den politiska viljan och forskningens behov I detta avsnitt redogör vi kortfattat för de ansatser som vi formulerat som utgångspunkter och stöd i utredningsarbetet och för våra val av förslag på lösningar. Forskning är värdefullt för vårt samhälle Vår utgångspunkt är att forskning är värdefullt för vårt samhälle och måste kunna bedrivas på ett lagenligt och etiskt korrekt sätt. Vi har i uppgift att föreslå en reglering som möjliggör en ändamålsenlig och säker behandling av personuppgifter i forskningsdatabaser. Regle- ringens ska både uppfylla forskningens behov och innefatta ett gott skydd för den personliga integriteten. Av de nämnda propositionerna och av digitaliseringsstrategin framgår att den politiska viljan i stort överensstämmer med det behov av att kunna använda ändamålsenliga forskningsmetoder som forskare uttrycker. Inom forskningen hanteras stora mängder personuppgifter. Det medför att det finns ett behov av tydliga regler om och metoder för hur dessa ska hanteras. Dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) är härvid av grundläggande betydelse. Vår ansats är att de principer och regler som gäller för behandling av personupp- gifter enligt dataskyddsförordningen kommer att utgöra en bra grund för att skapa en ändamålsenlig reglering av forskningsdatabaser. En genomgång av de rättsliga förutsättningarna enligt dataskyddsförord- ningen görs i kapitel 5. Initiativen ska komma från forskningsverksamheten Vi har kommit till slutsatsen att initiativen till forskningsdatabaser ska komma från forskningsverksamheten. Detta ställningstagande ligger i linje med forskningens frihet som har sitt stöd i 2 kap. 18 § andra stycket regeringsformen och fastslås i 1 kap. 6 § högskolelagen (1992:1434). Enligt högskolelagen gäller som all- männa princip att forskningsproblem får väljas fritt, forsknings- metoder får fritt utvecklas och forskningsresultat får fritt publiceras. Vi menar att det är i forskningsverksamheten som behoven av upp- giftssamlingar i form av forskningsdatabaser bäst kan identifieras och formuleras. Ett integritetsskydd i balans med andra grundläggande rättigheter och legitima samhällsintressen Enligt 2 kap. 6 § andra stycket regeringsformen ska den enskilde skyddas mot betydande intrång i den personliga integriteten om intrånget sker utan samtycke och innebär övervakning eller kartlägg- ning av den enskildes personliga förhållanden. Begränsningar av denna rättighet får enbart göras genom lag, och endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och dessa får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett begränsningarna. Vi bedömer således att en regle- ring av behandling av personuppgifter i en forskningsdatabas ska göras i lagform. Lagen måste uppfylla de krav som ställs i grundlagen. I våra bedömningar och förslag går vi igenom dataskyddsprinci- perna i relation till forskningens behov av att hantera stora mängder personuppgifter. I enlighet med vårt uppdrag ska den reglering vi föreslår – utöver att uppfylla forskningens behov – också infatta ett gott skydd för den personliga integriteten. Enligt vår mening före- ligger det ett gott skydd för den personliga integriteten när denna rättighet står i balans med andra grundläggande rättigheter och legitima samhällsintressen.9 En avvägning måste därvid göras mellan forskningens behov av tillgång till personuppgifter och forskningspersonernas rätt till personlig integritet. Vi utgår från våra direktiv som anger att syftet med våra förslag i olika delar ska möjliggöra en ändamålsenlig behand- ling av personuppgifter för forskningsändamål som den skyddar den enskildes fri- och rättigheter. Vi beaktar även Register- forskningsutredningens direktiv om att integritetsaspekterna måste beaktas vid reglering av forskningsdatabaser och att förslag måste 9 Jfr Integritetskommitténs betänkande Så stärker vi den personliga integriteten (SOU 2017:52), s. 56 ff. lämnas i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forsk- ningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.10 I kapitel 13 redogör vi för vår proportionalitetsbedömning. Vi utgår från principen om ansvarsskyldighet som uttrycks i data- skyddsförordningen. Det är den personuppgiftsansvariga forsknings- huvudmannen som ska ta ansvar för en korrekt personuppgifts- behandling. Utgångspunkten är att våra författningsförslag ska göra det lätt för de ansvariga att göra rätt. Genom att föreslå bestämmelser som tydliggör forskningshuvudmannens ansvar och vilka regler som ska gälla för forskningsdatabaser kan vi göra det lättare att behandla personuppgifter på ett lagenligt sätt. Forskningshuvudmannen ska ansvara för ett riskbaserat informationssäkerhetsarbete Vi noterar att informationssäkerhetsfrågor har betydelse för bland annat skyddet av den personliga integriteten men också är av stor vikt av andra säkerhetsskäl. Det är ett flertal statliga utredningar som har arbetat med samhällets informationssäkerhet. I betänkandena Infor- mationssäkerhet för samhällsviktiga och digitala tjänster11 och betän- kandet En ny säkerhetsskyddslag anges exempel på områden, verk- samheter och funktioner som är av sådan karaktär att de skulle kunna omfattas av krav på skydd enligt lagen. Det framgår att hoten mot rikets säkerhet har förändrats och att främmande staters under- rättelseverksamhet har breddats mot bland annat forskning och utveckling inom civila områden. Elektroniska angrepp i olika former betraktas som ett av de allvarligare hoten som antalet it-angrepp ökar i omfattning och blir allt mera 10Kommittédirektiv Förutsättningar för registerbaserad forskning (dir. 2013:8). 11Utredningens om genomförandet av NIS-direktivet betänkande Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36), s. 85. riktade och sofistikerade.12 Dessa förhållanden beskrivs även i pro- positionen Ett modernt och stärkt skydd för säkerhet – ny säker- hetsskyddslag.13 Den som är ansvarig för en forskningsdatabas bör bedriva ett infor- mationssäkerhetsarbete med hänsyn bland annat till den beskrivna hotbilden. Informationssäkerhetsarbete måste också bedrivas på grund av behovet av skydd för den personliga integriteten i allmänhet för den vars personuppgifter förekommer i en forskningsdatabas. I detta sammanhang kan också den obligatoriska it-incidentrapporte- ring som gäller för statliga myndigheter nämnas.14 En forskningsdatabas kan innebära uppgiftsminimering Vi har konstaterat att olika forskare och forskningsprojekt har ett behov av att dela personuppgifter med varandra. Vi finner att använd- ningen av samma personuppgifter i olika forskningsprojekt i prak- tiken utgör en särskild form av uppgiftsminimering jämfört med att samma uppgifter samlas in och behandlas i flera olika uppgifts- samlingar. Genom att samla uppgifter i forskningsdatabaser går det också att undvika att samma personuppgifter lagras på många olika ställen. I fråga om stora forskningsdatabaser är det dessutom möjligt att uppgiftsminimera inom databasen vid varje användning av upp- gifter i forskningsprojekt. På grund av forskningsdatabasens bredd kommer utlämnandet av uppgifter för enskilda projekt oftast att bestå av en mindre mängd uppgifter än de som omfattas av hela databasen. Utlämnande från en forskningsdatabas genom fjärråtkomst kan reducera eller helt eliminera behovet av att kopiera uppgifter när de ska användas i enskilda forskningsprojekt. Med fjärråtkomst avses åtkomst till en it-miljö i vilken forskaren kan arbeta med data i en forskningsdatabas, utan att de enskilda uppgifterna behöver överföras till forskarens eget it-system. Det är en form av automatiserat ut- lämnande – inte direktåtkomst (se avsnitt 3.3.9). Denna metod för utlämnande kan ses som ett sätt att tillfredsställa dataskyddsförord- 12Utredningens om säkerhetsskyddslagen betänkande En ny säkerhetsskyddslag (SOU 2015:25), s. 221. 13Regeringens proposition Ett modernt och stärkt skydd för säkerhet – ny säker- hetsskyddslag (prop. 2017/18:89), s. 34. 14Myndighetens för samhällsskydd och beredskap (MSB) föreskrifter (MSBFS 2016:2) om statliga myndigheters rapportering av it-incidenter. ningens princip om uppgiftsminimering genom att en forsknings- databas som används av flera forskningsprojekt huvudsakligen nås genom fjärråtkomst. SCB:s MONA-system kan här användas som förebild. Offentliga och privata lärosäten ska likställas Vår bedömning är att det finns såväl en politisk vilja som en reell nödvändighet utifrån hur forskning bedrivs att så långt det är juridiskt möjligt likställa offentliga och privata forskningshuvudmän. Mot bakgrund av de skyddsaspekter som motiverar en noggrann reglering av forskningsdatabaser är det enligt vår bedömning nöd- vändigt att en sådan reglering omfattar åtminstone vissa privata forsk- ningshuvudmän. En reglering av forskningsdatabaser ska göra det möjligt att tillgängliggöra uppgifter för forskningsändamål som den säkerställer ett enhetligt skydd för den personliga integri- teten. En alltför avgränsad lagstiftning riskerar att lämna ett för stort område utanför den reglering som syftar till att höja säkerheten vid behandling av personuppgifter i forskningsdatabaser. Privata lärosäten utför ofta uppgifter av samma karaktär som de offentligrättsliga. Exempel på detta är den trafiksäkerhetsforskning som bedrivs vid såväl () som vid . Denna forskning kan medföra behand- ling av ett stort antal personuppgifter som i original insamlats av privata biltillverkare och som används av såväl KTH som . Vi anser att det är rimligt att forskare som är verksamma vid privata lärosäten kan behandla personuppgifter under samma villkor som de som är verksamma vid de statliga lärosätena. Vi utgår vidare ifrån att lagstiftaren inte har avsett att forskning och utbildning på de lärosäten som har examensrätt ska bedrivas under olika villkor. För de som studerar och forskar på olika lärosäten ska det således inte spela någon roll om lärosättet är offentligt eller privat. Forskningens internationella aspekter är av största betydelse. Lissabonfördraget15 stadgar att EU ska ha som mål att skapa ett europeiskt forskningsområde med fri rörlighet för forskare, veten- skapliga rön och teknik. Svårigheten att skapa enhetlighet vid behand- ling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter inom unionen, vilket utgör ett hinder mot att förverkliga detta mål.16 Flertalet forskningsfrågor har inga nations- gränser. Gemensam resursanvändning kan leda till en snabbare kun- skapsutveckling. Syftet med dataskyddsförordningen är att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom EU. Ett utbyte av uppgifter över gränserna är därför också i linje med dataskyddsförordningens grundläggande principer17 och gynnar det vetenskapliga arbetet. Den tid under vilken en forskningsdatabas finns i en forsknings- huvudmans verksamhet kan delas in i olika stadier, som beskriver hur databasen skapas, används och avvecklas. De insatser som forsknings- huvudmannen måste göra är knutna till olika stadier under forsk- ningsdatabasens bestånd. Vissa aktiviteter pågår löpande, medan andra är starkare knutna till . För att kunna beskriva vilka handlingsmönster som måste regleras, har vi funnit det använd- bart att utgå från den livscykel under vilken forskningsdatabasen existerar. Livscykelperspektivet kan användas till att analysera vilka aktiviteter som behöver regleras för att åstadkomma en säker behand- ling av personuppgifter i forskningsdatabasen. De olika stegen i livs- cykeln är inte strikt avgränsade från varandra och det finns aktiviteter som hör hemma i flera steg. 15Artikel 179.1 i EUF-fördraget. 16Skäl 9 i dataskyddsförordningen. 17Art 1.3. i dataskyddsförordningen. Våra överväganden och förslag till en reglering som utgår från en forskningsdatabas livscykel finns i kapitel 8. Beskrivningen av livs- cykelmodellen är avsedd att göra det lättare att förstå behovet av våra förslag till bestämmelser som både ska underlätta användningen av databaser i forskning och skydda enskildas personliga integritet. Forskningsdatabasens livscykel redovisas i följande fem steg. 1.Skapandet av en forskningsdatabas 5.Avvecklingen av en forskningsdatabas I det följande redovisas de olika stegen i forskningsdatabasens livs- cykel och exempel ges på de frågor som hör ihop med varje steg. Våra överväganden och förslag till reglering och andra åtgärder behandlas i senare kapitel. Till steg ett hör frågor om vilka villkor som ska gälla för skapandet av en forskningsdatabas. Vidare hör frågan om ansvaret för forsknings- databasen hit. Beslut om att inrätta en forskningsdatabas kan fattas i olika situationer. Ett tänkbart scenario är att ett beslut om att inrätta en forskningsdatabas fattas innan insamling av uppgifter till denna på- börjas. hade som utgångspunkt för sitt förslag att ett beslut om inrättandet av en forskningsdatabas skulle fattas av regeringen.18 Beslutet skulle fattas efter en framställning från , vars beredning var tänkt att garantera en vetenskap- lig förankring av processen. förutsatte att antalet forskningsdatabaser skulle vara begränsat till en nationell forskningsdatabas per forskningsfält. Vi beskriver Registerforsk- ningsutredningens förslag i kapitel 6. 18Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45). Behovet att skapa en forskningsdatabas kan dock även uppstå genom att ett forskningsområde etableras inom vilket behovet av data kommer att bli alltmer gemensamt så att uppgifterna behöver delas mellan olika forskargrupper. Det kan i sådana fall uppstå en önskan om att kunna ta del av andras personuppgifter och att dela med sig av uppgifter som man själv samlat in samt att tillsammans iordningsställa dem på lämpligt sätt. I ett sådant fall har uppgifter samlats in redan innan ett beslut om att inrätta en forskningsdatabas har fattats. Utvecklingen sker ofta stegvis utan att gränsen mellan projekt- specifika uppgiftssamlingar och forskningsdatabaser är tydlig. Till steg två hör frågor om hur personuppgifterna kan samlas in till forskningsdatabasen, frågor om forskningsdatabasen ska innehålla direkt identifierbara personuppgifter, och om vilka andra uppgifter som får samlas in samt om skyddet av uppgifterna m.m. I linje med de olika varianter som vi har beskrivit när det gäller skapande av en forskningsdatabas förekommer olika tillvägagångssätt när det gäller insamling av uppgifter. Insamling av uppgifter till forskningsdatabaser kan förekomma med den uttalade huvudmålsättningen att använda uppgifterna i en sådan databas. Uppgifter kan samlas in till en forskningsdatabas på samma sätt som när uppgifter samlas in för enskilda projekt. Det kan handla om att samla in uppgifter direkt från enskilda personer eller från andra källor såsom myndighetsregister. Det kan också vara fråga om uppgifter insamlade från individer som kombineras med uppgifter om samma personer från exempelvis populationstäckande administra- tiva register. För att underlätta insamlingen av uppgifter behöver forsknings- huvudmannen kunna visa att uppgifterna hanteras på ett säkert sätt. Det behövs alltså regler till skydd för de uppgifter som ska behandlas i forskningsdatabasen. Därför hör frågor om inre sekretess19 och forskningssekretess m.m. också till detta steg. 19Bestämmelser om inre sekretess reglerar hur den interna elektroniska åtkomsten till person- uppgifter får användas. I kapitel 5 och avsnitt 8.10. 5 redogör vi för inre sekretess. Det tredje steget innefattar alla åtgärder som krävs för att sköta forskningsdatabasen så att den ska kunna användas på ett ändamåls- enligt, korrekt och säkert sätt. Forskningshuvudmannens organisa- toriska åtgärder hör till detta steg. Förvaltningen av forskningsdata- basen omfattar också en säker och ändamålsenlig behandling av personuppgifter. Det handlar om rutiner för hur uppgifterna får hanteras, och av vem med beaktande av sekretess, tystnadsplikt och informationssäkerhet. Det är också en grundläggande förvaltningsuppgift att bearbeta uppgifterna i registret så att de kan användas för forskning. Rättning av de uppgifter som kommer från registerhållaren måste ofta genom- föras. Det kan handla om att felaktiga eller sinsemellan inkonsistenta uppgifter, eller om att ett felaktigt eller olämpligt urval av variabler eller observationer (personer) levererats från registerhållaren i för- hållande till vad forskaren beställt. Ofta krävs också en konvertering och anpassning av uppgifterna till former som är anpassade för forskningsdatabasens forskningsområde. Även uppföljning och utvärdering av verksamheten är sådana aktiviteter som hör samman med steg tre. Den som ansvarar för en forskningsdatabas kan också ha anledning att revidera de ändamål som gäller för forskningsdatabasen eller att ompröva behovet av att behandla uppgifter i den aktuella forsk- ningsdatabasen överhuvudtaget. Steg fyra handlar om användningen av uppgifterna i en forsknings- databas. Hit hör frågor utlämnande av uppgifter från forsknings- databasen för specifika forskningsprojekt. Till denna punkt hör frågor om vilken typ av åtkomst som ska finnas till uppgifterna och vilka villkor som ska gälla för utlämnandet. Det finns alltså sekretessfrågor kopplade även till detta steg i livscykeln. Forskningsdatabaser förväntas ha en livslängd som överstiger andra uppgiftssamlingar för forskning. På grund av den vetenskapliga utvecklingen, förändringar i tillgången på uppgifter eller förändringar i regleringen av uppgifternas tillgänglighet för forskning kan det upp- stå en situation där det är motiverat att behålla forsknings- databasen. Till det femte steget hör därför de frågor som behöver hanteras när en forskningsdatabas ska avvecklas, såsom frågor om villkor för avveckling och arkivering. 7.4Forskningsdatabaser som bör omfattas av våra förslag 7.4.1Olika typer av forskningsdatabaser Forskningsdatabaser med uppgifter direkt insamlade från enskilda En forskningsdatabas kan byggas upp med hjälp av uppgifter som är direkt insamlade från de registrerade för ett tydligt definierat forsk- ningsområde. Den medverkar t.ex. genom i en frågeundersökning med syfte att samla in analysera och sprida kunskap om sociala förhållanden i , inklusive attityder, värde- ringar, uppfattningar och beteenden (ESS).20 Forskningsdatabasen består av en serie urvalsundersökningar där direkta identifierade upp- gifter inte behålls efter insamlingsskedet och där ingen uppföljning av individernas utveckling görs . ESS uppgifter ska enligt dess grundprinciper fritt tillgängliggöras för forskare. Databaser av detta slag kan också ha syftet att följa personer , så att direkt identifierbara personuppgifter är nödvändiga för såväl återkommande insamling som för återkommande analys. Ett exempel på denna typ av insamling är den europeiska undersökningen av hälsa, 20http:/// åldrande och pensionering (SHARE).21 Uppgifter från undersök- ningen är fritt tillgängliga för forskare över hela världen med beak- tande av tillämplig dataskyddslagstiftning. Båda dessa exempel utgör officiellt reglerade europeiska forsk- ningsinfrastrukturer ()22 med uppgifter insamlade från personer i flera europeiska länder. De är tillgängliga för forskare över hela världen. Man kan också tänka sig att denna typ av forskningsdatabaser täcker ett mer begränsat område, exempelvis ,23 eller ett större geografiskt område (även ). Forskningsdatabaser med uppgifter inhämtade från myndigheter En vanlig modell för forskningsdatabaser är sådana som består av enbart sekundärt insamlade uppgifter. Det handlar om uppgifter som finns tillgängliga på grund av andra ändamål än forskning, men som under vissa betingelser får användas också för forskningsändamål. Den enklaste formen av denna modell är när alla uppgifter samlats in från en och samma myndighet, vanligen genom sammanläggning av uppgifter från flera register inom myndigheten eller är hämtade från en sådan sammanlagd databas som redan finns där. I regel utgörs upp- gifterna av longitudinella data, dvs. uppgifter om personer som härrör från flera tidpunkter och behöver uppdateras med nya uppgifter. Ett typiskt exempel på detta kan vara forskningens användning av Registret över totalbefolkningen (RTB) i demografisk forskning. Den demografiska forskningen är ofta komparativ, dvs. den jämför befolk- ningsutvecklingen i olika länder. Man behöver således ofta använda uppgifter från flera statistikmyndigheter. Ett annat exempel kan vara de vid myndigheterna för analysändamål sammanställda databaserna integrationsdatabas för sjukförsäkrings- och arbets- marknadsstudier () vid SCB eller Mikrodata för analys av social- försäkringen (MiDAS) vid . Det är som regel nödvändigt att studera uppgifter longitudinellt, antingen genom att följa förändringar av en variabel (som arbetsmarknadsstatus, sjukskrivning) eller att undersöka hur värdet 21Survey of Health, Ageing and Retirement (SHARE),