sou · H6B336 · 2018-06-05 00:00:00 — Långsiktig reglering av forskningsdatabaser SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2018 Regeringen beslutade att tillkalla en särskild utredare med uppdrag att bl.a. föreslå kompletterande reglering av behandling av personuppgifter för forskningsändamål med anledning av EU:s nya dataskyddsförordning (dir. 2016:65). Som särskild utredare förordnades professor . Sist i detta missiv finns en förteckning över utredningens sekreterare, experter och sakkunniga. Regeringen har beslutat tre tilläggsdirektiv till utredningen (dir. 2017:29, 2017:61 och 2017:87) med ytterligare uppdrag. Utred- ningstiden för uppdraget har förlängts till . Utredningen har antagit namnet . Utredningen redovisade delar av sitt uppdrag i delbetänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) till regeringen . De uppdrag som lämnades i tilläggsdirektiv 2017:29 och 2017:87 redovisades separat i promemorian Personuppgiftsbehandling i forskningsbibliotekens verk- samhet (Komm2017/01529/U 2016:04, bilaga 5). Utredningen överlämnar nu slutbetänkandet Rätt att forska – Långsiktig reglering av forskningsdatabaser (2018:36). Utred- ningens uppdrag är härmed slutfört. Utredningens experter, sakkunniga och sekreterare ämnesråd (huvudsekreterare) 1.1 Förslag till lag om forskningsdatabaser ................................. 1.2Förslag till lag om upphävande av lagen (1999:353) om 1.3Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor .................. 1.4Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)....................................................... 1.5Förslag till förordning om ändring av förordning (2009:975) med instruktion för ................. 1.6Förslag till förordning om ändring i förordningen (2003:615) om etikprövning av forskning som avser Vårt uppdrag och arbete ............................................. Uppdraget att föreslå långsiktiga regleringar Reglering av ett nationellt biobanksregister.......... 2.1.4Utlämnande av personuppgifter till 2.1.5Skydd för uppgifter om avlidna i forensisk Besök vid lärosäten och myndigheter .................... Övriga kontakter och framträdanden .................... Annat underlag i utredningsarbetet ....................... Bakgrund, utgångspunkter och begrepp........................ Centrala begrepp för slutbetänkandet.................................... Forskning och forskningsändamål.......................... Register och databas ................................................ databasinfrastruktur för forskning.......................... Program och projekt................................................ 3.3.9Fjärråtkomst, direktåtkomst till och annat utlämnande från forskningsdatabaser ..................... 3.3.10 Centraliserad och decentraliserad .......................... Behov av forskningsdatabaser ..................................... Behövs det särskilda forskningsdatabaser? Har förutsättningarna ändrats ?............. 4.2.3Digitaliseringens inverkan på utveckling 4.3 Utveckling av gemensamma resurser vid myndigheter ...... Satsningen på hälso- och sjukvårdens 4.3.2Utveckling av ett nationellt biobanksregister 4.3.3Utveckling av stöd till forskning vid statliga Vår sammanfattande bedömning .......................................... Rättsliga förutsättningar för forskningsdatabaser ......... Innehåll och disposition......................................... 5.1.2Redovisningar av rättsliga förutsättningar i annat offentligt tryck ........................................... 5.2 Rättsliga förutsättningar för registerbaserad forskning ....... Rätt för forskare att få del av personuppgifter ...... 5.3 Några viktiga bestämmelser i dataskyddsförordningen ....... Personuppgifter om lagöverträdelser m.m. ........... Principer för personuppgiftsbehandling................ Begränsningar i registrerades rättigheter .............. Etikprövningslagens innehåll, syfte Villkor för etikprövning ........................................ Offentlighet, sekretess och tystnadsplikt............................. 5.5.3Sekretessbestämmelser till skydd för enskild Tystnadsplikt vid privat verksamhet ..................... 5.5.5Prövningen av en forskares begäran av att få ta del av uppgifter från en statistikansvarig 5.6 Arkivering och gallring ......................................................... Tryckfrihetsförordningen och arkivlagen............. Reglering i dataskyddslagen .................................. Reglering i registerförfattningar............................ uppdrag och förslag ......... Förslag till lag om forskningsdatabaser................. Förslaget till lag om forskningsdatabaser............................. 6.3.1Reglering genom en lag och kompletterande 6.3.2Statliga myndigheter ska kunna vara ansvariga Ändamål och utlämnande ...................................... Insamling av uppgifter ........................................... Ingen etikprövning av forskningsdatabaser........... Förbud mot bakvägsidentifiering .......................... Intern elektronisk åtkomst .................................... Rättelse och skadestånd ......................................... Remissynpunkter på vissa delar av förslagen......... 7.2.4Vår ansats utifrån den politiska viljan och 7.3 En forskningsdatabas livscykel.............................................. Forskningsdatabaser som bör omfattas av våra förslag ....... Olika typer av forskningsdatabaser....................... Forskningsdatabaser som vi avser att reglera........ Förslag till reglering av forskningsdatabaser ................ Personuppgiftsbehandling i forskningsdatabaser................. Förenlighet med dataskyddsförordningen............ Grundläggande principer för behandling.............. En lag om forskningsdatabaser ............................................. Lagens innehåll och syfte ...................................................... Förhållande till annan lagstiftning ........................................ Regleringens territoriella tillämpningsområde ..................... Skapandet av en forskningsdatabas....................................... Behov av reglering i detta steg av livscykeln ......... Ansvar för forskningsdatabasen............................ 8.8.3De övergripande ändamålen med en 8.8.4Grundläggande villkor för skapandet av en forskningsdatabas......................................... En forskningsdatabas ska etikprövas .................... Etikprövningen av en forskningsdatabas............... 8.9 Insamlingen av uppgifter till en forskningsdatabas................. Behov av reglering i detta steg av livscykeln.......... 8.9.2Direkt identifierbara uppgifter ska få behandlas i en forskningsdatabas............................................ 8.9.3En forskningsdatabas kan helt eller delvis bestå av uppgifter som samlas in direkt från den 8.9.4Den registrerade kan invända mot 8.9.6Tystnadsplikt hos samtliga privata 8.10 Förvaltningen av en forskningsdatabas................................. Behov av reglering i detta steg av livscykeln.......... 8.10.3En organisatorisk enhet med ansvar för informationssäkerhet och personlig integritet...... Ett riskbaserat informationssäkerhetsarbete......... 8.10.5Intern tillgång till personuppgifter i en Intern uppföljning (revidering) ............................. 8.10.7 Extern uppföljning och utvärdering ...................... 8.11 Användningen av en forskningsdatabas................................ Behov av reglering i detta steg av livscykeln.......... 8.11.2Villkor för utlämnande av personuppgifter från en forskningsdatabas ...................................... Pseudonymisering och annat likvärdigt skydd...... Utlämnande av uppgifter till och andra 8.11.5Direktåtkomst ska inte vara tillåten för andra än de registrerade ................................................... 8.11.6 Direktåtkomst för den registrerade själv............... 8.11.7 Uppförandekoder som stöd vid behandling av personuppgifter i forskningsdatabaser.............. 8.12 Avvecklingen av en forskningsdatabas.................................. 8.12.1 Behov av reglering i detta steg av livscykeln.......... 9.3Hur används lagen och finns ett långsiktigt behov av ett rättspsykiatriskt forskningsregister? Bakgrund till registerlagen..................................... Rättspsykiatrisk verksamhet vid RMV ................. 9.4 Överväganden och förslag .................................................... 9.4.1Lagen om rättspsykiatriskt forskningsregister 24 kap. 2 § i OSL ska upphöra att gälla ................. En reglering av ett nationellt biobanksregister............. Förslaget i korthet ................................................. Utredningen om regleringen av biobanker .......................... Centrala delar av förslaget ..................................... 10.3.2Förhållningssätt till Utredningens om regleringen av biobanker förslag ........................... 10.4 Överväganden och förslag..................................................... 10.4.1Förslag i enlighet med Utredningens om regleringen av biobanker betänkande ................... 10.4.2Bedömningar och förslag som avviker från Utredningens om regleringen av biobanker Förslag till författningsreglering ........................................... Utlämnande av uppgifter till europeiska Vårt uppdrag i denna del ....................................................... Offentlighets- och sekretesslagen ......................... 11.2.3 Uppgiftsskyldighet som bryter sekretess.............. 11.3.1 En ny sekretessbrytande bestämmelse .................. 11.3.2Alternativ lösning för utlämnande av uppgifter Skydd för uppgifter om avlidna i forskning ................. Uppgifter om avlidna som kan komma att användas 12.2.1 Uppgifter om avlidna hos RMV ............................ 12.2.2Forskning och utvecklingsarbete inom hälso- NFC:s forsknings- och utvecklingsarbete ............ Utlämnande av uppgifter för 12.3 Vilket skydd finns för uppgifter om avlidna som hanteras inom forskning?.............................................. 12.3.1 Grundläggande rättsliga förutsättningar............... 12.3.2 Skyddet för den avlidnes kroppsliga integritet ..... 12.3.3 Skyddet för den avlidnes eftermäle och frid ......... 12.3.4 Skydd i generell lagstiftning .................................. 12.4 Finns det ett behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning? 12.4.1 Hur omfattande skydd behövs för uppgifter 12.4.2Skyddet som avlidna som en indirekt effekt av skyddet för efterlevande ........................................ 12.4.3En tredelad modell för skydd för uppgifter om 12.4.4Behov av tydligare tillämpningsområde för kravet på etikprövning........................................... 12.4.5Det saknas behov av ett utökad skydd för uppgifter om avlidna i forskning ........................... Långsiktig reglering av forskningsdatabaser ....................... Problem och målbeskrivning................................ 13.2.3 Vem berörs av förslagen ....................................... Tidpunkt för ikraftträdande ................................. 13.2.8 Konsekvenser för den personliga integriteten .... Ett nationellt biobanksregister............................................. Utlämnande av uppgifter till europeiska Skydd för uppgifter om avlidna ........................................... Förslaget till lag om forskningsdatabaser............................ Förslaget till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor ................... Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400).............................................. Förslaget till förordning om ändring av förordning (2009:975) med instruktion för ............... Förslaget till förordning om ändring i förordningen (2003:615) om etikprövning av forskning som avser Bilaga 5 Personuppgiftsbehandling i forskningsbibliotekens För att vårt samhälle ska utvecklas och för att vi ska kunna lösa olika problem behöver vi forskning. Vi behöver forskare och forsknings- huvudmän inom olika ämnesområden som tar fram resultat som går att använda till vårt gemensamma bästa. har en världsledande ställning vad gäller statistik om levnads- förhållanden och hälsa. På grund av våra individbaserade register finns det goda möjligheter till framgångsrik forskning baserad på dessa. Detta gör vårt land attraktivt även för forskare i andra länder. För att fullt ut kunna dra nytta av våra unika förutsättningar behövs ett mer effektivt utnyttjande av befintliga register och databaser. Regeringen har i våra direktiv1 anfört att det behövs bättre förut- sättningar för registerbaserad forskning och givit oss i uppdrag att föreslå en långsiktig reglering av forskningsdatabaser. Utöver detta uppdrag har vi i denna del av utredningens arbete också haft i uppdrag att analysera •om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister, •vilken rättslig reglering av ett nationellt biobanksregister som behövs, •vilken rättslig reglering som behövs för att () ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden till Income Study (), •om det behövs ett förstärkt skydd för uppgifter om avlidna i forensisk forskning, och 1Kommittédirektiv Personuppgiftsbehandling för forskningsändamål, dir. 2016:65. •vilka rättsliga förutsättningar som finns i EU:s dataskyddsförord- ning2 för behandling av personuppgifter hos och andra forskningsbibliotek. Det sistnämnda uppdraget redovisade vi i en promemoria till Utbild- ningsdepartementet (bilaga 5). I delbetänkandet Personuppgiftsbehandling för forskningsändamål3 analyserade vi vilken reglering av behandling av personuppgifter för forskningsändamål som är möjlig och kan behövas med anledning av att dataskyddsförordningen ska börja tillämpas . Vi identifierade i samband med det arbetet ett behov av att införa en forskningsdatalag med syfte att möjliggöra personuppgiftsbehand- ling för forskningsändamål som den enskildes fri- och rättigheter skyddas. I delbetänkandet föreslog vi därför en forsknings- datalag som skulle vara tillämplig för all personuppgiftsbehandling för forskningsändamål oavsett rättslig grund. Vi kom även till slutsatsen att prövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) utgör en sådan lämplig och särskild skyddsåtgärd som krävs för att personuppgiftsbehandling för forskningsändamål av känsliga person- uppgifter eller personuppgifter om lagöverträdelser m.m. ska vara tillåten. Vi konstaterade vidare att det finns anledning att närmare utreda behovet av förändringar i etikprövningsförfarandet. Den fullständiga etikprövningen bör enligt vår mening begränsas till de person- uppgiftsbehandlingar som formellt sett kräver ett dylikt omfattande skydd. Dagens krav på etikprövning omfattar även sådan person- uppgiftsbehandling som generellt sett kan betraktas som mindre riskfylld för den enskilde, men som ändå är i behov av lämplig skydds- åtgärd. Att tillämpa samma etikprövningsförfarande på all slags personuppgiftsbehandling som etikprövningslagen omfattar är mot 2Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. 3Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017: 50). denna bakgrund inte rimligt och proportionerligt. Om förfarandet inte kan anpassas utifrån skyddsbehovet, riskerar det dessutom att urholka förtroendet för etikprövning som skyddsåtgärd. Mot bak- grund av begränsningarna i vårt uppdrag och våra ramar i övrigt föreslog vi att ett differentierat etikprövningsförfarande borde utredas vidare i särskild form. En forskningsdatabas är en databas (uppgiftssamling) med person- uppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Den tid under vilken en forskningsdatabas finns i en forsknings- huvudmans verksamhet – databasens livscykel – kan delas in i olika stadier. Vissa aktiviteter i forskningsdatabasen pågår löpande, medan andra är starkare knutna till . Livscykelperspektivet kan användas till att analysera vilka aktiviteter som behöver regleras för att åstadkomma en säker behandling av personuppgifter i databasen. Vi beskriver forskningsdatabasens livscykel i följande fem steg. 1.Skapandet av en forskningsdatabas. 2.Insamlingen av personuppgifter. 3.Förvaltningen av forskningsdatabasen. 4.Användningen av forskningsdatabasen. 5.Avvecklingen av en forskningsdatabas. En reglering som bara omfattar ett fåtal centralt utpekade forsk- ningsfält och ett mindre antal forskningshuvudmän skulle enligt vår bedömning inte vara tillräcklig för att tillgodose en säker hantering av personuppgifter i forskningsdatabaser. Vi föreslår därför en generell reglering som omfattar så många databaser som möjligt. I praktiken existerar dessutom redan en hel mängd olika sorters forsknings- databaser hos flera olika typer av forskningshuvudmän. Vi finner att principen om forskningens frihet innebär att initia- tivet till att skapa en forskningsdatabas bör komma från forsknings- huvudmännen och inte från regeringen. Vi menar att det är i forsk- ningsverksamheten som behoven av uppgiftssamlingar bäst kan identi- fieras och formuleras. Vårt förslag till en långsiktig reglering utgår således ifrån att det är forskningshuvudmännen som ska bedöma vilka forskningsdatabaser som behövs. I enlighet med vårt uppdrag ska den reglering vi föreslår – utöver att uppfylla forskningens behov – också infatta ett gott skydd för den personliga integriteten. Vi menar att det föreligger ett gott integritets- skydd när denna rättighet står i balans med andra grundläggande rättigheter och legitima samhällsintressen. Vi föreslår därför en reglering som möjliggör en ändamålsenlig och säker behandling av personuppgifter i forskningsdatabaser. Regleringen uppfyller både forskningens behov och innefattar ett gott skydd för den personliga integriteten. En långsiktig reglering av forskningsdatabaser Vi föreslår att behandlingen av personuppgifter i en forskningsdatabas ska regleras i en särskild lag, lagen om forskningsdatabaser (forsk- ningsdatabaslagen). Lagen reglerar bl.a. vilka forskningshuvudmän som ska få ansvara för forskningsdatabaser och vilka skyddsåtgärder som krävs för att en forskningsdatabas ska vara rättsenlig. Såväl de statliga högskolorna och universiteten som de privata läro- sätena som omfattas av offentlighetsprincipen samt har examensrätt, ska enligt vårt förslag få behandla personuppgifter i forsknings- databaser. Även andra myndigheter än sådana som bedriver under- visning ska få ansvara för forskningsdatabaser, om forskning ingår i deras uppdrag. Det ska gälla både statliga och kommunala myndig- heter. En grundläggande skyddsåtgärd som vi föreslår är att en forsk- ningsdatabas måste godkännas enligt etikprövningslagen. Vid etik- prövningen ska t.ex. forskningsdatabasens vetenskapliga värde vägas mot de risker den kan medföra för forskningspersoners hälsa, säker- het och personliga integritet. Dessutom föreslår vi att all forskning som ska använda uppgifter i en forskningsdatabas ska vara etikgod- känd. Vi föreslår ändringar i etikprövningslagen som möjliggör dessa skyddsåtgärder. En annan viktig skyddsåtgärd som vi föreslår är en ny bestämmelse om forskningssekretess i offentlighets- och sekretesslagen (2009:400) och en motsvarande bestämmelse om tystnadsplikt hos privata forsk- ningshuvudmän i forskningsdatabaslagen. Uppgifterna i en forsk- ningsdatabas liksom i de forskningsprojekt som använder dessa upp- gifter kommer därför att omfattas av antingen forskningssekretess eller tystnadsplikt. Dessutom ställer forskningsdatabaslagen krav på organisatoriska skyddsåtgärder. Sådana krav följer också direkt av dataskyddsförord- ningen. Vi specificerar dessa ytterligare genom att kräva att forsk- ningshuvudmannen ska ha en verksamhetschef som ska ha det verk- ställande ansvaret för en forskningsdatabas. Det ska därtill finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen. Vidare ska verksamheten hos forskningshuvudmannen omfattas av ett risk- baserat informationssäkerhetsarbete. I forskningsdatabaslagen finns det krav på tekniska skyddsåtgär- der. Forskningshuvudmannen ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter i en forsk- ningsdatabas. Forskningshuvudmannen ska även kontrollera att åtkomsten används på rätt sätt. Behandlingen av personuppgifter i en forskningsdatabas kommer på samma sätt som annan personuppgiftsbehandling att omfattas av Datainspektionens4 tillsyn. Utöver att en forskningsdatabas kommer att vara föremål för tillsyn, föreslår vi att ska få i uppgift att följa upp forskningsdatabaser som skapas med stöd av den nya lagen. Vi anser att regeringen måste hållas informerad om vilken effekt lagen får för hantering av personuppgifter i forskningsdata- baser. Därtill föreslår vi att ska få i uppgift att initiera och stödja arbetet med att upprätta en uppförandekod för behandling av personuppgifter i forskningsdatabaser. Ytterligare en viktig skyddsåtgärd som vi föreslår är att ge forsk- ningspersonerna möjlighet till insyn i hur de egna uppgifterna hante- ras i forskningsdatabasen. En forskningshuvudman ska få medge den 4I ett pressmeddelande informerar regeringen att den kommer att tillföra Datainspektionen för att stärka arbetet med den personliga integriteten. Myndigheten föreslås också att byta namn till . Dessutom ska myndighetens uppdrag ändras så att dess stödjande och rådgivande roll blir tydligare. enskilde att få direktåtkomst till sina egna direkt identifierbara upp- gifter. De förslag som vi lämnar kommer sammantaget att omfatta ett paket av skyddsåtgärder för den personliga integriteten. Utöver de krav som gäller enligt dataskyddsregleringen5 kommer person- uppgifterna i en forskningsdatabas att skyddas av bl.a.: •begränsning av vilka forskningshuvudmän som får ansvara för en forskningsdatabas, •villkor för skapandet av en forskningsdatabas, •krav på etikprövning av forskningsdatabasen, •krav på etikprövning av de forskningsprojekt som ska använda personuppgifterna, •sekretess och tystnadsplikt, •krav på finansiering av forskningsdatabasen, samt I några fall finns redan särskilda lagar för att möjliggöra forsknings- databaser. En sådan är lagen (1999:353) om rättspsykiatriskt forsk- ningsregister (nedan kallad registerlagen). () är personuppgiftsansvarigt för det rättspsykiatriska forskningsregistret. Registret får användas för två ändamål, dels behandling av personuppgifter för forskning inom rätts- psykiatrin, om forskningen och behandlingen har godkänts enligt 5Dataskyddsförordningen och lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. etikprövningslagen, dels för RMV:s uppföljning, utvärdering och kvalitetssäkring inom rättspsykiatrin. I en rapport6 till regeringen har RMV framhållit att registerlagen inte ger ett adekvat stöd för den rättspsykiatriska forskningen. Anled- ningen till det är att rättspsykiatrins nuvarande frågeställningar inte låter sig besvaras med stöd av de begränsade uppgifter som får registreras i registret.