sou · H6B336 · 2018-06-05 00:00:00 — Skälet för det ställningstagandet är att det kan vara svårt att bedöma hur länge en uppgift i en forskningsdatabas kan komma att behövas för sitt ändamål. I betänkandet diskuteras 24 § personuppgiftslagen. Enligt denna bestämmelse ska den personuppgiftsansvarige lämna den registrerade information om behandlingen av uppgifterna när de registreras. Ett undantag till detta krav är om det finns bestämmelser om registre- randet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Utredaren menar att undantaget från infor- mationsplikten enligt 24 § personuppgiftslagen kommer att bli tillämpligt enligt den föreslagna lagen om forskningsdatabaser. Lagen om forskningsdatabaser i förening med de särskilda förordningar som ska gälla varje forskningsdatabas kommer enligt förslaget att innehålla mer information om vad en registrering innebär och vilka personer som kan bli registrerade. Enligt bedömning motsvarar detta den information som ska ges enligt personuppgiftslagen. Uppgifter från andra myndighetsregister Det föreslogs att uppgifter som hämtats från andra myndighets- register för de tillåtna ändamålen skulle få behandlas under förut- sättning att uppgifterna inte direkt kan hänföras till en person. Regeringen eller den myndighet regeringen bestämmer skulle dock få meddela föreskrifter om att identifierbara uppgifter ska få behandlas. 6.3.7Ingen etikprövning av forskningsdatabaser diskuterade om etikprövningslagen borde utvidgas till att gälla även etikprövning av forskningsdatabaser. Det övervägdes således om det vore lämpligt att utvidga etikpröv- ningslagens tillämpningsområde så att etikprövningen inte endast skulle avse ett visst projekt eller del av projekt utan också insamlingen av uppgifter avsedda för att utgöra underlag för framtida forskning. Utredaren drog slutsatsen att det skulle vara möjligt, men att det inte vore en lämplig lösning. Problemet att registerhållande myndigheter inte anser sig kunna lämna ut uppgifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forsknings- projekt skulle ändå kvarstå. I stället förutsatte utredaren att etiska överväganden ska göras vid beredning och reger- ingens beslut (se avsnitt 6.3.1).21 Inget utlämnande genom direktåtkomst föreslog att utlämnande genom direktåtkomst till personuppgifter i databasen inte skulle få före- komma. Utredaren konstaterade att effektivitetsskäl talade för en direktåtkomst mellan den myndighet som för databasen och den myndighet som ska använda uppgifterna för specifika forsknings- projekt. Av integritetsskäl ansåg utredaren dock att direktåtkomst inte ska tillåtas eftersom direktåtkomst för en myndighet som ska använda personuppgifterna i en databas skulle innebära att myndig- heten får tillgång till personuppgifter, även känsliga personuppgifter, om en stor mängd personer utan att den mottagande myndigheten kommer att ha ett egentligt behov av samtliga uppgifter. Vidare angav utredaren att direktåtkomst skulle innebära att båda myndigheterna skulle göra en sekretessprövning avseende samma material och att risken då ökar för att sekretessbestämmelsen tillämpas på olika sätt.22 6.3.8Förhållandet till personuppgiftslagen och personuppgiftsansvar När det gäller förhållandet till personuppgiftslagen föreslogs att det i lagen om forskningsdatabaser skulle stadgas att personuppgiftslagen gäller vid behandling av personuppgifter, om inte annat följer av den föreslagna lagen eller föreskrifter som meddelats med stöd av lagen. 21SOU 2014:45 s. 362, 420 och 424 f. 22SOU 2014:45 s. 443. De statliga myndigheter som utför behandlingen av personupp- gifter i forskningsdatabaserna föreslogs vara personuppgiftsansvariga enligt personuppgiftslagen. Utredaren konstaterade att uppgifter från forskningsdatabaser i de flesta fall inte direkt kan hänföras till en enskild, utan kommer att lämnas ut i kodad form. För att möjliggöra senare uppdatering av uppgifterna föreslog att den som är ansvarig för forskningsdatabasen vid utlämnande av kodade uppgifter ska förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. Eftersom det inte alltid är möjligt för en forskare att förutse när behov av senare uppdatering kan uppkomma föreslogs att det ska vara obligatoriskt för den som är ansvarig för forskningsdatabasen att bevara en förteckning över beteckning och personnummer eller annan identitetsbeteckning (en kodnyckel) . Tiden föreslogs därefter kunna förlängas på begäran av den forskningshuvudman som den upprättades för eller av annan forskningshuvudman som använder uppgifter som kodnyckeln avser i sin forskning. Vidare ska enligt förslaget den myndighet som ansvarar för registret också på eget initiativ, om behov finns, besluta att tiden för bevarande av kodnyckeln ska förlängas.23 Om en uppgift rättats, blockerats eller utplånats i forskningsdata- basen, ska den personuppgiftsansvariga myndigheten enligt förslaget vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnas ut till. Vidare föreslogs att den som fått kodade personuppgifter inte behöver lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Det föreslogs även att det ska stadgas att den som behandlar uppgifterna 23SOU 2014:45 s. 440 f. inte behöver rätta, blockera eller utlåna dessa på begäran av den registrerade. Utredaren poängterar att regeringen inför inrättandet av en forsk- ningsdatabas noggrant ska pröva för vilka ändamål uppgifterna i databasen ska få behandlas. I förordning ska också specificeras vilka uppgifter och kategorier av uppgifter som får ingå i databasen. Efter- som endast uppgifter som är nödvändiga för databasens ändamål ska få förekomma i denna innebär det att innehållet i databasen och där- med också möjliga sökbegrepp är noga avvägt och begränsat. Utredaren drar slutsatsen att för att databasen ska vara användbar och ändamålsenlig bör det inte ställas upp några begränsningar av vilka sökbegrepp som får användas.24 I den föreslagna bestämmelsen anges att som sökbegrepp får användas uppgifter som enligt förslaget får ingå i en forskningsdatabas. föreslog ett förbud mot bakvägs- identifiering. Enligt förslaget får personuppgifter som inte direkt kan hänföras till en person och som behandlas med stöd av den föreslagna lagen om forskningsdatabaser inte behandlas i syfte att röja en persons identitet. Förbudet föreslogs vara straffsanktionerat och kunna leda till böter eller fängelse i högst . Utgångspunkten är att när personuppgifter i en forskningsdatabas eller en del därav hämtas från ett myndighetsregister är uppgifterna som lämnas ut till databasen kodade. Kodnyckeln bevaras hos den utlämnande myndigheten och är inte tillgänglig för den som är ansvarig för forskningsdatabasen. Dock utesluter detta enligt utredaren inte möjligheten att identifiera en enskild person i det kodade materialet. Sammanförandet av ett antal variabler om en person medför alltid en risk för att personens identitet röjs. Med anledning av detta föreslogs ett förbud mot behandling av kodade personuppgifter i syfte att röja en persons identitet.25 24SOU 2014:45 s. 441. 25SOU 2014:45 s. 443 f. Förbudet föreslogs gälla vid all behandling av kodade uppgifter, det vill säga både för dem som hanterar kodade uppgifter i forsk- ningsdatabasen och för dem som tar emot kodade uppgifter från en forskningsdatabas. lämnade förslag till en bestämmelse om begränsning av intern elektronisk åtkomst. Enligt förslaget ska den personuppgiftsansvarige begränsa sina anställdas och uppdrags- tagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om data- basen. Syftet är enligt utredaren att stärka integritetsskyddet för dem vars personuppgifter behandlas i forskningsdatabasen genom att begränsa antalet personer som har rätt att ha åtkomst till uppgifterna samt att begränsa deras hantering av uppgifterna till det som är nödvändigt för att uppfylla ändamålet med databasen. En bestämmelse om gallring föreslogs av Registerforskningsutred- ningen. Enligt denna bestämmelse ska gallring göras av person- uppgifter som inte längre behövs för ändamålen att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt som etikprövats. Regeringen eller den myndighet regeringen bestämmer föreslogs ha möjlighet att meddela föreskrifter om eller i ett enskilt fall besluta att uppgifterna ska bevaras för historiska, statistiska eller vetenskapliga ändamål. Utredaren pekar på att olika intressen ställs mot varandra. Argumenten för en specialreglering med gallring som utgångspunkt anges vara följande. Ett stort antal personuppgifter, även känsliga uppgifter, kan finnas i de databaser som möjliggörs genom lagen om forskningsdatabaser och integritetsskyddsaspekterna talar därför för gallring. Uppgifterna ska inte användas vid myndighetsutövning mot enskilda individer. Kravet på insyn och kontroll av myndighetens verksamhet är därför inte så starkt. Argumenten som i stället talar för att arkivlagens (1990:782) principer om bevarande ska vara rådande anges vara följande. Många forskningsprojekt kräver att forskaren har tillgång till uppgifter som ligger långt tillbaka i tiden. Syftet med den föreslagna lagen är att möjliggöra insamlandet av personuppgifter som ska kunna användas i olika ännu inte specificerade forskningsprojekt. Det är därför svårt att fastställa när uppgifterna inte längre behövs i databasen. Dessutom är möjligheten att granska tidigare utförd forskning viktig. konstaterar att ändamålet med personuppgiftsbehandling enligt den föreslagna lagen om forsk- ningsdatabaser både är att skapa underlag för olika forskningsprojekt och att lämna ut uppgifter till olika forskningsprojekt. Eftersom detta ändamål kräver att uppgifter bevaras för att uppgifterna ska kunna användas i forskning för exempelvis longitudinella studier finns enligt utredaren stöd för att bevara uppgifter för . Dock poängteras att det är viktigt att uppgifter som inte längre behövs för ändamålet gallras. Möjligheten för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter föreslogs med hänvisning till att det i registerförfattningar är vanligt med en sådan reglering. föreslog ett undantag från rätten enligt personuppgiftslagen att få ett registerutdrag där det framgår om personuppgifter om honom eller henne behandlas och i så fall vilka uppgifter. Enligt förslaget ska skyldigheten att lämna information endast gälla i de fall uppgifterna som behandlas i forskningsdatabasen är direkt hänförliga till en person och inte i det fallet kodade uppgifter överlämnats från andra myndighetsregister. Som skäl för förslaget anges att en skyldighet att lämna ut registerutdrag beträffande kodade uppgifter skulle innebära att den personuppgiftsansvarige skulle vara tvungen att identifiera uppgifterna, vilket i sig skulle innebära ett integritetsintrång. Det föreslogs att bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska tillämpas på motsvarande sätt vid behandling av personuppgifter som äger rum i strid med den föreslagna lagen. Enligt 28 § personuppgiftslagen har den registrerades rätt att på begäran få personuppgifter korrigerade om de inte har behandlats på ett rättsenligt sätt. Den personuppgiftsansvarige har då skyldighet att, under vissa förutsättningar, underrätta tredje man, till vilken upp- gifterna lämnats ut, om korrigeringsåtgärderna. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med denna lag har orsakat. I andra stycket stadgas om jämkning av ersättnings- skyldighet. Dessa bestämmelser gäller endast vid behandling av person- uppgifter i strid med personuppgiftslagen eller föreskrifter som utfärdats med stöd av lagen. I betänkandetexten står att det i den föreslagna lagen om forskningsdatabaser bör anges att bestäm- melserna om rättelse och skadestånd tillämpas på motsvarande sätt som i personuppgiftslagen vid behandling av personuppgifter i strid med den föreslagna lagen.26 Uppgifterna i en forskningsdatabas ska enligt förslaget till bestäm- melse om forskningssekretess i OSL skyddas av absolut sekretess, men med vissa undantag. Den ovan nämnda (avsnitt 6.2.2) forsk- ningssekretessen föreslogs således gälla också för uppgifter i en forskningsdatabas som förs med stöd av den föreslagna lagen om forskningsdatabaser. Utredaren menade att det är tveksamt om den verksamhet som kommer att bedrivas enligt den föreslagna lagen – insamlande och utlämnande av uppgifter för forskningsändamål – kan sägas falla in under begreppet forskningsverksamhet.27 För att det ska bli tydligt att sekretessbestämmelsen är tillämplig för uppgifter i en forsknings- databas ansåg utredaren att det bör anges särskilt i bestämmelsen. 26SOU 2014:45 s. 452. vår användning av begreppet forskning, se kapitel 3 i detta betänkande. Utredaren gjorde vidare bedömningen att en bestämmelse bör införas i de särskilda förordningarna som ska gälla för varje forsk- ningsdatabas som stadgar att forskningsdatabasen administreras i en särskilt avgränsad enhet hos myndigheten så att det inte ska råda någon tvekan om att den stränga forskningssekretessen är tillämplig för databasen.28 föreslog ingen generell bestämmelse om sambearbetning av uppgifter utan konstaterade att sambear- betning med uppgifter från en forskningsdatabas med andra uppgifter bör vara tillåtet så länge bearbetningen håller sig inom ramen för det ändamål som anges i den föreslagna lagen om forskningsdatabaser och den förordning som enligt förslaget ska införas för varje forsknings- databas. förslag bygger på att den föreslagna lagen om forskningsdatabaser ska kompletteras med en förordning för varje databas. I lagen om forskningsdatabaser föreslogs en bestäm- melse som stadgar vilka föreskrifter regeringen får meddela. Enligt denna bestämmelse får regeringen meddela ytterligare föreskrifter om –vilka statliga myndigheter som får föra forskningsdatabaser enligt lagen om forskningsdatabaser, –begränsning av de föreslagna ändamålen som personuppgifter i forskningsdatabasen får behandlas för, –begränsningar av de uppgifter som en forskningsdatabas får innehålla enligt den föreslagna bestämmelsen om innehåll (endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas), –begränsningar vid behandling genom utlämnande av uppgifter från en forskningsdatabas, 28SOU 2014:45 s. 455. –uppgiftsskyldighet, och –begränsningar i rätten till intern elektronisk åtkomst. När det gäller begränsningar vid behandling genom utlämnande av uppgifter gjorde utredaren bedömningen att utlämnande vanligtvis ska avse personuppgifter som inte är direkt hänförliga till den enskilde men att det kan finnas fall när det är nödvändigt för forskaren att identifiera enskilda individer. Utredaren ansåg därför att det bör regleras mer ingående i förordning på vilket sätt uppgifter får lämnas ut från en forskningsdatabas.29 När det gäller uppgiftsskyldighet angavs att syftet är att tillförsäkra den myndighet som för en forskningsdatabas tillgång till uppgifter ur andra myndigheters register. Meningen är enligt utredaren att regeringen i de fall det är nödvändigt ska ålägga myndigheter att lämna uppgifter till den myndighet som för forskningsdatabasen. Utredaren ansåg att det bör fastställas vilka myndigheter som ska vara skyldiga att lämna uppgifter och vilka uppgifter uppgiftsskyldigheten ska omfatta.30 Betänkandet Unik kunskap genom registerforskning var föremål för remissbehandling. Drygt 90 remissyttranden lämnades från myndig- heter och organisationer . En övervägande del av remissinstanserna yttrar sig positivt om utredningens förslag. En stor del av remissinstanserna välkomnar möjligheten att inrätta allmänna forskningsdatabaser och att dessa kan få det lagliga stöd som saknas . Bland annat betonas att förslagen kommer att underlätta framtida registerbaserad forskning genom att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål. Här följer en kortfattad uppräkning av utvalda delar av vissa remissinstansernas allmänna synpunkter. Remissyttrandena finns ingivna till . 29SOU 2014:45 s. 435. 30SOU 2014:45 s. 453 f. Kammarrätten i instämmer i betänkandets slutsats att registerbaserad forskning, forskningsregister och forskningsdatabaser är viktiga för framtida forskning, och att det är angeläget att det finns ett tydligt lagstöd för verksamheten samt att den enskildes personliga integritet värnas. Datainspektionen avstyrker förslaget till lag om forsknings- databaser och anför bland annat följande. Förslaget om lagreglering av forskningsdatabaser innebär att alla typer av personuppgifter kommer att kunna samlas in för forskningsändamål som inte är tydligt av- gränsade eller specificerade. Det möjliggör en närgången kartläggning av enskildas privatliv, familjeförhållanden, sjukdomshistoria, arbetsliv, brottsuppgifter m.m. I förslaget saknas integritetsskyddande bestäm- melser som står i proportion till det integritetsintrång den enskilde utsätts för. Enskilda bör i vart fall tillförsäkras en rätt att få generell information om forskningsdatabasernas existens och den person- uppgiftsbehandling som utförs. Enskilda bör också ha en självklar rätt att motsätta sig att hans eller hennes personuppgifter lagras och behandlas för forskningsändamål i forskningsdatabaser. Datainspektionen ifrågasätter lämpligheten i att och högskolor ska få föra egna register för befolkningsbaserad forskning och vidhåller att dessa uppgiftssamlingar är av så pass känslig karaktär att de bör förvaltas av någon eller några myndigheter som inte själva direkt nyttjar uppgifterna. Datainspektionen kritiserar vidare utredarens uppfattning att forskningsdatabaser inte utgör ett sådant intrång i den personliga integriteten att det kräver en särskild lag för varje forskningsdatabas. Datainspektionen understryker i detta sammanhang att effekten av att samla in och lagra ett stort antal personuppgifter om ett stort antal individer blir att dessa individer utsätts för en närgången kartläggning och att detta omfattas av integritetsskyddet i 2 kap. 6 § RF. Det poängteras att denna effekt inträder direkt vid insamlingen och är helt oberoende av syftet med insamlingen och eventuellt efterföljande behandling. Vidare menar Datainspektionen att utredarens uppfattning, att den största integritetsrisken vid behandling av personuppgifter i forsk- ningsdatabaser är att uppgifter kan läcka ut och att enskilda kan bli utsatta för andras missaktning om personliga förhållanden blir kända, är felaktig. Datainspektionen poängterar när det gäller denna fråga att skyddet mot betydande intrång gäller gentemot det allmänna och att det, för att ett betydande intrång ska anses föreligga, inte krävs att uppgifter sprids till obehöriga eller på annat sätt missbrukas. Som exempel nämner Datainspektionen att ett betydande intrång i den personliga integriteten kan uppstå redan i samband med en om- fattande insamling av personuppgifter. Enligt Datainspektionens mening uppfyller inte ändamålsbestäm- melsen i förslaget till lag om forskningsdatabaser kraven på tillräckligt särskilda, uttryckligt angivna och berättigade ändamål i dataskydds- direktivet vilket också leder till att rättsligt giltiga samtycken inte kan lämnas. Datainspektionen menar att utformningen av ändamåls- bestämmelsen är avgörande för att bedöma om ändamålen i sig är god- tagbara och behandlingen nödvändig och vilket integritetsintrång som är proportionerligt i förhållande till de givna ändamålen. Det är därför inte tillräckligt att frågan om begränsning av ändamålen regleras i förordning. Datainspektionen anser vidare att det saknas grund för att regelmässigt bevara kodnycklar . Justitiekanslern hänvisar till Datainspektionens remissvar och ställer sig bakom de bedömningar, synpunkter och farhågor som Datainspektionen lyfter fram i sitt remissvar. Försvarsmakten delar inte den i utredningen uttalade uppfatt- ningen att risken för brytande av sekretess är mindre vid forskning. Försvarsmakten uppger att beroende på vilka uppgifter som forsk- ningen vill hantera kan individrelaterade uppgifter som omfattas av försvarssekretess, det vill säga skydd för rikets säkerhet, komma att omfattas av forskning. Vidare anför Försvarsmakten att den före- slagna uppgiftsskyldigheten för utlämnande myndighets kontra bestämmelserna om menprövning i OSL behöver tydliggöras. Myndigheten för samhällsskydd och beredskap (MSB) förklarar att myndigheten i grunden är positiv till att uppgifter i olika register används i forskningen. MSB anser dock att betänkandet saknar en konsekvensanalys och en riskanalys utifrån ett nationellt perspektiv vad gäller informationssäkerheten. MSB menar att en analys som omfattar en beskrivning av nuläget beträffande informationssäker- heten i forskningsmiljöerna därför bör göras, inklusive en riskanalys som grundligt går igenom och värderar de risker som t.ex. universitet och högskolor är utsatta för genom sin informationshantering. tillstyrker i huvudsak utredningens förslag som möjliggör upprättande av forskningsdatabaser. anser dock att flera juridiska frågor är otillräckligt belysta i utredningen och menar att en stor del av förutsättningarna för de förslag som utredaren lägger fram kräver ytterligare utredning innan de kan genomföras. Vidare tillstyrker förslaget att arkivlagen ska gälla för forskningsdatabaser. anser dock att förslaget gällande gallring är otydligt formulerat och riskerar att öppna upp för god- tyckliga resonemang. menar att det i utredningen är oklart hur datasäkerheten ska säkerställas och anser att frågan är mycket viktig. bedömer att många av utredningens förslag kan förbättra möjligheterna till registerbaserad forskning i . pekar på att förutom samhällsnyttan av register- baserad forskning, inte minst inom det medicinska området, är användandet av registerdata nödvändigt för att ska kunna lösa sina uppgifter. Detta kan enligt göras inom ramen för verkets rutinmässiga verksamhet eller genom speci- fika forskningsprojekt för uppföljning av läkemedelseffekter och säkerhet. anser att det är värdefullt att tiden för bevarande av kodnycklar förlängs. Myndigheten för vårdanalys (Vårdanalys) instämmer i att register- forskningen innebär unika möjligheter till kunskap som kan vara av stort värde för patienter, brukar och medborgare. Vårdanalys anser att det därför är välkommet att det skapas bättre och tydligare förut- sättningar för forskare att hantera och få tillgång till data. Lagförslaget bör enligt Vårdanalys åtföljas av tillsyn och uppföljning och krav på att forskarsamhället stärker kompetensen om vad lag- stiftningen innebär och vilka möjligheter och skyldigheter såväl lärosäten som de individuella forskarna har. Detta skulle leda till att man undviker att systemet fortsatt upplevs som otydligt och att missnöje eller bristande lagefterlevnad består. Vårdanalys anser att lagändringarna i förslaget kan bidra till att det blir tydligare för både registerhållare och forskare. Det är därför angeläget att kraven skärpts avseende kompetensuppbyggnad när det gäller lagstiftning, etik, integritet och informationssäkerhet på läro- säten och bland forskare. Det anförs att vinsterna med utökade möjligheter till registerforskning belyses på ett bra sätt i betänkandet, men att samma vikt inte fästs vid de nackdelar i termer av integritets- intrång som kan komma att uppstå. Vidare anser Vårdanalys att det är angeläget att det ställs krav på att registerhållarna säkerställer en god informationssäkerhet. framhåller att det är angeläget att det görs regelbunden tillsyn av verk- samheterna.