sou · H6B336 · 2018-06-05 00:00:00 — Vår bedömning är dock att lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen) ska upphöra att gälla när lagen om forskningsdatabaser träder i kraft. Den eller de forsk- ningsdatabaser som har byggts upp med stöd av denna lag kan lämpligen styras av vårt förslag till generell lagstiftning. LifeGene-lagen tillkom för att ge ett tydligt rättsligt stöd för statliga universitet och högskolor att med den enskildes uttryckliga samtycke behandla personuppgifter i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt. Lagens giltighetstid tidsbegränsades, först i avvaktan på bered- ningen av den översyn av förutsättningarna för registerbaserad forsk- ning som gjordes av ,9 sedan i avvaktan på vår redovisning i detta betänkande. Lagens giltighetstid har för- längts, senaste gången till och med den 31 december 2020.10 Vårt förslag till lag om forskningsdatabaser innefattar en sådan reglering av forskningsdatabaser som kan ersätta den tillfälliga LifeGene-lagen. 8.4Lagens innehåll och syfte Vårt förslag: Lagen ska innehålla bestämmelser om behandling av personuppgifter i en forskningsdatabas. Lagen ska även innehålla en bestämmelse om tystnadsplikt hos privata forskningshuvud- män. 9Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45). 10Lag (2017:1102) om fortsatt giltighet av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Förslag till reglering av forskningsdatabaser Syftet med lagen är att möjliggöra behandling av personuppgifter i en forskningsdatabas. Syftet är också att säkerställa att de registre- rades personliga integritet skyddas vid denna behandling. Vi föreslår att lagen om forskningsdatabaser (forskningsdatabaslagen) ska inledas med en bestämmelse som beskriver vilken typ av regler som ska finnas i lagen. Lagen ska innehålla bestämmelser om behand- ling av personuppgifter i forskningsdatabaser. Därutöver kommer lagen att innehålla andra bestämmelser som behövs för att lagen ska fungera författningsmässigt, t.ex. bestämmelser om förhållande till annan lagstiftning och om tillämpningsområdet. I den inledande bestämmelsen ska också anges att det i lagen finns en bestämmelse om tystnadsplikt hos enskilda (privata) forskningshuvudmän. För att behandling av personuppgifter i en forskningsdatabas ska kunna göras på ett lagligt sätt krävs en reglering som tydligt beskriver under vilka villkor det är tillåtet och vilka skyddsåtgärder som krävs (jämför avsnitt 8.2.3 om rättslig grund). Syftet med lagen är således att möjliggöra en sådan behandling. Behandling av personuppgifter i en forskningsdatabas innebär ofta att stora mängder uppgifter om enskilda samlas in, bearbetas och används för forskningsändamål. Det är inte ovanligt att forskare kan ha behov av att behandla uppgifter som är närgångna för individen. Det kan t.ex. handla om uppgifter om politisk tillhörighet, sexuell läggning, relationer till andra m.m. För att nå ny kunskap om t.ex. sjukdomar och hur de bäst kan behandlas kan forskningen behöva uppgifter ur patientjournaler, hälsodataregister och kvalitetsregister. Det rör sig i sådana fall om uppgifter som är kategoriserade som känsliga enligt dataskyddsförordningen. Det kan också handla om forskningsprojekt där forskningen inriktar sig på att samla kunskap om olika brott m.m. I dessa fall måste forskaren behandla person- uppgifter om lagöverträdelser. Även denna kategori omfattas av särskilda regler i dataskyddsförordningen. Oavsett om det rör sig om sådana personuppgifter eller andra måste behandlingen utföras med respekt för de registrerades integritet. Syftet med forskningsdata- baslagen är att möjliggöra för forskningen ändamålsenlig behandling som de registrerades integritet skyddas. anser att det är möjligt att skapa en långsiktig reglering av forskningsdatabaser som innehåller sådana krav på skyddsåtgärder att den enskildes integritet får ett gott skydd. Förslag till reglering av forskningsdatabaser menar att det inte är en fråga om antingen personlig integritet eller god tillgång till personuppgifter för forskningen, utan snarare om hur integritetsskyddet bör utformas för att ge så goda förutsättningar som möjligt att bedriva en forskningsverksamhet av hög kvalitet. Det handlar därför enligt utredningens uppfattning om att konstruera och upprätthålla ett integritetsskydd som faktiskt bidrar till att stimulera kunskapsutvecklingen, vilket också är ett krav från lagstiftaren. Utredningens förslag i detta betänkande handlar således inte i sak om att stärka integritetsskyddet i forskningen. Å andra sidan är det inte heller så att utredningen föreslår att forskning ska få företräde framför integritetsskyddet. I kap. 7 utvecklar vi vår inställning till integritets- frågorna ytterligare. Förslagen handlar om att öka förutsättningarna för forskning av hög kvalitet som kan bidra till nya kunskaper till nytta för individer och samhälle. För att detta ska vara möjligt är integri- tetsskydd givetvis en viktig beståndsdel. Vi förslår därför att syftet med den nya lagen ska vara att möjlig- göra behandling av personuppgifter i en forskningsdatabas. Syftet är också att säkerställa att de registrerades integritet skyddas vid denna behandling. 8.5Förhållande till annan lagstiftning Vårt förslag: Lagen ska innehålla kompletterande bestämmelser till dataskyddsförordningen. Om inte annat följer av forskningsdatabaslagen ska data- skyddslagen gälla. Om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter för forskningsändamål som avviker från forskningsdatabaslagen ska de bestämmelserna gälla. Dataskyddsförordningen ska inte genomföras i svensk lagstiftning, utan ska i stället tillämpas direkt av enskilda, myndigheter och dom- stolar. När dataskyddsförordningen nu har börjat tillämpas kommer alltså den generella regleringen om behandling av personuppgifter att finnas i dataskyddsförordningen. Den omständigheten att den nya generella unionsrättsakten om dataskydd är en förordning, och inte ett direktiv, innebär således om- Förslag till reglering av forskningsdatabaser fattande begränsningar av möjligheten att införa eller behålla natio- nella bestämmelser om dataskydd. Dataskyddsförordningen både förutsätter och medger emellertid nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens regler. Vissa av de kompletterande bestämmelser som behövs eller är lämpliga är av generell karaktär, i betydelsen att de rör hela samhället eller flertalet myndigheter och inte bara en viss sektor. Denna typ av generella bestämmelser finns samlade i den övergripande dataskydds- lagen. Dataskyddsförordningen har emellertid delvis en direktivliknande karaktär och tillåter i vissa avseenden att förordningens regler speci- ficeras i nationell rätt. Detta följer bl.a. av artikel 6.2, där det anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som utförs med stöd av artikel 6.1 c (rättslig för- pliktelse) och 6.1 e (uppgift av allmänt intresse och myndighets- utövning). Medlemsstaterna får närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 framgår att detta även gäller för behandlingen av känsliga personuppgifter. Av artikel 6.3 framgår vidare att, vid behandling enligt artikel 6.1 c och e, ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Där anges också att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmel- serna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamåls- begränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Detta innebär att det även fortsättningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfattningarna, t.ex. studiestödsdatalagen (2009:287) och domstolsdatalagen (2015:728). Den lag som vi förslår kommer att utgöra en sådan sektorsspecifik särreglering. Forskningsdatabaslagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Detta innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. Förslag till reglering av forskningsdatabaser Lagen innehåller de kompletterande bestämmelser som behövs för att en behandling av personuppgifter i forskningsdatabaser ska vara förenlig med dataskyddsförordningen. Den föreslagna forskningsdatabaslagen måste således tillämpas i kombination med flera andra rättskällor. Det är dataskyddsförord- ningen som utgör den centrala regleringen på området. Därutöver finns det och kommer att finnas ytterligare tillämpliga författningar i svensk rätt. uppdrag att anpassa nationell lagstiftning till dataskyddsförordningen har resulterat i att person- uppgiftslagen upphävts och att dataskyddslagen har införts.11 I enstaka fall kan bestämmelser i den lag som vi förslår komma att avvika från bestämmelser i dataskyddslagen. Om inte annat följer av den lag vi föreslår ska dataskyddslagen tillämpas. Utöver den föreslagna forskningsdatabaslagen kommer det att finnas författningar med karaktären av registerförfattningar som innehåller bestämmelser som specifikt är inriktade på behandling av personuppgifter i en forskningsdatabas. Här kan t.ex. nämnas lagen (2012:741) om behandling av personuppgifter vid utvärdering. I den mån en sådan registerförfattning innehåller avvikande bestämmelser, exem- pelvis i fråga om vilka skyddsåtgärder som ska tillämpas, får förut- sättas att dessa bestämmelser är utformade efter de konkreta förut- sättningarna för den specifika forskningsdatabasen. En sådan register- författning bör därför tillämpas framför forskningsdatabaslagen. Vårt förslag: Forskningsdatabaslagen ska tillämpas vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Etikprövningslagens tillämpningsområde ska ändras så att detta, vad avser behandling av personuppgifter, överensstämmer med det som ska gälla för forskningsdatabaslagen. 11Regeringens proposition Ny dataskyddslag (prop. 2017/18:105). Förslag till reglering av forskningsdatabaser forskning som enbart avser olika fysiska ingrepp m.m. ska etik- prövningslagen alltjämt tillämpas på forskning som ska utföras i . Dataskyddsförordningen föreskriver att det fria flödet av person- uppgifter inom unionen varken ska begränsas eller förhindras av skäl som hör ihop med skyddet för fysiska personer med avseende på behandling av personuppgifter (artikel 1.3). Det anges därutöver i skäl 159 att all reglering av vetenskaplig forskning ska ta hänsyn till unionens målsättning att uppnå ett europeiskt forskningsområde. Denna målsättning har formulerats i artikel 179.1 i fördraget om europeiska unionens funktionssätt.12 Dataskyddsförordningen är tillämplig på all behandling av person- uppgifter inom ramen för den verksamhet en personuppgiftsansvarig eller personuppgiftsbiträde har i unionen, oavsett om behandlingen äger rum inom unionen eller inte (artikel 3.1). Detta är den så kallade etableringslandsprincipen. Etableringslandsprincipen är utgångs- punkten i dataskyddsförordningens reglering om det territoriella tillämpningsområdet (artikel 3.1 och 3.3). Etableringslandsprincipen är huvudregel även för dataskydds- lagens tillämpningsområde. Denna utgångspunkt har valts eftersom den harmonierar med regleringen i dataskyddsförordningen. Enligt 1 kap. 5 § första stycket dataskyddslagen gäller lagen vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Enligt samma stycke gäller lagen även vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i , men på en plats där svensk rätt gäller enligt folkrätten. Det saknar därmed betydelse var behandlingen faktiskt utförs och var den registrerade befinner sig. Omvänt gäller lagen, enligt huvudregeln, inte för personuppgiftsansvariga som saknar verksamhetsställe i , även om de behandlar uppgifter om personer i . 12Fördraget om europeiska unionens funktionssätt. Europeiska unionens officiella tidning 326/47. Förslag till reglering av forskningsdatabaser Behandling av personuppgifter är i många fall en gränsöverskridande aktivitet. Detta gäller inte minst i forskningssammanhang. Det är till exempel inte ovanligt att den som behandlar personuppgifter om personer i inte själv är etablerad i landet. På motsvarande sätt kan företag och organisationer som är etablerade i behandla personuppgifter om individer i andra länder utan att vara etablerade där. Det förekommer ofta samarbete mellan forskningshuvudmän i olika länder. Forskare önskar och behöver kunna använda forsk- ningsdata om forskningspersoner i andra länder. I forskningsprojekt behöver uppgifter om forskningspersoner i olika länder kunna utbytas och sammanställas. För att inte hindra att forskning bedrivs eller förhindra flödet av personuppgifter är det viktigt att forskare vet vilka bestämmelser de har att rätta sig efter. Utan reglering av det territo- riella tillämpningsområdet kommer det att råda osäkerhet i denna fråga. Av rättssäkerhetsskäl bör det därför införas en uttrycklig bestämmelse om det territoriella tillämpningsområdet i forsknings- databaslagen. Etableringslandsprincipen är som vi konstaterade ovan utgångs- punkten i dataskyddsförordningens reglering om det territoriella tillämpningsområdet (artikel 3.1 och 3.3). Ett val av etableringslands- principen som huvudregel för forskningsdatabaslagens tillämpnings- område skulle således överensstämma med såväl regleringen i dataskyddsförordningen som i dataskyddslagen. Mot denna bakgrund bedömer vi att etableringslandsprincipen bör gälla som utgångspunkt även för forskningsdatabaslagens territoriella tillämpningsområde. Lagen bör tillämpas vid behandling av person- uppgifter som utförs inom ramen för den verksamhet som bedrivs vid en personuppgiftsansvarigs verksamhetsställe i . Om forsk- ningsdatabasens verksamhet bedrivs inom ramen för den person- uppgiftsansvariges verksamhetsställe i kommer forsknings- databaslagen att gälla även om behandlingen av personuppgifter avser personer i ett annat land. Omvänt kommer lagen inte att gälla för personuppgiftsansvariga som saknar verksamhetsställe i , även om de behandlar uppgifter om personer i . Förslag till reglering av forskningsdatabaser forskningsdatabaslagen ska tillämpas blir således om personuppgif- terna behandlas inom ramen för en forskningsdatabas som drivs vid den personuppgiftsansvariges verksamhetsställe i , oavsett var själva personuppgiftsbehandlingen rent fysiskt äger rum. När det gäller tillämpningsområdet för dataskyddslagen ska den enligt 1 kap. 5 § andra stycket, utöver vad som anges i första stycket, dessutom gälla vid behandling av personuppgifter som avser registre- rade som befinner sig i och som utförs av personuppgifts- ansvariga eller personuppgiftsbiträden som endast är etablerade i tredjeland, om behandlingen har anknytning till utbjudande av varor eller tjänster till registrerade i , eller övervakning av registre- rades beteende i . Detta stadgande överensstämmer med vad som gäller för dataskyddsförordningens tillämpningsområde enligt artikel 3.2 a och b. Eftersom behandling av personuppgifter för forsk- ningsändamål inte har någon anknytning till utbjudande av varor eller tjänster eller övervakning av registrerades beteende bedömer vi att någon motsvarighet till bestämmelsen i dataskyddslagen i denna del inte behöver införas i forskningsdatabaslagen. Etikprövningslagen ska enligt gällande rätt tillämpas på forskning13 som ska utföras i (5 § etikprövningslagen). Regleringen i data- skyddsförordningen, i dataskyddslagen och i den ovan föreslagna bestämmelsen i forskningsdatabaslagen bygger på ett tillämpnings- område som är relaterat till var den personuppgiftsansvarige är etable- rad och till att behandling av personuppgifter utförs inom ramen för den verksamhet som denne bedriver, oberoende av var behandlingen faktiskt äger rum. Regleringen i etikprövningslagen utgår i stället från var forskningen som innefattar personuppgiftsbehandling utförs. I de allra flesta fall skulle det föreslagna tillämpningsområdet för forskningsdatabaslagen innebära att regleringen i den lagen och etik- prövningslagen ändå är förenliga. I vissa fall skulle dock situationen kunna vara sådan att personuppgiftsbehandling som utförs inom ramen för en forskningsdatabas som drivs av en forskningshuvudman som har verksamhetsställe i rent faktiskt äger rum utanför 13Enligt vår bedömning är den tillämpliga rättsliga grunden för personuppgiftsbehandling i en forskningsdatabas att behandlingen är nödvändig för forskningsändamål, se avsnitt 8.2.3. Förslag till reglering av forskningsdatabaser Etikprövningslagen skulle i sådana fall inte vara tillämplig. Det kan alltså uppstå situationer då lagarnas territoriella tillämpnings- område inte är helt förenliga. Etikprövningslagen ska enligt 3 § tillämpas på forskning som inne- fattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser.14 Enligt 4 § ska dessutom forskning som inne- fattar olika fysiska ingrepp och studier på biologiskt material från människor etikprövas. I praktiken innefattar en övervägande del av ärendena en prövning av om behandlingen av personuppgifter görs på ett godtagbart sätt. Vi föreslår att etikprövning av en forskningsdatabas ska vara ett grundläggande villkor för att forskningsdatabasen ska vara tillåten enligt forskningsdatabaslagen. Vi föreslår också att varje forsknings- projekt som ska bedrivas med hjälp av uppgifter i en forskningsdata- bas måste vara etikgodkänt. Dataskyddsförordningen lämnar utrymme för medlemsstaterna att införa mer strikta regler för behandling av känsliga person- uppgifter, bland annat för hälsorelaterade syften. Om behandlingen av känsliga personuppgifter begränsas genom bestämmelser i nationell lagstiftning bör den inte hindra det fria flödet av personuppgifter inom unionen, när villkoren tillämpas på gränsöverskridande behand- ling av sådana uppgifter (skäl 53). Etikprövning utgör en sådan lagstadgad skyddsåtgärd som krävs vid behandling av känsliga personuppgifter enligt dataskyddsförord- ningen (artikel 9.2 j). Enligt 5 § etikprövningslagen är etikprövning dock endast möjlig för forskning som genomförs i . Inter- nationell forskning med stöd av forskningsdatabaser skulle med etik- prövningslagens nuvarande tillämpningsområde försvåras i de fall behandlingen behöver utföras utanför landets gränser. Denna bris- tande överensstämmelse mellan de olika lagarna skulle kunna utgöra ett hinder för den fria rörligheten av personuppgifter för forsknings- ändamål inom unionen. Enligt skäl 53 till dataskyddsförordningen bör nationella skyddsåtgärder inte hindra det fria flödet av personupp- gifter inom unionen, när de tillämpas på gränsöverskridande behand- ling av sådana uppgifter. Denna icke önskvärda konsekvens skulle ytterligare förstärkas om det, enligt vårt förslag (se avsnitt 8.11.2), 14Enligt förslag till ändring i etikprövningslagen i utkast till lagrådsremiss om personuppgifts- behandling för forskningsändamål, ska hänvisningen till personuppgiftslagen i 3 § bytas till en hänvisning till artikel 9.1. i dataskyddsförordningen, se utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). Förslag till reglering av forskningsdatabaser införs ett obligatoriskt etikprövningsförfarande vid uthämtandet av uppgifter från en forskningsdatabas. Vid införandet av etikprövningslagen övervägdes om lagens tillämpningsområde även skulle avse sådan forskning som utförs utanför , om forskningshuvudmannen har sitt säte (hemvist) i . Regeringen ansåg då att ytterligare överväganden behövde göras beträffande konsekvenserna av ett sådant system och föreslog att etikprövning skulle göras av forskning som ska utföras i Sverige.15 Mot bakgrund av att etikprövningslagen i så stor omfattning handlar om villkor för behandling av personuppgifter bedömer vi att tillämpningsområdet för denna lag bör utgå från samma princip som dataskyddslagstiftningen i övrigt. Vi anser således att huvudregeln bör vara att det är etableringsprincipen som ska ligga till grund för etik- prövningslagens tillämpningsområde. Det är möjligt att det åt- minstone i teorin kan förekomma enstaka forskningsprojekt som inte behandlar känsliga personuppgifter eller uppgifter om lagöver- trädelser och som därför enbart ska prövas med stöd av 4 § etikpröv- ningslagen. För sådana prövningar anser vi att det nuvarande tillämp- ningsområdet ska få finnas kvar. Vi föreslår att etikprövningslagens bestämmelse om territoriellt tillämpningsområde ska ändras på så sätt att det enligt en huvudregel överensstämmer med forskningsdatabaslagens föreslagna tillämp- ningsområde. Etableringslandsprincipen ska gälla för de båda lagarna på samma sätt som för dataskyddslagstiftningen i övrigt. Vårt förslag innebär att etikprövningslagen ska tillämpas på forsk- ningsdatabaser och forskning som ska utföras inom ramen för verk- samhet som bedrivs vid personuppgiftsansvarigas eller personuppgifts- biträdens verksamhetsställen i . När det gäller forskning som enbart avser olika fysiska ingrepp m.m. ska lagen tillämpas på forsk- ning som ska utföras i . Vårt förslag: I den föreslagna forskningsdatabaslagen ska det in- föras en definition av begreppet forskningsdatabas. Med forskningsdatabas ska avses en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer eller 15Regeringens proposition Etikprövning av forskning (prop. 2002/03:50), s. 109. Förslag till reglering av forskningsdatabaser från andra källor och som är en nationell resurs för att tillhanda- hålla uppgifter till flera olika forskningsprojekt. Med forskningshuvudman ska avses detsamma som i etikpröv- ningslagen. I etikprövningslagen ska med forskningsdatabas avses det- samma som i forskningsdatabaslagen. Utredningen föreslår att det grundläggande begreppet forsknings- databas definieras i forskningsdatabaslagens inledning. I detta kapitel motiverar vi varför just detta begrepp bör ha en legaldefinition i den författning vi föreslår. Utöver detta ska anges att forskningsdata- baslagen använder samma definition av begreppet forskningshuvud- man som i etikprövningslagen. I kap. 3 finns en utförligare redovis- ning av de begrepp som är relevanta för vår utredning. Vi föreslår också att etikprövningslagen ska använda samma definition av forskningsdatabaser som i forskningsdatabaslagen. Vi definierar forskningsdatabas som en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Utanför lagens definition faller således forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller på ett på liknande sätt bestämd forskning. Motivet till denna definition, och skillnaden gentemot Registerforskningsutred- ningens, har behandlats i avsnitt 3.3.3. Eftersom detta begrepp utgör en avgränsning av forskningsdatabaslagens tillämpningsområde anser viatt det finns skäl att ta in definitionen direkt i författningstexten.