sou · H6B336 · 2018-06-05 00:00:00 — Vi bedömer att en reglering av forskningsdatabaser som innefattar flera olika skydds- åtgärder kommer att göra det lättare att samla in uppgifter. Forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. får bara utföras om Rättsliga förutsättningar för forskningsdatabaser behandlingen av uppgifter har godkänts vid en etikprövning. Etik- prövning är en etablerad skyddsåtgärd. Vi anser att det finns anledning att överväga om sådan prövning kan utvidgas så att den också kan avse forskningsdatabaser. För att ett förslag till reglering forskningsdatabaser ska bli full- ständigt, kommer vi också att få anledning att ta ställning till vad som ska hända med uppgifterna när de inte längre behövs för forskning. Vi måste således även ta ställning till frågor som har med arkivering och gallring att göra. Vi har i uppdrag att föreslå en långsiktig reglering av forskningsdata- baser. En sådan reglering har tidigare föreslagits av Registerforsk- ningsutredningen i betänkandet Unik kunskap genom register- forskning.1 Det betänkandet har remissbehandlats och vi har i uppdrag att göra en vidare beredning av förslagen med beaktande av remiss- instansernas synpunkter.2 I detta kapitel redovisar vi upp- drag och förslag. Vi lägger tyngdpunkten i vår redovisning på de för- slag som är mest relevanta för vårt uppdrag, dvs. förslaget på reglering av forskningsdatabaser. I kapitlet redovisar vi också de remissvar som avser dessa delar av förslag. 6.2Registerforskningsutredningens uppdrag och förslag 6.2.1Förslag till lag om forskningsdatabaser hade i uppdrag att undersöka förut- sättningarna för att bedriva registerbaserad forskning och lämna förslag bl.a. i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. 1Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45). 2Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65), s. 15. I betänkandet Unik kunskap genom registerforskning lämnade utredaren ett förslag till lag om forskningsdatabaser. Lagen skulle ge stöd för statliga universitet eller högskolor och andra statliga myndig- heter, som har i uppdrag att bedriva forskning, att utföra behandling av personuppgifter i forskningsdatabaser.3 I den föreslagna lagen angavs vissa generella regler för forskningsdatabaser. Varje databas skulle sedan enligt förslaget regleras i en förordning med bestäm- melser om vad som närmare ska gälla, till exempel ändamål och inne- håll. Förslaget till lag om forskningsdatabaser beskrivs utförligare i avsnitt 6.3. Utöver ett förslag till lag om forskningsdatabaser lämnade Register- forskningsutredningen förslag till en lag om Nationella biobanks- registret, förslag till ett enklare etikprövningsförfarande,4 förslag beträffande tid för bevarande av kodnycklar och förslag angående sekretesskyddet i forskning. I detta avsnitt följer en kort genomgång av dessa frågor. lämnade förslag till en lag om Natio- nella biobanksregistret. Lagförslaget innehåller bland annat bestäm- melser om förhållandet till personuppgiftslagen (1998:204), den registrerades inställning till personuppgiftsbehandling, ändamålet med behandlingen, vilka uppgifter registret får innehålla och vilken information som ska lämnas till den registrerade. förslag innehåller i denna del även en ändring i patientsäkerhetslagen (2010:659) gällande undantag från tystnadsplikt för den som tillhör eller har tillhört hälso- och sjuk- vårdspersonal inom den enskilda hälso- och sjukvården. Den före- slagna bestämmelsen innebär att tystnadsplikt inte hindrar att uppgift 3Angående begreppet forskningsdatabaser, se kapitel 3. 4I vårt delbetänkande analyserade vi de frågor som ingick i vårt uppdrag gällande etikprövning. lämnas till register som förs med stöd av den föreslagna lagen om . Vi har i uppdrag att även i denna del göra en vidare beredning av förslag och lämna förslag till en reglering av ett nationellt biobanksregister. Denna fråga behandlar vi i kapitel 10. I betänkande föreslogs ett enklare förfarande vid etikprövning när det gäller forskning som endast innefattar behandling av personuppgifter som hämtats från myndig- hetsregister och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde. I sådana fall föreslogs att etikprövningsnämnderna skulle kunna dele- gera ärendena till ordföranden. Vidare föreslog att forskare skulle ha rätt att få ett yttrande från etikprövningsnämnden över forsk- ningsprojekt som inte faller under lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Vi hade i utredningens första skede i uppdrag att analysera vilka anpassningar som kan behöva göras i de bestämmelser i etikpröv- ningslagen som reglerar handläggningen av ärendena, överväga om det bör införas ett enklare förfarande vid etikprövning när det är fråga om behandling av personuppgifter som innebär en liten risk för intrång i den enskildes integritet, och lämna de författningsförslag som behövs. Vår bedömning var att ett mer ändamålsenligt etikprövnings- förfarande för sådan personuppgiftsbehandling som typiskt sett kan anses innebära en lägre risk för integritetsintrång bör utredas vidare. Våra överväganden i denna del finns i vårt delbetänkande. När det gäller forskningsdatabaser föreslog Registerforsknings- utredningen en ändring i etikprövningslagen om att utlämnande från forskningsdatabaser alltid ska kräva etiktillstånd, oavsett om det handlar om känsliga personuppgifter eller inte (se vidare avsnitt 6.3.4). Någon utvidgning av etikprövningslagen till att även gälla etikprövning av forskningsdatabaser föreslogs dock inte (se avsnitt 6.3.7). Gällande kodnycklar föreslog ändringar i lagen (2001:99) om den officiella statistiken. Utredaren föreslog att en statistikansvarig myndighet som lämnar ut uppgifter för forskningsändamål som inte direkt kan hänföras till en enskild alltid ska förse uppgifterna med en beteckning som hos den statistik- ansvariga myndigheten kan kopplas till personnummer eller mot- svarande. Detta ska göra det möjligt att senare komplettera upp- gifterna i ett forskningsprojekt eller utföra uppföljning, replikation eller granskning av samma projekt eller att använda uppgifterna i ett delvis förändrat forskningsprojekt. Vidare föreslogs att en förteckning över vilken beteckning som motsvarar ett visst personnummer, en så kallad kodnyckel, ska bevaras hos den myndighet som upprättat den efter utlämnandet av uppgifterna som kodnyckeln avser. Tiden föreslogs kunna förlängas efter beslut av den myndighet som upprättat den eller efter ansökan från den som använder kodnyckeln. En motsvarande reglering avseende kodnyckelförfarande föreslogs i lagen om forskningsdatabaser (se avsnitt 6.3.9). lämnade förslag om förstärkning av sekretesskyddet i forskning genom ett förslag till bestämmelse om forskningssekretess i offentlighets- och sekretesslagen (2009:400), förkortad OSL. Den föreslagna bestämmelsen innebär att person- uppgifter avseende enskilds personliga och ekonomiska förhållanden som samlas in för forskning alltid ska vara skyddade av absolut sekretess. Sekretess ska alltså alltid gälla, utan att någon risk- bedömning avseende skada eller men behöver göras. För uppgift i allmän handling föreslogs sekretessen gälla om uppgiften avser en enskilds personliga förhållanden och annars i högst . Om en uppgift som omfattas av den nya sekretessbestämmelsen överförs till en annan myndighet ska den enligt förslaget vara tillämplig även hos den mottagande myndigheten. Vidare föreslogs att det ska finnas en sekretessbrytande bestäm- melse som innebär att uppgifterna, om vissa villkor är uppfyllda, kan lämnas ut till annan forskning samt för utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning. Förutsättningen för att uppgifterna i sådana fall ska kunna lämnas ut är att det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denna lider men. Det ska enligt föreslagna ändringar i andra paragrafer i vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott. Forskningssekretessen föreslogs också gälla i verksamhet som avser förande av eller uttag ur databaser enligt den föreslagna lagen om forskningsdatabaser (se avsnitt 6.3.17). föreslog att regeringen i reglerings- brev till statliga universitet och högskolor skulle uppmana dessa att lägga större vikt vid skydd och säkerhet vid behandling av person- uppgifter, bland annat genom att stärka personuppgiftsombudets ställning och att begära återrapportering om hur skyddet hanteras. Betänkandet Unik kunskap genom registerforskning skickades på remiss till berörda instanser. Drygt 90 remissvar kom in (se vidare avsnitt 6.4). Någon beredning av remiss- yttrandena har inte gjorts. 6.3Förslaget till lag om forskningsdatabaser 6.3.1Reglering genom en lag och kompletterande förordningar I betänkandet Unik kunskap genom registerforskning lämnade utredaren ett förslag till lag om forskningsdatabaser. Lagen skulle ge stöd för statliga universitet eller högskolor som omfattas av hög- skolelagen och andra statliga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forsk- ningsdatabaser.5 Syftet med den föreslagna lagen om forsknings- databaser är enligt utredaren bl.a. att möjliggöra många olika typer av databaser: databaser som helt baseras på uppgifter som samlats in direkt från enskilda personer, på uppgifter som hämtas från andra register eller, vilket enligt utredaren torde bli vanligast, på en kombination av registeruppgifter och uppgifter som samlats in direkt från enskilda.6 I den föreslagna lagen anges vissa generella regler för forsknings- databaser. Vidare skulle varje databas regleras i en förordning med bestämmelser om vad som närmare ska gälla, till exempel ändamål och innehåll.7 När det gäller den valda lösningen för regleringen diskuterade utredaren ifall bestämmelser om forskningsdatabaser bör regleras genom lag eller förordning. Utredaren refererade till tidigare lag- stiftningsärenden där det konstaterats att det bör vara en målsättning att i de fall register med ett stort antal registrerade och ett känsligt innehåll inrättas ska bestämmelserna meddelas i form av lag. Utredaren ansåg därför att en reglering som möjliggör person- uppgiftsbehandling i forskningsdatabaser bör ha lagform. Utredaren ansåg dock att forskningsdatabaser inte utgör ett sådant betydande intrång i den personliga integriteten att det på grund av bestämmelsen i 2 kap. 6 § andra stycket regeringsformen skulle krävas en särskild lag för varje forskningsdatabas.9 Utredaren konstaterade att det redan finns registerlagar för existerande forskningsdatabaser som t.ex. lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen), lagen (2012:741) om behandling av personuppgifter vid utvärdering (IFAU-lagen) och lagen om rättspsykiatriskt forskningsregister. Sådana författningar reglerar ofta i detalj vilken information som får behandlas, vilka som får ha tillgång till uppgifterna och hur det får användas. Utredaren noterade att systemändringar då måste föregås av lagändringar, vilket kan göra ett system med lagreglering av varje enskild forskningsdatabas stelbent. 5Angående begreppet forskningsdatabaser, se kapitel 3 i detta betänkande. 6SOU 2014:45 s. 440. 7Utredaren diskuterar normgivningsmakten och regeringens möjligheter att meddela före- skrifter om forskningsdatabaser, m.m., se SOU 2014:45 s. 455 f. 8SOU 2014:45 s. 422. 9SOU 2014:45 s. 264 ff. Det skulle enligt utredaren kunna innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet hos dem som ska använda uppgifterna för forskning.10 förslag till lag om forsknings- databaser innehåller allmänna bestämmelser om bl.a. ändamål, inne- håll, sökbegrepp, direktåtkomst, intern elektronisk tillgång, gallring och villkor för utlämnande av uppgifter från forskningsdatabasen. Utredaren ansåg att det i de kompletterande förordningarna skulle finnas mer detaljerade bestämmelser och specifika regleringar för varje databas.11 Beredning av och beslut av regeringen föreslog att ska ges i uppgift att bereda frågan om vilka forskningsdatabaser som kan behövas i och göra en framställan till regeringen om detta. Regeringen ska då enligt utredaren pröva om införandet av de före- slagna databaserna faller inom ramen för vad som är tillåtet enligt 2 kap. 6 § RF, artikel 8 i och personuppgifts- lagen. Om så är fallet och regeringen i övrigt anser förslagen vara lämpliga, ska regeringen besluta om de förordningar som närmare ska reglera verksamheten. Enligt utredaren kommer det att krävas att bestämmelserna anpassas till varje enskild forskningsdatabas eftersom behovet av forskningsdatabaser kan uppkomma inom alla forsk- ningsområden med stor spännvidd av ändamål.12 gjorde bedömningen att det inte vore lämpligt att utvidga etikprövningslagens tillämpningsområde till att även omfatta uppbyggnad av forskningsdatabaser (se avsnitt 6.3.7). Däremot ansåg utredaren att etiska överväganden av motsvarande slag som vid etikprövning, kommer att göras vid den beredning som föreslogs göra och den prövning som det sedan är tänkt att regeringen ska göra inför att en ny databasförordning ska införas. Utredaren påtalade att regeringen i processen kommer att ha 10SOU 2014:45 s. 423. 11SOU 2014:45 s. 423. 12SOU 2014 :45 s. 424 f. möjlighet att inhämta yttranden från till exempel Centrala etikpröv- ningsnämnden, SCB och Datainspektionen för att belysa föreslagets etiska aspekter.13 En forskningsdatabas per forskningsfält Utredaren redovisade vidare bland annat följande tankar när det gäller forskningsdatabaserna. Det ska endast finnas en forskningsdatabas för varje större forskningsfält i och databasen ska kunna användas av forskare i hela . Finansieringen av databasen ska för att garantera långsiktighet och kvalitet vara säkerställd för i vart fall . Den myndighet som ska föra databasen ska ha kompetens och tillräckliga resurser för att behandla ansökningar om uttag ur forskningsdatabasen inom rimlig tid och utlämnande av person- uppgifter till forskningsprojekt ska kunna göras till rimliga kostnader. Ett vetenskapligt råd bör vara knutet till forskningsdatabasen och detta bör vara ansvarigt för uppbyggnad och utveckling samt ha möjlighet att behandla frågor av etisk karaktär som kan uppkomma i samband med databasen. ska ansvara för en regel- bunden utvärdering av de databaser som etableras med stöd av den föreslagna lagen. 6.3.2Statliga myndigheter ska kunna vara ansvariga för forskningsdatabaser och högskolor som omfattas av högskolelagen och andra statliga myndigheter som har i uppdrag att bedriva forskning föreslogs få utföra behandling av personuppgifter i en forskningsdata- bas för att skapa underlag för forskningsprojekt och lämna ut upp- gifter till forskningsprojekt. Under utredningen av frågan om vem som ska få föra forsknings- databaser var i kontakt med statliga universitet och högskolor som omfattas av högskolelagen. Dessa bekräftade då behovet av att bygga upp databaser för olika framtida forskningsprojekt. 13SOU 2014 :45 s. 425. Utredaren gjorde bedömningen att statliga universitet och hög- skolor också är lämpliga för att behandla personuppgifter i forsk- ningsdatabaser i syfte att uppgifterna ska få användas i framtida forskningsprojekt. Utredaren gjorde vidare bedömningen att även andra statliga myndigheter kan ha behov av att bygga upp databaser med uppgifter som kan användas för framtida forskning. Brottsföre- byggande rådet (Brå) och IFAU t.ex., bör kunna vara ansvariga för forskningsdatabaser enligt den föreslagna lagen.14 När det gäller möjlighet för andra än statliga myndigheter att bygga upp forskningsdatabaser för framtida forskning ansåg utredaren att det bör finnas någon form av grundläggande krav på tystnadsplikt inom forskning i privat regi innan det kan bli aktuellt för forsknings- huvudmän inom enskilt bedriven forskning att bygga upp forsk- ningsdatabaser.15 I lagförslaget finns en bestämmelse med definitioner av forsknings- databas och forskning. Forskningsdatabas definierades som en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndig- hetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt. Forskning angavs vara detsamma som enligt etikprövningslagen. I2 § etikprövningslagen stadgas att med forskning avses vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå. Personuppgifter får enligt en föreslagen ändamålsbestämmelse behandlas för att skapa underlag för forskning och att lämna ut upp- gifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt 14Se bl.a. SOU 2014:45 s. 428 f. 15SOU 2014:45 s. 429 f. Ingen begränsning till att etikprövning bara ska göras när det gäller känsliga personuppgifter föreslås. Utredaren gjorde bedömningen att uppgifter bör kunna lämnas ut såväl till forsk- ningsprojekt där en myndighet är forskningshuvudman som till forskningsprojekt som bedrivs i privat regi. En bestämmelse föreslogs som stadgar att personuppgifter också får lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Dessutom föreslogs att personuppgifter som registrerats enligt lagen skulle få lämnas ut till den registrerade själv, dock inte i fråga om personuppgifter som inte direkt kan hänföras till en person. Gällande utlämning av personuppgifter föreslogs vidare att upp- gifter skulle få lämnas ut om det finns en skyldighet i lag. Denna bestämmelse föreslogs för att det inte skulle uppstå konflikt mellan bestämmelsen i den föreslagna lagen och exempelvis bestämmelser i annan lag som gäller så kallad uppgiftsskyldighet.16 En hänvisning till 9 § första stycket d och andra stycket person- uppgiftslagen föreslogs i lagen om forskningsdatabaser. Där stadgas att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, den så kallade finalitetsprincipen. I 9 § andra stycket personuppgiftslagen finns det så kallade forskningsundan- taget. Enligt detta gäller i fråga om första stycket d att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ända- mål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Ett alternativ som utredaren nämner hade varit att föreslå en reglering om att uppgifter bara får behandlas för sådana ändamål som anges i lagen. Den typen av bestämmelse finns i LifeGene-lagen. Den föreslagna regleringen innebär jämfört med detta en utvidgning av de ändamål som en uppgift i en forskningsdatabas kan lämnas ut till. Utredaren ansåg att integritetsskyddet kan upprätthållas även om uppgifter kommer att lämnas ut med stöd av finalitetsprincipen och forskningsundantaget. Som skäl angavs följande. •Uppgifter får endast lämnas ut för forskningsändamål och för granskning av forskning. 16SOU 2014:45 s. 438. •Samma sekretess kommer gälla hos den mottagande myndigheten vid utlämnande till en annan myndighet. •Uppgifter till enskild kan lämnas med förbehåll enligt 10 kap. 14 § OSL. •Ett krav på etikgodkännande kommer att gälla.17 I lagförslaget finns en bestämmelse om databasens innehåll som definierar vilka personuppgifter som ska få samlas i en databas. Regleringen av databasens innehåll kopplas till ändamålsbestäm- melsen på så sätt att det är tänkt att vara tydligt att endast de uppgifter som är relevanta för ändamålet får behandlas i databasen. En forsk- ningsdatabas ska således endast få innehålla de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt den föreslagna ändamålsbestämmelsen, alltså för att skapa underlag för olika forskningsprojekt och för att lämna ut uppgifter till forsknings- projekt. Enligt utredaren är det inte möjligt att i den föreslagna lagen om forskningsdatabaser ange vilka uppgifter som ska vara tillåtna i de olika databaser som kan etableras med stöd av lagen. Utredaren föreslog i stället att regeringen i respektive registerförordning närmare ska bestämma vad som får föras in i databasen och om det ska krävas samtycke från den person som uppgifterna avser.18 Samtycke när uppgifter samlas in från enskilda föreslår att personuppgifter som samlas in direkt från den enskilde endast får behandlas om han eller hon har lämnat ett vad man betecknar informerat uttryckligt sam- tycke till behandlingen. Med samtycke skulle enligt utredaren avses detsamma som enligt personuppgiftslagen. Det ska alltså vara fråga om en frivillig, särskild, otvetydig viljeyttring genom vilken den 17SOU 2014:45 s. 439. 18SOU 2014:45 s. 441. registrerade, efter att ha fått viss information som framgår av lagen, godtar behandlingen av personuppgifter som rör honom eller henne. Samtycket måste ha kommit till uttryck på något sätt som är möjligt för en utomstående att iaktta. Utredaren poängterade att den enskilde kan samtycka till att kompletterande uppgifter hämtas från olika register.19 Utredaren föreslog att samma rätt till återkallelse av samtycke som enligt personuppgiftslagen ska gälla. Enligt 12 § personuppgiftslagen innebär ett återkallande av samtycke att ytterligare personuppgifter om den registrerade därefter inte får behandlas. Eftersom bestäm- melsen i personuppgiftslagen endast gäller samtycken som lämnats enligt personuppgiftslagens bestämmelser föreslogs att det i lagen om forskningsdatabaser särskilt ska anges att bestämmelsen är tillämplig för samtycken som samlas in direkt från den enskilde. När det gäller behandling av personuppgifter som inhämtas från någon annan källa än den enskilde föreslogs att bestämmelser tas i en förordning anpassad till varje enskild forskningsdatabas.20 Information när uppgifter samlas in från enskilda föreslog bestämmelser om infor- mation vid insamling av personuppgifter. Det föreslogs att innan en person lämnar sitt samtycke ska han eller hon ha informerats om att det är frivilligt att lämna uppgifter, för vilka ändamål personupp- gifterna får behandlas, vilka uppgifter som får registreras, vilka sekre- tess- och säkerhetsbestämmelser som gäller för databasen, vem som är personuppgiftsansvarig, hur länge uppgifterna kan komma att sparas, rätten till rättelse av uppgifterna, rätten till information enligt 26 § personuppgiftslagen, rätten till skadestånd samt rätten att få uppgifter utplånade. Vidare föreslogs att bestämmelserna i 26 § personuppgiftslagen om information efter ansökan inte skulle gälla i fråga om personuppgifter som inte direkt kan hänföras till en person. gjorde bedömningen att det är viktigt att den enskilde får tillräckligt med information för att kunna avgöra om han eller hon vill godkänna behandling av personuppgifter 19SOU 2014 :45 s. 426. 20SOU 2014:45 s. 427. i en forskningsdatabas. Det är enligt utredaren lämpligt med ytter- ligare krav på vilken information som ska lämnas till den enskilde innan samtycke ges utöver bestämmelserna i personuppgiftslagen. När det gäller kravet på information om hur länge en uppgift i en forskningsdatabas kan komma att sparas kan det enligt Register- forskningsutredningen vara tillräckligt att ange vilka gallringsbestäm- melser som gäller.