sou · H6B336 · 2018-06-05 00:00:00 — •överväga om kravet på etikprövning ska utvidgas till att gälla all behandling av personuppgifter för forskningsändamål och vilka skyddsåtgärder som annars bör gälla vid behandling för forsk- ningsändamål av sådana personuppgifter som inte omfattas av etikprövningslagen, •se över vilka anpassningar av etikprövningslagen i övrigt som behövs med anledning av dataskyddsförordningen och den gene- rella reglering ska föreslå, och •lämna behövliga författningsförslag. Närmare om känsliga personuppgifter och uppgifter om lagöverträdelser Liksom i det nu gällande dataskyddsdirektivet och 13 § PUL finns det i artikel 9.1 i dataskyddsförordningen ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. I PUL används begreppet känsliga personuppgifter för sådana uppgifter. Med särskilda kategorier av personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening liksom behandling av genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en person eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Förbudet är förenat med en rad viktiga undan- tag som fastställs i artikel 9.2–9.5. Enligt artikel 9.2 (j) i dataskydds- förordningen gäller inte förbudet mot behandling av dessa särskilda kategorier av personuppgifter om behandlingen är nödvändig för arkivändamål av allmänt intresse eller för vetenskapliga och histo- riska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 på grundval av unionslagstiftning eller en medlemsstats Denna lagstiftning ska stå i proportion till det efter- strävade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Som nämnts tidigare finns det i PUL vissa undantagsbestämmel- ser från förbudet mot att behandla känsliga personuppgifter. Enligt 13 § PUL får känsliga personuppgifter behandlas om den registre- rade har lämnat sitt samtycke och enligt 19 § andra stycket PUL får känsliga personuppgifter behandlas för forskningsändamål om be- handlingen godkänts enligt etikprövningslagen. I direktiven för konstateras att den möjlighet som finns enligt dataskyddsförordningen att göra undantag för förbudet i stor utsträckning kommer att utnyttjas genom sektorsspecifik lagstift- ning men att utgångspunkten bör vara att det även i fortsättningen kommer att behövas vissa bestämmelser i den generella regleringen om undantag från förbudet att behandla känsliga personuppgifter av det slag som finns i PUL. ska därför överväga vilka undantag från förbudet som bör finnas i den generella regleringen. Även behandling av personuppgifter om lagöverträdelser och liknande uppgifter, som regleras i 21 § PUL, kommer enligt art. 10 i dataskyddsförordningen att vara föremål för särskilda be- gränsningar. Enligt den artikeln får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. har i uppdrag att anlysera i vilken utsträckning det bör införas regler i den kompletterande generella regleringen som tillåter behandling av uppgifter om lagöverträdelser som inte sker under kontroll av en officiell myndighet. Det behöver analyseras om det utöver dataskyddsförordningen och de bestämmelser kommer att föreslå finns ett behov av kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser och lik- nande uppgifter för forskningsändamål och vilka bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen en sådan reglering bör inne- hålla. Tänkbara sådana skyddsåtgärder kan exempelvis vara etik- prövning eller organisatoriska eller tekniska åtgärder såsom pseudo- nymisering eller användning av kodnycklar. •analysera om det, utöver den generella reglering som Dataskydds- utredningen kommer att föreslå och de förslag som utredaren i övrigt kan komma att lämna, finns ett behov av bestämmelser som reglerar behandling av känsliga personuppgifter och upp- gifter om lagöverträdelser och liknande uppgifter för forsknings- ändamål och vilka bestämmelser om lämpliga och särskilda åtgär- der för att säkerställa den registrerades grundläggande rättigheter och intressen en sådan reglering bör innehålla, och •lämna de författningsförslag som behövs. Bör det göras undantag från huvudreglerna om den registrerades rättigheter för personuppgiftsbehandling för forskningsändamål? Om personuppgifter behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål får det enligt artikel 89.2 i dataskyddsförordningen i unionslagstiftningen eller medlemsstater- nas lagstiftning föreskrivas om undantag från den registrerades rättigheter i artiklarna 15, 16, 18 och 21 med förbehåll för att sådana lämpliga skyddsåtgärder tillämpas som behandling av personupp- gifter för dessa ändamål ska omfattas av enligt första punkten i artikeln. De nämnda artiklarna handlar om den registrerades rätt till tillgång till uppgift om personuppgifter som rör honom eller henne och som behandlas, rätt till rättelse av personuppgifter, rätt till be- gränsning av behandling av personuppgifter och rätt att göra invänd- ning mot behandling av personuppgifter. Undantag får bara göras i den utsträckning det är sannolikt att de aktuella rättigheterna skulle göra det omöjligt eller mycket svårare att uppfylla de särskilda ända- målen med behandlingen och sådana undantag krävs för att uppnå dessa ändamål. I direktiven till konstateras att behovet av undantag med stöd av artikel 89.2 (vilken i ett utkast till data- skyddsförordningen och i direktiven till numrerades 83.2) i stor utsträckning aktualiseras i sektorsspecifik lagstiftning. framhålls att en ändamålsenlig behandling av personuppgifter för bl.a. vetenskapliga och historiska forsknings- ändamål behöver garanteras, som skyddet för den regi- strerades fri- och rättigheter beaktas. Utgångspunkten bör enligt direktiven vara att vissa grundläggande bestämmelser, liknande de som finns i personuppgiftslagen, behöver tas in i den generella regle- ringen som ska komplettera dataskyddsförordningen. Dataskydds- utredningen ska därför analysera vilka övriga kompletterande bestämmelser om behandling av personuppgifter för bl.a. vetenskap- liga eller historiska forskningsändamål som bör finnas i den generella regleringen och lämna lämpliga författningsförslag. Det är av stor vikt att bestämmelserna som reglerar behandling av personuppgifter för vetenskapliga eller historiska forskningsända- mål ger goda förutsättningar för behandling av personuppgifter för dessa ändamål, som behovet av skydd för den registrerades fri- och rättigheter beaktas för att upprätthålla förtroendet för integritetsskyddet i samband med forskning bland dem som ställer upp och deltar i forskningsprojekt. Det behöver mot denna bak- grund analyseras om det utöver den generella reglering på nationell nivå som ska föreslå finns ett behov av undantag från de bestämmelser i dataskyddsförordningen som regle- rar den registrerades rättigheter vid behandling av personuppgifter för vetenskapliga eller historiska forskningsändamål och hur sådana undantag i så fall bör utformas. •analysera om det utöver den generella reglering som Dataskydds- utredningen ska föreslå finns ett behov av undantag från den registrerades rättigheter enligt artiklarna 15, 16, 18 och 21 vid behandling av personuppgifter för vetenskapliga och historiska forskningsändamål och lämna förslag till hur sådana undantag i så fall bör utformas, och •lämna de författningsförslag som behövs. Uppdraget att föreslå regleringar för forskningsdatabaser Det behövs bättre förutsättningar för registerbaserad forskning En särskild utredare fick i uppdrag att undersöka för- utsättningarna för att bedriva registerbaserad forskning och lämna förslag bl.a. i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. Vid utformningen av förslagen skulle utredaren göra en avvägning mellan forskningens behov av till- gång till uppgifter och den enskildes rätt till personlig integritet. Utred- ningen tog sig namnet (U 2013:01). I betänkandet Unik kunskap genom registerforskning (SOU 2014:45) konstaterar utredaren att regering och riksdag i några fall har stiftat särskilda lagar för att möjliggöra forskningsdatabaser. Bland dessa kan nämnas lagen (1999:353) om rättspsykiatriskt forskningsregister och lagen (2013:794) om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa. Dessutom finns det inom vissa myndigheter, t.ex. nads- och utbildningspolitisk utvärdering och Statistiska Central- byrån, några databaser som helt eller delvis används för forskning. Enligt en inventering som gjorts på uppdrag av finns ytterligare ett femtiotal forskningsdatabaser i . I betänkandet lämnade utredaren ett förslag till lag om forsk- ningsdatabaser. Lagen ska ge stöd för statliga universitet eller hög- skolor som omfattas av högskolelagen (1992:1434) och andra stat- liga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forskningsdatabaser. Med forsk- ningsdatabas avses en infrastruktur som ska kunna användas av flera olika forskare, från olika universitet och högskolor och inom olika discipliner, i framtida forskningsprojekt. I den föreslagna lagen finns det vissa generella regler för forskningsdatabaser och för varje databas ska det finnas en särskild förordning som reglerar t.ex. ändamål och innehåll. Utredningens betänkande har remitterats. Lagen om vissa register för forskning om vad arv och miljö bety- der för människors hälsa tillkom för att ge ett tydligt rättsligt stöd för statliga universitet och högskolor att med den enskildes uttryckliga samtycke behandla personuppgifter i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Lagens giltighet tidsbegränsades i av- vaktan på beredningen av den översyn av förutsättningarna för registerbaserad forskning som gjordes av Registerforskningsutred- ningen. Efter förlängning gäller lagen till och med . I och med att ny lagreglering med anledning av förevarande utredningsarbete inte kommer att kunna vara på plats till nämnda datum har regeringen för avsikt att lämna förslag om ytterligare förlängning av lagens giltighetstid. En vidare beredning av förslag måste göras med beaktande av remissinstansernas synpunkter. Med anledning av att dataskyddsförordningen blir direkt tillämplig i medlemsstaterna krävs också en analys av om förslaget till lag om forskningsdatabaser är förenligt med dataskyddsförordningen och vilka anpassningar av förslaget som kan krävas till förordningen och den generella reglering som ska föreslå. När det gäller registerforskning är beaktandesats 33 i dataskydds- förordningen av intresse. I denna beaktandesats, som infördes med svenskt stöd, konstateras att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för veten- skapliga forskningsändamål i samband med insamlingen av uppgifter. Den registrerade bör därför kunna ge sitt samtycke till vissa områ- den för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. Då det är till dess att dataskyddsförordningen ska börja tillämpas och någon generell reglering av forskningsdatabaser inte kommer att kunna vara på plats då dataskyddsförordningen börjar tillämpas, behöver det i ett första skede analyseras vilka anpassningar till dataskyddsförordningen och den generella reglering Data- skyddsutredningen kommer att föreslå, som behöver göras i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa till dess att dataskyddsförordningen ska börja tillämpas. •föreslå behövliga anpassningar i lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa inför att dataskyddsförordningen ska börja tillämpas, och •föreslå långsiktiga regleringar av forskningsdatabaser. Lagen om rättspsykiatriskt forskningsregister () är personuppgiftsansvarigt för ett rättspsykiatriskt forskningsregister. Registret får användas för två ändamål, dels behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts enligt etikprövningslagen, dels för RMV:s uppföljning, utvärdering och kvalitetssäkring av sin verksamhet inom rättpsykiatrin (utveck- lingsarbete). Registret regleras i en särskild lag, lagen (1999:353) om rättspsykiatriskt forskningsregister. Enligt lagen får registret endast innehålla uppgifter om en person för vilken ett rättspsykiatriskt utlåtande eller ett intyg enligt 7 § lagen (1991:2041) om särskild personutredning i brottmål har utfärdats. Lagen innehåller en upp- räkning av vilka uppgifter om personerna som får registreras. Endast RMV får ha direktåtkomst till uppgifter i det rättspsykia- triska forskningsregistret. , Kriminalvården respek- tive ska lämna uppgifter till registret. I offentlighets- och sekretesslagen (2009:400) finns bestämmelser om sekretess i verksamhet som avser förande av eller uttag ur det rätts- psykiatriska forskningsregistret (24 kap. 2 §). I rapporten nytt författningsstöd för behandling av person- uppgifter, m.m. (Ju2013/08833/Å) redovisar RMV en översyn av myndighetens behandling av personuppgifter. I rapporten framhålls att lagen om rättspsykiatriskt forskningsregister inte ger ett adekvat stöd för den rättspsykiatriska forskningen. Anledningen är enligt RMV bl.a. att rättspsykiatrins nuvarande frågeställningar inte låter sig besvaras med stöd av de begränsade data som får registreras i registret. Det har därför ifrågasatts om lagen bör vara kvar i sin nuvarande utformning. I den proposition som ligger till grund för lagen om rättspsykia- triskt forskningsregister uttalade regeringen att behovet av forsk- nings- och utvecklingsarbete inom rättspsykiatrin är stort. Reger- ingen konstaterade att det behövs ökade kunskaper om bl.a. effek- terna av vård och behandling av psykiskt störda lagöverträdare. Många problemställningar är outforskade och kräver grundläggande forsk- ning (prop. 1998/99:72 s. 26 f.). För att genomföra sådan angelägen forskning på området krävs tillgång till databaser med systematiserade personuppgifter om många individer. innehåller rättspsykiatriskt forsknings- register uppgifter av mycket integritetskänslig natur och forsk- ningsbehoven måste vägas mot respekten för den enskil- des personliga integritet. En utgångspunkt måste vara att endast de uppgifter som är nödvändiga bör få förekomma i ett sådant register och att de endast bör få användas i ett sammanhang som har ett verkligt samhällsintresse. Med anledning av att dataskyddsförordningen blir direkt tillämplig i medlemsstaterna måste en sådan reglering som det bedöms finnas behov av också vara anpassad till dataskyddsförordningen och till den generella reglering som kommer att föreslå. Då det är till dess att dataskyddsförordningen ska börja tillämpas och någon generell reglering av forskningsdatabaser inte kommer att kunna vara på plats då dataskyddsförordningen börjar tillämpas behöver det i ett första skede analyseras vilka anpassningar till dataskyddsförordningen och den generella regle- ring kommer att föreslå, som behöver göras av lagen om rättspsykiatriskt forskningsregister till dess att data- skyddsförordningen ska börja tillämpas. •undersöka hur lagen om rättspsykiatriskt forskningsregister an- vänds , •föreslå behövliga anpassningar av lagen om rättspsykiatriskt forskningsregister inför att dataskyddsförordningen ska börja tillämpas, •analysera om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och, om så bedöms vara fallet, hur en sådan reglering i så fall bör utformas, och •lämna behövliga författningsförslag. Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (bio- bankslagen) trädde i kraft . Lagen tillkom för att, med respekt för den enskilda människans integritet, reglera hanteringen av human- biologiskt material som tagits från framförallt patienter inom hälso- och sjukvården. har påpekat att biobankslagen är svår att tillämpa och att lagen har lett till ökad administration i den kliniska hälso- och sjukvården. Regeringen har beslutat att bio- bankslagen ska bli föremål för en genomgripande översyn. Utred- ningen En ändamålsenlig reglering för biobanker (S 2016:04) har bl.a. i uppdrag att se över biobankslagen och andra angränsande för- fattningar som har betydelse på området. Syftet med utredningen är att anpassa lagstiftningen så att den underlättar utvecklingen och förbättrar förutsättningarna för användning av prover och uppgifter i svenska biobanker för patientens, hälso- och sjukvårdens och forskningens behov. Enligt biobankslagen är en biobank biologiskt material (s.k. vävnadsprover) från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. De person- uppgifter som är kopplade till vävnadsproverna i en biobank ingår inte i begreppet biobank och omfattas som huvudregel inte av lagen. Regleringen i denna del finns främst i PUL och i patientdatalagen (2008:355). är landstingens gemensamma register över sparade vävnadsprover tagna inom vården. Registret som förvaltas av ett landstingsägt bolag är fortfarande i en upp- byggnadsfas. Syftet med registret är att underlätta administration såsom hantering av provgivares samtycken och spårbarhet av prover. För att skapa ett nationellt register som kan nyttjas för de tänkta syftena krävs särskild rättslig reglering. I betänkande föreslogs att Social- styrelsen ska vara personuppgiftsansvarig för Svenska biobanks- registret och att det ska regleras i en särskild lag, lagen om . Lagförslaget innehåller bl.a. bestämmelser om förhållandet till PUL, den registrerades inställning till person- uppgiftsbehandling, ändamålet med behandlingen, vilka uppgifter registret får innehålla och vilken information som ska lämnas till den Enligt förslaget ska det vara frivilligt för vårdgivare att lämna uppgifter till registret, men ett krav på registrering bör införas . Vidare föreslog utredaren att det bör finnas en möjlighet för andra huvudmän än vårdgivare att registrera sina uppgifter i det nationella registret. Utredningen bedömde dock att frågan om hur ett krav på upp- giftslämnande för vårdgivare och frågan om de närmare förutsätt- ningarna för att andra biobanker ska kunna registrera uppgifter i registret behöver utredas närmare. Dessa frågor ingår i uppdraget för utredningen ändamålsenlig reglering för biobanker (S 2016:04). En vidare beredning av förslag måste göras med beaktande av remissinstansernas synpunkter. Med anledning av att dataskyddsförordningen blir direkt tillämplig i med- lemsstaterna krävs också en analys av vilka anpassningar av förslaget som kan krävas till dataskyddsförordningen och den kompletterande generella reglering som ska föreslå. •lämna förslag till en reglering av . Uppdraget att analysera om det behövs ett förstärkt skydd för uppgifter om avlidna i forensisk forskning Etikprövningslagen blir i vissa fall tillämplig när forskningen rör avlidna personer. Lagen är bl.a. tillämplig på forskning som innebär ett fysiskt ingrepp på en avliden människa, eller avser studier på biologiskt material som har tagits för medicinskt ändamål från en avliden människa och kan härledas till denna människa. Då uppgifter om avlidna personer behandlas för forskningsändamål kan forsk- ningen i vissa fall behöva prövas enligt etikprövningslagen. Enligt 3 § PUL avses med personuppgifter all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om en avliden är alltså inte personuppgifter enligt PUL. Om sådana uppgifter direkt eller indirekt kan hänföras till levande personer är dock PUL tillämplig. Dataskyddsförordningen gäller inte behandling av uppgifter om avlidna personer. Medlemsstaterna får enligt förordningen fastställa bestämmelser för behandlingen av uppgifter om avlidna personer. I vissa registerförfattningar finns det ett uttryckligt skydd för uppgifter om avlidna, exempelvis patientdatalagen (2008:355) och lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet. I den tidigare nämnda rapporten från anser myndigheten att integritetsskyddet för uppgifter om avlidna personer i forskning bör ses över. Det kan därför vara lämpligt att närmare undersöka om vissa uppgifter om avlidna behöver ett särskilt skydd när uppgifterna behandlas inom ramen för forensisk forskning. •kartlägga vilket skydd som finns för sådana uppgifter om avlidna som hanteras inom forensisk forskning, •analysera och ta ställning till om det finns behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning, och •vid behov föreslå de författningsändringar som behövs. Uppdraget att se över förfarandereglerna i etikprövningslagen I betänkande Unik kunskap genom registerforskning (SOU 2014:45) föreslogs en möjlighet till enklare förfarande vid etikprövning när det gäller forskning som endast inne- fattar behandling av personuppgifter som hämtats från myndig- hetsregister och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde. Dessa skulle enligt förslaget kunna behandlas betydligt enklare eftersom risken för intrång i den enskildes integritet vid denna typ av person- uppgiftsbehandling är liten. Det föreslogs att sådana ärendena skulle kunna avgöras av ordföranden ensam utan att behandlas av hela avdelningen. En variant av förslaget skulle kunna vara att ord- föranden skulle kunna avgöra sådana ärendena med s.k. pseudo- nymiserade personuppgifter i samråd med vetenskaplig ledamot. Som tidigare nämnts ska utredaren överväga om etikprövning av forskning bör utvidgas till att gälla all forskning som innefattar be- handling av personuppgifter. Om utredaren föreslår en utvidgning av etikprövningslagen ska det också beaktas att en sådan utvidgning ökar antalet ärenden hos etikprövningsnämnderna. Det behöver då övervägas hur ärendehanteringen kan ske på ett effektivt sätt och om samma krav på prövningen behöver gälla i alla ärenden. I samband med ställningstagande till frågan om utökning av kravet på etik- prövning behöver det därför också analyseras om ändringar behöver göras i bestämmelserna i etikprövningslagen som reglerar handlägg- ningen av ärendena. •analysera vilka anpassningar som kan behöva göras i de bestäm- melser i etikprövningslagen som reglerar handläggningen av ären- dena, •överväga om det bör införas ett enklare förfarande vid etikpröv- ning när det är fråga om en behandling av personuppgifter som innebär en liten risk för intrång i den enskildes integritet, och •lämna de författningsförslag som behövs. Utredaren ska redogöra för ekonomiska och andra konsekvenser av sina förslag. Utöver vad som följer av 14–15 a §§ kommittéförord- ningen (1998:1474) ska utredaren redovisa förslagens konsekvenser för den personliga integriteten.