sou · H6B336 · 2018-06-05 00:00:00 — Denna definition kommer också att ha betydelse för tillämpningen Vi föreslår därför att etikprövningslagen ska hänvisa till forskningsdatabaslagens definition av begreppet. Förslag till reglering av forskningsdatabaser Begreppet forskningshuvudman har behandlats i avsnitt 3.3.6. Efter- som vi föreslår att forskningshuvudmän under vissa förutsättningar ska få behandla personuppgifter i en forskningsdatabas är det nöd- vändigt att tydliggöra i författningstexten att begreppet definieras på samma sätt som i 2 § etikprövningslagen. 8.8Skapandet av en forskningsdatabas 8.8.1Behov av reglering i detta steg av livscykeln Behovet av att skapa en forskningsdatabas hos en forskningshuvud- man kan uppkomma av flera olika orsaker. Den kan också upprättas från olika utgångspunkter. Vi kan börja med att föreställa oss att flera olika forskare hos en forskningshuvudman har behov av ungefär samma uppgifter om enskilda för olika forskningsprojekt. Forsk- ningshuvudmannen har också anledning att förvänta att det kommer att starta fler forskningsprojekt även utanför den egna verksamheten som kommer att ha användning av dessa uppgifter. I stället för att flera olika forskningsprojekt eller forskningsprogram (se avsnitt 3.3.7) ska begära ut samma uppgifter från en eller flera myndigheter, kan forsk- ningshuvudmannen finna att det vore bättre att upprätta en forsk- ningsdatabas. Forskningshuvudmannen har alltså identifierat behov av en uppgiftssamling med breda ändamål som servar flera forsk- ningsprojekt eller program. Det kan också vara så att det finns behov av att forska med hjälp av insamlade uppgifter , dvs. Behovet av att skapa en forskningsdatabas kan också uppmärk- sammas i ett senare skede. En uppgiftssamling som nyttjas av ett forskningsprojekt eller ett forskningsprogram har blivit intressant för flera forskningsprojekt. Efter att ha hanterat flera olika förfrågningar om utlämnande av uppgifter, gör forskningshuvudmannen bedöm- ningen att det vore lämpligt att omvandla uppgiftssamlingen till en forskningsdatabas. anser att det är lämpligt att reglera vilka villkor som ska vara uppfyllda för att forskningshuvudmannen ska få skapa en forskningsdatabas i sin verksamhet. Det är också en Förslag till reglering av forskningsdatabaser viktig säkerhetsåtgärd att reglera vilka forskningshuvudmän som ska få behandla personuppgifter i en forskningsdatabas. I följande avsnitt redovisar utredningen de bestämmelser som vi anser är nödvändiga för att forskningsdatabaser ska skapas på ett säkert sätt. Vårt förslag: Statliga och kommunala myndigheter ska få vara personuppgiftsansvariga för behandling av personuppgifter i en forskningsdatabas liksom även juridiska personer och enskilda näringsidkare som bedriver högre utbildning och som har examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § OSL ska jämställas med myndig- heter. Av definitionen i artikel 4 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Motsvarande gäller enligt artikel 2 d i dataskydds- direktivet. Det är således, precis som enligt dataskyddsdirektivet, tillåtet även enligt dataskyddsförordningen att i nationell lagstiftning peka ut vem som är personuppgiftsansvarig. Om den personuppgifts- ansvarige finns angiven i befintlig lagstiftning, får det förutsättas att även ändamål och medel för behandlingen av personuppgifter har bestämts i nationell rätt.16 16Socialdataskyddsutredningens betänkande Dataskydd inom verksam- hetsområde – en anpassning till EU:s dataskyddsförordning (SOU 2017:66), s. 214 ff. samt regeringens proposition Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171), s. 191. Förslag till reglering av forskningsdatabaser Vilka som får vara personuppgiftsansvariga för personuppgiftsbehandling i en forskningsdatabas Det är vanligt att det i registerförfattningar pekas ut vem som är personuppgiftsansvarig för den behandling som regleras i den sär- skilda lagstiftningen. Ur ett integritetsskyddsperspektiv är det lämp- ligt att i en registerförfattning precisera vem som är personuppgifts- ansvarig för sådan behandling av personuppgifter som utförs enligt lagen. Det bör därför av forskningsdatabaslagen klart framgå att det är vissa i lagen bestämda forskningshuvudmän som får vara person- uppgiftsansvariga för personuppgiftsbehandling i forskningsdatabaser och som ansvarar för att det görs på ett ändamålsenligt och säkert sätt. I ett tidigare avsnitt, 8.2.3, har vi redogjort för vilken rättslig grund för behandling av personuppgifter som olika forskningshuvudmän kan finna stöd i. En betydande del av den forskning i som bedrivs av offentligrättsliga aktörer utförs vid universitet och högskolor, men det bedrivs omfattande forskningsverksamhet också vid många andra offentliga organ. Flera andra statliga myndigheter har en uttalad forskningsuppgift inom ramen för sin ordinarie verksamhet och i såväl kommuner som landsting pågår forskning där personuppgifter används. I vårt delbetänkande har vi skrivit mer om forskning hos olika offentliga aktörer.17 Flera av de landsting som svarade på remissen av Registerforsk- ningsutredningens betänkande uttryckte missnöje med att kommuner och landsting inte enligt det förslaget skulle få ansvara för forsk- ningsdatabaser. Remissinstanserna anförde bl.a. att förslaget förbisåg sjukvårdshuvudmännens roll och ansvar för den kliniska medicinska forskningen i relation till registerforskning. Landstingen är nämligen också forskningshuvudmän och verksamma inom registerforskning. Det framkom också av svaren att det finns många forsknings- databaser inom landstingen och regionerna. Kommunerna sköter lokala och regionala angelägenheter av allmänt intresse på den kommunala självstyrelsens grund. Kommuner och landsting får själva ha hand om angelägenheter av allmänt intresse som har anknytning till kommunens eller område eller deras medlemmar. De har möjlighet att genom beslut om reglementen för verksamheten se till att forskningsuppgiften blir fastställd i 17SOU 2017:50 s. 134 ff. Förslag till reglering av forskningsdatabaser enlighet med rättsordningen i och de kan då basera person- uppgiftsbehandling som är nödvändig för att utföra forsknings- uppgiften på den rättsliga grunden uppgift av allmänt intresse. Universitet och högskolor bedriver forskning och har behov av att behandla personuppgifter i forskningsdatabaser. Samarbetet mellan forskare ökar i snabb takt och digitaliseringen har inneburit radikala förbättringar av forskares möjligheter att på distans koppla upp sig mot gemensamma resurser, bland annat i form av gemensamma forsk- ningsdatabaser (se kap. 4). Utredningen har vid samtliga besök på lärosäten fått del av exempel på uppbyggnad av forskningsdatabaser och erfarit krav på att dessa regleras på ett ändamålsenligt sätt. Veten- skapsrådet uppmuntrar vidare bildandet av samarbeten mellan forsk- ningshuvudmän i konsortier för att skapa nationellt och internationellt tillgängliga forskningsdatabaser. De flesta sådana institutioner är offentliga, men det finns också privata forskningshuvudmän. föreslog att enbart statliga univer- sitet och högskolor skulle få bygga upp forskningsdatabaser så länge som det inte finns någon reglerad tystnadsplikt för forskning som bedrivs av de privata lärosätena.18 föreslår att sådana krav på en forskningshuvudman ska införas (se avsnitt 8.9.6) och att de privata lärosäten som har examensrätt i övrigt ska omfattas av samma skyddsregler för forskning som de offentliga. De privata högskolorna, som bl.a. , och Stiftelsen utför uppgifter i sin verksamhet som i allt väsentligt liknar den verksamhet som utförs vid de offentligt finansierade högskolorna. De privata högskolorna har, liksom de offentliga, tillstånd att examinera. Detta framgår av lagen (1993:792) om tillstånd att utfärda vissa examina. Av den lagen framgår det att utbildningen ska bedrivas så att den uppfyller kraven som ställs i högskolelagens första kapitel. I övrigt gäller inte högskolelagen för dessa aktörer. För varje examen som tillståndet gäller ska utbildningen dessutom uppfylla de särskilda krav som gäller enligt examensordningen som är en bilaga till högskole- förordningen. Av första kapitlet i högskolelagen framgår det att högskolorna ska verka för att utbildning och forskning håller god kvalitet samt att man ska verka för att de forskningsresultat som är tillkomna vid högskolan kommer till nytta. 18SOU 2014:45, s. 427 ff. Förslag till reglering av forskningsdatabaser Vidare gäller offentlighetsprincipen för många privata lärosäten, som t.ex. och Stiftelsen samt, i begränsad omfattning, i . Detta regleras i en bilaga till OSL. Där finns reglerat vilka övriga juridiska personer – s.k. jämställda organ – som omfattas av offentlighetsprincipen. Dessa kan vara statliga aktiebolag, ekono- miska föreningar eller stiftelser, men även andra privaträttsliga organ än statliga företag. Förekommer organet i bilagan till OSL innebär detta enligt 2 kap. 4 § OSL att organet måste tillämpa offentlighets- principen och i sådana fall bara i den verksamhet som anges i bilagan. Utöver att de organ som är uppräknade i bilagan omfattas av offentlig- hetsprincipen omfattas de även av reglerna för statliga myndigheters arkiv enligt arkivlagen (1990:782). Vi anser att forskningshuvudmän som ska ansvara för forskningsdatabaser ska vara likställda på så sätt att de omfattas av samma regler om bevarande av allmänna handlingar och sekretess. För de studenter och forskare som är verksamma vid en högskola är det i praktiken ingen formell skillnad mellan att vara verksam vid en offentlig eller privat finansierad högskola. Vår bedömning är därför att såväl offentliga som privata högskolor utför uppgifter av allmänt intresse. Vi bedömer att det inte finns några skäl att göra skillnad mellan offentliga lärosäten och privata sådana som har examensrätt och som enligt OSL jämställs med myndigheter. Vi anser att såväl offentliga som vissa privata lärosäten ska få vara personuppgifts- ansvariga för behandling av personuppgiftsbehandling i forsknings- databaser. Inom staten utförs forskning främst vid universitet och högskolor, men även hos vissa andra myndigheter. Behov av att bygga upp forskningsdatabaser kan uppkomma även hos sådana myndigheter samt hos kommunala myndigheter (kommuner och landsting). Kom- munala myndigheter som är vårdgivare bedriver omfattande forsk- ning. Vi anser att myndigheter som har i uppdrag att bedriva forskning också ska få ansvara för forskningsdatabaser. Vi föreslår därför att såväl de statliga högskolorna och universi- teten som omfattas av högskolelagen som de privata lärosätens som omfattas av offentlighetsprincipen samt har examensrätt ska få behandla personuppgifter i forskningsdatabaser. Även andra myndig- heter än sådana som bedriver undervisning ska få ansvara för forsk- ningsdatabaser, om forskning ingår i deras uppdrag. Förslag till reglering av forskningsdatabaser 8.8.3De övergripande ändamålen med en forskningsdatabas Vårt förslag: I en forskningsdatabas ska personuppgifter få behandlas för ändamålet att skapa underlag för olika forsknings- projekt och för att lämna ut uppgifter till flera olika forsknings- projekt inom ett angivet forskningsområde. Vi anser att det i forskningsdatabaslagen ska finnas bestämmelser som beskriver de övergripande ändamålen för vilka behandling av personuppgifter i en sådan databas ska vara tillåten. Dessa ändamål är relativt breda. Varje enskild forskningsdatabas ska sedan ha särskilt angivna ändamål (se avsnitt 8.8.4). Forskningshuvudmannens övergripande syfte med forsknings- databasen ska vara att skapa en uppgiftssamling som kan användas som underlag för olika forskningsprojekt. Syftet med behandlingen ska inte vara att skapa underlag för ett visst, redan definierat projekt utan att samla in uppgifter som kan utgöra underlag för olika framtida forskningsprojekt. I definitionen av en forskningsdatabas anges att uppgiftssamlingen ska vara en nationell resurs. En databas som endast är tillgänglig för en begränsad krets användare utgör således inte en forskningsdatabas enligt vår definition. Med begreppet ”skapa underlag” avses olika former av behand- lingar som krävs för att föra en välfungerande databas, såsom insamling, registrering, bevarande och uppdatering av person- uppgifter. Det andra syftet med forskningsdatabasen ska vara att lämna ut uppgifter till flera olika forskningsprojekt. Utlämnande till forskning får bara göras under förutsättning att projektet godkänts enligt 6 § etikprövningslagen. Detta villkor ska också framgå av lagen (se avsnitt 8.8.6). Godkännande krävs oavsett vilken typ av person- uppgifter som ska behandlas, det vill säga även om behandlingen inte omfattar känsliga personuppgifter eller uppgift om lagöverträdelser med mera. Uppgifter i en forskningsdatabas ska få lämnas ut både till forsk- ningsprojekt som drivs av en statlig myndighet och till forsknings- projekt hos en privat forskningshuvudman. Vi föreslår dessutom att personuppgifter i en forskningsdatabas också ska få användas för utlämnande till en utredning av oredlighet i Förslag till reglering av forskningsdatabaser forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning (se avsnitt 8.11.2). 8.8.4Grundläggande villkor för skapandet av en forskningsdatabas Vårt förslag: En forskningshuvudman ska i ett beslut om att skapa en forskningsdatabas fastställa vilka uppgifter som ska behandlas i forskningsdatabasen och för vilka särskilda ändamål dessa uppgifter är nödvändiga att behandla. Personuppgifter får behandlas i en forskningsdatabas under förutsättning att 1.den har godkänts enligt lagen om etikprövning av forskning som avser människor, och 2.forskningshuvudmannen har säkerställt finansieringen av forskningsdatabasen. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om begränsning av de ändamål för vilka uppgifter får behandlas i en forskningsdatabas, begränsningar av de uppgifter som en databas får innehålla, och om begränsningar av behandling av uppgifter i en forskningsdatabas. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om finansieringen av en forskningsdatabas. Beslut om skapandet av forskningsdatabasen och om vilka uppgifter som ska behandlas och för vilka särskilda ändamål Ett nytt krav i dataskyddsförordningen är att den personuppgifts- ansvarige ska ansvara för och kunna visa att den följer förordningens principer för behandling av personuppgifter. Det nya kravet omtalas ibland i termer av en ny princip, vilken då kallas för principen om ansvarsskyldighet. Vårt förslag till reglering av forskningsdatabaser utgår från den principen. Det är den personuppgiftsansvarige som ska ansvara för att behandlingen av personuppgifter är laglig och korrekt. Det innebär att forskningshuvudmannen måste ta ansvar för sin behandling av personuppgifter i en forskningsdatabas och förvissa sig om att det Förslag till reglering av forskningsdatabaser görs på ett korrekt sätt. Forskningshuvudmannen ska därför enligt vårt förslag manifestera sitt ansvarstagande genom att fatta ett beslut om att skapa en forskningsdatabas. En forskningshuvudman som enligt vårt förslag är berättigad till att behandla personuppgifter i en forskningsdatabas måste ha god kontroll över den behandlingen. God kontroll är en förutsättning för att kunna ta ansvar för forskningsdatabasen och personuppgifts- behandlingen. Vi anser därför att forskningshuvudmannen ska fatta ett uttryckligt beslut om att en viss forskningsdatabas ska inrättas. I beslutet ska forskningshuvudmannen fastställa vilka uppgifter som ska behandlas i forskningsdatabasen och för vilka ändamål dessa uppgifter är nödvändiga att behandla. Vi anser att det är lämpligt att även annan grundläggande infor- mation om databasen går att utläsa av beslutet. Beslutet bör bifogas ansökan om etikprövning av forskningsdatabasen. Det utgör ett viktigt underlag för prövningen. Detta är ett dokument som också kan vara betydelsefullt för tillsynsmyndigheterna och . Innan forskningshuvudmannen börjar samla in uppgifter till en forskningsdatabas eller omvandlar en existerande uppgiftssamling till en forskningsdatabas, måste huvudmannen således kunna precisera ändamålet och vilka uppgifter som ska samlas in något mer än vad som framgår av det övergripande ändamålet för forskningsdatabaser; att skapa underlag för olika forskningsprojekt. Det kan t.ex. handla om att precisera vilka typer av forskningsprojekt som forskningsdata- basen ska kunna utgöra underlag till, vilka forskningsfrågor som ska besvaras, inom vilka forskningsområden projekten ska genomföras och vilken typ av uppgifter som ska samlas in till en viss närmare angiven typ av forskning. Även om ändamålet för en forskningsdatabas måste vara preciserat och alltså inte utgöras av ett generellt ändamål såsom ”stöd till framtida forskning” bör det ändå kunna vara relativt brett. Det bör kunna utformas på motsvarande sätt som i LifeGene-lagen: ”...att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt.”19 Ändamålet kan också avgränsas till en sjukdom eller en sjukdomsgrupp. Ett exempel på detta är PCBaseSweden, vars ändamål beskrivs vara en databas för klinisk epidemiologisk forskning om prostatacancer baserad på länkningar Förslag till reglering av forskningsdatabaser mellan och andra nationella register.20 Den demografiska databasen () vid har en bred uppgift. Enligt dess fortfarande gällande förordning är den ”att registrera och bearbeta huvudsakligen demografiska och historiska data för forsknings-, utbildnings- och arkivändamål samt att göra dessa data tillgängliga för forskare.” DDB ska dessutom enligt förordningen verka för vetenskapligt samarbete och metod- utveckling.21 En forskningsdatabas ska kunna innehålla uppgifter som samlas in direkt från enskilda, uppgifter från olika myndighetsregister och från andra källor, t.ex. privata forskningshuvudmän. De grundläggande ändamålen med registret ska således vara dels att skapa underlag för olika tänkbara framtida forskningsprojekt (t.ex. om uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt), dels att lämna ut uppgifter till sådan forsk- ning under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts enligt etikprövningslagen. Vi förslår att forskningshuvudmannen sedan ska precisera de grundläggande ändamålen genom att bestämma vilka uppgifter som ska få behandlas och de närmare ändamålen för behandling av person- uppgifter i den forskningsdatabas som ska upprättas. I detta samman- hang måste forskningshuvudmannen se till att samtliga de grund- läggande principerna som framgår av artikel 5 i dataskyddsförord- ningen kan uppfyllas. Utöver kraven på ändamålsbegränsning i artikel 5.1 b (att uppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål) är även principen om uppgifts- minimering i artikel 5.1 c av central betydelse. Av dess krav på att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas följer att det angivna särskilda ändamålet blir styrande för vilka uppgifter som får samlas in i forskningsdatabasen. 20Hagel E, , , , , , , . PCBase : a register based resource for prostate cancer research. J Urolo Nephrol 2009; 43(5), s. 342–349. 212 § Förordning om demografiska databasen vid i (UHÄ-FS 1990:8). Förslag till reglering av forskningsdatabaser Ytterligare ett grundläggande villkor för att personuppgiftsbehand- ling i en forskningsdatabas ska vara tillåten ska vara att forsknings- databasen är etikgodkänd. Kravet på ett externt godkännande av forskningsdatabasen utgör en nödvändig skyddsåtgärd i vårt förslag till en långsiktig reglering av forskningsdatabaser. I följande två avsnitt (8.8.5 och 8.8.6) presenterar vi detta förslag ytterligare. Finansieringen ska vara säkerställd Det ska också vara ett villkor att forskningshuvudmannen har säker- ställt finansieringen av forskningsdatabasen. Ändamålet med en databas är att skapa underlag för olika framtida forskningsprojekt och att lämna ut uppgifter till forskningsprojekt. För att uppfylla sitt syfte måste forskningsdatabasen bevaras för att möjlig- göra longitudinella studier eller jämförande studier . För att garantera långsiktighet och kvalitet i verksamheten bör finansieringen av forskningsdatabasen därför vara säkerställd att ändamålet med forskningsdatabasen kan uppfyllas. För att forskningsdatabasen verkligen ska bli till nytta för sitt ändamål måste den som ansvarar för databasen bl.a. ha kompetens och tillräckliga resurser för att behandla förfrågningar om uttag ur forskningsdata- basen inom rimlig tid. Enligt utredningen är även en tryggad finansiering en viktig säkerhetsåtgärd. Finansieringen ska kunna säkerställa att forsknings- huvudmannen har tillräckliga resurser för den organisation och de säkerhetsåtgärder som krävs för en laglig, ändamålsenlig och säker behandling av personuppgifter. Det är viktigt att det finns tillräcklig finansiering också för avveckling av en forskningsdatabas. Vi föreslår att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om finansieringen. Det kan t.ex. handla om att bestämma för hur finansieringen av en forskningsdatabas måste vara säkerställd. Förslag till reglering av forskningsdatabaser För att forskningshuvudmannen ska få skapa en forskningsdatabas, ska alltså följande villkor vara uppfyllda. •Forskningshuvudmannen har fastställt vilka uppgifter som får behandlas i forskningsdatabasen. •Forskningshuvudmannen har fastställt för vilka särskilda ändamål dessa uppgifter är nödvändiga att behandla. •Forskningsdatabasen ska vara godkänd enligt etikprövningslagen. •Forskningshuvudmannen har säkerställt finansieringen av forsk- ningsdatabasen. Vi föreslår också att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om •begränsning av de ändamål för vilka uppgifter får behandlas i en databas, •begränsningar av de uppgifter som en forskningsdatabas får innehålla, •begränsningar av behandling av uppgifter i en forskningsdatabas, och •finansieringen av en forskningsdatabas. 8.8.5En forskningsdatabas ska etikprövas Vårt förslag: Tillämpningsområdet för etikprövningslagen ska ändras så att det också omfattar sådan forskning som innefattar behandling av personuppgifter i en forskningsdatabas. Ett god- kännande av ska få avse en forsknings- databas.22 Vid etikprövning av en forskningsdatabas bör Etikprövnings- myndigheten besluta . En ny ansökningsavgift föreslås för ansökningar om etikpröv- ning av forskningsdatabaser. 22Vi föreslår att våra författningsändringar träder i kraft . Vi hänvisar därför genomgående i våra förslag till den nya organisation med en etikprövningsmyndighet som har beslutats träda i kraft (se avsnitt 5.4.1) i stället för till nu gällande regionala etikprövningsnämnder. Förslag till reglering av forskningsdatabaser Vi anser att en uppgiftssamling som är en nationell resurs och som ska användas som underlag för flera olika framtida forskningsprojekt måste vara kringgärdad av skyddsåtgärder. Vi föreslår genom vår reglering ett flertal villkor för och krav på skyddsåtgärder för att få skapa och driva en forskningsdatabas.