sou · H8B353 · 2020-09-02 00:00:00 — Förfrågan och dess resultat kan visserligen leda till ett beslut om att inleda en forskningsstudie (se kapitel 3, tabell 3.1), men för personuppgiftsbehandlingen pågår dock ännu inte någon forskning7. I dataskyddsförordningen finns inga definitioner av vare sig forskning eller det i förordningen mer frekvent använda uttrycket forskningsändamål.8 När villkoren för personuppgiftsbehandling inom forskning regleras särskilt i dataskyddsförordningen används i stort sett genomgående termen vetenskapliga eller historiska forskningsändamål, eller enbart forskningsändamål. Uttrycket används bland annat i artikel 5.1 b (principen om ändamålsbegränsning) och i artikel 9 som rör känsliga personuppgifter (se vidare avsnitt 5.6).9 I artikel 6, om rättsliga grunder för behandling av personuppgifter, omnämns inte forskningsändamål särskilt. Det ingår där i den mer omfattande grupp av ändamål som tillsammans kan (eller förutsätts) bli föremål för medlemsstaternas eller unionens kompletterande reglering (artikel 6.1 c rättslig förpliktelse och artikel 6.1 e allmänt intresse). Till ledning för tolkningen av uttrycket forskningsändamål anges i dataskyddsförordningen att det bör ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Även studier som utförs av ett allmänt intresse inom folkhälsoområdet bör omfattas av begreppet (skäl 159). Frågan om vad som begreppsmässigt förstås med forskning respektive forskningsändamål har analyserats av bland andra Forsk- 7Begreppet forskning definieras här i enlighet med den betydelse som begreppet ges i etikprövningslagen (se avsnitt 2.5). 8Begreppet forskning förekommer enbart i förordningens skäl. 9Det förekommer också i samband med föreskrifter om undantag för forskningsändamål från vissa av de registrerades rättigheter i artiklarna 14, 17 och 21. Det återfinns även i artikel 89.1 som anger att personuppgiftsbehandling för forskningsändamål ska omfattas av lämpliga skyddsåtgärder, och i artikel 89.2 som lämnar utrymme för att i unionsrätten eller nationell rätt föreskriva undantag från vissa artiklar avseende de registrerades rättigheter. ningsdatautredningen, som bedömt att personuppgiftsbehandling för forskningsändamål omfattar ”arbete som är eller avses vara en del av forskningsprocessen, inklusive förberedande eller avslutande aktiviteter såsom iordningsställande och dokumentation av databaser för användning i forskning eller arkivering av forskningsmaterial”.10 Att det i dataskyddsförordningen förordas en vid tolkning av begreppet kan alltså anses tala för att den personuppgiftsbehandling som aktualiseras vid antalsberäkning omfattas av forskningsändamål, trots att det ännu inte påbörjats någon forskning utan snarare är fråga om ett tidigt skede i en förberedelsefas. En sådan tolkning ligger även i linje med den bedömning som har gjort. Vissa bestämmelser i dataskyddsförordningen som gäller för behandling av personuppgifter för historiska eller vetenskapliga forskningsändamål inkluderar också behandling för ”statistiska ändamål”. Inte heller detta uttryck finns med bland definitionerna i artikel 4, men av skäl 162 i framgår att med statistiska ändamål avses: ... varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Dessa statistiska resultat kan vidare användas för olika ändamål, inbegripet vetenskapliga forskningsändamål. Ett statistiskt ändamål innebär att resultatet av behandlingen för statistiska ändamål inte består av personuppgifter, utan av aggregerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysiskperson. Med beaktande av innebörden i skäl 162, förefaller det finnas en distinktion mellan forskningsändamål och statistiska ändamål. Vid personuppgiftsbehandling för antalsberäkning görs varken någon insamling eller registrering av nya uppgifter. I stället utgör behandlingen en efterkommande användning av befintliga uppgifter som härrör från den individinriktade verksamheten i hälso- och sjukvården. Med hänsyn till det bakomliggande skälet till förfrågan om antalsberäkning torde det också ligga närmare till hands att behandlingen är att anse som en administrativ uppgift snarare för 10SOU 2017:50 s. 114. I den efterföljande propositionen (prop. 2017/18:298) görs inga uttalanden i detta avseende. Se även legaldefinitioner i 2 § etikprövningslagen (återgiven i avsnitt 2.5). Se vidare artikel 6.2, 89.1 och skäl 159 i dataskyddsförordningen. 2002/03:50 s. 114, där rent inledande planeringsarbete eller ordnande av finansiering inte ansågs omfattas av forskningsbegreppet, eftersom det är först i samband med forskningens genomförandefas som risker för skada avseende forskningspersonens hälsa, säkerhet och personliga integritet uppkommer. forskningsändamål än för statistiska ändamål. Detta är av betydelse för frågan om antalsberäkning kan anses omfattas av befintliga ändamålsbestämmelser, se vidare avsnitt 5.7.3. 5.5.2Vilka rättsliga grunder är aktuella för antalsberäkning? För att det ska vara tillåtet att behandla personuppgifter inom hälso- och sjukvården i syfte att göra en antalsberäkning inför ställningstagande om att inleda klinisk forskning måste, som framgått, behandlingen vara förenlig med de allmänna principerna och ha stöd i minst en av de rättsliga grunderna i dataskyddsförordningen. Dessutom måste det beaktas att det är fråga om känsliga personuppgifter som behandlas. Vi återkommer till förordningens förbud mot behandling av känsliga personuppgifter och om undantagen från förbudet i avsnitt 5.6. Vidare måste behandling av personuppgifter ske i enlighet med sådan kompletterande nationell lagstiftning som bedömts vara nödvändig för att ge det stöd för att behandlingen ska vara laglig enligt förordningen, och för att precisera och anpassa den tillåtna behandlingen. Som inledningsvis nämnts (och som närmare redovisas nedan) innehåller patientdatalagen kompletterande bestämmelser till dataskyddsförordningen, bland annat om för vilka ändamål personuppgifter inom hälso- och sjukvården får behandlas. Lagen gäller för vårdgivare oberoende av om de har offentligrättslig huvudman (offentlig vårdgivare) eller privaträttslig huvudman (privat vårdgivare). De rättsliga grunder i dataskyddsförordningen som skulle kunna vara relevanta vid behandling av personuppgifter för antalsberäkning torde vara att –den registrerade har lämnat sitt samtycke till sådan behandling (artikel 6.1 a), –behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e), och –behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, Reglering av antalsberäkningSOU 2020:53 särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1 f). För frågan om vilken eller vilka av dessa rättsliga grunder som faktiskt kan användas som stöd för personuppgiftsbehandling vid antalsberäkning är det av betydelse huruvida den personuppgiftsansvarige är en offentligrättslig eller en privaträttslig aktör. Ett samtycke ska vara frivilligt, specifikt, informerat och utgöra en otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar den aktuella behandlingen av personuppgifter som rör honom eller henne (artikel 4.11 i dataskyddsförordningen). Ett villkor är vidare att ett samtycke när som helst ska kunna återtas (artikel 7). Utrymmet för myndigheter, såsom offentliga vårdgivare, att basera behandling av personuppgifter på den rättsliga grunden samtycke är begränsat enligt dataskyddsförordningen, eftersom det ofta kan råda en betydande ojämlikhet mellan den registrerade och myndigheten, och att det inte kan säkerställas att samtycket har lämnats frivilligt (se skäl 43 i dataskyddsförordningen).11 Om det i stället är en privaträttslig aktör som är personuppgiftsansvarig anses det, generellt sett, inte innebära något hinder mot att använda samtycke som rättslig grund för personuppgiftsbehandling. Som konstaterats är den antalsberäkning som omfattas av föreliggande betänkande en efterkommande behandling av uppgifter som härrör från den individinriktade verksamheten i hälso- och sjukvården. Uppgifter samlas in och registreras alltså i en vårdsituation. Det kan antas att patienter i en sådan situation, eller åtminstone i någon del av en längre vårdprocess, uppfattar sig vara i en form av beroendesituation. Av den anledningen är samtycke inte en möjlig grund för personuppgiftsbehandling som sker vid antalsberäkning, om det är fråga om offentliga vårdgivare. Motsvarande skäl kan anföras också när det gäller en privat vårdgivare. Samtycke under dessa omständigheter kan inte anses vara en lämplig rättslig grund, ens för 11European (), Guidelines05/2020on consent under Regulation 2016/679, Version 1.1, Adopted on 4 2020. en privaträttslig aktör. Det ankommer dock på personuppgiftsansvariga att för varje personuppgiftsbehandling göra denna prövning som en del av bedömningen av om ett giltigt samtycke kan inhämtas. Uppgift av allmänt intresse Som framgått är det inte tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning. Frågan är därmed om behandling av personuppgifter vid antalsberäkning kan anses vara nödvändig för att utföra en uppgift av allmänt intresse. En uppgift av allmänt intresse får anses avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Allmänintresset inbegriper hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster (skäl 45 i dataskyddsförordningen). Regeringen har i tidigare lagstiftningsärenden uttalat att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Detta för att myndigheternas verksamhet ska kunna fortsätta att fungera mot bakgrund av dataskyddsförordningens begränsningar och hinder för myndigheter att tillämpa samtycke respektive intresseavvägning som rättsliga grunder för att behandla personuppgifter inom ramen för sin verksamhet.12 Som redovisats anses vidare alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra vara av allmänt intresse. På motsvarande sätt är de obligatoriska uppgifter som ålagts kommuner och regioner att utföra av allmänt intresse. Begreppet uppgift av allmänt intresse omfattar dock inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Till skillnad från vad som gäller för rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) behöver den personuppgiftsansvarige inte vara skyldig att utföra uppgiften för att den rättsliga grunden uppgift av allmänt intresse ska vara tillämplig, även frivilliga åtaganden kan inbegripas. Däremot krävs att uppgiften av allmänt intresse ska vara fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Till detta återkommer vi i avsnitt 5.5.3. 2017/18:105 s. 56. Vid tillämpningen av grunden uppgift av allmänt intresse spelar det ingen roll om den personuppgiftsansvarige är en offentligrättslig eller en privaträttslig aktör. Syftet med antalsberäkning är att tillhandahålla ett beslutsunderlag; genom antalsberäkningen kan bättre beslut som avser forskning inom hälso- och sjukvården fattas. Antalsberäkning kan därmed anses vara en uppgift av allmänt intresse. Nödvändighetsrekvisitet är som framgått centralt i dataskyddsregleringen. Den vägledning som finns till hur nödvändig behandling ska tolkas enligt dataskyddsförordningen återfinns i skäl 39, som anger att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Därutöver kan praxis från motsvarande krav i dataskyddsdirektivet13 beaktas.14 Det är inte fråga om ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Be- handlingen kan anses nödvändig och därmed tillåten – som i detta fall enligt artikel 6.1 e – om behandlingen leder till effektivitetsvinster.15 Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – när det gäller offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Att ändamålet ska vara nödvändigt för att utföra en uppgift av allmänt intresse innebär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan 13Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet ersattes av dataskyddsförordningen när den började att gälla den 2017/18:298 s. 37. 2017/18:105 s. 47 och den däri hänvisade domen från Europeiska unionens domstol, som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i dataskyddsdirektivet (C-524/06, EU:C:2008:724). uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag. behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses.16 Uppgift av allmänt intresse kan sammanfattningsvis anses vara en lämplig rättslig grund för den antalsberäkning som sker hos en offentlig vårdgivare och för sådana privata vårdgivare som bedriver hälso- och sjukvårdsverksamhet på uppdrag av regioner och kommuner. Angående kravet på att den rättsliga grunden allmänt intresse ska vara fastslagen i unionsrätten eller nationell rätt, se avsnitt 5.5.3. Till skillnad från myndigheter har privaträttsliga aktörer möjlighet att basera personuppgiftsbehandling på en intresseavvägning. Vid bedömningen av om intresseavvägning kan tillämpas ska den registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige beaktas (skäl 47 till dataskyddsförordningen). Den registrerades intressen och grundläggande rättigheter skulle kunna väga tyngre, i synnerhet om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling. Regeringen har uttalat som sin uppfattning att en uppgift, som bedöms vara av allmänt intresse men som inte har fastställts i unionsrätten eller nationell rätt, i många fall bör kunna anses vara ett berättigat intresse enligt artikel 6.1 f.17 Artikel 29-gruppen18 har beträffande dataskyddsdirektivet anfört att intresset måste vara tillräckligt tydligt angett för att kunna vägas mot den registrerades intressen och grundläggande rättigheter. Intressets art kan variera och också omfatta ett brett spektrum av intressen. Vissa intressen kan vara tvingande och gynna samhället i stort, till exempel intresset av att genomföra vetenskaplig forskning. Andra intressen kan vara mindre akuta för samhället som helhet eller åtminstone kan samhällseffekterna av dessa vara blandade. Bland de vanligaste sammanhang där frågan om berättigat intresse i den mening 2017/18 :105 s. 46 f. och 60. 2017/18:298 s. 39. 18Artikel 29-gruppen var en rådgivande och oberoende arbetsgrupp med representanter från dataskyddsmyndigheter i medlemsstaterna, Europeiska datatillsynsmannen (EDPS) och kommissionen. Gruppen hade bland annat till uppgift att se till att det dataskyddsdirektivet tilllämpades enhetligt i medlemsstaterna. Gruppen upplöstes och ersattes av Europeiska dataskyddsstyrelsen (, EDPB), när dataskyddsförordningen började tillämpas. Gruppen fick sitt namn av artikel 29 i det dataskyddsdirektivet och i artikel 30 fanns bestämmelser om gruppens uppgifter. som avses i artikel 7 i dataskyddsdirektivet kan uppstå nämner Artikel 29-gruppen behandling för historiska, vetenskapliga eller statistiska ändamål och behandling för forskningsändamål (Yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv /46/EG). Enligt regeringens bedömning bör vägledning vid tillämning av artikel 6.1 f (om intresseavvägning) i dataskyddsförordningen kunna hämtas från gruppens yttrande, eftersom den artikeln motsvarar artikel 7 f i dataskyddsdirektivet.19 Med hänsyn till vad som anförts om antalsberäkning som en uppgift av allmänt intresse, bör – i enlighet med regeringens ovan nämnda bedömning – uppgiften också anses kunna vara ett sådant berättigat intresse som förutsätts enligt artikel 6.1 f. Intresseavvägning kan sammanfattningsvis anses vara en lämplig rättslig grund för den antalsberäkning som sker hos en privaträttslig vårdgivare. Som inledningsvis angetts krävs också att det finns ett tillämpligt undantag från förbudet att behandla känsliga uppgifter (artikel 9.2 i dataskyddsförordningen). Huruvida det finns ett sådant undantag för privata vårdgivare behandlas i avsnitt 5.6. 5.5.3Uppgifter och ansvar enligt hälso- och sjukvårdslagen För frågan huruvida personuppgiftsbehandling vid antalsberäkning kan anses ha stöd i en rättslig grund enligt dataskyddsförordningen är regleringen i hälso- och sjukvårdslagen av betydelse. Hälso- och sjukvårdslagen är den centrala lagen för hälso- och sjukvården. Det är en målinriktad ramlag, som innehåller övergripande mål, reglering av ansvarsförhållanden samt riktlinjer för hälso- och sjukvården. Lagen kompletteras med detaljreglering på förordnings- eller föreskriftsnivå.20 Det är ett statligt ansvar att fastställa den övergripande politiska agendan för hälso- och sjukvården samt att övergripande följa upp och utvärdera hälso- och sjukvårdens och omsorgens kvalitet och effektivitet. Huvudmannaskapet för att organisera hälso- och sjukvården vilar dock på regioner och kommuner, som också har ett eget ansvar för den interna kontrollen av sin verksamhet. Ansvaret innebär inte skyldighet för huvudmännen att själva bedriva verksam- 2017/18:298 s. 39 och s. 57 f. 20Se främst hälso- och sjukvårdsförordningen (2017:80). Driften kan ligga på någon annan som då betecknas vårdgivare, viken benämning används även för de delar av kommun och region som bedriver hälso- och sjukvård (se definitioner i 2 kap. 2 och 3 §§). Hälso- och sjukvårdslagen gäller för både vårdgivare med en offentlig huvudman (offentlig vårdgivare) och vårdgivare med en privat huvudman (privat vårdgivare). Detta framgår av 1 kap. 1 §. Till hälso- och sjukvårdens kärnområden hör åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador, sjuktransporter, samt omhändertagande av avlidna (2 kap. 1 §). Att medicinskt förebygga sjukdomar och skador inbegriper enligt tidigare förarbeten både miljöinriktade och individinriktade åtgärder. Sådana åtgärder kan innefatta insatser för att fastställa hur kemiska, biologiska, fysiska, sociala och psykologiska faktorer inverkar på befolkningens hälsotillstånd. Den information om risker i människornas livsmiljö som observeras i hälso- och sjukvårdsarbetet bör tas tillvara och utnyttjas av huvudmännen.21 Till individinriktade förebyggande åtgärder räknas bland annat all verksamhet som har till syfte att uppspåra hälsoproblem av skilda slag, till exempel allmänna och riktade hälsokontroller samt vaccinationer. Vid sidan av kärnområdet utgör medverkan i forskning och utvecklingsarbete en viktig uppgift för hälso- och sjukvården. Staten har en central roll, främst genom universitet och högskolor samt den forskning som bedrivs via den statliga forskningsfinansieringen. Men också regioner och kommuner ska medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete. Detta framgår av 18 kap. 2 § hälso- och sjukvårdslagen. I dessa frågor ska regioner och kommuner, i den omfattning som behövs, samverka med varandra och med berörda universitet och högskolor. forskningspropositionen uttalades att det ligger i sakens natur att sjukvårdshuvudmännen som en del av sitt ansvar för att erbjuda en god hälso- och sjukvård också tar ett betydande ansvar för att verksamheten utvecklas och utvärderas.22 Detta manifesteras även i ett avtal mellan staten och hälso- och sjukvårdshuvudmän i regioner med medicinsk fakultet, ALF-avtalet.23 Avtalet fastslår att regio- 1981/82:97 s. 110 f. 1996/97:5, avsnitt 7.9.1. 23Avtal mellan svenska staten och vissa landsting om samarbete om utbildning av läkare, klinisk forskning och utveckling av hälso- och sjukvården. Undertecknat (det finns flera tidigare revisioner av avtalet, som ursprungligen ingicks ). nerna ska medverka i utbildning av läkare, klinisk forskning och utveckling av hälso- och sjukvården. Det kompletteras med regionala avtal mellan universiteten och regionerna. Bakgrunden är att staten är huvudman för universiteten och deras forskning och utbildning, medan regionerna ansvarar för sjukvården. Eftersom den kliniska forskningen och utbildningen i huvudsak bedrivs i hälso- och sjukvården förs statliga medel över till berörda regioner. Bestämmelsen i 18 kap. 2 § hälso- och sjukvårdslagen och nämnda avtal markerar den stora betydelse som forskning och utvecklingsarbete har inom hälso- och sjukvården, och tydliggörs att regionerna inte bara har en kompetens, utan också en lagfäst skyldighet, att medverka vid finansieringen, planeringen och genomförandet av kliniskt forskningsarbete på hälso- och sjukvårdens område, liksom av folkhälsovetenskapligt forskningsarbete.24 Den kliniska forskningens roll och betydelse, liksom samverkan mellan staten och hälso- och sjukvårdshuvudmännen för att uppnå en klinisk forskning av hög kvalitet har tidigare belysts, av bland andra Utredningen av den kliniska forskningen.25 Hälso- och sjukvårdens roll för forskningen kommer också till uttryck genom patientdatalagen (se avsnitt 5.7.2). Det har påtalats i lagens förarbeten att uppgifter i nationella och regionala kvalitetsregister, liksom i patientjournaler, utgör viktigt källmaterial för forskningen inom hälso- och sjukvården. Det har inte ansetts finnas anledning att inskränka möjligheten att behandla sådana uppgifter för forskningsändamål. Uppgifter får efter sekretessprövning och etikgodkännande lämnas ut för forskningsändamål. I motiven till regleringen av sammanhållen journalföring (6 kap. patientdatalagen) konstaterades dessutom att möjligheterna att bedriva forskning torde förbättras, eftersom efterfrågade uppgifter, till skillnad från , ofta kommer att finnas i elektronisk form och därmed vara lätt tekniskt tillgängliga.26 Att bidra med underlag till de förberedande stegen innan klinisk forskning påbörjas bör alltså kunna betraktas som en del av hälso- och sjukvårdens uppgift att medverka till forskning (avsnitt 5.5.2). Som redovisats i det föregående får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen, om behand- 24Johansson, , Kommentar till Hälso- och sjukvårdslagen (18 kap. 2 §), version 10. 25SOU 2008:7 och SOU 2009:43, se även prop. 2012/13:30.