sou 2014 45

Till statsrådet och chefen för

Utbildningsdepartementet

Regeringen beslutade den 17 januari 2013 att tillkalla en särskild ut- redare med uppdrag att utreda förutsättningarna för registerbaserad forskning. Utredaren fick i uppdrag att lämna författningsförslag och andra förslag i syfte att registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet och att sambearbetning av registeruppgifter för forskningsändamål ska under- lättas. Utredaren fick vidare i uppdrag att lämna författningsförslag och andra förslag i syfte att göra det möjligt att på ett integritets- säkert sätt samla in personuppgifter till register som förs för sär- skilda och uttryckligt angivna forskningsändamål samt till longitudi- nella studier som håller sig inom ramen för sådana ändamål. I upp- draget ingick också att undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning (Dir 2013:08).

Som särskild utredare anställdes förra statsrådet Bengt Westerberg från och med den 17 januari 2013. Som experter förordnades från och med den 22 januari 2013 professorn Björn Halleröd, professorn Mats G Hansson, tillsynschefen Erik Janzon, professorn Cecilia Magnusson-Sjöberg, chefsjuristen Eva Nilsson, professorn Peter Nilsson, rättschefen Karin Nylén, avdelningschefen Petra Otterblad- Olausson och docenten Magnus Stenbeck. Som sakkunniga förord- nades den 5 mars 2013 kanslirådet Elin Feldt, departementssekre- teraren Ann-Sofie Hollsten-Yamamoto och departementssekretera- ren Maria Wästfelt. Från och med den 11 juni 2013 förordnades även kanslirådet Per Eriksson som sakkunnig. Erik Janzon ersattes den 3 september 2013 av juristen Victoria Söderqvist. Elin Feldt er- sattes den 1 mars 2014 av departementsrådet Petter Odmark, som förordnades som expert.

Innehåll

Sammanfattning ................................................................	17
Summary ..........................................................................	33
1 Författningsförslag......................................................	49

1.1Förslag till lag om ändring av lagen (2001:99) om den

officiella statistiken..................................................................

1.2Förslag till lag om ändring i lagen (2003:460) om

etikprövning av forskning som avser människor ...................

1.3Förslag till lag om ändring i offentlighets- och

sekretesslagen (2009:400)........................................................

1.4Förslag till lag om ändring i patientsäkerhetslagen

(2010:659).................................................................................	60
1.5 Förslag till lag (20xx:xx) om forskningsdatabaser.................	61

1.6Förslag till lag (20xx:xx) om Nationella

	biobanksregistret......................................................................	66
2	Direktiv, arbetssätt och disposition...............................	71
2.1	Direktiven.................................................................................	71
2.2	Expertgruppen..........................................................................	72
2.3	Kontakter..................................................................................	74
2.4	Disposition...............................................................................	75
2.5	Terminologifrågor....................................................................	76

Innehåll

SOU 2014:45

2.6	Förkortningar ...........................................................................	78
3	Vad menas med register?.............................................	81
3.1	Vad är registerbaserad forskning? ...........................................	81
3.2	Vad är ett register? ...................................................................	82
3.3	Varför skapar myndigheter register?.......................................	83
3.4	Hur ser ett register ut?.............................................................	84
3.5	Olika typer av myndighetsregister..........................................	85
	3.5.1 Register för administrativa ändamål ............................	85
	3.5.2 Uppgiftssamlingar för statistiska ändamål ..................	86
	3.5.3 Kvalitetsregister och biobanker ...................................	89
3.6	Register för forskningsändamål...............................................	90
	3.6.1 Kodade och avidentifierade uppgifter..........................	91
4	Varför är registeruppgifter bra för forskning? ..................	93

4.1Att följa samhällsförändringar över tid och i olika

	grupper......................................................................................	94
4.2	Beskrivning och förklaring ......................................................	95
4.3	Observationsstudier och randomiserade experiment ............	97

4.4När behöver man stora och kanske heltäckande

datamaterial?...........................................................................		100
4.4.1	Ovanliga företeelser....................................................	100
4.4.2 Kopplingar mellan urvalsundersökningar och
	registermaterial............................................................	103
4.4.3	Biobanksrelaterad medicinsk forskning ....................	105
4.4.4 Att följa upp konsekvenserna av tidigare
	händelser......................................................................	107
4.4.5 Den sociala omgivningens betydelse för
	individuella handlingar................................................	108
4.4.6 Policyskillnader mellan administrativa enheter.........		109
4.4.7	Longitudinella studier.................................................	110
4.4.8	Mikrosimulering..........................................................	112
4.5 Sammanfattning......................................................................		114
6

SOU 2014:45		Innehåll
5	Rättsliga förutsättningar för registerbaserad forskning....	115
5.1	Inledning.................................................................................	115

5.2Internationell reglering till skydd för den personliga

integriteten vid behandling av personuppgifter ...................		116
5.2.1 FN:s allmänna förklaring om de mänskliga
	rättigheterna m.m. ......................................................	116
5.2.2	Europakonventionen ..................................................	117
5.2.3	Europarådets Dataskyddskonvention .......................	118
5.2.4	OECD:s riktlinjer.......................................................	119
5.2.5 Europeiska unionens stadga om de
	grundläggande rättigheterna ......................................	120
5.2.6	Sammanfattning..........................................................	121

5.3Nationell reglering till skydd för den personliga


integriteten vid behandling av personuppgifter ...................			121
5.3.1	Regeringsformen.........................................................		121
5.3.2	Dataskyddsdirektivet..................................................		126
5.3.2.1		Syfte ...........................................................................	126
5.3.2.2		Huvuddragen i direktivet..........................................	126
5.3.2.3		Kompletterande rättsakter........................................	128
5.3.2.4		Reformarbete.............................................................	129
5.3.3 Kommissionens förordning om tillgång till
	konfidentiella uppgifter för vetenskapliga syften.....		129
5.3.4	Personuppgiftslagen ...................................................		131

5.3.4.1Personuppgiftslagens syfte och förhållande till

	annan lagstiftning......................................................	131
5.3.4.2	Några viktiga begrepp...............................................	131
5.3.4.3	Det territoriella tillämpningsområdet......................	135
5.3.4.4 Behandling av uppgifter som omfattas av lagen......		135
5.3.4.5	Undantag från personuppgiftslagen.........................	137
5.3.4.6 Krav på behandlingen av personuppgifter ...............		143
5.3.4.7 När behandling av personuppgifter är tillåten.........		151

5.3.4.8Förbud mot behandling av känsliga

personuppgifter.........................................................

154

5.3.4.9Undantag från förbudet mot behandling av

	känsliga personuppgifter...........................................	158
5.3.4.10	Behandling av personuppgifter om
	lagöverträdelser m.m.................................................	162
5.3.4.11 Behandling av uppgifter om personnummer...........		164
5.3.4.12	Skyldigheter enligt personuppgiftslagen .................	165
		7

Innehåll

SOU 2014:45

5.3.4.13	Rättelse, skadestånd och straff.................................	166
5.3.5 Övriga registerförfattningar .......................................		166
5.3.5.1	Inledning ...................................................................	166
5.3.5.2	Något om registerförfattningarnas struktur...........	168
5.3.5.3	En översyn av registerlagstiftningen .......................	172
5.3.6 Exempel på register som kan användas vid
forskning......................................................................		173
5.3.6.1	Inledning ...................................................................	173
5.3.6.2	Hälsodataregister......................................................	173
5.3.6.3	Kvalitetsregister........................................................	174
5.3.6.4	Lokala kvalitetsregister.............................................	174
5.3.6.5	Regionala och nationella kvalitetsregister...............	177
5.3.6.6	Biobankslagen ...........................................................	181
5.3.6.7	Rättspsykiatriskt forskningsregister .......................	183

5.4Internationella dokument till skydd för den enskilde

inom hälso- och sjukvård samt forskning.............................		184
5.4.1 Europarådets konvention om mänskliga
rättigheter och biomedicin .........................................		184
5.4.1.1	Inledning ...................................................................	184
5.4.1.2	Syfte...........................................................................	184
5.4.1.3	Människans företräde ...............................................	185
5.4.1.4 Yrkesåliggande och etiska regler..............................		185
5.4.1.5 Bestämmelser som rör forskning.............................		185

5.4.1.6Skydd för personer som inte kan lämna samtycke . 186


5.4.1.7		Konventionens krav..................................................	187
5.4.1.8		Tolkning av konventionen .......................................	188
5.4.1.9 Rapporter om konventionens tillämpning..............			188
5.4.2	Helsingforsdeklarationen ...........................................		188
5.5 Etikprövningslagen ................................................................			189
5.5.1	Syfte .............................................................................		189
5.5.2	Vissa definitioner ........................................................		189
5.5.3	Tillämpningsområde ...................................................		190
5.5.4	Godkännande ..............................................................		192
5.5.5	Utgångspunkter för etikprövningen..........................		195
5.5.6	Utlämnande av personuppgifter.................................		196
5.5.7	De regionala etikprövningsnämnderna......................		197
5.5.8	Centrala etikprövningsnämnden................................		198
5.5.9	Straff ............................................................................		198

SOU 2014:45		Innehåll
5.6 Offentlighet och sekretess ....................................................		199
5.6.1	Inledning .....................................................................	199
5.6.2	Offentlighetsprincipen...............................................	199
5.6.2.1 Rätten att ta del av allmänna handlingar..................		199
5.6.2.2 I vilken form ska uppgifterna ges ut? ......................		201

5.6.2.3Begränsning av rätten att ta del av allmänna

	handlingar ..................................................................	202
5.6.3 Offentlighets- och sekretesslagen .............................		203
5.6.3.1	Sekretessbestämmelsernas uppbyggnad ..................	203
5.6.3.2	Myndigheternas sekretessprövning .........................	207
5.6.3.3	Utlämnandeprövningen............................................	208
5.6.3.4	Massuttag...................................................................	209

5.6.3.5Sekretess som kan gälla hos de myndigheter

från vilka forskare begär uppgifter...........................	210
5.6.3.6 Sekretessbrytande bestämmelser..............................	218

5.6.3.7Bestämmelser om skydd för enskild inom

		forskning och statistik ..............................................	222
	5.6.3.8 Uppgiftsskyldighet mellan myndigheter.................		226
5.7	Lagen om den officiella statistiken .......................................		227
	5.7.1	Inledning .....................................................................	227
	5.7.2 Utlämnande av uppgifter i vissa fall...........................		228
5.8	Arkivlagen ..............................................................................		229
	5.8.1	Inledning .....................................................................	229
	5.8.2	Arkivens syfte .............................................................	230
	5.8.3	Gallring........................................................................	230
	5.8.4	Riksarkivets föreskrifter för
		forskningsverksamhet ................................................	232
	5.8.5 Arkivering av digitala handlingar...............................		232
	5.8.6	Förhållande till personuppgiftslagen.........................	233
	5.8.7	Sekretess......................................................................	233
6	Integritet och registerbaserad forskning ......................		235
6.1	Vad är integritet?....................................................................		236
6.2	Rättsligt skydd för personlig integritet ................................		240
6.3	Rättslig grund för myndighetsregister..................................		241
6.4	Alla har rätt att få ut uppgifter som gäller dem själva..........		245

Innehåll

SOU 2014:45

6.5Integritetskränkningar genom spridning av

	uppgifter m.m.........................................................................		245
6.6	Registerbaserad forskning .....................................................		247
6.7	Risker med myndighetsregister.............................................		249
6.8	Risker vid registerbaserad forskning.....................................		251
6.9	Etisk prövning ........................................................................		256
6.10	Informerat samtycke..............................................................		258
6.11	Rätten att dra tillbaka ett samtycke ......................................		263
6.12 RF och sekundäranvändning av uppgifter/prover................			264
6.13	Sammanfattande analys..........................................................		270
	6.13.1 Integritetsskyddskommitténs frågor.........................		270
	6.13.2 Proportionalitetsbedömning ......................................		271
7	Erfarenheter från de nordiska länderna .......................		275
7.1	Danmark .................................................................................		275
	7.1.1	Offentlighet och sekretess .........................................	275
	7.1.2	Personuppgiftsbehandling..........................................	277
	7.1.3	Etikprövning................................................................	278
	7.1.4	Biobanker.....................................................................	279
	7.1.5	Danmarks Statistik......................................................	280
	7.1.6	Statens Serum Institut ................................................	282
7.2	Finland ....................................................................................		283
	7.2.1	Offentlighet och sekretess .........................................	283
	7.2.2	Personuppgiftsbehandling..........................................	284
	7.2.3	Etikprövning................................................................	286
	7.2.4	Biobanker.....................................................................	287
	7.2.5	Statistikcentralen.........................................................	290
	7.2.6 Institutet för hälsa och välfärd ...................................		291
7.3	Norge	......................................................................................	292
	7.3.1	Offentlighet och sekretess .........................................	292
	7.3.2	Personuppgiftsbehandling..........................................	293
	7.3.3	Personvärnombud.......................................................	295
	7.3.4	Etikprövning................................................................	296
	7.3.5	Biobanker.....................................................................	298
10

SOU 2014:45 Innehåll

	7.3.6	Statistisk sentralbyrå...................................................	299
	7.3.7	Folkehelseinstituttet...................................................	300
7.4	Sammanfattning .....................................................................		300
8	Bakgrund, nuläge och utmaningar..............................		303
8.1	Bakgrund ................................................................................		303
8.2	Datakällorna ...........................................................................		306
	8.2.1	Myndighetsregister.....................................................	306
	8.2.2	Kvalitetsregister ..........................................................	307
	8.2.3	Biobanker ....................................................................	309
	8.2.4	Forskningsregister......................................................	311
8.3	Tillgänglighet för forskning till register och biobanker ......		313
	8.3.1	Etikprövningen ...........................................................	314
	8.3.2	Utlämnande.................................................................	318

8.3.2.1Forskningsprocessen och vilka uppgifter

		som är nödvändiga ....................................................	328
	8.3.2.2. Internationellt samarbete..........................................		330
	8.3.3	Sambearbetning...........................................................	334
	8.3.3.1 Federerat system...........................................................		337
	8.3.4 Skydd och säkerhet vid högskolorna och
		universiteten................................................................	340
8.4	Forskningsdatabaser ..............................................................		342
	8.4.1 Det rättsliga läget är oklart.........................................		343
	8.4.2	LifeGene och EpiHealth ............................................	345
	8.4.3	Varför behövs forskningsdatabaser? .........................	349
	8.4.4 Behöver myndighetsuppgifter finnas med i
		forskningsdatabaser? ..................................................	353
	8.4.5	Hur avgränsat ändamål? .............................................	357
	8.4.6	Sammanfattning om forskningsdatabaser .................	362
8.5	Slutsatser.................................................................................		362
8.6	Sammanfattning .....................................................................		372
9	Bedömningar och förslag...........................................		375
9.1	Etikprövningen ......................................................................		375
	9.1.1	Ett enklare förfarande.................................................	375
	9.1.2	Rådgivande yttrande...................................................	378
			11

Innehåll

SOU 2014:45

9.1.3	Ett utvidgat tillämpningsområde ...............................		380
9.2 Ändring av bestämmelserna om kodnyckelförfarande ........			381
9.2.1 Lagen om den officiella statistiken ............................			383
9.2.2 När kan kodnyckelförfarande användas? ..................			383
9.2.3 Hur länge ska kodnyckeln bevaras?...........................			386
9.2.4 De utlämnande myndigheternas problem .................			386
9.2.5	Forskarnas problem ....................................................		387
9.2.6	Ändring av bestämmelserna om
	kodnyckelförfarande...................................................		388
9.2.6.1		Bevarande av kodnyckel ...........................................	388
9.2.6.2		Ett utvidgat tillämpningsområde .............................	389
9.2.6.3 Hur länge bör kodnyckeln bevaras? ........................			390
9.2.6.4		Kodnyckelns rättsliga status ....................................	391
9.2.6.5		Kodnyckelförfarandet och arkivlagstiftningen.......	392
9.3 En ny sekretessbestämmelse..................................................			395
9.3.1 Primära sekretessbestämmelser till skydd för
	enskild inom forskning...............................................		396
9.3.2	Pågående lagstiftningsarbete ......................................		400
9.3.3 Vilket skydd finns för uppgifter som över-
	lämnas från en myndighet till forsknings-
	verksamhet hos en myndighet?..................................		402
9.3.4 Vilket skydd finns för uppgifter som inhämtas
	direkt från forskningspersonen eller annan
	enskild? ........................................................................		404
9.3.5 Är skyddet för den enskilde inom
	forskningsverksamhet tillräckligt?.............................		405
9.3.6	Intresseavvägning........................................................		406
9.3.7	Sekretessens styrka .....................................................		408
9.3.8	Sekretesstiden..............................................................		410
9.3.9 Placering av bestämmelsen och följdändringar .........			410
9.3.10 Sekretessbrytande bestämmelser................................			411
9.3.11 Överföring av sekretess ..............................................			413
9.3.12 En definition av begreppet forskning ........................			413
9.3.13 Rätten att meddela och offentliggöra uppgifter........			414
9.4 En ny lag om forskningsdatabaser ........................................			416
9.4.1 Behov av en reglering..................................................			419
9.4.2	Regleringens utformning............................................		421
9.4.3 Hur bör en lagreglering avseende
	forskningsdatabaser utformas? ..................................		423
12

SOU 2014:45

Innehåll

9.4.4 Vad är en forskningsdatabas?.....................................		424
9.4.5	Vilka forskningsdatabaser behövs?............................	424
9.4.6	Bör etikprövningslagens tillämpningsområde
	utvidgas?......................................................................	424
9.4.7 Vilken behandling ska lagen omfatta?.......................		425
9.4.8 Vilka ska få föra forskningsdatabaser? ......................		427
9.4.8.1 Högskolorna och offentlighetsprincipen ................		427

9.4.8.2Möjlighet för statliga myndigheter att bygga

upp databaser för framtida forskning ......................

428

9.4.8.3Möjlighet för andra än statliga myndigheter att bygga upp forskningsdatabaser för framtida

	forskning....................................................................	429
9.4.9	Finansiering och utvärdering av
	forskningsdatabaser ....................................................	430
9.4.10 Förhållande till personuppgiftslagen.........................		431
9.4.11 Personuppgiftsansvar .................................................		432
9.4.12 Ändamålet med behandlingen....................................		432
9.4.13 De primära ändamålen................................................		432
9.4.14 Inhämtande av uppgifter till en forskningsdatabas ..		434
9.4.15 Utlämnande av uppgifter från en
	forskningsdatabas .......................................................	435
9.4.16 Forskning ....................................................................		435
9.4.17 De sekundära ändamålen............................................		437
9.4.18 Sambearbetning och kodnyckelförfarande................		439
9.4.19 Innehåll........................................................................		441
9.4.20 Sökbegrepp..................................................................		441
9.4.21 Direktåtkomst.............................................................		442
9.4.22 Förbud mot bakvägsidentifiering ..............................		443
9.4.23 Intern elektronisk åtkomst ........................................		444
9.4.24 Gallring........................................................................		445
9.4.24.1 Om arkivering och gallring.......................................		445
9.4.24.2 Tidigare lagstiftning..................................................		445
9.4.24.3 En särskild bestämmelse om gallring i lagen
	om forskningsdatabaser............................................	448
9.4.24.4 Avveckling av forskningsdatabaser ..........................		449
9.4.25 Information vid insamling..........................................		450
9.4.26 Registerutdrag.............................................................		451
9.4.27 Rättelse och skadestånd..............................................		452
9.4.28 Sekretess......................................................................		452
9.4.28.1 Sekretess till skydd för uppgifter
	i forskningsdatabaser ................................................	452
		13

Innehåll

SOU 2014:45

9.4.28.2 Utlämnande av uppgifter till forsknings-
		databaser .................................................................	452
9.4.28.3		Särskild verksamhet ................................................	454
9.4.29 Regeringens möjlighet att meddela föreskrifter........			455
9.5 Biobanker		................................................................................	456
9.5.1	Bakgrund .....................................................................		458
9.5.2	Biobankslagen..............................................................		458
9.5.3	Bestämmelser ......................................om spårbarhet		461
9.5.4	Personuppgiftsbehandling..........................................		462
9.5.5	Sekretess ......................................................................		464
9.5.6 Nationellt biobanksråd och Svenska
	biobanksregistret.........................................................		464
9.5.7 Rapporten ......Gemensam svensk biobanksstruktur			465
9.5.8 Problem ....relaterade till personuppgiftsbehandling			467
9.5.9 Problem ................................relaterade till sekretess			467
9.5.10 Biobanksutredningens förslag avseende
	spårbarhet ....................................................................		468
9.5.11 Biobanksutredningens förslag avseende
	personuppgiftsbehandling ..........................................		469
9.5.12 Sammanfattning av remissinstansernas
	synpunkter...................................................................		473
9.5.12.1 ...............................................		Lagreglering av SBR	473
9.5.12.2 .......Biobankernas behandling av personuppgifter			476
9.5.13 Slutsatser......................................................................			477
9.5.14 En särskild ......lag om Nationella biobanksregistret			478
9.5.14.1 ...................................................		Intresseavvägning	478
9.5.14.2 ...................................		Lagens tillämpningsområde	480
9.5.14.3 .........		Vem ska föra Nationella biobanksregistret?	481
9.5.14.4		Skyldighet att lämna uppgifter till
	.................................	Nationella biobanksregistret	482
9.5.14.5 .....................		Förhållande till personuppgiftslagen	483
9.5.14.6		Den registrerades inställning till
	.....................................	personuppgiftsbehandling	483
9.5.14.7 ..............................................................		Underåriga	485
9.5.14.8 ..................................................		Beslutsoförmögna	486
9.5.14.9 .............................................		Personuppgiftsansvar	486
9.5.14.10 ..............................		Behandling av personuppgifter	487
9.5.14.11 ...................................................................		Innehåll	488
9.5.14.12 .............................................................		Sökbegrepp	489
9.5.14.13 ........................................................		Direktåtkomst	489

SOU 2014:45 Innehåll

	9.5.14.14	Tillgång till personuppgifter ..................................	489
	9.5.14.15	Information.............................................................	489
	9.5.14.16 Rätt att får uppgifter utplånade..............................		490
	9.5.14.17	Gallring....................................................................	490
	9.5.14.18	Rättelse och skadestånd..........................................	491
	9.5.14.19	Övriga bestämmelser ..............................................	492
	9.5.14.20	Sekretess..................................................................	492
10	Ikraftträdande och övergångsbestämmelser .................		499
11	Konsekvenser...........................................................		501
11.1	Inledning.................................................................................		501
11.2 Konsekvenser enligt 14 §.......................................................			501
11.3 Konsekvenser enligt 15 §.......................................................			505
11.4 Konsekvenser enligt 15 a § ....................................................			505
	11.4.1 En beskrivning av problemet och vad man vill
	uppnå ...........................................................................		506
	11.4.2 En beskrivning av alternativa lösningar som finns
	för det man vill uppnå och vilka effekterna blir
	om någon reglering inte kommer till stånd...............		507
	11.4.3 Uppgifter om vilka som berörs av regleringen .........		508
	11.4.4 Uppgifter om vilka kostnadsmässiga och andra
	konskevenser regleringen medför och en
	jämförelse av konsekvenserna för de övervägda
	regleringsalternativen .................................................		509
	11.4.5 En bedömning av om regleringen
	överensstämmer med eller går utöver de
	skyldigheter som följer av Sveriges anslutning till
	Europeiska unionen....................................................		509
	11.4.6 En bedömning av om särskilda hänsyn behöver
	tas när det gäller tidpunkten för ikraftträdande
	och om det finns behov av speciella
	informationsinsatser...................................................		510
	11.4.7 Effekten för företag....................................................		511
11.5	Konsekvenser för skyddet för den personliga
	integriteten och forskningen.................................................		512

Innehåll

SOU 2014:45

12	Författningskommentar .............................................	513
12.1	Förslaget till lag om ändring av lagen (2001:99) om den
	officiella statistiken ................................................................	513
12.2	Förslaget till lag om ändring av lagen (2003:460) om
	etikprövning av forskning som avser människor .................	515
12.3	Förslaget till lag om ändring av offentlighets- och
	sekretesslagen (2009:400)......................................................	517
12.4	Förslaget till lag om ändring av patientsäkerhetslagen
	(2010:659)...............................................................................	520
12.5	Förslaget till lag om forskningsdatabaser .............................	521
12.6	Förslaget till lag om Nationella biobanksregistret...............	533
Bilaga
Kommittédirektiv 2013:8................................................................		545

Sammanfattning

I 2012 års forskningsproposition (prop. 2012/12:30) konstaterade regeringen att de svenska registren i många avseenden är unika. Att kombinera uppgifter från dem ger stora möjligheter för forskningen. Det finns ett antal viktiga frågeställningar som kan besvaras med hjälp av olika register och datamaterial.

Mot den bakgrunden har regeringen uppdragit åt Vetenskapsrådet att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forsknings- ändamål.

Uttalanden i propositionen är också bakgrunden till denna utred- ning. I utredningsdirektiven framhålls att det kan finnas rättsliga hinder för registerbaserad forskning. Mitt uppdrag har varit att analy- sera dessa och att lämna författningsförslag och andra förslag i syfte att

•registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet,

•sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och

•göra det möjligt att på ett integritetssäkert sätt samla in person- uppgifter till register som förs för särskilda och uttryckligt an- givna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

På den sistnämnda punkten specificeras uppdraget ytterligare i direk- tiven. Det talas där om ett behov av att kunna skapa ”nya databas- infrastrukturer för bestämda, men relativt allmänt hållna, forsk- ningsändamål”. Jag ska föreslå hur sådana infrastrukturer ska kunna byggas, som kan användas av forskare i olika forskningsprojekt och

Sammanfattning

SOU 2014:45

som kan uppdateras och tillföras nya uppgifter vid till exempel longitudinella studier.

Jag har även haft till uppgift att undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är till- räckligt för att skydda den enskildes integritet vid forskning.

Till min hjälp i utredningsarbetet har jag haft en sekreterare, Magdalena Petersson, som är hovrättsassessor, samt en grupp av experter och sakkunniga med företrädare för departement, myndig- heter och forskarsamhället. Jag har under arbetets gång haft ett stort antal kontakter med forskare med omfattande erfarenheter av registerbaserad forskning och med flertalet berörda myndigheter.

Vad menas med register?

Med register avses i detta sammanhang i första hand strukturerade samlingar av personuppgifter som har upprättats inom myndigheter för primärt andra ändamål än forskning. Som exempel kan nämnas register hos statliga myndigheter som har tillkommit för administra- tiva eller statistiska ändamål och register hos regioner och landsting som har skapats för utvärdering och kvalitetssäkring av hälso- och sjukvården. Även biobanker, som är samlingar av biologiska prover från individer tagna huvudsakligen i samband med vård och behand- ling, är i sammanhanget av stort intresse.

Med register avses i utredningsdirektiven dock även vissa upp- giftssamlingar som primärt är skapade för forskningsändamål. Upp- gifterna i dessa kan hämtas direkt från individer eller från de nämnda registren. Oftast skapas sådana forskningsregister för ett specifikt forskningsprojekt, men det förekommer också att register byggs för att kunna ge underlag för flera framtida, från början inte definie- rade, forskningsprojekt. I den här utredningen kallar jag sådana forskningsregister för forskningsdatabaser. De utgör en sådan infra- struktur som omnämns i utredningsdirektiven.

Varför är registeruppgifter bra för forskning?

Det är i många sammanhang en stor fördel för forskningen att få tillgång till omfattande datamaterial. Myndighetsregister som i regel innehåller uppgifter om alla invånare i landet, eller i vart fall alla som är i något avseende berörda, är ovärderliga när man önskar be-

SOU 2014:45

Sammanfattning

skriva tillståndet i befolkningen. Genom att alla finns med kan även minoriteter och ovanliga företeelser fångas in. Ett exempel på det sistnämnda kan vara ovanliga sjukdomar.

Alternativet till att använda uppgifter från register är i regel att samla in uppgifter direkt från ett urval av individer. Sådana urvals- undersökningar är ibland nödvändiga eftersom alla uppgifter som forskarna är intresserade av inte finns i register. Men urvalsunder- sökningar kan innebära vissa problem. Ofta är de forskningspersoner som väljs ut inte särskilt representativa. Även när urvalen är repre- sentativa måste de om inte annat av ekonomiska skäl ofta begränsas och man måste dessutom alltid räkna med ett bortfall, det vill säga att några av dem som tillfrågas av olika skäl inte vill medverka. Både representativiteten, urvalets storlek och bortfallet ökar osäkerheten i forskningsresultaten. Det finns flera exempel på att slutsatser som har dragits på grundval av mindre urvalsstudier har visat sig fel- aktiga när de testats på hela den berörda populationen.

Även i andra sammanhang än när det gäller att studera ovanliga företeelser är forskare beroende av omfattande datamaterial. När de vill studera hur en viss åtgärd påverkar olika individer kan en urvals- studie vara tillräcklig, men om de vill finna olika orsaker till ett komplext samhällsfenomen krävs ett mer omfattande datamaterial. Vid longitudinella studier, då man följer individer eller studerar en och samma företeelse över tid, är register en särskild tillgång. Om individerna gång på gång ska kontaktas finns en stor risk att urvalet krymper ganska snabbt, till exempel därför att de tröttnar på att delta.

Ofta är det en fördel att kunna kombinera uppgifter som forskar- na själva har samlat in vid urvalsstudier med uppgifter från register. Om vissa uppgifter kan hämtas ur register kan antalet frågor som forskaren behöver ställa till sina intervjupersoner begränsas. För att få fram historiska uppgifter om en individ som ingår i ett urval kan register ofta innehålla mer pålitlig information än den individen kan ge ur minnet. För att följa upp hur det går för individer som del- tagit i en urvalsstudie kan registeruppgifter användas för att slippa besvära individerna med upprepade frågor. Uppgifter om alla de olika individer som finns med i olika urvalsundersökningar kan bara åter- finnas i heltäckande register.

Uppgifter om individer, också känsliga uppgifter, är ofta nöd- vändiga för forskningen. Det gäller inte minst inom medicinsk forsk- ning där syftet är att förstå sjukdomars uppkomst och utveckling och att finna botemedel. Samtidigt innebär all behandling av person-

Sammanfattning

SOU 2014:45

uppgifter vissa risker för individers personliga integritet. Den största risken är att någon blir utsatt för andra missaktning om hans eller hennes personliga förhållanden blir kända. Det är bakgrunden till att det finns en omfattande lagstiftning som syftar till att skydda in- dividers personliga integritet och att hantera den avvägning mellan olika intressen som kan behöva göras.

Rättsliga förutsättningar för registerbaserad forskning

Flera internationella organisationer, Förenta nationerna (FN), Europarådet, Organisationen för ekonomiskt samarbete och utveck- ling (OECD) och Europeiska Unionen (EU), har utarbetat rikt- linjer för hur personuppgifter får hanteras. Av särskild betydelse för svensk del är Europakonventionen om mänskliga rättigheter, som sedan 1995 är inkorporerad i svensk lag, och EU:s dataskydds- direktiv, som i Sverige har implementerats genom personuppgifts- lagen (PUL). Inom EU pågår för närvarande en diskussion om en ny dataskyddsförordning, som, om den beslutas, blir direkt tillämp- lig i alla medlemsländer och således för svensk del ersätter PUL. Det är oklart när ett sådant beslut kan komma att fattas och denna utredning utgår därför från gällande rätt.

I regeringsformen (RF) anges att var och en gentemot det allmän- na är skyddad mot betydande intrång i den personliga integriteten om det sker utan samtycke och innebär övervakning eller kart- läggning av den enskildes personliga förhållanden. Bestämmelsen får begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle.

PUL reglerar behandlingen av personuppgifter. Sådana får bara samlas in bara om det är lagligt och bara för särskilda, uttryckligt an- givna och berättigade ändamål. De får inte behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in. För myndigheterna finns oftast det lagliga stödet för personuppgifts- behandlingen i särskilda registerförfattningar, som bland annat anger ändamålet och vilka uppgifter som får behandlas. Behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska enligt PUL inte anses vara oförenligt med de ändamål för vilka uppgifterna samlades in. Det sistnämnda innebär att det är möjligt att i till exempel forskning sekundäranvända uppgifter som har samlats in för andra ändamål.

SOU 2014:45

Sammanfattning

För att få behandla uppgifterna krävs antingen att de berörda individerna har samtyckt till behandlingen eller att den är nöd- vändig för att till exempel en arbetsuppgift av allmänt intresse ska kunna utföras. Forskning kan vara ett exempel på en sådan arbets- uppgift.

Vissa personuppgifter klassificeras i PUL som känsliga, och är förbjudna att behandla. Det gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa och sexualliv. Sådana uppgifter, liksom uppgifter som rör lagöverträdelser av vissa slag och biologiska prover, kan emellertid efter etikgodkännande behandlas i forskning. Etikgodkännande ges enligt lagen om etikprövning av forskning som avser människor (etikprövningslagen) av en etikpröv- ningsnämnd, med av regeringen utsedda representanter för forsk- ning och allmänhet. Etikprövningsnämnden ska också bedöma om samtycke ska inhämtas eller om uppgifterna kan behandlas utan sam- tycke. När det är fråga om omfattande uttag från myndighetsregister är praxis att inte kräva samtycke eftersom det skulle förutsätta en oproportionerlig resursinsats.

Myndigheters insamling och övriga behandling av personupp- gifter motiveras ofta med att de behöver uppgifterna för att kunna fullgöra sina administrativa uppgifter. Det kan handla om att hålla reda på landets invånare, att upprätta vallängder inför allmänna val, att bedöma hur mycket skatt medborgarna ska betala och vilka bidrag de har rätt till, och så vidare. I många fall används uppgifterna för beslut som avser enskilda personer. I de fall myndigheterna har fått i uppdrag att behandla personuppgifter har fördelen med denna behandling bedömts överväga riskerna för den personliga integri- teten.

Ett annat syfte med myndigheters behandling av personuppgifter är att upprätta statistik eller att utvärdera och kvalitetssäkra verk- samheter. Statistikproduktion baseras ofta på uppgifter ur admini- strativa register, men i vissa fall samlas uppgifter in särskilt för statistiska ändamål.

Allmänna handlingar hos svenska myndigheter är i princip offent- liga, men allmänhetens rätt att ta del av sådana handlingar kan be- gränsas om det är påkallat av hänsyn till exempelvis den enskildas personliga och ekonomiska förhållanden. I sådana fall råder ofta varierande grad av sekretess. Den starkaste sekretessen gäller för upp- gifter som har samlats in för statistiska ändamål. Då är sekretessen absolut, vilket innebär att uppgifterna i princip inte lämnas ut.

Sammanfattning

SOU 2014:45

Det finns emellertid även för dessa uppgifter vissa sekretessbry- tande regler. Uppgifterna kan till exempel lämnas ut för forsknings- ändamål om det kan ske utan risk för skada eller men för den som uppgifterna avser eller dennas anhöriga. Om sekretessbelagda upp- gifter lämnas ut till en annan myndighet, till exempel ett universitet eller en högskola, för forskningsändamål följer sekretessen auto- matiskt med. Om utlämnande sker till annan sker det i regel med särskilda förbehåll som syftar till att ge motsvarande skydd.

Det är den registerhållande myndigheten som har att pröva om personuppgifter kan lämnas ut. Vid utlämnande till forskning är det vanliga att uppgifterna lämnas ut i anonymiserad form. Det innebär att forskare inte vet vilka individer uppgifterna avser. Anonymise- rade uppgifter kan vara kodade eller avidentifierade. Att uppgifterna är kodade innebär att forskaren får ut uppgifter med en icke iden- titetsbärande beteckning, till exempel ett löpnummer, medan myn- digheten behåller en kodnyckel som kopplar löpnummer till person- nummer och som gör det möjligt att senare komplettera uppgifterna. Att en sådan möjlighet finns är viktigt vid till exempel longitudinella studier. När uppgifterna är avidentifierade finns inte denna möjlig- het.

Även om uppgifterna är anonymiserade kan det finnas en risk för så kallad bakvägsidentifiering, det vill säga att man genom att sammanställa en rad uppgifter om en individ kan identifiera denna. Det är förbjudet och har så vitt känt aldrig förekommit inom forskningen, men det är likväl en potentiell risk som rent av kan öka med utvecklingen av datatekniken. Därför är det viktigt att det finns ett tydligt regelverk och säkerhetsmässiga arrangemang kring personuppgifterna även i forskningsmiljöer.

I vissa fall, särskilt i medicinsk forskning, förekommer att iden- tifierbara uppgifter lämnas ut. Syftet är ofta att forskare ska kunna kontakta individerna i fråga eller att de ska kunna kontrollera register- uppgifter med uppgifter från patientjournaler.

Integritet och registerbaserad forskning

Ansvaret för den personuppgiftsbehandling som sker inom forsk- ningen åvilar forskningshuvudmännen, det vill säga i regel univer- sitet och högskolor. Ansvaret är ytterst styrelsernas. Det har inte förekommit att uppgifter läckt ut från forskningsmiljöer. De regler för sekretess och säkerhetsmässig hantering som gäller är en viktig

SOU 2014:45

Sammanfattning

förklaring till det. Men universitet och högskolor liksom forskare har också andra starka incitament att se till att reglerna följs, näm- ligen för att de ska kunna få del av uppgifter och bedriva forskning. Till det kommer att forskare inte i första hand är intresserade av individer utan av mönster i populationer.

Gällande regel i regeringsformen om den enskildes skydd gent- emot det allmänna mot betydande intrång i den personliga integri- teten om det sker utan samtycke och innebär övervakning eller kart- läggning av den enskildes personliga förhållanden tillkom år 2011. Frågan har väckts om sekundäranvändning av personuppgifter i myndighetsregister som sker utan samtycke skulle kunna stå i strid med denna grundlagsbestämmelse. Effekten av insamlingen av upp- gifter för forskning skulle, oavsett avsikten, kunna anses vara åtminstone kartläggning av enskildas personliga förhållanden.

Regeringen har i propositionen om grundlagsändringen konsta- terat att man vid bedömningen av vad som är betydande intrång måste se till bland annat ändamålet med behandlingen av uppgifter. Syftet med forskning är inte att kartlägga enskilda individer utan att finna mönster i en population. Behandlingen av uppgifterna ur myndighetsregister har sin rättsliga grund i de särskilda register- författningar som finns för myndighetsregistren och i PUL:s bestäm- melse att behandling för vetenskapliga ändamål inte är oförenligt med de ursprungliga ändamålen för behandlingen av uppgifterna.

Lagstiftarens avsikt torde inte ha varit att förhindra en sådan be- handling av personuppgifter i forskningen. Regeringen har också i propositionen om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) kon- staterat att den så kallade IFAU-databasen inte står i strid med grundlagen. Däremot har regeringen bedömt att det med hänsyn till att det i detta fall handlar om många uppgifter som bevaras under lång tid är rimligt att det finns ett lagstöd för databasen.

Min slutsats är att registerbaserad forskning, forskningsregister och forskningsdatabaser inte innebär betydande intrång i enskildas personliga integritet, men att det är angeläget att det finns ett tydligt lagligt stöd för denna verksamhet.

Enligt proportionalitetsprincipen ska staten inte införa restrik- tioner eller skyldigheter utöver vad som är nödvändigt för att uppnå målet med en åtgärd. Målet med registerbaserad forskning är att vinna kunskap om hur samhället fungerar och den åtgärd som prövas i sammanhanget alltså användningen av bland annat register- uppgifter som har samlats in för andra ändamål.

Sammanfattning

SOU 2014:45

Att kunna använda registeruppgifter i forskningen har stora för- delar. Det finns kunskaper som kan uppnås genom sådan forskning, som är svårt att uppnå med andra metoder. Risken för läckor och åtföljande men för uppgiftslämnarna är liten. Det gäller särskilt när uppgifter lämnas ut i anonymiserad form, men även annars. När fördelarna vägs mot riskerna framstår registerbaserad forskning en i hög grad proportionell åtgärd.

Erfarenheter från de nordiska länderna

Förutsättningarna för registerbaserad forskning är mycket likartade i de övriga nordiska länderna. Även de har att utgå från gällande internationella regelverk. Deras motsvarigheter till svenska PUL är, liksom PUL, baserade på EU:s dataskyddsdirektiv och därmed mycket likartade. I vissa avseenden har de valt andra lösningar än Sverige för att underlätta registerbaserad forskning. Som exempel kan nämnas att man i Danmark har skapat ett väl utvecklat system för fjärråtkomst av hälsodata och att man i Norge en fristående orga- nisation för deponering och arkivering av forskarmaterial. Sådana exempel kan tjäna som inspirationskällor när systemen ska utvecklas i Sverige.

Bakgrund, nuläge och utmaningar

Det finns fyra viktiga datakällor för registerbaserad forskning: myn- dighetsregister, hälso- och sjukvårdens kvalitetsregister, biobanker och forskningsregister av olika slag.

Myndighetsregistren är skapade för primärt andra ändamål än forskning. Kvalitet och dokumentation kan inte alltid möta forsk- ningens behov. Ofta krävs bearbetning av data innan de kan användas i forskningen. Här finns en potential för utveckling.

Kvalitetsregistren inom hälso- och sjukvården är uppbyggda utifrån interventioner, sjukdomsepisoder eller kroniska sjukdomar. De är av varierande kvalitet, men en stor satsning sker nu från rege- ringens och huvudmännens sida att öka kvalitet och tillgänglighet. För närvarande finns ett 80-tal certifierade kvalitetsregister, vilket innebär att de lever upp till vissa kvalitetskrav. Nuvarande utveck- lingsprogram avser perioden 2013–16. När det löper ut får bedömas hur man ska gå vidare.

SOU 2014:45

Sammanfattning

Biobanker innehåller biologiska prover. Det finns cirka 600 bio- banker i Sverige varav hälften hos hälso- och sjukvårdshuvudmännen och ett 50-tal på universitet med medicinsk forskning. En utmaning är att öka spårbarheten av biobanksprover för att de ska bli mer till- gängliga för forskning.

Forskningsregister finns av många olika slag. Flertalet har tillkom- mit för konkreta forskningsprojekt. Svensk Nationell Datatjänst (SND) är en nationell resurs för samordning av existerande och nya forskningsregister inom samhällsvetenskap, humaniora och medicin. SND är för närvarande ett samarbetsprojekt mellan Vetenskapsrådet och Göteborgs universitet. Ett syfte är att data som har samlats in för viss forskning ska göras tillgängliga och kunna återanvändas i nya forskningsprojekt. Datainspektionen har emellertid beslutat att SND inte har rätt att bevara register med personuppgifter, varmed avses uppgifter som på något sätt kan identifieras (till exempel där en kodnyckel finns bevarad). Det innebär en allvarlig begränsning av SND:s verksamhet.

Vid användning i forskning av känsliga personuppgifter eller bio- logiska prover krävs etiktillstånd. När uppgifterna ska tillhandahållas i anonymiserad form bedömer etikprövningsnämnderna riskerna som små och tillstånd beviljas rutinmässigt. Denna bedömning står väl i överensstämmelse med den som har gjorts i vissa mål och ären- den som har behandlats i domstol eller av regeringen. I Danmark och Finland har man valt att vid utlämnande av sådana data arbeta med generella etiktillstånd för vissa auktoriserade organisationer. I Sverige borde det vara möjligt att pröva en förenklad process. Många av de berörda uppfattar också att de blanketter som forskarna har att fylla i vid etikansökan är mer detaljerade än nödvändigt. Det kan finnas skäl se över dessa blanketter, till exempel inom ramen för det av Vetenskapsrådet nyligen tillsatta registerdatarådet.

Inom Statistiska centralbyrån (SCB) har under de senaste tio åren ett system för fjärråtkomst av uppgifter utvecklats. Det kallas MONA, Micro On-line Access. Det används för att tillgängliggöra data inte bara från SCB utan från flertalet statistikansvariga statliga myndigheter. Systemet innebär att forskaren från en terminal i sin arbetsmiljö kopplar upp sig mot MONA och kan bearbeta data utan att de lämnar SCB. Bearbetade data, i form av till exempel tabeller, kan senare skickas till forskaren med e-post. En utvärdering av MONA-systemet har nyligen initierats av Vetenskapsrådet. Något motsvarande system för hälsodata från Socialstyrelsen finns ännu

Sammanfattning

SOU 2014:45

inte, men möjligheten att skapa ett sådant kommer att prövas inom ramen för utvärderingen av MONA.

Det synes inte finnas några rättsliga hinder för att tillhandahålla uppgifter för forskning. De problem som kan finnas ligger snarare på det administrativa planet. För SCB, och även andra myndig- heter, är inte forskning en prioriterad uppgift. Statistikutredningen föreslog i december 2012 att det i SCB:s instruktion skulle skrivas in att det ska vara en prioriterad uppgift att bistå forskningen med data. Finansdepartementet har meddelat att man har för avsikt att föreslå en sådan ändring, men något beslut har ännu inte fattats. Det är angeläget att det sker snarast. Det kan också finnas skäl att göra motsvarande justering i instruktioner till andra myndigheter.

Inom Socialstyrelsen har en registerserviceenhet numera skapats. För närvarande pågår inom SCB en intern utredning som syftar till något liknande. Det är angeläget att det även inom SCB skapas en central forskningsserviceenhet.

Mycket av dagens forskning sker i internationellt samarbete. Utlämnande av data över nationsgränser är en utmaning. Det är dock komplicerade frågor som inte kunnat analyseras inom ramen för denna utredning. Diskussioner mellan de statistiska centralbyråerna i Norden har dock nyligen initierats av Nordiska Rådet och dess forskningsråd, Nordforsk, och pågår för närvarande.

Sambearbetning av data från olika register är ofta nödvändigt inom forskning. Sambearbetningen synes, även när flera myndigheter är inblandade, fungera relativt väl. Den rättsliga grunden för att lämna känsliga personuppgifter mellan statistikansvariga myndigheter för att möjliggöra sambearbetning för forskningshuvudmans räkning har i något fall ifrågasatts. Det har vidare ifrågasatts om det finns stöd i sekretesslagstiftningen för statistikansvariga myndigheterna att skicka sekretessbelagda uppgifter till en annan myndighet i syfte att möjliggöra sambearbetning av uppgifter för en tredje myndig- hets räkning. Min bedömning är dock att detta förfarande har stöd i nuvarande lagstiftning.

Sambearbetning skulle kunna underlättas genom utveckling av ett så kallat federerat system. Det innebär att uppgifter hämtas från olika datakällor till en federationsserver (trusted location), en insti- tution som alla dataägare litar på och vilken de kan ge tillgång till uppgifter utan oro för spridning. Forskaren arbetar mot en sådan federationsserver på samma sätt som mot dagens MONA. Till denna federationsserver hämtas uppgifter på elektronisk väg direkt från källorna utan att någon överföring av uppgifter mellan myndig-

SOU 2014:45

Sammanfattning

heterna sker. Regeringen har i forskningspropositionen uttryckt sig positivt om en sådan lösning och uttalat att den ska utredas i särskild ordning. Något sådant initiativ har emellertid inte tagits. En federerad lösning kräver en omfattande teknisk utveckling. Om en sådan ska komma till stånd krävs sannolikt ett initiativ från regeringen, even- tuellt i samarbete med Umeå universitet som nyligen har inlett ett utvecklingsarbete inom området.

SND är en viktig infrastruktur för svensk forskning. Det är ange- läget att SND blir en permanent verksamhet och att den får rimliga förutsättningar att sköta sina uppgifter. I dag deponerar forskare kopior på sina data hos SND. Det skulle vara en fördel om SND kunde bli en arkivmyndighet där originaldata kunde deponeras. Som arkivmyndighet skulle SND också bli personuppgiftsansvarig för de uppgifter som finns där, vilket innebär att Datainspektionens in- vändningar mot rådande ordning skulle kunna hanteras. I Norge och Danmark har man organiserat motsvarande verksamhet på ett annat sätt: i Norge i en självständig organisation under Utdannings- og Forskningsdepartementet och i Danmark som en del hos Statens Arkiver. Den norska lösningen förefaller vara den mest attraktiva för verksamhetens självständighet och utveckling. Regeringen bör tillsätta en utredning för att utarbeta en långsiktig lösning för SND.

Bedömningar och förslag

Etikprövningen

För att förenkla handläggningen av ärenden där syftet är att i forsk- ningen endast använda anonymiserade uppgifter från myndighets- register föreslås att nämnderna ska kunna delegera sådana ärenden till ordföranden.

Det föreslås vidare att forskare ska få rätt att få ett yttrande från etikprövningsnämnden över forskningsprojekt som inte faller under etikprövningslagen. Det finns i dag en möjlighet att begära ett sådant yttrande, men nämnden avgör själv om den vill avge ett yttrande eller inte.

Det föreslås också att utlämnande från forskningsdatabaser alltid ska kräva etiktillstånd, oavsett om det handlar om känsliga person- uppgifter eller inte.

Sammanfattning

SOU 2014:45

Kodnyckelförfarande

När uppgifter lämnas ut i anonymiserad form kan utlämnande myn- dighet bevara en kodnyckel som gör det möjligt att senare kom- plettera uppgifterna. Denna möjlighet har tillkommit främst för att möjliggöra longitudinella studier, där samma individer eller före- teelser följs under lång tid, och liknande studier.

Vid longitudinella studier kommer utlämnande myndighet och forskarna överens om hur länge kodnyckeln ska bevaras. Normalt bevaras den i tre år med möjlighet till förlängning. Utlämnande myndighet kan dock vara obenägen att behålla kodnyckeln om den upplever att forskningsfrågorna förändras.

Även i andra forskningsprojekt kan en kodnyckel upprättas och bevaras, men normalt under betydligt kortare tid, vanligen tre måna- der. Syftet är kunna komplettera utlämnande uppgifter om något har blivit fel eller om forskaren har missat något i sin ansökan.

Det finns flera skäl för att regelmässigt bevara kodnycklar under längre tid. Att koppla bevarandet till att det är samma forsknings- frågor som ställs synes inte vara rimligt. Det är naturligt att forsk- ningsfrågorna i en longitudinell studie successivt modifieras. Forskare kan under ett pågående projekt finna att data skulle behöva kom- pletteras även om detta inte förutsågs när uppgifterna begärdes ut. I all forskning är det dessutom angeläget att ge möjligheter till repli- kation eller till förnyad analys av samma uppgifter eller efter viss komplettering.

Det föreslås mot denna bakgrund att kodnycklar ska bevaras hos den utlämnande myndigheten under tjugo år från dagen för utläm- nande av uppgifterna och med möjlighet till förlängning därefter.

En ny sekretessbestämmelse

För att upprätthålla allmänhetens förtroende för forskningen är det viktigt att regelverket tillgodoser den enskilda individens integritets- skydd. Det finns i dag flera olika bestämmelser som innebär sekre- tess för personuppgifter som behandlas i forskningen. Regelverket är emellertid inte lätt att överblicka, vilket kan skapa oklarhet.

I offentlighets- och sekretesslagen finns en särskild bestämmelse avseende statistiksekretess. Uppgifter som samlas in för statistiska ändamål skyddas av absolut sekretess. De skäl som i förarbetena till lagstiftningen åberopats för statistiksekretessen är tre. Offentlighets-

SOU 2014:45

Sammanfattning

intresset för sådana uppgifter anses väga lätt. En sammanställning av i och för sig harmlösa uppgifter kan ibland vara integritetskänslig. Och uppgiftslämnaren ska känna sig säker på hans eller hennes upp- gifter inte kommer ut. Dessa skäl talar också för ett motsvarande sekretesskydd för uppgifter som samlas in för forskning.

Mot den bakgrunden föreslås en motsvarande forskningssekre- tess. Det innebär att personuppgifter som samlas in för forskning alltid är skyddade av absolut sekretess. Liksom när det gäller upp- gifter som samlats in för statistiska ändamål ska för dessa uppgifter insamlade för forskningsändamål finnas en sekretessbrytande be- stämmelse som innebär att de, om vissa villkor är uppfyllda, kan användas för annan forskning.

Med sekretessen följer också tystnadsplikt för dem har att han- tera uppgifterna.

Det är angeläget inte bara att personuppgifter skyddas av sekretess utan också att de behandlas enligt gällande regler och i tekniskt säkra system. På alla stora universitet och på flertalet högskolor finns så kallade personuppgiftsombud, som har till uppgift att se till att den personuppgiftsansvarige, det vill säga universitetet eller högskolan, följer gällande regler. I många fall synes personuppgiftsombuden inte ha de resurser och den ställning som krävs för att på ett tillfredsstäl- lande sätt fullgöra uppgiften. Det är universitetens och högskolornas styrelser som har det yttersta ansvaret för att verksamheten fungerar tillfredsställande. Regeringen föreslås i regleringsbrev till statliga universitet och högskolor uppmana dessa att lägga större vikt vid skydd och säkerhet vid behandlingen av personuppgifter, bland annat genom att stärka personuppgiftsombudets ställning och att begära återrapportering om hur skyddet hanteras.

Forskningsdatabaser

I utredningsdirektiven framhålls svårigheterna att inom ramen för gällande rätt skapa forskningsdatabaser för bestämda men relativt allmänt hållna forskningsändamål. Datainspektionen har ställt sig tveksam till forskningsdatabaser med allmänt hållna ändamål. Den har också ifrågasatt lagligheten i det samtycke som enskilda ger när de lämnar uppgifter till sådana databaser. Etikprövningslagen med- ger bara att etikgodkännande ges till konkreta forskningsprojekt. Utlämnande myndigheter ser sig förhindrade att lämna ut uppgifter till databaser där de konkreta forskningsfrågorna är okända. Det

Sammanfattning

SOU 2014:45

saknas alltså i dag rättsliga förutsättningar för sådana forsknings- databaser.

Regering och riksdag har i några fall stiftat särskilda lagar för att möjliggöra forskningsdatabaser. Ett exempel är den lag som reg- lerar den så kallade IFAU-databasen och en annan den lag som reglerar vissa register för forskning om vad arv och miljö betyder för människors hälsa (”LifeGene-lagen”). Inom SCB finns också ett par sådana databaser som delvis används för forskning.

Enligt en inventering som gjorts på uppdrag av Vetenskapsrådet finns ytterligare ett femtiotal forskningsdatabaser i Sverige. De kan till exempel ha tillkommit långt tillbaka i tiden innan nuvarande regelverk fanns på plats, ha byggts upp kring ett konkret forsknings- projekt eller godkänts genom en generös tolkning av etikprövnings- lagen.

Det föreslås att det införs en särskild lag om forskningsdatabaser. Tanken är att i den ska anges vissa generella regler för forsknings- databaser, men att varje databas ska kompletteras med en regerings- förordning som reglerar vad som närmare ska gälla, till exempel ändamål och innehåll. Forskningsdatabasernas ändamål är att skapa underlag för forskning och att lämna ut uppgifter till forsknings- projekt. För utlämnande ska alltid krävas etikgodkännande.

Med forskningsdatabas avses en infrastruktur som ska kunna användas av flera olika forskare, från olika universitet och högskolor och inom olika discipliner, i framtida forskningsprojekt. Vilka pro- jekten är vet man inte när databasen skapas.

Forskningsdatabaser ska kunna skapas vid statliga universitet och högskolor samt vid andra statliga myndigheter som har i uppdrag att bedriva forskning. Det bör uppdras åt Vetenskapsrådet att föreslå regeringen vilka forskningsdatabaser som ska finnas. Vetenskaps- rådet bör också träffa avtal med värduniversiteten om finansiering, organisation och tillgänglighet. Finansieringen bör vara säkerställd för åtta år framåt. Forskningsdatabaserna ska utvärderas vart åttonde år, företrädesvis av en internationell utvärderingsgrupp.

Den personuppgiftsansvarige, alltså myndigheten, ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till person- uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om databasen. Forskningsdatabasen ska admi- nistreras i en särskild avgränsad enhet.

De uppgifter som samlas i forskningsdatabasen ska kunna hämtas ur olika källor. Vissa uppgifter kan samlas in direkt från individer, andra hämtas ur befintliga register. För att säkerställa att myndig-

SOU 2014:45

Sammanfattning

heterna kan lämna uppgifter till forskningsdatabaserna behövs be- stämmelser om uppgiftsskyldighet för dessa. Det bör regleras i de särskilda förordningar som ska gälla för respektive forskningsdata- bas vilka myndigheter som ska vara skyldiga att lämna ut uppgifter och vilka uppgifter uppgiftsskyldigheten ska omfatta.

Enskilda ska kunna lämna uppgifter och ge ett informerat sam- tycke till att dessa behandlas för de ändamål som anges i förordningen för forskningsdatabasen.

Uppgifterna i en forskningsdatabas ska skyddas av absolut sekre- tess, men med vissa undantag. Enskilda ska ha rätt att på begäran få registerutdrag för identifierbara uppgifter som har registrerats i databasen.

Nationellt biobanksregister

Svenska biobanksregistret är i dag ett regionalt system. Registret finns hos sex regionala biobankscentra, som bedrivs av regioner och landsting. Det skulle i olika sammanhang underlätta spårbarheten av biobanksprover om det fanns ett nationellt biobanksregister. Ett sådant föreslogs för några år sedan av den statliga Biobanksutred- ningen. Dess förslag har av olika skäl inte lett till lagstiftning.

Utredningen föreslår mot den bakgrunden att Svenskt biobanks- register görs om till ett nationellt system för registrering av biobanks- prover, Nationella biobanksregistret. Det föreslås att Socialstyrelsen blir personuppgiftsansvarig för registret.

Uppgifterna i registret ska få behandlas för att underlätta spår- barhet vid vård och behandling av den registrerade, vid forskning, kvalitetssäkring och framställning av statistik och vid förstörande eller avidentifiering av vävnadsprover när den registrerade har åter- kallat sitt samtycke.

De uppgifter som får registreras avser i första hand provgivarens identitet, provgivarens ställningstagande till hanteringen av proverna (samtycke), vävnadsprovernas karaktär, i vilken biobank de finns och uppgifter om diagnos och analysresultat.

Absolut sekretess ska gälla för de uppgifter som finns i registret, men med sekretessbrytande regler för till exempel forskning. Upp- gifter ska också kunna lämnas ut när det handlar om den enskildes vård och behandling.

Registreringen bygger på samtycke, det vill säga att den enskilde när det biologiska provet sparas i en bank tar ställning till hur upp-

Summary

The 2012 Research and Innovation Bill (Government Bill 2012/13:30) notes that Swedish registers are unique in many respects. Combining data from them yields great opportunities for research. There are a number of important questions that can be answered by means of various registers and bodies of data.

Against this background, the Government has commissioned the Swedish Research Council to institute a function with the task of improving access to register data and facilitating their use for re- search purposes.

Statements made in the bill also constitute the background to this committee of inquiry. The committee's terms of reference give pro- minence to the potential existence of legal impediments to register- based research. My task has been to analyse these impediments and to submit legislative and other proposals in order to

•increase the extent to which agencies responsible for registers may disclose data for research purposes with regard paid to the pro- tection of the individual's privacy,

•facilitate joint processing of register data for research purposes and

•make possible the privacy-assured collection of personal data for registers maintained for specific and explicitly stated research pur- poses and for longitudinal studies confined to the scope of such purposes.

With regard to the last point, this task is further specified in the terms of reference. The terms speak of the need for being able to create “new database infrastructures for definite, but relatively general, research purposes”. I have been asked to make proposals for the building of these infrastructures that can be used by researchers in

Summary

SOU 2014:45

various research projects and that can be updated and augmented with new data when performing, e.g. longitudinal studies.

I have also had the task of investigating whether the existing secrecy protection regarding data handled within research is ade- quate to protect the individual's privacy in research.

In the work on this inquiry, I have been assisted by Associate Judge Magdalena Petersson, in the capacity of secretary, and by an expert group with representatives from ministries, government agencies and the research community. During the work, I have had numerous contacts with researchers possessing extensive experience of register-based research and with many of the agencies concerned.

What is meant by a register?

In the present context, registers principally refer to structured collec- tions of personal data that have been created at government agencies primarily for purposes other than research. Examples may be given of registers at central government agencies that have been created for administrative or statistical purposes and registers at regions and county councils that have been created for evaluation and quality assurance in health care. Also of great interest in this context are biobanks, which are collections of biological specimens from individuals taken mainly in connection with care and treatment.

However, in the committee's terms of reference, registers also denote certain collections of data that have been primarily created for research purposes. The data in these can be collected from indi- viduals directly or from theagency registers in question. Research registers of this kind are usually created for a specific research pro- ject, but there are also instances of registers being constructed to provide a basis for a number of future research projects that have not initially been defined. In this inquiry, these research registers are called research databases. They are an example of the infra- structure mentioned in the terms of reference.

Why is register data good for research?

It is a great advantage in many contexts for research to have access to extensive bodies of data. Agency registers, which generally contain data on all Swedish residents, or at least all those relevant in some

SOU 2014:45

Summary

respect, are invaluable when seeking to describe the state of the popu- lation. The inclusion of all residents means that minorities and un- usual phenomena can also be captured. An example of the latter might be rare diseases.

As a rule, the alternative to using data from registers is the collec- tion of data directly from a sample of individuals. Such sample surveys are sometimes necessary because registers do not contain all the data in which researchers are interested. However, sample surveys may entail certain problems. Often, the research subjects selected are not especially representative. Even when the samples are representative, they often have to be limited, if nothing else, for economic reasons, and a certain loss also has to be accommodated, i.e. that some of those approached do not wish to participate for various reasons. Representativeness, sample size and loss all increase the uncertainty of research results. There are numerous examples of conclusions that have been drawn on the basis of smaller sample studies and proven to be incorrect when tested on the entire population in question.

Researchers are also dependent on extensive bodies of data in contexts other than the study of unusual phenomena. When they want to study how a particular intervention affects different indi- viduals, a sample study might be adequate, but if they want to identify the various causes of a complex social phenomenon, a more exten- sive body of data is required. In longitudinal studies, which follow individuals or study one and the same phenomenon over time, re- gisters are a particular asset. If these involve repeated contact with the individuals, there is a great risk that the sample will dwindle fairly quickly, e.g. because they get tired of participating.

It is often advantageous to be able to combine data that researchers themselves have collected during sample studies with data from registers. If certain data can be retrieved from registers, researchers will be able to limit the number of questions that they need to ask their interviewees. To obtain historical data on an individual parti- cipating in a sample, registers can frequently contain more reliable information than the individual is able to provide from memory. To follow up on the progress of individuals who have participated in a sample study, register data can be used to avoid inconvenien- cing these individuals with repeated questions. Data on all the different individuals involved in various sample surveys can only be found in comprehensive registers.

Data on individuals, also sensitive data, is often necessary for research. This is especially true of medical research, whose aim is to

Summary

SOU 2014:45

understand the origin and development of diseases and to find cures. At the same time, all processing of personal data entails certain risks to the personal privacy of individuals. The greatest risk is of someone being exposed to the contempt of others if his or her per- sonal circumstances become known. This is the background to the extensive legislation that is designed to protect the personal privacy of individuals and to manage the weighing of various interests that may be required.

Legal prerequisites for register-based research

Several international organisations, the United Nations (UN), the Council of Europe, the Organisation for Economic Co-operation and Development (OECD) and the European Union (EU), have pro- duced guidelines on how personal data must be handled. Of parti- cular importance to Sweden is the European Convention on Human Rights, incorporated in Swedish law since 1995, and the EU Data Protection Directive, which in Sweden has been implemented through the Personal Data Act (PUL). The EU is currently discussing a new Data Protection Regulation, which, if adopted, will become directly applicable in all Member States and thus replace PUL in Sweden. It is unclear when this might be adopted, and this inquiry therefore proceeds on the basis of existing law.

The Instrument of Government states that everyone shall be protected against significant invasions of their personal privacy, if these occur without their consent and involve the surveillance or systematic monitoring of the individual’s personal circumstances. This provision may be restricted by law, but only to satisfy a pur- pose that is acceptable in a democratic society.

PUL governs the processing of personal data. Such data may be collected only if this is legal and only for specific, explicitly stated and justified purposes. It may not be processed for any purpose that is incompatible with that for which the information is collected. Government agencies usually have legal support for the processing of personal data in special register statutes, which, i.a. specify the purpose and the data that may be processed. Under PUL, the pro- cessing of data for historical, statistical or scientific purposes shall not be regarded as incompatible with the purposes for which the information was collected. The aforementioned means that it is

SOU 2014:45

Summary

possible, e.g. in research, to make secondary use of data that has been collected for other purposes.

The processing of data for purposes other than the original requires either the consent of the persons concerned to this pro- cessing or its necessity for, e.g. being able to perform a task of public interest. Research might be an example of such a task.

PUL classifies certain personal data as sensitive and prohibited to process. This applies to data disclosing race or ethnic origin, political opinions, religious or philosophical beliefs, membership of a trade union or pertaining to health and sex life. However, following ethics approval, such data, as well as data pertaining to certain kinds of legal offence and biological specimens, may be processed in re- search. Ethics approval is granted pursuant to the Act concerning the Ethical Review of Research Involving Humans (Ethical Review Act) by an ethical review board consisting of government-appointed representatives of the research community and the general public. The ethical review board shall also assess whether consent should be obtained or whether the data can be processed without consent. Where utilisation of an agency register is extensive, the praxis is not to require consent, as this would presuppose a disproportionate investment of resources.

The collection and other processing of personal data by govern- ment agencies is often justified by their need of that data in being able to fulfil their administrative tasks. This may relate to keeping track of the country's residents, to producing electoral registers for general elections, to assessing how much tax citizens should pay and the grants they are entitled to, and so on. In many cases, the data is used for decisions concerning individuals. In cases where agencies have been instructed to process personal data, the benefits from this processing have been assessed to outweigh the risks to personal privacy.

Another aim involved in the processing of personal data by government agencies is the production of statistics or the evaluation and quality assurance of activities. The production of statistics is often based on data from administrative registers, but in some cases, data is collected specifically for statistical purposes.

Official documents held by Swedish agencies are in principle public, but the right of the general public to view such documents may be restricted if called for out of consideration to, e.g. the indi- vidual's personal and financial circumstances. In such cases, there are often varying degrees of secrecy. The strongest secrecy applies

Summary

SOU 2014:45

to data that has been collected for statistical purposes. Here, secrecy is absolute, which means that the data is in principle not to be dis- closed.

However, also for this data, there exist certain provisions that override secrecy. For example, the data may be disclosed for research purposes if this can be achieved without risk of damage or harm to the person – or relatives of the person – whom the data concerns. If secret data is disclosed to another agency, such as a university or a university college, for research purposes, secrecy automatically attaches to that data. Where the disclosure is made to another party, it is usually with special reservations designed to provide equivalent protection.

It is the duty of the agency holding the register to consider whether personal data may be disclosed. Where the disclosure is made for research, it is common for the data to be disclosed in anonymised form. This means that researchers do not know which individuals the data concerns. Anonymised data can be coded or de-identified. Coded data means that the researcher receives data with a designation, e.g. a serial number, that does not carry identity information, while the agency retains a code key that links serial numbers to personal identity numbers and that makes it possible to supplement the data later on. The existence of such a possibility is important, for example in the case of longitudinal studies. When data is de-identified, this possibility does not exist.

Even if data is anonymised, there may be a risk of ‘reverse identi- fication’, i.e. identifying an individual by compiling a series of data about that person. This is prohibited and, as far as is known, has never occurred in research. It is nevertheless a potential risk that might even increase with advances in computer technology. For this reason, it is important to have a clear set of regulations and security arrangements regarding personal data in research environments as well.

In some cases, particularly in medical research, there are instances of the disclosure of identifiable data. Often, the purpose is to allow researchers to contact the individuals in question or to check register data with data from patient records.

SOU 2014:45

Summary

Privacy and register-based research

Responsibility for the processing of personal data in research lies with the responsible research bodies; as a rule, universities and uni- versity colleges. This responsibility ultimately belongs to their boards. There have been no instances of data leaking from research environ- ments. An important explanation for this is the rules for secrecy and secure management that are in force. But like researchers, uni- versities and university colleges also have other strong incentives for ensuring compliance; namely, to allow them to obtain data and conduct research. In addition, researchers are not primarily interested in individuals, but in population patterns.

It was in 2011 that the current provision of the Instrument of Government was introduced regarding the individual's protection against significant invasions of personal privacy, where these occur without consent and involve the surveillance or systematic monitoring of the individual’s personal circumstances. The question has been raised of whether the secondary use of personal data in agency re- gisters without consent could be in conflict with this constitutional provision. The effect of collecting data for research could, regard- less of intention, be considered to at least constitute the mapping of personal circumstances.

The Government Bill on a reformed Constitution noted that any assessment of significant invasions must attend, inter alia, to the purpose of processing data. The aim of research is not to map individual persons, but to identify patterns in a population. The processing of data from agency registers has its legal basis in the special register statutes that exist for agency registers and in PUL's provision stating that processing for scientific purposes is not in- compatible with the original purposes for the processing of that data.

The legislator's intention is not likely to have been to prevent this processing of personal data in research. Also in the bill concer- ning the processing of personal data at the Institute for Evaluation of Labour Market and Education Policy (IFAU), the Government noted that the ‘IFAU database’ is not in conflict with the Con- stitution. However, it was the Government's assessment that con- sidering this case involves the retention of a lot of data for a long period, it is plausible that there is a legal basis for the database.

My conclusion is that register-based research, research registers and research databases do not entail significant invasions of the

Summary

SOU 2014:45

personal privacy of individuals, but that it is important that there be clear legal support for this activity.

According to the proportionality principle, central government should not impose restrictions or obligations beyond what is neces- sary to achieve the goal of a measure. The goal of register-based research is to gain knowledge about how society works and the measure being considered in this context; that is, the use of e.g., register data that has been collected for other purposes.

There are great advantages to being able to use register data in research. There is knowledge to be gained through such research that is difficult to gain with other methods. The risk of leaks and attendant harm to respondents is small. This is particularly true when data is disclosed in anonymised form, but even otherwise. When the benefits are weighed against the risks, register-based research appears to be a largely proportionate measure.

Experience from the Nordic countries

The prerequisites for register-based research are very similar in the other Nordic countries. They too have to proceed from applicable international regulations. Their counterparts to Sweden's Personal Data Act are, like that law, based on the EU Data Protection Directive and thus very similar. In some respects, they have chosen different solutions to Sweden in order to facilitate register-based research. Examples that may be given are that Denmark has created a well-developed system for remote access to health data and that Norway has established an independent organisation for depositing and archiving research material. Such examples may serve as sources of inspiration when the systems are being developed in Sweden.

Background, present situation and challenges

There are four important sources of data for register-based research: agency registers, health care quality registers, biobanks and research registers of various kinds.

Agency registers have been created primarily for purposes other than research. It is not possible for quality and documentation to always meet the needs of research. Data often needs to be processed

SOU 2014:45

Summary

before they can be used in research. There is potential for develop- ment in this respect.

Quality registers in health care are constructed on the basis of interventions, disease episodes or chronic illnesses. They are of varying quality, but a major investment is now being undertaken by the Government and health care providers to increase quality and accessibility. At present, there are around 80 certified quality registers. Certification means that they meet certain quality standards. The current development programme covers the period 2013-16. When this expires, an assessment will have to be made about how to pro- ceed.

Biobanks contain biological specimens. There are about 600 bio- banks in Sweden, of which half are with health care providers and around 50 at universities that conduct medical research. One challenge is to increase the traceability of biobank specimens to make them more available to research.

There are many different kinds of research register. Most have been created for specific research projects. The Swedish National Data Service (SND) is a national resource for the coordination of existing and new research registers in the social sciences, humanities and medicine. SND is currently a joint project between the Swedish Research Council and the University of Gothenburg. One of its aims is for data collected for specific research to be made available and to be reusable in new research projects. However, the Data Inspection Board has determined that SND does not have the right to maintain registers containing personal data, by which is meant data that can in some way be identified (e.g. where a code key is still held). This represents a serious limitation of SND's activities.

The use of sensitive personal data or biological specimens in research requires ethical permission. When data is to be provided in anonymised form, the ethical review boards assess the risks as minor and grant permission as a matter of routine. This assessment is well in line with that made in some appeal matters considered by a court or by the Government. For the disclosure of such data in Denmark and Finland, these countries have chosen to work with general ethical permissions for certain authorised organisations. In Sweden, it should be possible to test a simplified process. Many of those concerned also perceive the forms that researchers have to fill in for ethics applications to be more detailed than necessary. There may be reason to review these forms, e.g. under the Register Data Council recently created by the Swedish Research Council.

Summary

SOU 2014:45

Over the past ten years, Statistics Sweden (SCB) has developed a system for remote access to data. It is called MONA, Microdata Online Access. The system is used to make data available, not only from SCB but from most central government agencies responsible for official statistics. Researchers use a terminal in their work environment to connect to MONA and can process data without this leaving SCB. Processed data, in the form of, e.g. tables, may then be sent to researchers by e-mail. An evaluation of the MONA system has recently been initiated by the Swedish Research Council. As yet, there is no corresponding system for health data from the National Board of Health and Welfare, but the possibility of creating one will be examined during the evaluation of MONA.

There appear to be no legal impediments to providing data for research. The problems that may exist are instead found at the administrative level. For SCB, and also other agencies, research is not a priority task. In December 2012, the Statistics Inquiry pro- posed that SCB be instructed to make it a priority to supply data for research. The Ministry of Finance has announced that it intends to propose such an amendment, but no decision has yet been made. It is urgent that this be done as soon as possible. There may also be reason to make corresponding adjustments to the instructions of other agencies.

A register service unit has now been created at the National Board of Health and Welfare. At present, SCB is conducting an internal investigation with a somewhat similar aim in view. It is urgent that SCB also should create a central research service unit.

Much of today's research takes place in international collabora- tion. The disclosure of data across national borders is a challenge. These are complicated issues that have not been possible to analyse within the scope of this inquiry. However, discussions between the central agencies for statistics in the Nordic countries have recently been initiated by the Nordic Council and its research council, NordForsk, and are in progress.

Joint processing of data from various registers is often necessary in research. Even when multiple agencies are involved, this joint processing appears to be functioning relatively well. Where statistical agencies disclose sensitive data among themselves to facilitate joint processing, the legal basis for doing so has been questioned on occasion. It has also been questioned if there is a legal basis with regard paid to secrecy to disclose secret data to another agency to faciliate joint processing of data on behalf of a third agency. My

SOU 2014:45

Summary

conclusion is that this processing can be carried out according to existing law.

Joint processing could be facilitated through the development of a ‘federated system’. This involves the retrieval of data from various sources to a trusted location, an institution that all the data owners trust and to which they can provide access to data without concern for its being spread. Connected to a trusted location of this kind, researchers work in the same way as in the current MONA system. Data is retrieved electronically to this trusted location directly from the sources without any transfer of data among the agencies taking place. In its Research and Innovation Bill, the Government was positive towards such a solution and stated that this would be investigated separately. However, no such initiative has been taken. A federated solution requires extensive technological development. Achieving a solution of this kind is likely to require a government initiative, possibly in coopeartion with the University of Umeå which has recently initiated av development program in this field.

SND is an important infrastructure for Swedish research. It is important that SND should become a permanent activity and be given reasonable conditions to fulfil its tasks. Today, researchers deposit copies of their data with SND. It would be advantageous if SND could become an archiving agency where original data could be deposited. As an archiving agency, SND would also become the controller of personal data for the information held, which would tackle the Data Inspection Board's objections to the current order. Norway and Denmark have organised corresponding activities in another way: in Norway as an independent organisation under the Ministry of Education and Research, and in Denmark as part of the State Archives. The Norwegian solution appears to be the most attractive with respect to the independence and development of the activity. The Government should appoint a committee of inquiry to draft a long-term solution for SND.

Assessments and proposals

Ethical Review

To simplify the management of matters where the research aim is to use only anonymised data from agency registers, it is proposed that the boards be able to delegate such matters to the chair.

Summary

SOU 2014:45

It is further proposed that researchers should have the right to receive an opinion from the ethical review board on research projects that do not fall under the Ethical Review Act. The opportunity to request such an opinion exists today, but the board itself deter- mines whether or not it wants to give an opinion.

It is also proposed that disclosure from research databases should always require ethical permission, regardless of whether this involves sensitive personal data.

Code key procedure

When data is disclosed in anonymised form, the disclosing agency may retain a code key that makes it possible to supplement the data later on. This possibility has primarily arisen to enable longitudinal studies, where the same individuals or phenomena are followed for a long period, and similar studies.

In longitudinal studies, the disclosing agency and researchers agree on how long the code key is to be retained. Normally, it is retained for three years with the possibility of extension. The dis- closing agency may, however, be reluctant to retain the code key if it feels that the research questions have changed.

A code key might also be created and retained for other research projects, but normally for a considerably shorter period, usually three months. The aim is to be able to supplement disclosed data if some- thing has gone wrong or if the researcher has overlooked something in the application.

There are several reasons for the standard retention of code keys for a longer period. Linking retention to the posing of the same research questions does not seem to be reasonable. It is natural for the research questions in a longitudinal study to be successively modified. During an ongoing project, a researcher might find that data needs supplementing even if this was not anticipated when the data was requested. Besides this, it is important in all research to provide opportunities for replication or for re-analysis of the same, or supplemented, data.

In light of this, it is proposed that code keys be retained at the disclosing agency for twenty years from the date of disclosure with the possibility of prolongation.

SOU 2014:45

Summary

A new secrecy provision

To maintain public confidence in research, it is important for the regulatory framework to provide for the protection of the indi- vidual's privacy. Today, there are several different provisions that entail the secrecy of personal data processed in research. However, the regulations are not easy to survey, which can create uncertainty.

The Public Access to Information and Secrecy Act contains a specific provision on statistical secrecy. Data collected for statistical purposes is protected by absolute secrecy. The preparatory works to the legislation invoke three reasons for statistical secrecy. The interest of public access to such data is considered to carry little weight. A compilation of data which is, in itself, innocuous can sometimes be sensitive with respect to privacy. And a respondent must feel confident that his or her information is not revealed. These reasons also speak in favour of a corresponding secrecy protection for data collected for research.

Against this background, a corresponding research secrecy is proposed. This entails that personal data collected for research is always protected by absolute secrecy. As is the case for data collected for statistical purposes, there should be a provision that overrides secrecy for this data collected for research purposes to the effect that it can be used for other research if certain conditions are met.

This secrecy also carries a duty of confidentiality for those handling the data.

It is not only important for personal data to be protected by secrecy, but also for it to be processed in accordance with existing rules and in technically secure systems. All major universities and most university colleges have personal data representatives, whose task is to ensure that the controller of personal data, i.e. the higher education institution, complies with existing rules. In many cases, personal data representatives do not appear to have the resources and status necessary to perform this task satisfactorily. It is the boards of the higher education institutions that have the ultimate responsibility for ensuring that this activity functions satisfactorily. I propose that the Government in its annual instructions to univer- sities and university colleges should request them to give even more inportance to the protection and security of processing personal data, e.g. by strengthening the position of the personal data repre- sentatives, and report taken measures back to the Government.

Summary

SOU 2014:45

Research databases

The committee's terms of reference give prominence to the difficulties under current law in creating research databases for definite, but relatively general, research purposes. The Data Inspection Board has taken a hesitant view towards research databases for general pur- poses. It has also questioned the legality of the consent given by individuals when supplying data to such databases. The Ethical Review Act only allows the granting of ethics approval to specific research projects. Disclosing agencies find themselves prevented from disclosing data to databases where the specific research questions are unknown. In other words, there are currently no legal prere- quisites for such research databases.

The Government and the Riksdag have in some cases passed special enactments to make research databases possible. One example is the act governing the ‘IFAU database’ and another the act gover- ning certain registers for research on the significance of heredity and environment for human health (the “LifeGene Act”). Statistics Sweden also has a couple of such databases that are partly used for research.

According to an inventory commissioned by the Swedish Research Council, there are about an additional fifty research databases in Sweden. These may, for example, have been created a long time ago, before the current regulations were in place, have been built around a specific research project or approved through a generous inter- pretation of the Ethical Review Act.

The introduction of a special act on research databases is pro- posed. The idea is that this will state some general rules for research databases, but that each database will be supplemented with a government ordinance to regulate what further details should apply, e.g. purpose and content. The purpose of the research databases is to create a basis for research and to disclose data for research projects. Disclosure will always require ethics approval.

A ‘research database’ is an infrastructure that will be capable of use in future research projects by several different researchers from different higher education institutions and within different disciplines. The projects are not known when the database is created.

It should be possible to create research databases at state universi- ties, university colleges and other public agencies commissioned to do reserach. The Swedish Research Council should be commissioned to propose to the Government which research databases should

SOU 2014:45

Summary

exist. The Swedish Research Council should also enter agreements with the host universities regarding funding, organisation and accessi- bility. Funding should be secured for eight years ahead. Research databases are to be evaluated every eight years, preferably by an international evaluation group.

The controller of personal data, i.e. the higher education insti- tution or other agency concernded, shall restrict its employees' electronic access to personal data to what each one needs to carry out tasks relating to the database. Administration of the research database shall be performed by a special and distinct unit.

The data collected in the research database will be retrievable from various sources. Certain data can be collected directly from individuals; other data can be retrieved from existing registers. En- suring that the agencies are able to submit data to the research data- bases requires provisions on the obligation to provide information with respect to these. The special ordinances that will be in force for each research database should govern which agencies will be obligated to disclose data and which data this obligation will cover.

Individuals will be able to submit data and give informed consent to its being processed for the purposes specified in the ordinance for the research database.

The data in a research database will be protected by absolute secrecy, but with certain exceptions. Individuals will have the right to obtain, upon request, an extract of identifiable data registered in the database.

National biobank register

The Swedish biobank register is today a regional system. The register is held at six regional biobank centres operated by regions and county councils. The existence of a national biobank register would facilitate the traceability of biobank specimens in a variety of con- texts. A register of this kind was proposed a few years ago by the state Biobank Inquiry. Its proposals have, for various reasons, not resulted in legislation.

In light of this, the present inquiry proposes that the Swedish biobank register be remodelled into a national system for the re- gistration of biobank specimens, the National biobank register. It is proposed that the National Board of Health and Welfare become the register's controller of personal data.

När en statistikansvarig myn- dighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild för statistikändamål, får myndig- heten i samband med utlämnan- det förse uppgifterna med en be- teckning som hos den statistik- ansvariga myndigheten kan kopplas till personnummer eller motsva- rande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till har ett särskilt behov av att senare kunna komplettera uppgifterna.

Om en uppgift rättats, blocke- rats eller utplånats hos den stati- stikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som upp- gifterna lämnats ut till.

Författningsförslag

SOU 2014:45

Om en uppgift rättats, blocke- rats eller utplånats hos den sta- tistikansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna skall kunna ändras hos den som uppgifterna lämnats ut till.

randet av kodnyckeln kan där- efter förlängas av den myndighet som bevarar den eller på ansökan av forskningshuvudman som an- vänder uppgifter som kodnyckeln är kopplad till.

Om en uppgift rättats, blocke- rats eller utplånats hos den sta- tistikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till.

17 §

Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning eller statistik.

Författningsförslag

SOU 2014:45

1.2Förslag till

lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor

Härigenom föreskrivs i fråga om lagen (2003:460) om etikpröv- ning av forskning som avser människor

dels att 3 och 27 §§ ska ha följande lydelse

dels att det i lagen ska införas en ny paragraf, 5 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

3 §1

Denna lag ska tillämpas på forskning som innefattar behandling

av
1. känsliga	personuppgifter			1. känsliga			personuppgifter
enligt 13 § personuppgiftslagen				enligt	13 § personuppgiftslagen
(1998:204), eller				(1998:204),
2. personuppgifter		om	lag-	2. personuppgifter				om	lag-
överträdelser	som	innefattar		överträdelser		som		innefattar
brott, domar i brottmål, straff-				brott, domar i brottmål, straff-
processuella	tvångsmedel		eller	processuella		tvångsmedel			eller
administrativa frihetsberövanden				administrativa frihetsberövanden
enligt 21 § personuppgiftslagen.				enligt 21 § personuppgiftslagen,
				eller
				3. personuppgifter i en forsk-
				ningsdatabas som förs med stöd
				av lagen (0000:00) om forsknings-
				databaser.
				5 a §
				En	regional		etikprövnings-
				nämnd ska på begäran lämna
				rådgivande yttranden över forsk-
				ning som avser			människor		i de

fall forskningen inte omfattas av denna lag. Nämnden får även lämna rådgivande yttranden över

1 Senaste lydelse SFS 2008:192

SOU 2014:45 Författningsförslag

arbeten som utförs inom ramen för högskoleutbildning på grund- nivå eller på avancerad nivå.

27 §

En avdelning är beslutför med ordföranden ensam vid

– förberedande åtgärd,	1. förberedande åtgärd,
– rättelse av skrivfel och lik-	2. rättelse av skrivfel och lik-
nande,	nande,
– annat beslut som inte inne-	3. annat beslut som inte inne-
bär något slutligt avgörande av	bär något slutligt avgörande av
ett ärende, och	ett ärende,
– prövning av fråga om avvis-	4. prövning av fråga om avvis-
ning eller avskrivning av ärende.	ning eller avskrivning av ärende,
	och
	5. prövning av ärende som av-
	ser forskning som endast innefattar
	behandling av personuppgifter som
	hämtats från myndighetsregister
	med uppgifter som primärt samlats
	in för andra ändamål än forskning
	och som inte genom namn, annan
	identitetsbeteckning eller liknan-
	de förhållande är direkt hänförlig
	till den enskilde.
Ordföranden får lämna över	Ordföranden får lämna över
sådana uppgifter som avses i	sådana uppgifter som avses i
första stycket till en föredragande	första stycket 1–4 till en föredra-
vid nämnden.	gande vid nämnden.

En avdelning får lämna över till ordföranden eller någon annan ledamot att efter prövning i sak avgöra ett visst ärende eller ären- den som är sådana att tidigare vägledande avgöranden kan tillämpas eller som annars är av sådant slag att de inte behöver avgöras av avdelningen.

1.Denna lag träder i kraft den 1 januari 2016.

2.Bestämmelsen i 27 § gäller i sin äldre lydelse beträffande ärenden som inkommit till etikprövningsnämnden före ikraft- trädandet.

Författningsförslag

SOU 2014:45

1.3Förslag till

lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretess- lagen (2009:400)

dels att 10 kap. 23 och 27 §§, 11 kap. 3 §, 24 kap. 1 och 9 §§ samt 25 kap. 11 och 18 §§ ska ha följande lydelse,

dels att 24 kap. 4 § ska upphöra att gälla,

dels att rubriken till 24 kap. 1 § ska ha följande lydelse,

dels att det i 24 kap. ska införas en ny paragraf, 15 a §, av följande lydelse.

Nuvarande lydelse				Föreslagen lydelse
			10 kap.
			23 §2
Om inte annat följer av 19–				Om inte annat följer av 19–
22 §§ får en uppgift som angår				22 §§ får en uppgift som angår
misstanke om ett begånget brott				misstanke om ett begånget brott
och som är sekretessbelagd en-				och som är sekretessbelagd en-
ligt 24 kap. 2 a eller 8 §, 25 kap.				ligt 24 kap. 1, 2 a eller 8 §,
1 §, 2 § andra		stycket eller 3–		25 kap. 1 §, 2 § andra stycket, 3–
8 §§,	26 kap.	1–6 §§,	29 kap.	8 eller	15 a §§, 26 kap. 1–6 §§,
1 §, 31 kap. 1 § första stycket, 2				29 kap.	1 §, 31 kap. 1 § första
eller	12 §, 33 kap. 2 §,		36 kap.	stycket, 2 eller 12 §, 33 kap. 2 §,
3 § eller 40 kap. 2 eller 5 § lämnas				36 kap.	3 § eller 40 kap. 2 eller
till en åklagarmyndighet, polis-				5 § lämnas till en åklagarmyndig-
myndighet eller någon			annan	het, polismyndighet eller någon
myndighet som har till uppgift				annan myndighet som har till
att ingripa mot brottet endast				uppgift att ingripa mot brottet
om misstanken angår				endast om misstanken angår

1.brott för vilket det inte är föreskrivet lindrigare straff än fängelse

iett år,

2.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller

3.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, om gärningen innefattat försök till över-

2 Senaste lydelse SFS 2013:795.

SOU 2014:45

Författningsförslag

föring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smitt- skyddslagen (2004:168).

27 §3

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretess- belagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse

som sekretessen ska skydda.
Första stycket gäller inte i			Första stycket gäller inte i
fråga om sekretess enligt 24 kap.			fråga om sekretess enligt 24 kap.
2 a och 8 §,	25 kap.	1–8 §§,	1, 2 a och 8 §§, 25 kap. 1–8 och
26 kap. 1–6 §§,	29 kap.	1 och	15 a §§, 26 kap. 1–6 §§, 29 kap. 1
2 §§, 31 kap. 1 § första stycket,			och 2 §§, 31 kap. 1 § första
2 och 12 §§, 33 kap. 2 §, 36 kap.			stycket, 2 och 12 §§, 33 kap. 2 §,
3 § samt 40 kap. 2 och 5 §§.			36 kap. 3 § samt 40 kap. 2 och
			5 §§.

Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av per- sonuppgiftslagen (1998:204).

11 kap.

3 §

Får en myndighet i sin forsk-	Får en myndighet en uppgift
ningsverksamhet från en annan	som är belagd med sekretess enligt
myndighet en sekretessreglerad	24 kap. 1 § från en annan myn-
uppgift, blir sekretessbestämmel-	dighet, blir sekretessbestämmel-
sen tillämplig på uppgiften även	sen tillämplig på uppgiften även
hos den mottagande myndig-	hos den mottagande myndig-
heten.	heten.

Första stycket tillämpas inte på en uppgift som ingår i ett beslut hos den mottagande myndigheten.

	24 kap.
	1 §
Psykologisk undersökning	Forskning

Sekretess gäller för uppgift som hänför sig till psykologisk under- sökning som utförs för forsknings-

Sekretess gäller i forsknings- verksamhet för uppgift som avser en enskilds personliga eller ekono-

3 Senaste lydelse SFS 2013:795.

Den tystnadsplikt som följer av 1, 2 a och 8 §§ och den tyst- nadsplikt som följer av ett för- behåll som gjorts med stöd av 7 § andra meningen inskränker rätten enligt 1 kap. 1 § tryck- frihetsförordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrund- lagen att meddela och offentlig- göra uppgifter.

Författningsförslag

SOU 2014:45

ändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon när- stående till denne lider men.

För uppgift i en allmän hand- ling gäller sekretessen i högst sjuttio år.

miska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forskningsända- mål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan ut- redning får dock lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

Sekretess enligt första stycket gäller också i verksamhet som av- ser förande av eller uttag ur data- baser enligt lagen (0000:00) om forskningsdatabaser.

För uppgift i en allmän hand- ling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

Med forskning avses i denna paragraf detsamma som enligt lag (2003:460) om etikprövning av forskning som avser människor.

9 §4

Den tystnadsplikt som följer av 2 a och 8 §§ och den tystnads- plikt som följer av ett förbehåll som gjorts med stöd av 7 § andra meningen inskränker rätten en- ligt 1 kap. 1 § tryckfrihetsför- ordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra upp- gifter.

4 Senaste lydelse SFS 2013:795.

SOU 2014:45

Författningsförslag

Den tystnadsplikt som följer av 2 § inskränker rätten att med- dela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställighet av beslut om vård utan samtycke.

25 kap.

11 §5

Sekretessen enligt 1 § hindrar inte att uppgift lämnas

1.från en myndighet som bedriver verksamhet som avses i 1 § i en kommun till en annan sådan myndighet i samma kommun,

2.från en myndighet som bedriver verksamhet som avses i 1 § i ett landsting till en annan sådan myndighet i samma landsting,

3.till en myndighet som bedriver verksamhet som avses i 1 § eller till en enskild vårdgivare enligt vad som föreskrivs om sam- manhållen journalföring i patientdatalagen (2008:355),

4.till ett nationellt eller regionalt kvalitetsregister enligt patient- datalagen,

5.till register som förs med stöd av lagen (0000:00) om Nationella biobanksregistret,

5. från en myndighet som be-	6. från en myndighet som be-
driver verksamhet som avses i	driver verksamhet som avses i
1 § inom en kommun eller ett	1 § inom en kommun eller ett
landsting till annan sådan myn-	landsting till annan sådan myn-
dighet för forskning eller fram-	dighet för forskning eller fram-
ställning av statistik eller för	ställning av statistik eller för
administration på verksamhets-	administration på verksamhets-
området, om det inte kan antas	området, om det inte kan antas
att den enskilde eller någon när-	att den enskilde eller någon när-
stående till den enskilde lider men	stående till den enskilde lider men
om uppgiften röjs, eller	om uppgiften röjs, eller
6. till en enskild enligt vad som	7. till en enskild enligt vad
föreskrivs i	som föreskrivs i

–lagen (1988:1473) om undersökning beträffande vissa smitt- samma sjukdomar i brottmål,

–lagen (1991:1129) om rättspsykiatrisk vård,

–smittskyddslagen (2004:168),

–6 och 7 kap. lagen (2006:351) om genetisk integritet m.m.,

5 Senaste lydelse SFS 2010: 214

Författningsförslag

SOU 2014:45

–lagen (2006:496) om blodsäkerhet, eller

–lagen (2008:286) om kvalitets- och säkerhetsnormer vid han- tering av mänskliga vävnader och celler.

15 a §

Sekretess gäller i verksamhet som avser förande av eller uttag ur det register som förs enligt lagen (0000:00) om Nationella bio- banksregistret vad gäller uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden.

Sekretessen hindrar inte att uppgift lämnas ut i den utsträck- ning som framgår av den lag som avses i första stycket, om det står klart att uppgiften kan röjas utan att den enskilde eller någon när-

		stående till denne lider men.
		För uppgift i en allmän hand-
		ling gäller sekretessen i högst sjuttio
		år.
	18 § 6
Den tystnadsplikt som följer		Den tystnadsplikt som följer
av 7, 9, 16, 17 och 17 a §§ in-		av 7, 9, 15 a, 16, 17 och 17 a §§
skränker rätten enligt 1 kap. 1 §		inskränker rätten enligt 1 kap.
tryckfrihetsförordningen	och	1 § tryckfrihetsförordningen och
1 kap. 1 och 2 §§ yttrandefri-		1 kap. 1 och 2 §§ yttrandefri-
hetsgrundlagen att meddela och		hetsgrundlagen att meddela och
offentliggöra uppgifter.		offentliggöra uppgifter.

Den tystnadsplikt som följer av 1–5 §§ inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställigheten av beslut om omhändertagande eller beslut om vård utan samtycke.

Den tystnadsplikt som följer av 8 § inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift i anmälan till Inspektionen för vård och omsorg eller Hälso- och sjukvårdens ansvarsnämnd.

6 Senaste lydelse SFS 2013:626.

SOU 2014:45

Författningsförslag

1.5Förslag till

lag (20xx:xx) om forskningsdatabaser

Härigenom föreskrivs följande.

Lagens tillämpningsområde

1 § Statliga universitet eller högskolor som omfattas av högskole- lagen (1992:1434) och andra statliga myndigheter som har i uppdrag att bedriva forskning får utföra behandling av personuppgifter för de ändamål som anges i 5 §.

Lagen gäller bara om behandlingen är helt eller delvis automati- serad eller om uppgifterna ingår eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Om personuppgifter samlas in direkt från den enskilde får person- uppgifterna behandlas endast om han eller hon har fått den informa- tion som anges i 17 § och lämnat sitt uttryckliga samtycke till be- handlingen. För återkallelse av ett lämnat samtycke tillämpas 12 § personuppgiftslagen (1998:204).

Definitioner

2 § I denna lag avses med

forskningsdatabas: en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt.

forskning: detsamma som enligt lag (2003:460) om etikprövning av forskning som avser människor.

Förhållandet till personuppgiftslagen

3 § Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

Författningsförslag

SOU 2014:45

Personuppgiftsansvar

4 § De statliga myndigheter som utför behandlingen av person- uppgifter är personuppgiftsansvariga.

Ändamål

5 § Personuppgifter i en forskningsdatabas får behandlas för ända- målen att

1.skapa underlag för olika forskningsprojekt och

2.lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

6 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning.

Personuppgifter som har registrerats enligt denna lag får alltid lämnas ut till den registrerade själv, dock inte i fråga om personupp- gifter som inte direkt kan hänföras till en person.

7 § Personuppgifter som behandlas för de ändamål som anges i 5 § får, utöver vad som följer av 6§, lämnas ut om det finns en skyldig- het enligt lag att göra det. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

Behandlingen av personuppgifter i forskningsdatabasen

8 § Uppgifter som hämtats från andra myndighetsregister för de ändamål som anges i 5 § får behandlas under förutsättning att upp- gifterna inte direkt kan hänföras till en person, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om att behandling av identifierbara uppgifter får ske.

SOU 2014:45

Författningsförslag

Kodnyckelförfarande

9 § Om de personuppgifter som lämnas ut från forskningsdata- basen inte direkt kan hänföras till en enskild ska den personupp- giftsansvarige i samband med utlämnandet förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. En förteckning över beteck- ning och personnummer (kodnyckel) ska bevaras hos den person- uppgiftsansvarige i tjugo år från utlämnandet av de uppgifter som kodnyckeln avser. Tiden för bevarandet av kodnyckeln kan därefter förlängas av den myndighet som bevarar den eller på ansökan av den forskningshuvudman som använder uppgifter som kodnyckeln är kopplad till.

Om en uppgift rättats, blockerats eller utplånats i forsknings- databasen ska den personuppgiftsansvariga myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till.

Den som har fått personuppgifter enligt första stycket behöver inte lämna information till den registrerade om att uppgifter behand- las, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registre- rade rätta, blockera eller utplåna uppgifter.

Innehåll

10 § En forskningsdatabas får innehålla endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas en- ligt 5 §.

Sökbegrepp

11 § Som sökbegrepp i en forskningsdatabas får användas upp- gifter som enligt 10 § får ingå i en forskningsdatabas.

Utlämnande genom direktåtkomst

12 § Utlämnande genom direktåtkomst till personuppgifter i databasen får inte förekomma.

Författningsförslag

SOU 2014:45

Förbud mot bakvägsidentifiering

13 § Personuppgifter som inte direkt kan hänföras till en person och som behandlas med stöd av denna lag får inte behandlas i syfte att röja en persons identitet.

Intern elektronisk åtkomst

14 § Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om databasen.

Gallring

15 § Personuppgifter som inte längre behövs för de ändamål som avses i 5 § ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål.

Information

16 § Bestämmelserna i 26 § personuppgiftslagen (1998:204) om in- formation efter ansökan gäller inte i fråga om personuppgifter som inte direkt kan hänföras till en person.

17 § Innan en person lämnar sitt samtycke enligt 1 § tredje stycket ska han eller hon ha informerats om

1.att det är frivilligt att lämna uppgifter,

2.för vilka ändamål behandling kan ske enligt 5, 6 och 7 §§ och vilka uppgifter som får registreras enligt 10 §,

3.de sekretess- och säkerhetsbestämmelser som gäller för data- basen,

4.vem som är personuppgiftsansvarig,

5.hur länge uppgifterna kan komma att sparas,

6.rätten till rättelse av uppgifterna,

SOU 2014:45

Författningsförslag

7.rätten till information enligt 26 § personuppgiftslagen (1998:204),

8.rätten till skadestånd, och

9.rätten att få uppgifter utplånade.

Rättelse och skadestånd

18 § Bestämmelserna om rättelse och skadestånd i 28 och 48 §§ personuppgiftslagen (1998:204) tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med denna lag.

Ansvar

19 § Den som bryter mot 13 § ska dömas för olovlig identifiering till böter eller fängelse i högst ett år, om gärningen inte är belagd med straff i brottsbalken eller personuppgiftslagen. I ringa fall döms inte till ansvar.

Ytterligare föreskrifter

20 § Regeringen meddelar ytterligare föreskrifter om

1.vilka statliga myndigheter som får föra forskningsdatabaser enligt denna lag och vilka forskningsdatabaser enligt lagen som får föras,

2.begränsning av de i 5 § angivna ändamålen,

3.begränsningar av de uppgifter som en forskningsdatabas enligt 10 § får innehålla,

4.begränsningar av behandling av uppgifter i en forskningsdatabas,

5.begränsningar vid behandling genom utlämnande av uppgifter från en forskningsdatabas

6.uppgiftsskyldighet och

7.begränsningar i rätten till intern elektronisk åtkomst.

Denna lag träder i kraft den 1 januari 2016.

Författningsförslag

SOU 2014:45

1.6Förslag till

lag (20xx:xx) om Nationella biobanksregistret

Lagens tillämpningsområde

1 § Socialstyrelsen får utföra helt eller delvis automatiserad behand- ling av uppgifter i Nationella biobanksregistret.

Personuppgiftsansvar

2 § Socialstyrelsen är personuppgiftsansvarig för behandlingen av personuppgifter i Nationella biobanksregistret.

Förhållande till personuppgiftslagen

3 § Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

Den registrerades inställning till personuppgiftsbehandling

4 § Uppgifter om vävnadsprover i en biobank enligt lag (2002:297) om biobanker i hälso- och sjukvården m.m. som behandlas när denna lag träder i kraft får inte behandlas i Nationella biobanks- registret om den registrerade motsätter sig det.

Uppgifter om vävnadsprover i en biobank som avses i första stycket som börjar behandlas efter ikraftträdandet av denna lag får inte registreras i Nationella biobanksregistret utan att den som uppgifterna avser har samtyckt till att personuppgifter behandlas enligt denna lag.

Underåriga

5 § Personuppgifter som avses i 4 § första stycket och som avser en underårig får inte behandlas i Nationella biobanksregistret om den underåriges vårdnadshavare motsätter sig det.

Personuppgifter som avses i 4 § andra stycket och som avser en underårig får inte registreras i Nationella biobanksregistret utan att

SOU 2014:45

Författningsförslag

den underåriges vårdnadshavare fått sådan information som anges i 12 § och därefter lämnat sitt samtycke.

Har den underårige uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan gäller vad som sagts den under- årige själv.

Ändamål

6 § Uppgifter i Nationella biobanksregistret får behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjuk- vården m.m. i syfte att möjliggöra

1.vård och behandling av den registrerade,

2.forskning, kvalitetssäkring och framställning av statistik, och

3.förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke.

7 § Uppgifter som behandlas enligt 6 § får också lämnas ut om det finns en skyldighet enligt lag att göra det. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

Innehåll

8 § Nationella biobanksregistret får endast innehålla uppgifter som avser

1.provgivares identitet,

2.vilka andra personer som har att ta ställning till bevarande av vävnadsprover,

3.ställningstaganden till bevarande av vävnadsprover,

4.vävnadsprovers identitet, karaktär och hantering,

5.vem som behandlar uppgifter eller vävnadsprover,

6.till vem vävnadsprover utlämnas eller överlåts och

7.uppgift om diagnos och analysresultat.

Sökbegrepp

9 § Som sökbegrepp i Nationella biobanksregistret får användas uppgifter som enligt 8 § får ingå i registret.

Författningsförslag

SOU 2014:45

Intern elektronisk åtkomst

10 § Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret.

Direktåtkomst

11 § Utlämnande genom direktåtkomst till uppgifter i registret får inte förekomma.

Information

12 § Innan en person lämnar sitt samtycke enligt 4 § andra stycket ska han eller hon ha informerats om

1.att det är frivilligt att lämna uppgifter,

2.för vilka ändamål behandling kan ske enligt 6 och 7 §§ och vilka uppgifter som får registreras enligt 8 §,

3.de sekretess- och säkerhetsbestämmelser som gäller för registret,

4.vem som är personuppgiftsansvarig,

5.hur länge uppgifterna kan komma att sparas,

6.rätten till rättelse av uppgifterna,

7.rätten till information enligt 26 § personuppgiftslagen (1998:204),

8.rätten till skadestånd, och

9.rätten att få uppgifter utplånade.

Utplåning av uppgifter

13 § Den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. En sådan begäran ska göras skriftligen hos den personuppgiftsansvarige och vara under- tecknad av den registrerade själv. Uppgifterna ska utplånas så snart som möjligt.

2Direktiv, arbetssätt och disposition

Vetenskapsrådet (VR) initierade i mitten av 00-talet en satsning på registerbaserad forskning. Resurser avsattes för att skapa en bättre infrastruktur och för forskningsprojekt baserade på registerstudier. I de senaste forskningspropositionerna, såväl 2008 som 2012, har regeringen uttalat sig positivt om registerbaserad forskning. Svensk registerforskning har i många avseenden varit framgångsrik, men dess fulla potential har enligt regeringen inte utnyttjats. Åtgärder har därför vidtagits i syfte att stimulera registerbaserad forskning.

Regeringen har uppdragit åt VR att inrätta en särskild funktion för att underlätta registerbaserad forskning. Som ett led i det arbetet har rådet under våren 2014 inrättat ett registerdataråd med representanter från berörda myndigheter och forskningen.

2.1Direktiven

I januari 2013 beslutade regeringen om direktiv för den utredning som härmed presenterar sitt betänkande. I utredningsdirektiven fram- hålls att det kan finnas rättsliga hinder för registerbaserad forskning. Jag har därför fått i uppdrag att analysera dessa och att lämna för- fattningsförslag och andra förslag i syfte att

•registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet,

•sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och

•göra det möjligt att på ett integritetssäkert sätt samla in person- uppgifter till register som förs för särskilda och uttryckligt an-

Direktiv, arbetssätt och disposition

SOU 2014:45

givna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

På den sistnämnda punkten specificeras uppdraget ytterligare i direk- tiven. Det talas där om ett behov av att kunna skapa ”nya databas- infrastrukturer för bestämda, men relativt allmänt hållna, forsknings- ändamål”. Jag ska föreslå hur sådana infrastrukturer ska kunna byggas, som kan användas av forskare i olika forskningsprojekt och som kan uppdateras och tillföras nya uppgifter vid till exempel longitudi- nella studier.

Jag har även haft till uppgift att undersöka om det befintliga sek- retesskyddet för uppgifter som hanteras inom forskning är tillräck- ligt för att skydda den enskildes integritet vid forskning. Direktiven återfinns i bilaga 1.

2.2Expertgruppen

Till min hjälp i utredningsarbetet har jag haft en expertgrupp med representanter från myndigheter och forskningen. I gruppen har ingått:

Björn Halleröd, professor i sociologi vid Göteborgs universitet. Har forskat om levnadsförhållanden, fördelning av ekonomiska re- surser och ekonomisk utsatthet. Leder i dag projekt om barns levnads- förhållanden i utvecklingsländer och forskning om äldres levnads- förhållanden, det senare inom ramen för forskningscentret AgeCap (Centrum för åldrande och hälsa vid Göteborgs universitet). Har under en följd av år haft uppdrag för VR och är nu vice ordförande i Rådet för infrastruktur.

Mats G Hansson, professor i biomedicinsk etik och föreståndare för Centrum för forskningsetik & bioetik vid Uppsala universitet. Är sedan 1998 aktiv inom forskning kring etiska aspekter av register- och biobanksbaserad forskning. Leder ett flertal arbetspaket kring sådana frågor i europeiska forskningsprojekt och inom BBMRI.se. (Biobanking and Molecular Resource Infrastructure of Sweden).

Cecilia Magnusson Sjöberg, professor vid juridiska fakulteten vid Stockholms universitet. Har lång erfarenhet av juridiken kring infor- mationsteknologin. Är en internationellt etablerad forskare och har varit verksam vid bland annat King’s College i London. Var tidigare innehavare av Kungliga Vetenskapsakademiens forskartjänst i rätts- vetenskap. Är ämnesföreträdare för rättsinformatik på bland annat

SOU 2014:45

Direktiv, arbetssätt och disposition

juristprogrammet på Stockholms universitet och medverkar i flera statliga utredningar.

Eva Nilsson, chefsjurist vid Statistiska centralbyrån (SCB). Har mångårig erfarenhet från olika myndigheter av register- och annan integritetslagstiftning. Har medverkat i ett flertal lagstiftnings- arbeten inom området. Leder SCB:s Dataskyddsråd och representerar Sverige i internationella sammanhang rörande konfidentialitets- och tillgängliggörandefrågor inom det statistiska och vetenskapliga om- rådet.

Peter Nilsson, professor i klinisk kardiovaskulär forskning vid Lunds universitet och överläkare vid Skånes universitetssjukhus i Malmö. Har mångårig erfarenhet av epidemiologisk forskning med fokus på kardiovaskulär sjukdom, fetma och diabetes. Leder det strategiska forskningsområdet Epidemiologi för Hälsa (EpiHealth) vid Lunds och Uppsala universitet. Representerar Lunds universitet i BBMRI.se och har publicerat cirka 300 originalartiklar inom olika forskningsområden.

Karin Nylén, chefsjurist vid Myndigheten för vårdanalys. Har på VR:s uppdrag skrivit rapporten Rättsliga förutsättningar för en databasinfrastruktur för forskning. Var tidigare enhetschef vid Social- styrelsen och dessförinnan rättssakkunnig i frågor om bland annat etikprövning, personuppgiftsbehandling och sekretess. Har även arbetat vid Brottsförebyggande rådet (BRÅ) med den typen av inte- gritetslagstiftning.

Petter Odmark, departementsråd och analyschef vid Social- departementet. Har en bakgrund som enhetschef på Socialdeparte- mentet och mångårig erfarenhet från kommittéväsendet i olika utredningar på socialförsäkringsområdet. Leder som analyschef en verksamhet med fokus på kvantitativa analyser inom välfärds- politiken och med en särskild tyngdpunkt på mikrosimulering.

Petra Otterblad Olausson, avdelningschef vid Socialstyrelsen. Har mångårig erfarenhet av utveckling och förvaltning av nationella register, registerbaserad forskning och statistikfrågor liksom av egen registerbaserad forskning. Är ansvarig för Socialstyrelsens verksam- het som rör service till forskare och utlämnande av data för forsk- ningsändamål. Är ledamot av beslutgruppen för nationella kvalitets- register och VR:s registerdataråd.

Magnus Stenbeck, docent i sociologi vid Stockholms universitet. Har mångårig erfarenhet av forskning inom samhällsvetenskap och epidemiologi. Var tidigare ansvarig för analysverksamheten vid Epidemiologiskt centrum på Socialstyrelsen. Är sedan 2007 ansvarig

Direktiv, arbetssätt och disposition

SOU 2014:45

för Vetenskapsrådets infrastruktursatsning gällande registerdata. Var sekreterare i statistikutredningen för delbetänkandet om register- forskning och har författat ett femtiotal publikationer inom sam- hällsvetenskap och epidemiologi.

Victoria Söderqvist, jurist vid SCB. Har tidigare arbetat som jurist vid Datainspektionen och vid Karolinska institutet (KI). Har lång efterenhet av att hantera juridiska frågeställningar som upp- kommer vid utförande av forskning, särskilt när det gäller behand- ling av personuppgifter, sekretessfrågor och upprättande av avtal för forskningsfinansiering.

I expertgruppens arbete har också tre sakkunniga från Utbild- ningsdepartementet medverkat:

Per Eriksson, jur.kand. och kansliråd.

Maria Wästfelt, med.dr. och departementssekreterare på forsk- ningspolitiska enheten.

Ann-Sofie Hollsten-Yamamoto, fil.kand. och departementssekre- terare på forskningspolitiska enheten.

Expertgruppen har sammanträtt fem gånger: vid ett första till- fälle våren 2013 för brain storming kring utredningsuppdraget, där- efter vid tre tillfällen för att diskutera olika underlag som har tagits fram inom och för utredningen. Vid dessa tillfällen har också externa experter medverkat. Till sist har gruppen träffats en gång för att diskutera ett utkast till betänkande.

2.3Kontakter

Jag har under utredningsarbetets gång haft omfattande kontakter med forskare, berörda myndigheter och också företrädare för register- baserad forskning i våra nordiska grannländer.

Jag har gjort dryga tiotalet besök vid olika universitet och träffat ett åttiotal forskare, de flesta med omfattande erfarenheter av re- gisterbaserad forskning. Jag har haft en överläggning med styrelsen för Svensk Nationell Datatjänst (SND). Jag har vidare träffat företrädare för (i bokstavsordning) BBMRI.se, BRÅ, Centrala etik- prövningsnämnden (CEPN), Datainspektionen, Forskningsrådet för hälsa, arbetsliv och välfärd (FORTE), Nationellt Biobanksråd (NBR), regionala etikprövningsnämnder, Riksarkivet, VR, Rätts- medicinalverket, Socialstyrelsen, Statens Medicinsk-Etiska Råd (SMER), SCB, Sveriges Kommuners och Landstings och regeringens gemensamma kvalitetsregisterkansli samt Uppsala biobank.

SOU 2014:45

Direktiv, arbetssätt och disposition

I ett par hearings har såväl forskare som myndighetsföreträdare deltagit.

Jag har besökt våra nordiska grannländer och träffat företrädare för Ministeriet for Forskning, Innovation og Videregående Ud- dannelser, Köpenhamns universitet, Statens Serum Institut och Danmarks statistik i Danmark, Folkehelseinstituttet i Norge och Institutet för hälsa och välfärd (Terveyden ja hyvinvoinnin laitos, THL) i Finland.

Jag har därtill deltagit i en ett antal konferenser och seminarier om registerbaserad forskning i regi av Umeå och Lunds universitet, de regionala etikprövningsnämnderna, Nordforsk, Vetenskapsrådet, SCB, Studieförbundet Näringsliv och Samhälle (SNS) och bokför- laget Borea.

På mitt uppdrag har tre underlagsrapporter skrivits för utred- ningen. Professorerna Robert Erikson och Måns Rosén har skrivit rapporten Stora registermaterial bidrar till bättre forskning, Anders Ekholm med flera rapporten Vad är mikrosimulering? och Joanna Stjernschantz Forsberg rapporten Om registerforskning och inte- gritet.

2.4Disposition

Betänkandet är disponerat på följande sätt.

I kapitel 1 redovisas författningsförslagen.

I kapitel 3 ges en kort introduktion om vad som i detta samman- hang ska förstås med register. Jag beskriver också, likaledes kort, varför myndigheter skapar register med personuppgifter.

I kapitel 4 redovisar jag varför uppgifter ur register kan vara värdefulla för forskningen. Vilka alternativa metoder finns att få fram uppgifter och vilka fördelar och nackdalar finns med olika meto- der?

Kapitel 5 är en omfattande genomgång av de rättsliga förutsätt- ningarna för registerbaserad forskning.

I kapitel 6 diskuterar jag förhållandet mellan personlig integritet och registerbaserad forskning. Vilka är riskerna? Vilka värden står på spel? Hur ska man se på intresseavvägningen mellan värdet av registerbaserad forskning och riskerna för den personliga integriteten?

I kapitel 7 redovisas situationen i våra nordiska grannländer. Mycket är ganska likt i dessa, men i några avseenden finns skillna- der av intresse.

Direktiv, arbetssätt och disposition

SOU 2014:45

Kapitel 8 är en genomgång av bakgrunden, nuläget och utma- ningarna för registerbaserad forskning. Hur stora är de problem som pekas ut i utredningsdirektiven? Vilka andra problem finns? Och vilka lösningar står till buds?

I kapitel 9 återfinns mina konkreta förslag.

I kapitel 10 behandlas ikraftträdande och övergångsbestämmelser. I kapitel 11 redovisas ekonomiska och andra konsekvenser av

förslagen och i kapitel 12 finns författningskommentarerna.

2.5Terminologifrågor

Låt mig också redan inledningsvis beröra ett par terminologiska frågor. Det finns en lång rad begrepp som återkommer i diskus- sionen om registerbaserad forskning och som inte är helt entydiga. Låt mig därför redovisa hur jag i två avseenden har valt att använda begreppen.

Anonymiserade, kodade och avidentifierade uppgifter

Uppgifter som lämnas ut från ett myndighetsregister till en forskare kan vara identifierbara, till exempel innehålla personnummer, eller vara anonyma för forskaren. För anonyma uppgifter finns olika be- grepp. Jag väljer att använda begreppet anonymiserade uppgifter för alla uppgifter som forskaren inte har möjlighet att koppla till specifika individer. Uppgifterna kan vara helt avidentifierade. Då har ingen möjlighet att göra en sådan koppling. Men de kan också vara kodade. Forskaren får då ut uppgifterna med till exempel icke- identitetsbärande löpnummer och utlämnande myndighet behåller en kodnyckel som gör det möjligt att hos myndigheten koppla löp- numren till personnummer. Då kan utlämnade uppgifter vid behov kompletteras eller uppdateras. Definitionerna sammanfattas i Figur 1.

I den internationella diskussionen används ibland begreppet pseudonymiserade i stället för kodade. I Sverige avses ibland med avidentifierade uppgifter kodade uppgifter. Det kan också förekom- ma att begreppet anonymiserade används i stället för avidentifiera- de, det vill säga för uppgifter som inte kan identifieras. Det finns även de som förespråkar att man alltid ska använda begreppen kodade och avidentifierade och inte ska ha något samlande namn för upp- gifter som för forskaren är anonyma.

SOU 2014:45

Direktiv, arbetssätt och disposition

Begreppsförvirringen blir inte mindre av att även anonymiserade, eller till och med avidentifierade, uppgifter ibland kan återidenti- fieras. Det kallas bakvägsidentifiering och bygger på att man har tillräckligt många uppgifter om en individ för att identifiera honom eller henne. Alla personuppgifter som kan knytas till en levande person är personuppgifter i personuppgiftslagens mening. Även avidentifierade uppgifter kan med andra ord vara personuppgifter.

Figur 1

Identifierbara	Anonymiserade
uppgifter	uppgifter
Kodade	Avidentifierade

Forskningsregister och forskningsdatabaser

Det andra området där begreppen blir viktiga gäller register som primärt upprättas för vetenskapliga ändamål. Uppgiftskällorna för sådana register är i princip desamma: antingen får forskaren upp- gifterna direkt från enskilda individer (forskningspersoner) eller så hämtas de från register eller biobanker där uppgifterna/proverna primärt samlats in för andra ändamål än forskning.

Vad som kan skilja dessa vetenskapliga register åt är om de har skapats för ett specifikt forskningsprojekt eller om avsikten är att de ska kunna användas för flera framtida forskningsprojekt som inte är definierade när registret byggs upp. De senare registren utgör med andra ord ett slags infrastruktur för framtida forskning (och de nämns som framgått särskilt i utredningsdirektiven). Register som skapas för specifika forskningsprojekt kallar jag i detta betänkande forskningsregister och register av infrastrukturkaraktär, avsedda för framtida forskning, för forskningsdatabaser. Definitionerna sam- manfattas i Figur 2.

Det ska dock noteras att uppgifter i ett forskningsregister som har skapats för ett specifikt forskningsprojekt kan komma att använ- das i andra forskningsprojekt. I Sverige finns en särskild organisation,

Direktiv, arbetssätt och disposition

SOU 2014:45

SND, där forskare kan deponera sina forskningsmaterial för att de ska kunna komma till användning i andra projekt.

Figur 2

Forskningsregister: ett register skapat för ett specifikt forskningsprojekt

Forskningsdatabas: ett register av infrastrukturkaraktär, avsett att ge underlag för flera olika framtida forskningsprojekt

2.6Förkortningar

Till sist något om förekommande förkortningar.

De flesta namn på myndigheter, institutioner och författningar kommer i det följande att skrivas ut, men vissa förkortningar före- kommer, i huvudsak följande:

AKU	Arbetskraftsundersökningarna
BBMRI.se	Biobanking and Molecular Resource Infrastructure
	of Sweden
CEPN	Centrala etikprövningsnämnden
DISC	Data Infrastructure Committee
ERIC	European Research Infrastructure Consortium
EU	Europeiska Unionen
FASIT	Fördelnings Analytiskt Statistiksystem för
	Inkomster och Transfereringar
FN	Förenta Nationerna
IFAU	Institutet för arbetsmarknads- och
	utbildningspolitisk utvärdering
IVO	Inspektionen för vård och omsorg
KI	Karolinska Institutet

SOU 2014:45 Direktiv, arbetssätt och disposition

LIS	Luxemburg Income Study
LISA	Longitudinell Integrationsdatabas för
	Sjukförsäkrings- och Arbetsmarknadsstudier
MONA	Microdata Online Access
NBR	Nationellt biobanksråd
NSD	Norsk samfunnsvitenskapelig datatjeneste
OECD	The Organisation for Economic Co-operation
	and Development
OSF	Offentlighets- och sekretessförordningen
OSL	Offentlighets- och sekretesslagen
PKU	Fenylketonuri (Phenylketonuria)
PUL	Personuppgiftslagen
RBC	Regionalt biobankscentrum
RF	Regeringsformen
RMV	Rättsmedicinalverket
SBR	Svenska Biobanksregistret
SESIM	Swedish Simulation Model
SCB	Statistiska centralbyrån
SHARE	Survey of Health, Ageing and Retirement in Europe
SIMSAM	Swedish Initiative for Research on Microdata
	in the Social and Medical Sciences
SKL	Sveriges Kommuner och Landsting
SND	Svensk Nationell Datatjänst
SSB	Statistisk Sentralbyrå (Norge)
SSI	Statens Serum Institut (Danmark)
TF	Tryckfrihetsförordningen
THL	Terrveyden ja hyvinvoinnin laitos, Institutet för
	hälsa och välfärd (Finland)
UGU	Utvärdering Genom Uppföljning

3 Vad menas med register?

Vilka faktorer påverkar uppkomsten av sjukdomar? Varför är vissa människor mer förskonade från sjukdomar än andra? Vilken bety- delse har i sammanhanget ärftliga och miljömässiga faktorer? Hur kan sjukdomar förhindras? Eller om de ändå uppkommer, lindras eller i bästa fall botas? På vilket sätt bör insatserna ta hänsyn till individers olika förutsättningar? Hur kan elever med en besvärlig socioekonomisk bakgrund på bästa sätt stödjas i skolan för att få bättre utsikter till ett gott liv? Hur ska välfärdsprogram utformas för att nå bästa möjliga resultat för utsatta individer? Hur påverkar olika skatte- och bidragssystem inkomstfördelningen?

För att kunna svara på sådana frågor måste forskare i allmänhet ha tillgång till uppgifter om individer. De uppgifterna kan de få på i princip två sätt: antingen genom att samla in dem direkt från enskilda eller genom att återanvända uppgifter som redan har samlats in för andra ändamål och som återfinns i myndighetsregister av olika slag.

I det här kapitlet kommer jag att kortfattat beskriva först vad det finns för typer av register med personuppgifter, som har skapats för andra ändamål än forskning, men som kan vara till nytta i forskningen. I kapitel 3 kommer jag att gå närmare in på varför det i många sam- manhang är värdefullt för forskningen att kunna använda uppgifter från sådana register. I slutet av det här kapitlet ska jag också i all kort- het beskriva några olika typer av register som har skapats för forskning.

3.1Vad är registerbaserad forskning?

Ett syfte med den här utredningen är att undersöka hur registerbase- rad forskning ska kunna underlättas i Sverige. Vad som avses med registerbaserad forskning är inte helt entydigt, men i utrednings- direktiven framhålls:

Vad menas med register?

SOU 2014:45

I dataskyddssammanhang används ofta begreppen register och data- baser samt andra begrepp som avser avgränsade uppgiftssamlingar. I det följande avses med register även databaser, elektroniska ärende- hanteringssystem eller motsvarande samlingar av uppgifter och med registerbaserad forskning den forskning som innefattar behandling av uppgifter som forskare dels hämtat från uppgiftssamlingar hos myndig- heter, dels själva samlat in genom olika mätningar eller direkt från en- skilda.

Med registerbaserad forskning avses i utredningsdirektiven således såväl forskning som använder uppgiftssamlingar av olika slag hos myndigheter som forskning baserad på uppgifter som forskare själva har samlat in.

3.2Vad är ett register?

Ett register är en förteckning med uppgifter.1 Uppgifterna kan avse individer, men naturligtvis också mycket annat, såsom företag, fordon, läkemedel, fastigheter, trossamfund, genetiskt modifierade mikro- organismer, patent, inteckningar eller fiskevårdsområden. I den här utredningen är fokus på register med personuppgifter, men det hind- rar inte att även andra register kan vara av intresse för andra typer av forskning än den som här behandlas.

Som framgår av citatet från utredningsdirektiven finns det andra begrepp som används i det närmaste synonymt med register, exem- pelvis databas.2 Även begreppet datalager förekommer, i synnerhet när det gäller uppgiftssamlingar för statistikändamål. Personuppgifts- lagen (PUL) talar om strukturerade samlingar av personuppgifter, som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier (5 § PUL). Detta kan ses som en beskrivning av vad ett register, eller en databas eller ett datalager, med personuppgifter är. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en person som är i livet (3 § PUL).

1Med register avses ofta en total förteckning av objekt i en viss mängd eller population. På grund av brister i kvalitet och insamlingsmetod kan uppgifter saknas eller vara för många. Detta brukar kallas under- respektive övertäckning i ett register.

2I 1 kap. 1 § yttrandefrihetsgrundlagen definieras databas som en samling av information lagrad för automatiserad behandling. I flera s.k. registerförfattningar används uttrycket data- bas som en benämning på en samling uppgifter som med hjälp av automatiserad behandling används gemensamt. Uttrycket databas har dock ifrågasatts. Skälen är att uttrycket kan leda tanken till ett visst, i tekniskt avseende avgränsat, informationssystem där informationen har strukturerats på ett visst sätt. (En databas för övervakning av och tillsyn över finansmarkna- derna, SOU 2012:79)

SOU 2014:45

Vad menas med register?

3.3Varför skapar myndigheter register?

Register kan upprättas av olika huvudmän, såväl offentliga som pri- vata, ha olika syften och innehålla uppgifter av olika slag. De register som i första hand är intressanta för den här utredningen är sådana som finns hos myndigheter.

Det finns en rad skäl för myndigheter att upprätta register med personuppgifter.

•Administration. Myndigheter måste ofta för att kunna fullgöra sina uppgifter hålla reda på vilka som är medborgare i Sverige och vilka som i övrigt har rätt att uppehålla sig i landet. Det är viktigt till exempel för att veta vilka som har rätt att rösta i allmänna val, vilka som är skattskyldiga och hur mycket de ska betala i skatt och vilka som har rätt till ersättningar och förmåner av olika slag.

•Statistik. Vissa myndigheter har till uppgift att sammanställa sta- tistik som speglar tillståndet och utvecklingen inom olika samhälls- områden. Statistik är ett viktigt underlag för allmän information och för politiska bedömningar och beslut. Ofta hämtas de upp- gifter som behövs för statistik ur register som har upprättats för administrativa ändamål, men ibland måste uppgifter samlas in direkt från enskilda.

•Utvärdering, uppföljning och kvalitetssäkring. Myndigheter, såväl statliga som kommunala och landstingskommunala, till- handahåller tjänster av olika slag till invånarna. För att kunna be- döma tjänsternas kvalitet, om de når sitt syfte och hur de kan utvecklas, måste ofta uppgifter från individer användas. Det sker i betydande omfattning inom exempelvis hälso- och sjukvården. Såväl Socialstyrelsen som kommunala huvudmän sammanställer uppgifter för att möjliggöra utvärdering, uppföljning och kva- litetssäkring.

•Effektbedömningar. Regeringen, riksdagen och olika myndig- heter använder ofta registeruppgifter och statistiska metoder för att försöka bedöma effekterna av planerade och gjorda insatser, till exempel med hjälp av så kallade mikrosimuleringsmodeller som förutsätter tillgång till uppgifter om individer.

Uppgifter om individer, och sammanställningar av sådana uppgifter, är således nödvändiga för att kunna styra riket, bedöma samhälls- utvecklingen och kvalitetssäkra verksamheter.

Vad menas med register?

SOU 2014:45

Det finns ett omfattande regelverk för behandlingen av person- uppgifter. Vem har rätt att samla in uppgifter? Vilket rättsligt stöd krävs för att få göra det? Hur får personuppgifterna behandlas? Vem har rätt att få tillgång till uppgifterna? I vissa fall kan det vara käns- ligt om personuppgifter kommer i orätta händer, till exempel sådana uppgifter som samlas in inom hälso- och sjukvården. Därför finns särskilda regler för att skydda den personliga integriteten. I kapitel 5 kommer jag att närmare redovisa gällande regelverk.

Medverkan i register kan vara obligatorisk eller frivillig. Att finnas med i register som används för administrativa ändamål är i regel obli- gatoriskt. Det är också obligatoriskt att medverka med vissa upp- gifter som samlas in inom vården i så kallade hälsodataregister. I andra register är medverkan frivillig, till exempel i de nationella och regionala kvalitetsregister, som upprättas inom hälso- och sjukvården, och där uppgifter om olika sjukdomar och behandlingar samlas. Det gäller också så kallade biobanker där vävnadsprover från patienter i sjukvården bevaras. Det är också frivilligt att medverka i vissa under- sökningar där uppgifter samlas in för statistiska ändamål, till exem- pel de arbetskraftsundersökningar (AKU) som görs av Statistiska centralbyrån (SCB).

3.4Hur ser ett register ut?

Ett personregister består typiskt sett av poster och uppgifter om dessa. Ett register med individer kan se ut så här:

	Uppgifter
Poster	A	B	C	D	E

1	a1	b1	c1	d1	e1
2	a2	b2	c2	d2	e2
3	a3	b3	c3	d3	e3
4	a4	b4	c4	d4	e4
5	a5	b5	c5	d5	e5

Posterna (1, 2, 3, 4, 5) är i de register som här diskuteras i första hand individer. Uppgifterna, eller variablerna, (A, B, C, D, E) kan i register med individer avse till exempel kön, ålder, födelseort, bostads- ort, yrke, utbildning, inkomst eller olika hälsokriterier. Den viktiga

SOU 2014:45

Vad menas med register?

informationen i registret är i regel de värden a1, b3, c2, d5, e4 etc., som anges i tabellens ”celler”.

När posterna är individer är de vanligen försedda med unika identitetsbeteckningar i form av personnummer för att säkert kunna identifieras. På motsvarande sätt har företag, organisationer och fastigheter specifika identitetsbeteckningar i andra register. Det är tämligen unikt för de nordiska länderna att samma identitetsbeteck- ningar används i snart sagt alla register. Det innebär en rad fördelar. Framförallt underlättar det spårbarheten. Det gör det exempelvis enklare för en enskild att ta reda på vilka uppgifter om honom eller henne som finns i olika register. Det gör det också förhållandevis enkelt att för en och samma individ hämta och sammanställa upp- gifter från olika register.

Värdet i vissa celler är givet en gång för alla, till exempel födelse- ort, medan andra, såsom inkomst och hälsotillstånd, kan variera över tid. Förändringarna kan registreras löpande eller vid återkommande insamlingstillfällen. Det kan vara väsentligt att spara de historiska värdena och att registrera tidpunkterna för förändringar för att till exempel kunna följa utvecklingen över tid.

Värdena kan delvis vara ett resultat av gällande regelsystem och således ändras om reglerna ändras. När till exempel regeringen över- väger att ändra skatte- eller bidragsregler är den intresserad av hur detta påverkar värdena. För att undersöka det används som nämnts ofta så kallade mikrosimuleringsmodeller som kräver en omfattande tillgång till individuppgifter.

3.5Olika typer av myndighetsregister

3.5.1Register för administrativa ändamål

I Sverige torde det finnas över hundra administrativa register med personuppgifter av olika slag. Ett tjugotal av dessa omfattar en stor del av befolkningen, ofta i princip alla eller alla som är berörda. Ett exempel är Skatteverkets folkbokföringsdatabas som i princip om- fattar alla. Skatteverket för också skatteregistret med bland annat taxerade och pensionsgrundande inkomster. Andra exempel på admi- nistrativa register är Rikspolisstyrelsens register över nationella iden- titetskort och pass, Totalförsvarets pliktverks över totalförsvars- pliktiga och Centrala studiestödsnämndens över personer som får studiestöd eller har studieskulder. Äktenskap och partnerskap finns

Vad menas med register?

SOU 2014:45

i särskilda register. I socialförsäkringsdatabasen finns flera social- försäkringsregister samlade. Uppgifterna där används för att kunna administrera olika förmåner och bidrag.

Utöver dessa register finns ett stort antal register med andra upp- gifter än sådana som är knutna till personer, till exempel företag, anläggningar och kemikalier. Även dessa regleras i författningar. Totalt finns det drygt 200 registerförfattningar.

3.5.2Uppgiftssamlingar för statistiska ändamål

För forskningen är ofta de uppgifter som utgör underlag för den officiella statistiken av särskilt intresse. Det är SCB och 26 andra sta- tistikansvariga myndigheter som har i uppdrag att producera offici- ell statistik. En stor del, enligt vissa uppskattningar så mycket som 95 procent, av uppgifterna är sådana som ursprungligen har samlats in för administrativa ändamål. Resten samlas in direkt för statistiska ändamål. Regeringen beslutar vilka myndigheter som ska producera officiell statistik och inom vilka ämnesområden. Sammantaget ska det finnas officiell statistik inom 22 ämnesområden som här exem- plifieras med tio områden där statistiken till stor del baseras på per- sonuppgifter.3 Inom parentes ges exempel på statistikområden inom respektive ämnesområde.4

•Arbetsmarknad (sysselsättning, förvärvsarbete och arbetstider, vakanser och arbetslöshet, arbetsmiljö, arbetsskador, löner och arbetskostnader)

•Befolkning (befolkningens storlek och förändringar, befolkning- ens sammansättning)

•Demokrati (allmänna val, partisympatier)

•Hushållens ekonomi (inkomster och inkomstfördelning, hus- hållens utgifter)

•Hälso- och sjukvård (hälsa och sjukdomar, hälso- och sjukvård, dödsorsaker)

•Levnadsförhållanden (jämställdhet, levnadsförhållanden)

3År 2011 fanns det inom de 22 ämnesområdena för officiell statistik 112 statistikområden och 356 statistikprodukter (i regel tabeller), SOU 2012:83.

4www.scb.se.

SOU 2014:45

Vad menas med register?

•Rättsväsende (brott, för brott lagförda, kriminalvård, återfall i brott)

•Socialförsäkring med mera (stöd till barnfamiljer, stöd vid sjuk- dom och handikapp, stöd vid ålderdom)

•Socialtjänst med mera (individ- och familjeomsorg, stöd och ser- vice till personer med funktionsnedsättning, äldre- och handi- kappomsorg)

•Utbildning och forskning (skolväsende och barnomsorg, hög- skoleväsende, studiestöd, forskning, befolkning och utbildning)

I Statistikutredningens delbetänkande Registerdata för forskning redovisas ett femtiotal befolkningsbaserade register hos myndigheter, vilka bedömdes vara av särskilt intresse för forskningen.5 Det är huvudsakligen register som är underlag för statistik. Merparten av registren nedan finns hos SCB eller Socialstyrelsen. Vissa av dem hanteras av SCB på uppdrag av andra myndigheter, såsom Skolverket, Universitetskanslersämbetet och Arbetsmiljöverket. Här ges exem- pel på sådana befolkningsbaserade register. Alla är totalregister över befolkningen eller den del av befolkningen som är berörd utom de tre sistnämnda, som är baserade på ett mindre urval av befolk- ningen.

•Registret över totalbefolkningen (RTB)

•Flergenerationsregistret

•Registret över inkomster och taxeringar

•Registret över befolkningens utbildning

•Skolverkets elevregister

•Registret över betyg i årskurs 9

•Registerbaserad arbetsmarknadsstatistik (RAMS)

•Patientregistret

•Cancerregistret

•Läkemedelsregistret

•Registret över socialtjänstinsatser till äldre och personer med funktionsnedsättning

5 SOU 2012:36.

Vad menas med register?

SOU 2014:45

•Registret över anmälda och uppklarade brott, misstänkta personer

•Registret med mikrodata för analys av socialförsäkringen (MiDAS)

•Arbetskraftsundersökningarna (AKU)

•Undersökningarna av levnadsförhållanden (ULF/SILC6)

•Valundersökningarna

Ett register som ofta kommer till användning i forskning är det först nämnda i denna uppräkning, det vill säga Registret över totalbefolk- ningen (RTB), som finns hos SCB. Som exempel på vad ett register kan innehålla redovisas här de uppgifter om individer som finns i RTB7.

•Personnummer, kön, ålder

•Namn, Adress

•Folkbokföringsförhållanden (län, kommun, församling och fas- tighet)

•Civilstånd

•Medborgarskap

•Födelseland

•Utländsk/svensk bakgrund

•Födda

•Döda

•Civilståndsändring

•Inrikes flyttning

•Invandring

•Utvandring

•Relationer (maka/make, registrerad partner, biologiska föräldrar, adoptivföräldrar, vårdnadshavare)

•Föräldrarnas födelseland

6Statistics on Income and Living Conditions, SILC, är en undersökning som görs i EU:s medlemsländer av levnadsförhållanden.

7SCB:s data för forskning 2013.

SOU 2014:45

Vad menas med register?

•Grund för bosättning (för personer som beviljats uppehållstill- stånd eller fått uppehållsrätt i Sverige)

Det finns också register som skapas med hjälp av uppgifter från flera andra register. Syftet kan vara att kunna följa utvecklingen inom ett visst område. Ett sådant är SCB:s Longitudinell integrationsdatabas för sjukförsäkrings- och arbetsmarknadsstudier (LISA). I databasen finns uppgifter om samtliga personer som är 15 år och äldre som varit folkbokförda i Sverige den 31 december det aktuella året. Genom att databasen uppdateras varje år kan utvecklingen för enskilda indi- vider följas, till exempel perioder med förvärvsarbete, arbetslöshet och sjukdom kopplade till ett stort antal bakgrundsvariabler. Uppgifterna i LISA hämtas ur ett tiotal olika register.8

•Registret över totalbefolkningen (RTB)

•Folk- och bostadsräkningen 1990

•Registerbaserad arbetsmarknadsstatistik (RAMS)

•Registret över befolkningens utbildning

•Registret över personer i utbildning

•Inkomst- och Taxeringsregistret (IoT)

•Arbetsförmedlingens sökanderegister

•Försäkringskassans datalager (STORE-databasen)

•Registret över företagens ekonomi

•Registret med ekonomiska data för kommuner

•Registret med ekonomiska data för landsting

3.5.3Kvalitetsregister och biobanker

Utöver dessa befolkningsbaserade register hos centrala myndigheter finns ett stort antal kvalitetsregister inom hälso- och sjukvården för vilka sjukvårdshuvudmännen – landstingen – är ansvariga. Det finns ett 80-tal certifierade nationella register som samlar data om inter- ventioner, sjukdomsepisoder eller kroniska sjukdomar.9

8SCB:s data för forskning 2013.

9Se vidare avsnitt 8.2.2.

Vad menas med register?

SOU 2014:45

Det finns också en annan form av uppgiftssamlingar som jag kom- mer att beröra i utredningen, nämligen biobanker. I biobanker samlas och bevaras vävnadsprover, som framförallt har tagits på patienter i hälso- och sjukvården, men i vissa fall också på individer inom ramen för forskning. Sammantaget finns i Sverige cirka 600 biobanker. En biobank är inte i sig ett register, men det finns i anslutning till bio- bankerna register med uppgifter om provgivarna, var i kroppen pro- verna är tagna, hur de förvaras med mera. I Svenska Biobanksregistret (SBR), som är under uppbyggnad, samlas uppgifter om vilka vävnads- prover på individnivå som finns i de olika biobankerna. SBR är än så länge ett regionalt och lokalt system. Det finns alltså inget centralt register med dessa uppgifter. Däremot finns det hos Inspektionen för vård och omsorg (IVO) ett register över vilka biobanker som finns i Sverige. Det registret innehåller dock inga personuppgifter.10

3.6Register för forskningsändamål

Som jag har konstaterat behöver forskare ofta uppgifter om indi- vider för att kunna belysa och skaffa nya kunskaper om olika sam- hällsfenomen. Uppgifterna kan samlas in av forskarna direkt från individerna (forskningspersonerna) eller hämtas ur uppgiftssam- lingar av det slag som jag här har gett exempel på och som primärt har skapats för andra ändamål än forskning. Uppgifter från sådana källor kan sammanföras i särskilda register för forskningsändamål. När forskare samlar in uppgifter direkt från individer är uppgifts- lämnarens medverkan alltid frivillig.

De flesta register som skapas för forskning är knutna till ett spe- cifikt forskningsprojekt. Uppgifterna samlas in för att besvara vissa konkreta forskningsfrågor och förstörs eller arkiveras när projektet är slutfört. Sådana register kallar jag forskningsregister. Det finns också register som snarare kan betecknas som ett slags infrastruktur. Syftet är de ska kunna tjäna flera olika forskningsprojekt, ibland till och med inom olika vetenskapliga discipliner, som inte är kända när registret börjar byggas upp. Ett par exempel på sådana register av infrastrukturkaraktär som är i bruk är Utvärdering Genom Uppföl- jning (UGU), en av Sveriges äldsta forskningsdatabaser som avser utbildningsområdet och som finns vid Göteborgs universitet, och Svenska Tvillingregistret, som finns vid Karolinska Institutet. Några

10 Se vidare avsnitt 8.2.3.

SOU 2014:45

Vad menas med register?

sådana forskningsdatabaser har skapats efter beslut i riksdagen, till exempel IFAU-databasen, som finns hos Institutet för arbetsmark- nads- och utbildningspolitisk utvärdering (IFAU) i Uppsala, och LifeGene, som är på väg att byggas upp vid Karolinska Institutet i samarbete med flera andra universitet. Sådana register av infra- strukturkaraktär, avsedda att betjäna flera framtida forsknings- projekt, har jag valt att kalla forskningsdatabaser.

3.6.1Kodade och avidentifierade uppgifter

När forskare får ut uppgifter från myndighetsregister är dessa i regel anonymiserade. Anonymiserade uppgifter kan vara kodade eller helt avidentifierade. Att uppgifterna är kodade innebär att forskaren får ut dem anonymiserade, det vill säga utan att individerna direkt kan identifieras, men att den utlämnande myndigheten behåller en kod- nyckel som gör det möjligt att senare komplettera uppgifterna. För avidentifierade uppgifter finns inte denna möjlighet. Myndigheter- na kan i undantagsfall också lämna ut uppgifter med identitet till forskare. Det kan handla exempelvis om att forskarna behöver kon- takta de personer uppgifterna avser eller om att uppgifter ur ett register måste kontrolleras mot eller kompletteras med uppgifter från patienters sjukjournaler.

För behandlingen av personuppgifter finns särskilda regler i PUL. Med personuppgifter avses i PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att alla kodade uppgifter är personuppgifter, men att även avidentifierade uppgifter kan vara personuppgifter om det är möjligt att med utgångspunkt i dessa återidentifiera individerna. Man måste alltså skilja mellan i vilka former uppgifter kan lämnas ut till forskare och vad som är personuppgifter.

Forskare som använder uppgifter från SCB och flera andra sta- tistikansvariga myndigheter kan använda SCB:s så kallade MONA- system. MONA står för Microdata Online Access. Genom MONA får användaren tillgång till uppgifter som finns i SCB:s och andra myndigheters datalager. Ett forskningsregister, med de uppgifter forskaren behöver, skapas hos SCB. Forskaren kan via Internet göra bearbetningar och har också möjlighet att bevara tabeller för vidare bearbetning, men fysiskt återfinns forskningsregistren hos

4Varför är registeruppgifter bra för forskning?

Regeringen har i de senaste forskningspropositionerna framhållit den roll som ett utnyttjande av svenska befolkningsbaserade register kan spela för kunskapsutvecklingen och forskningen. I 2008 års forsk- ningsproposition konstaterades att ”registerhållningen över hela be- folkningen och systemet med personnummer ger unika förutsättning- ar för att studera angelägna, tvärvetenskapliga frågor kring samban- det mellan samhällsförhållanden, ekonomi och hälsa”.1 I den senaste forskningspropositionen 2012 framhölls att ”det finns ett antal vik- tiga frågeställningar som kan besvaras genom forskning om man kan kombinera olika register och datamaterial”.2 Regeringen noterade också att man med hjälp av så kallade mikrosimuleringsmodeller, som använder uppgifter från olika register, kan beräkna effekten av olika insatser och policyförändringar.

I det följande ska jag ge exempel på när stora datamaterial som återfinns i register av olika slag kan vara särskilt värdefulla för forsk- ningen och också på forskning som har utnyttjat sådana material. Dessa exempel är endast tänkta som illustrationer och är inte nöd- vändigtvis de bästa som kan ges.

Det är viktigt framhålla att registerbaserad forskning är en sedan länge etablerad metod i Sverige. Exemplen i detta kapitel är ett uttryck för det. En omfattande forskning har kunnat bedrivas och bedrivs inom ramen för gällande regelverk. Uppgiften för denna utredning är således inte att bryta ny mark utan att undersöka vilka möjligheter som finns att underlätta för registerbaserad forskning och därmed skapa förutsättningar för en expansion av den.

Tack vare registren kan forskare i Sverige, liksom i de övriga nordiska länderna, till måttliga kostnader genomföra många studier som i andra länder kräver utomordentligt stora satsningar, om de

1Prop. 2008/09:50.

2Prop. 2012/13:30.

Varför är registeruppgifter bra för forskning?

SOU 2014:45

överhuvudtaget kan genomföras. Myndighetsregistren omfattar som regel hela befolkningen eller i vilket fall den del av befolkningen, som berörs av det förhållande som registret avser. I den mån forskar- na kan utnyttja registren får de därför tillgång till uppgifter om hela (den aktuella) befolkningen.

Stora datamaterial förbättrar ofta möjligheterna att påvisa och finna orsaker till varför ekonomiska och sociala förhållanden varierar i samhället och gör det möjligt att påvisa effekter av olika åtgärder, vare sig de rör hälso- och sjukvård, socialtjänst eller ekonomiska och andra sociala interventioner. Register har även ett stort användnings- område när det gäller att kartlägga hur hälsa och sociala förhållan- den utvecklas över tid och att identifiera problem som kan behöva åtgärdas.

Inledningsvis (avsnitt 4.1–4.2) beskriver jag betydelsen av att deskriptivt kunna visa på förhållanden i samhället för att därefter (4.3–4.4) komma in på förutsättningarna för en mer analytisk och orsaksinriktad forskning.3

4.1Att följa samhällsförändringar över tid och i olika grupper

Av en rad olika skäl är det viktigt att kunna följa hur samhället för- ändras. Vilka positiva och negativa trender finns för hälsa och sociala förhållanden? Finns det grupper som erfar en utveckling som påtag- ligt avviker från den för majoriteten? Varierar hälsa och sociala för- hållanden mellan olika delar av Sverige? Ges vård eller omsorg till alla på lika villkor? Har kvinnor och män samma möjligheter? Hur går det för invandrare och för barn med ensamstående föräldrar?

För att få svar på frågor som dessa behövs stora datamaterial som täcker hela landet och i vilka man kan följa utvecklingen för de en- skilda individerna. För att kunna avgöra om det är 10 personer som har behandlats en gång eller en person som har behandlats 10 gånger behöver man veta vilka som har fått behandlingen. För att kunna avgöra om den del av befolkningen som har lägst inkomster består av samma individer från år till år eller om de successivt byts ut måste man kunna följa individer över tid. För att kunna beskriva förhållan- dena för personer med olika utbildning, födelseland och familjeför-

3 Kapitlet bygger huvudsakligen på en underlagsrapport till utredningen författad av Robert Erikson och Måns Rosén, Stora registermaterial bidrar till bättre forskning.

SOU 2014:45

Varför är registeruppgifter bra för forskning?

hållanden måste ofta uppgifter från olika register kopplas samman. I praktiken finns det inget annat sätt att få fram sådana uppgifter.

Utvecklingen av öppna jämförelser i hälso- och sjukvården är ett bra exempel på värdet av att kunna följa upp behandlingar i kliniska register. Genom att följa och mäta skilda kvalitetsindikatorer och jäm- föra resultaten mellan olika landsting, sjukhus och andra vårdinrätt- ningar har man skapat incitament att höja kvaliteten. Flera exempel visar att detta arbetssätt har räddat liv och förbättrat livskvaliteten för många patienter.

Kliniska kvalitetsregister och öppna jämförelser har till exempel bidragit till stora förbättringar i hjärtinfarktvården4 och visat att vissa höftproteser är betydligt hållbarare än andra och därmed minskat behovet av reoperationer.5 Öppna jämförelser har också visat att långtidsöverlevnad och patienttillfredsställelse är bättre för patienter som vårdats på särskilda strokeenheter.6 Antalet infektioner efter kataraktoperationer har halverats och uppvisar nu en internationellt sett särklassigt låg frekvens.7

För att följa utvecklingen över tid och mellan olika grupper i samhället och för att mäta kvaliteten i vården behövs många gånger heltäckande individregister. När det gäller forskning om orsaker till sjukdomar eller effekter av åtgärder är detta ofta nödvändigt.

4.2Beskrivning och förklaring

Innan man försöker finna en förklaring till ett samhällsfenomen måste detta beskrivas. Beskrivningen syftar till att visa att det faktiskt existerar. Innan man försöker förklara varför det finns skillnader mellan män och kvinnor måste man visa i vilka avseenden det fak- tiskt finns sådana skillnader. En god beskrivning är således en första förutsättning för att det ska vara meningsfullt att försöka förklara ett fenomen.

4Stenestrand, U. et al. Hjärtinfarktvården kraftigt förbättrad 1995–2005. Kvalitetsregister, öppna redovisningar och tydliga terapimål har gett resultat. Läkartidningen 2007;104:1580-3.

5Haller, N. P. et al. Uncemented and cemented primary total hip arthroplasty in the Swedish Hip Arthroplasty Register. Acta Ortohop 2010;81:34-41.

6Terent, A. et al. Stroke unit care revisted: who benefits the most? A cohort study of 105 043 patients in Riks-Stroke, the Swedish Stroke Register. J Neurol Neurosurg Psychiatry 2009;80:881- 7; Asplund, K. et al. Patient dissatisfaction with acute stroke care. Stroke 2009;40:3851-6.

7Lundström, M. et al. Endophthalmitis after cataract surgery: a nationwide prospective study evaluating incidence in relation to incision type and location. Ophtomology 2007;114:866-70.

Varför är registeruppgifter bra för forskning?

SOU 2014:45

Figur 4.1	Dödsrisk (y-axeln) efter ålder (x-axeln) och utbildningsnivå
	för män 1991–1996
0,16
0,14
0,12							Elementär
0,1							Yrkesutb
0,08							treårig teor
0,06							Kort högsk
0,04							Högskola
0,04
0,02							forskarutb
0,02
0
26	31	36	41	46	51	56	61

En studie av sambandet mellan utbildning och dödsrisk kan ses som ett illustrativt exempel på värdet av en beskrivning. Den är baserad på uppgifter för hela befolkningen i de aktuella åldersgrupperna.8

Att det föreligger skillnader i dödsrisk mellan grupper med lägre respektive högre utbildning går att visa med hjälp av många data- material, men att visa att sådana skillnader föreligger också mellan dem med olika lång högskoleutbildning kräver ett mycket stort material. Av Figur 4.1 framgår att dödsrisken för män med forskar- examen är påfallande låg liksom att skillnaderna i dödsrisker mellan utbildningsgrupperna systematiskt återkommer i alla åldersgrupper. Detta torde kunna visas bara om materialet innehåller uppgifter för hela befolkningen. I detta fall har uppgifter om utbildning hämtats från folk- och bostadsräkningen 1990 och om dödlighet från döds- orsaksregistret. Även så var, när studien gjordes, antalet kvinnor med forskarutbildning alltför litet för att dödsriskerna bland dem på ett tillförlitligt sätt skulle kunna jämföras med andra gruppers.

En så pass detaljerad jämförelse av dödsrisker mellan olika utbild- ningsgrupper ökar möjligheterna att i nästa steg förstå bakgrunden till skillnaderna. Ett vanligt antagande är att hälsoskillnader samman- hänger med skillnader i ekonomiska resurser. Att män med doktors- examen hade lägre dödsrisk än dem med en lång högskoleutbildning

8 Ojämlikhet i hälsa. Ett nationellt forskningsprogram. Socialvetenskapliga forskningsrådet 1998.

SOU 2014:45

Varför är registeruppgifter bra för forskning?

är därför av särskilt intresse, eftersom den senare gruppen faktiskt i genomsnitt hade högre inkomster än doktorerna. Tack vare det stora materialet blir det uppenbart att en förklaring till skillnader i dödsrisk delvis måste sökas i andra förhållanden än ekonomiska resurser.

4.3Observationsstudier och randomiserade experiment

För att få insikt om vilka konsekvenser som en viss åtgärd får har studier där försökspersoner slumpmässigt placeras i experiment- och kontrollgrupper (på engelska RCT = Randomised Controlled Trials) på goda grunder ofta ansetts vara den bästa metoden. Man ger del- tagarna i experimentgruppen en viss behandling och kan därefter, genom att jämföra utfallet med motsvarande för kontrollgruppen, bedöma vad behandlingen hade för effekt. Den slumpmässiga för- delningen av personer till försöks- och kontrollgrupper, randomi- seringen, gör att man på det hela taget kan utesluta att eventuella effekter beror på andra orsaker än den man önskar studera.

Ett antal omständigheter gör dock att sådana randomiserade studier inte alltid är tillräckliga eller möjliga att genomföra. Den viktigaste har att göra med vad som kallas extern validitet. Med det avses med vilken säkerhet man kan generalisera resultaten från undersökningsgruppen till hela befolkningen. I vilken utsträckning det kan ske beror vanligen på hur representativ den studerade grup- pen är för befolkningen.

Några exempel på vad som kan bidra till osäkerhet på denna punkt: Även om de undersökta grupperna sinsemellan är lika har de i många fall en från befolkningen avvikande sammansättning. Del- tagandet i experiment är i regel frivilligt. Det kan till exempel inne- bära att viktiga patientgrupper exkluderas vid klinisk forskning. Ex- periment inom psykologisk forskning genomförs i många fall med universitetsstuderande som försökspersoner eftersom de är lätta att rekrytera till studier. Dessa skiljer sig rimligtvis i många avseenden från den övriga befolkningen. Studier av läkemedelsverkningar görs, åtminstone inledningsvis, i regel på begränsade patientgrupper. Det kan också vara svårt att följa försökspersonerna under tillräckligt lång tid för att se de långsiktiga effekterna.

Till det kommer att kostnaden för en omfattande, randomiserad studie i många fall kan uppgå till så höga belopp att bara ett fåtal

Varför är registeruppgifter bra för forskning?

SOU 2014:45

tillförlitliga studier kan genomföras. Det finns således starka skäl att komplettera randomiserade studier, och i många fall att helt ersätta dem, med studier som utgår från uppgifter i myndighets- register, vilka primärt har insamlats för andra ändamål än forskning.

Ett särskilt problem vid alla undersökningar baserade på urval är att alla tillfrågade inte deltar. Detta bortfallsproblem i samband med exempelvis intervju- och enkätundersökningar tenderar att växa. Även i vissa centrala undersökningar som görs av Statistiska Central- byrån (SCB) är bortfallet förhållandevis stort vilket ökar osäker- heten i utfallet (i Arbetskraftsundersökningarna, AKU, ligger svars- frekvensen kring 70 procent, i Undersökningarna om levnadsför- hållanden, ULF, under 60 procent). En fördel med många register är att de är fullständiga vilket innebär att alla aktuella individer finns med. Det talar för att använda registeruppgifter när sådana finns att tillgå. Registeruppgifter kan emellertid också användas för att analysera bortfallet i urvalsundersökningar. Genom att jämföra ett antal uppgifter, till exempel kön, ålder, typ av bostadsort, utbildning, födelseland, civilstånd och sysselsättning, mellan dem som har svarat och dem som inte har gjort det finns en möjlighet att bedöma hur representativ svarandegruppen är.9

I många fall uppfattas det dessutom som otillräckligt att känna till vilka effekter en viss åtgärd får. En djupgående förståelse för ett samhällsfenomen kräver ofta en uppfattning om vad som kan tänkas påverka detta och det rör sig då oftast om flera faktorer. Snarare än att söka efter effekter av en åtgärd är man ute efter att förstå vilka olika faktorer som ligger bakom ett visst samhällsfenomen.

Ett exempel på hur man kan söka orsaker bakom ett fenomen är ett pågående forskningsprojekt på Karolinska Institutet (KI). Forskar- na är på jakt efter olika faktorer som kan påverka uppkomsten och utbredningen av psykiska sjukdomar. De konstaterar att orsakerna till psykisk ohälsa/psykiatrisk sjuklighet är multifaktoriell med varie- rande inslag av genetisk sårbarhet och påverkan av omgivnings- faktorer under såväl fostertiden som senare i livet. Exempel på om- givningsfaktorer som har visat sig vara associerade med ökad risk för psykiatrisk sjukdom är svår stress och infektioner under gravi- diteten, tillväxthämning under fostertiden, för tidig födelse, infek- tioner i hjärnan under uppväxten, uppväxt i socialt utsatt miljö, cannabisbruk, hög pappaålder och immigration. Det är viktigt att

9 Se vidare avsnitt 8.3.2.

SOU 2014:45

Varför är registeruppgifter bra för forskning?

förstå mer om mekanismerna bakom dessa iakttagelser för att på sikt kunna lägga grunden för förebyggande program.10

Utbildning anses vara en viktig mekanism genom vilken ung- domar från mindre gynnade klasser kan förbättra sin sociala position. Trots stora förändringar av utbildningsfördelningen har dock den sociala rörligheten endast ökat obetydligt. Det gör det angeläget att söka efter andra och uppenbarligen mer grundläggande orsaker till social rörlighet. För att kunna göra det krävs observationer av material på befolkningsnivå.

Observationsstudier kan också vara den enda framkomliga vägen till fördjupad kunskap när det inte är möjligt eller etiskt acceptabelt att bestämma vilka som ska utsättas för en viss behandling och vilka som inte ska få den. Ofta uppfattas det som stötande att slumpmässigt lotta personer till försöks- och kontrollgrupper. Samtidigt pågår i samhället hela tiden olika ”behandlingar” vars effekter kan studeras. Behandlingarna har inte lottats fram slumpmässigt, men med tillräck- ligt stort underlag finns metoder att eliminera effekterna av andra omständigheter som kan påverka utfallet.

Heltäckande register utgör således viktiga baser för observations- studier, men de kan också vara bas för randomiserade experiment.11 Om man till exempel inte vet vilken av två behandlingar som är bäst utan bedömer dem som likvärdiga, kan läkaren med patientens samtycke slumpmässigt avgöra vilka som ska få behandling A respek- tive B. En sådan studie har gjorts i Sverige med hjälp av kvalitets- registret för angiografi och dödsorsaksregistret. När patienter kom in för angiografi och registrerades i angiografiregistret slumpades de till att endast få ballongvidgning (PCI = Percutan Coronar Interven- tion) eller att få ballongvidgning som föregicks av blodproppsutdrag- ning vid akuta hjärtbesvär. Man fann att blodproppsutdragning inte reducerar risken att dö inom 30 dagar jämfört med endast ballong- vidgning. Studien publicerades i den högt rankade tidskriften New England Journal of Medicine och följdes av en kommentar om att denna metod innebar ett paradigmskifte i forskningen.12 Studien kunde med detta upplägg genomföras betydligt snabbare och för en bråkdel av vad den annars skulle ha kostat.

10Institutionen för folkhälsovetenskap, Karolinska institutet, Ansökan om etikprövning samt intervju med Christina Dalman 2013-12-19.

11Fröbert O. et al. Thrombus aspiration during ST-segment elevation myocardial infarction. NEJM 2013;DOI:10.1056/NEJMoa308789.

12Lauer M. S., D'Agostino R. B. The randomized registry trial – The next disruptive techno- logy in clinical research? NEJM 2013;DOI:10.1056/NEJMp1310102.

Varför är registeruppgifter bra för forskning?

SOU 2014:45

4.4När behöver man stora och kanske heltäckande datamaterial?

Ett enda myndighetsregister är sällan av större intresse i forsknings- sammanhang. Det är möjligheten att koppla individuppgifter i olika register, och kanske än mer möjligheten att koppla uppgifter som forskare själva samlat in till uppgifter i myndighetsregister, som ger dessa register deras stora potential. Jag ska här redovisa ett antal för- hållanden som gör att tillgång till stora registermaterial är ett önsk- värt, och i många fall nödvändigt, villkor för tillförlitliga forsk- ningsresultat. Det illustreras också med ett antal exempel på sådana forskningsresultat.

4.4.1Ovanliga företeelser

Det mest uppenbara fallet då mycket stora datamaterial krävs för tillförlitliga resultat är när det endast är få personer som karakteri- seras av det tillstånd man vill studera.

I ett forskningsprojekt inom ramen för en statlig utredning från början av 1990-talet kunde barn till invandrare delas upp i ett relativt stort antal grupper efter faderns ursprungsland. Som framgår av Tabell 4.1 visade det sig att det fanns stora skillnader i utbildning be- roende på från vilket land, eller i några fall vilken världsdel, fadern hade kommit. Barn till fäder från Polen och Baltikum gick i cirka dubbelt så stor utsträckning som barn till infödda genom universitet, medan barn till fäder från Danmark, Finland och Jugoslavien gjorde det i endast hälften så stor utsträckning. Barn till invandrare från Grekland och Turkiet avslutade i många fall sin utbildning direkt efter grundskolan, men tog samtidigt, när hänsyn hade tagits till för- äldrarnas sociala position, i stor utsträckning universitetsexamen.

En sådan beskrivning ger förutsättningar för en fördjupad analys. De låga andelarna med universitetsutbildning bland barn till in- vandrare från vissa länder förefaller inte bero på invandrarbakgrun- den i sig, utan kan kanske snarare förklaras av dessa gruppers socio- ekonomiska position.

Exemplet visar att även med fullständiga material kan grupperna ibland bli små. De fanns så få individer från länderna i Latinamerika, Afrika och Asien att dessa fick klumpas ihop på världsdelsnivå i stället för landsnivå.13

13 SOU 1993:85.

100

SOU 2014:45

Varför är registeruppgifter bra för forskning?

Tabell 4.1 Utbildning över den obligatoriska, tre/fyraårig teoretisk gymnasie- utbildning och universitetsutbildning bland barn till invandrare från olika länder i förhållande till motsvarande utbildning bland barn till infödda svenskar (referens = 1.0). Relativa chanser (A) utan kontroll för bakgrundsfaktorer och (B) med kontroll för familjesammansättning, kön, födelsekohort, föräldrarnas klass- tillhörighet och utbildning. Endast personer födda i Sverige åren 1953–70 (för universitet 1953–64).

	Mer än obl. utbildning		3–4 årigt gymnasium		Universitet
Faders
ursprungsland	A	B	A	B	A	B
Polen	1.09	1.07	1.81	1.53	2.27	1.91
Baltikum	1.31	1.18	1.94	1.53	2.03	1.49
Latinamerika	0.85	0.74	1.30	1.19	1.91	1.49
Grekland	0.62	0.78	0.88	1.71	0.75	1.47
Turkiet	0.55	0.64	0.59	1.16	0.60	1.26
Öv. Östeuropa	1.16	1.05	1.57	1.28	1.49	1.16
Afrika	1.07	0.70	1.67	1.12	1.96	1.13
Öv. Sydeuropa	0.97	0.89	1.27	1.40	0.90	1.06
Sverige	1.00	1.00	1.00	1.00	1.00	1.00
Västeuropa
(inkl USA)	1.24	0.91	1.70	1.15	1.51	0.99
Norge	0.90	0.84	1.12	0.96	1.18	0.98
Asien +
Oceanien	1.17	0.75	1.73	1.11	2.01	0.94
Jugoslavien	1.06	1.12	1.08	1.64	0.59	0.88
Finland	0.82	0.95	0.69	1.02	0.53	0.87
Danmark +
Island	0.61	0.64	0.60	0.69	0.62	0.71

Not: Länderna är rangordnade efter universitetsparametern från modell B med kontroll för familjesammansättning, kön, födelsekohort, föräldrarnas klasstillhörighet och utbildning.

Detta exempel visar hur det tack vare stora datamaterial är möjligt att studera utfall även för små grupper. Ett annat visar på möjligheten att undersöka sällsynta utfall. Robert Erikson och Jenny Torssander kunde visa att skillnaderna mellan samhällsklasserna bland kvinnor var obefintliga för cancer i huden, äggstockarna och brösten medan det förelåg betydande skillnader i fråga om cancer i munhålan och svalget. I de sistnämnda fallen var risken för icke yrkesutbildade arbetare mer än en och en halv gång så hög som för högre tjänste-

101

Varför är registeruppgifter bra för forskning?

SOU 2014:45

män.14 Att hela befolkningen utgjorde underlaget i studien gav möj- lighet att skilja mellan cancer i olika organ (och även andra döds- orsaker) och att visa i vilka avseenden skillnaderna mellan samhälls- klasserna var påtagliga. Därmed förbättrades också möjligheterna att förstå bakgrunden till dessa skillnader.

En dansk studie, som omfattade alla barn födda i Danmark under åren 1991–1998, gav möjlighet att pröva den på basis av några mindre studier framförda hypotesen att vaccination mot mässling, påssjuka och röda hund ökade risken för autism. Genom att sammanföra information i olika register kunde de danska forskarna identifiera 316 barn med diagnosen autism och visa att det inte fanns något samband mellan vaccinationen och denna diagnos. 15 Resultatet är utomordentligt viktigt eftersom man utan denna kunskap kunde ha avstått från att vaccinera barnen, med åtföljande risker. I praktiken hade det inte varit omöjligt att få fram denna kunskap utan en hel- täckande studie. En liknande studie men byggd på ett urval skulle inte kunna få tillräcklig statistisk kraft vid ett så sällsynt utfall som autism.

Ytterligare ett exempel är när man inom den medicinska forsk- ningen önskar studera samsjuklighet. Fang Fang med flera under- sökte risken för självmord och död i hjärtkärlsjukdom direkt efter en cancerdiagnos. Studien använde de svenska hälso- och sjukvårds- registren och inkluderade alla personer som drabbades av cancer mellan 1991 och 2006. Det var bara en liten andel av cancerpatienter- na som begick självmord direkt efter att de hade fått diagnosen, men jämfört med personer utan cancer hade de en klart förhöjd risk för såväl självmord som att dö i hjärtkärlsjukdom. En viktig slutsats var att nydiagnostiserade cancerpatienter behöver ett förbättrat om- händertagande.16

14Erikson, R., Torssander, J. Social class and cause of death. The European Journal of Public Health, 2008 Vol. 18: 473–478.

15Madsen, M. et al. A population-based study of measles, mumps, and rubella vaccination and autism N Engl J Med 2002; 347:1477–1482.

16Fang Fang et al. Suicide and Cardiovascular Death after Cancer Diagnosis. New Engl J Med 2012:366; 14.

102

SOU 2014:45

Varför är registeruppgifter bra för forskning?

4.4.2Kopplingar mellan urvalsundersökningar och registermaterial

Alla uppgifter som forskare är intresserade av finns inte i myndig- hetsregister. Ofta måste de därför själva samla in uppgifter direkt från individer, till exempel om livsstil eller familjehistoria för sjuk- dom. Men de insamlade uppgifterna kan i många fall kompletteras med uppgifter ur myndighetsregister. Det kan innebära en rad för- delar.

Forskaren kan begränsa antalet frågor till forskningspersonerna genom att hämta vissa uppgifter ur register. När det gäller uppgifter om förhållanden långt tillbaka i tiden är register ofta mer pålitliga än individernas minnesbild. Man kan också genom myndighetsregister följa utvecklingen framåt i tiden efter det att uppgifterna samlats in och på det sättet få en uppfattning om hur det går för individerna. Användningen av registeruppgifter är vid sådana longitudinella ansatser av särskilt värde (se vidare avsnitt 4.4.7).

För att kunna komplettera de uppgifter som kommer fram från olika urval av individer med uppgifter från befolkningsregister krävs att registren är fullständiga och att individerna från urvalet kan iden- tifieras. Det är dessutom en fördel om förändringar i registret sparas så att man kan få kännedom om exempelvis när ett sjukfall har in- träffat.

Genom personnummersystemet är det också lättare att via re- gister följa individer som flyttar runt i landet. I en studie som görs i samarbete mellan SCB och pedagogiska institutionen vid Göteborgs universitet, Utvärdering Genom Uppföljning (UGU), görs ett urval av elever, vanligen i årskurs 3. Eleverna har i ett par av dessa urval hämtats från ett 30-tal kommuner. Sex år senare, när en uppföljning skulle göras, fanns samma elever spridda i cirka 200 kommuner. Utan personnummer och register hade det varit svårt att spåra dem.17

Bengt Haglund med flera kopplade samman information om att röka och använda snus från SCB:s ULF-material (en urvalsunder- sökning som görs av SCB) med uppgifter om sjuklighet och död i kranskärlsjukdom och stroke från slutenvårdsregistret och döds- orsaksregistret (fullständiga register som förs av Socialstyrelsen).18 Medan överrisken för sjukdom och död som väntat var påtaglig för

17Berggren, I. SCB:s elevpaneler för longitudinella studier, s. 58, i Svensson, A. (red) Ut- värdering Genom Uppföljning, Göteborgs universitet 2011

18Haglund, B., Eliasson, M., Stenbeck, M., Rosén, M. Is moist snuff use associated with excess risk of IHD and stroke? A longitudinal follow-up of snuff users in Sweden. Scand J Public Health 2007 Sep 6:1–5.

103

Varför är registeruppgifter bra för forskning?

SOU 2014:45

dem som rökte, kunde forskarna inte finna några överrisker bland snusare. Även om man från studien inte kan dra slutsatsen att ingen sådan överrisk finns, måste den vara mycket liten. Studien visar att om en rökare förmår att sluta röka genom att övergå till att snusa så sänker hon eller han risken för infarkt i hjärta och hjärna.

Figur 4.2 Genomsnittsbetyg (x-axeln) och övergångssannolikheter till teoretisk gymnasieutbildning (P = y-axeln) för varje betygsnivå i olika sociala klasser. Flickor födda 1972.

1,0
0,9
0,8
0,7
0,6
0,5
0,4
0,3
0,2
0,1
0,0
1,0 1,3 1,5 1,8 2,0 2,3 2,5 2,8 3,0 3,3 3,5 3,8 4,0 4,3 4,5 4,8 5,0
Betyg högre tjm	Betyg arbetare
P (högre tjm)	P (arbetare)

Robert Erikson och Frida Rudolphi kopplade uppgifter om elever från UGU-registret med registerdata om gymnasieutbildning och för- äldrarnas yrken (fullständiga register som förs av SCB).19 De kunde därigenom visa att i vilken utsträckning eleverna efter avslutad grund- skola fortsatte med teoretiska gymnasiestudier berodde på dels hur väl de hade presterat i skolan, dels i vilken utsträckning de vid ett givet betyg valde en teoretisk linje. De klockformade kurvorna i Figur 4.2 visar betygsfördelningarna för barn till arbetare respek- tive högre tjänstemän, medan de S-formade visar sannolikheten att vid ett visst genomsnittsbetyg övergå till en teoretisk gymnasielinje. Som framgår fick barn från högre tjänstemannafamiljer i genom-

19 Erikson, R., Rudolphi, F. Change in social selection to upper secondary school – primary and secondary effects in Sweden. Eur Sociolo Rev, 2010, 26: 291–305.

104

SOU 2014:45

Varför är registeruppgifter bra för forskning?

snitt bättre betyg i grundskolan än barn från arbetarklassen, men de S-formade kurvorna visar också att vid samma betyg fortsatte tjänste- mannabarnen i större utsträckning än arbetarbarnen på en teoretisk gymnasielinje. Det är särskilt tydligt vid genomsnittliga betyg (2,8– 3,8). I den mån man önskar minska snedrekryteringen måste man således ta hänsyn både till prestationsskillnader och till skillnader i hur barn med olika social bakgrund väljer fortsatt utbildning.

4.4.3Biobanksrelaterad medicinsk forskning

Den traditionella svenska registerforskningen kan belysa ohälsans utbredning och utveckling över tid, men också dess sociala strati- fiering, dess beroende av individegenskaper, hur patienter svarar på behandling och samband som kan finnas mellan sjukdomar.20 Men denna forskning behöver i många sammanhang kompletteras med uppgifter från analys av biologiska prover.

Möjligheterna att koppla ihop genetiskt material med uppgifter från register är, och kommer i framtiden än mer att vara, viktiga för att förstå hur arv och miljö interagerar. Sådana kopplingar kan till exempel göras för att hitta undergrupper som svarar, respektive inte svarar, på en viss behandling. Exempelvis visades med hjälp av Svensk Reumatologis kvalitetsregister att rökare inte svarade lika bra på be- handling med biologiska läkemedel (TNF-hämmare; TNF = Tumor Necrosis Factor) mot reumatism som icke-rökare, vilket har resulterat i att rökstoppsprogram rekommenderas innan man startar behand- ling.21

Medicinens utveckling har under senare decennier varit språng- artad och ny kunskap har vunnits som gör det möjligt att utveckla diagnostik, behandling och uppföljning av viktiga sjukdomsgrupper. Detta har bidragit till en bättre överlevnad och högre livskvalitet för stora patientgrupper. Men fortfarande återstår en rad vetenskapliga och kliniska problem att lösa. Man känner fortfarande inte meka- nismerna i detalj bakom viktiga folksjukdomar.

Dagens framgångsrika medicinska behandling kan visserligen ofta behandla dessa sjukdomars yttringar, symptom och skadeverkningar, men det blir allt viktigare att också skapa en grundläggande förstå- else för de biologiska mekanismerna bakom utvecklingen av till exem-

20Rosén, M. Översyn av de nationella kvalitetsregistren. Guldgruvan i hälso- och sjukvården. Förslag till gemensam satsning 2011–2015. Stockholm 2010.

21Klareskog L. et al. Smoking as a trigger for inflammatory rheumatic diseases. Curr Opin Rheumatolol 2007;19:49–54.

105

Varför är registeruppgifter bra för forskning?

SOU 2014:45

pel hjärtkärlsjukdomar. Även om risken att insjukna och dö i sådana sjukdomar har minskat i relation till åldern utgör de alltjämt den största kategorin av dödsorsaker i befolkningen. Problematiken är likartad när det gäller andra viktiga diagnosgrupper, såsom demens- sjukdomar, cancersjukdomar och åldersdiabetes.

Den viktigaste metoden för att öka förståelsen om dessa meka- nismer är genom så kallade befolkningsstudier, det vill säga genom att följa stora befolkningsgrupper över tid. Vid en inledande under- sökning samlar man information om kroppsfunktioner, molekylär- biologiska karakteristika (blodprov), livsstil, social bakgrund, tidigare sjukdomar och familjehistoria. Sedan följer man individerna i olika register för sjukdomar och beräknar riskerna för sjukdomsutveck- ling i relation till de olika bakgrundsfaktorerna. Genom genetiska analysmetoder kan man fastställa hur kausala samband kan se ut, från genetisk markör, via epigenetisk påverkan, till olika mätbara bio- markörer och till sist manifesta sjukdomsyttringar.22 Om en sådan kausalitet kan identifieras avslöjas viktiga mekanismer i sjukdoms- processen, vilka sedan kan bli föremål för åtgärder. Med en grund- läggande förståelse för biologiska sjukdomsprocesser, vilka i sig kan vara en konsekvens också av livsstil och psykosocial påverkan, kan man utveckla nya, mer effektiva, läkemedel och behandlingar, som kan sättas in tidigt, till exempel riktade vacciner.

Motsvarande studier av patienter som redan har sjukdomen ger inte ett tillräckligt underlag för att finna sjukdomsorsaker. Biologin hos dessa har ofta redan förändrats av sjukdomen och även av den behandling de har fått.

Ytterligare ett område som kommer att få växande betydelse och där samspelet mellan register och biobanker spelar en viktig roll är epigenetiken. Den utgår ifrån att icke-genetiska faktorer, såsom miljö, näringstillförsel, psykosocial stress och omvårdnaden under småbarns- tiden, kan påverka de uttryck (aktiviteter) som generna får. Generna är med andra ord inte en på förhand given storhet som samspelar med miljön utan deras uttryck kan också påverkas av miljön. Med den utgångspunkten har man till exempel studerat de långsiktiga effekterna på barn till kvinnor som har utsatts för svält under gravi- diteten.23 En sådan effekt är ökad risk för schizofreni. Även allergier kan delvis vara en effekt av epigenetiska mekanismer. Epigenetiken

22Burgess, S., Butterworth, A., Malarstig, A., Thompson, S.G. Use of Mendelian randomisa- tion to assess potential benefit of clinical intervention. BMJ. 2012;345:e7325.

23Hult, M., Tornhammar, P., Ueda, P., Cima, C., Bonamy, A.K., Ozumba, B., Norman, M. Hypertension, diabetes and overweight: looming legacies of the Biafran famine. PloS One. 2010; 5:e13582. doi: 10.1371/journal.pone.0013582.

106

SOU 2014:45

Varför är registeruppgifter bra för forskning?

öppnar vägar för att förstå och förbättra den sociala miljön men också för att utveckla farmakologiska behandlingar.24

4.4.4Att följa upp konsekvenserna av tidigare händelser

Att följa upp konsekvenserna av en genomförd åtgärd är viktigt och borde göras oftare än vad som i dag är fallet. Vad en åtgärd får för konsekvenser kan dock i många fall inte avgöras förrän efter lång tid, ibland decennier. Om emellertid effekten för personer, som i någon form tidigare har utsatts för åtgärden, eller liknande åtgär- der, kan bedömas med hjälp av register, kan det vara möjligt att få en indikation på vilka konsekvenserna kan bli av den aktuella åtgär- den utan att man behöver vänta flera år. För att kunna göra det är det väsentligt att de register där tidigare åtgärder och konsekvenser registrerats är fullständiga.

I en studie av konsekvenserna av den svenska grundskolere- formen kopplade Costas Meghir och Mårten Palme uppgifter från UGU-registret till utbildningsregistret och taxeringsregistret (full- ständiga register som förs av SCB).25 Genom denna sammankopp- ling kunde de visa att i en jämförelse mellan barn som gått i folkskola respektive enhetsskola (grundskola), fick, bland dem som hade fäder med låg utbildning, de sistnämnda i större utsträckning utbildning utöver den obligatoriska och också högre inkomster i vuxen ålder. Enhetsskolans införande innebar alltså att elever med den minst resursstarka sociala bakgrunden fick förbättrade möjligheter senare i livet.

I en amerikansk studie hävdades att gallstensoperationer ökade risken för cancer i tjocktarmen26, men Anders Ekbom med flera kunde, tack vare möjligheten att sammanställa slutenvårdsregistret med cancerregistret (fullständiga register som bägge förs av Social- styrelsen), visa att denna oro var obefogad.27 På motsvarande sätt kunde Hans Ekelund med flera visa att farhågan, enligt en brittisk fall-kontrollstudie, att injektioner av vitamin K som gavs till ny-

24Hansson, M.G., opublicerad PM 2013-09-24.

25Meghir, C., Palme, M. Educational Reform, Ability, and Family Background. The American Economic Review, 2005. 95(1): 414–424.

26Linos, D., Beard, C.M., O'Fallon, W.M., Dockerty, M.D., Beart, R.W., Kurland, L.T. Cholecystectomi and carcinoma of the colon, Lancet, 1981 2: 379–381.

27Ekbom, A., Yuen, J., Adami, H-A, McLaughlin, J.K., Chow, W-H., Persson, I., Fraumeni, J.F. Cholecystectomy and Colorectal Cancer, Gastroenterology, 1993 105: 142–147.

107

Varför är registeruppgifter bra för forskning?

SOU 2014:45

födda ökade risken för cancer i barndomen var obefogad.28 Genom att koppla samman uppgifter från samtliga förlossningskliniker med uppgifter i cancerregistret kunde de visa att något sådant samband inte fanns.

Dessa studier visar att forskning som görs med hjälp av register- uppgifter kan ha en direkt praktisk betydelse för hälso- och sjuk- vårdens verksamhet.

Genom att koppla ihop olika typer av registeruppgifter har man också kunnat visa hur det går för barn i familjehems- och institutions- vård. Dels har man på detta sätt kunnat identifiera vilka bakgrunds- faktorer som påverkar risken för att barnen ska placeras i familjehems- och institutionsvård, dels har man försökt bedöma vilka effekterna blir av familjehems- och institutionsvård. Slutsatsen i Socialstyrelsens Social rapport 2006 var att utvecklingen för de barn som hamnar i social dygnsvård är så dyster att man måste ställa frågan om sådana interventioner över huvud taget har någon positiv påverkan på bar- nens utveckling.29

4.4.5Den sociala omgivningens betydelse för individuella handlingar

Vilka vi omges av, umgås med och arbetar tillsammans med har stor betydelse för våra handlingar. För att kunna studera omgivningens påverkan på det egna beteendet behöver vi uppgifter om flera och helst alla individer i sociala nätverk. I många studier har man kun- nat ta in uppgifter om exempelvis andra familjemedlemmar, men att kunna bedöma betydelsen av ett mer fullständigt socialt nätverk har sällan varit möjligt. Om emellertid registermaterial innehåller information om samtliga individer i olika sociala kontexter blir det möjligt att bättre förstå hur vi påverkas av vår sociala omgivning. På grund av svårigheterna att samla in sådana material är dock relativt få studier av detta slag genomförda.

Peter Hedström med flera kunde emellertid, med hjälp av ett material som sammanställts om alla som levde i Stockholm under 1990-talet, studera hur självmord inom familjen eller på arbets-

28Ekelund H, Finnström O, Gunnarskog J, Källén B., Larsson Y. Administration of vitamin K to newborn infants and childhood cancer, BMJ 1993; 307:89–91.

29Vinnerljung, B. et al. Utsatthet bland barn och unga. Social rapport 2006. Socialstyrelsen 2006.

108

SOU 2014:45

Varför är registeruppgifter bra för forskning?

platsen påverkar risken för att individen själv ska begå självmord.30 De fann att framför allt självmord inom familjekretsen ökar risken, men att även när arbetskamrater begått självmord ökar den egna risken. Studien hade inte varit möjlig att genomföra om inte alla individer i populationen ingått i registermaterialet.

4.4.6Policyskillnader mellan administrativa enheter

Som jag tidigare konstaterat är det ovanligt att åtgärder för enskilda som genomförs av till exempel myndigheter eller kommuner sätts in i statistisk mening helt slumpmässigt. Det förekommer dock att praxis varierar från enhet till enhet, till exempel från kommun till kommun, vilket, i en annan mening, kan sägas innebära att det för den enskilde i viss mån är slumpen som avgör vilken insats han eller hon får. Man kan hävda att det hela tiden pågår ett slags sociala experiment även om de inte utformas på ett sätt som gör att det är enkelt att mäta effekterna. Eventuella skillnader i utfall kan emeller- tid studeras genom jämförelser mellan exempelvis kommuner. De öppna jämförelser som tidigare har nämnts är ett bidrag till sådana jämförelser, men för att förstå innebörden av variationerna krävs givetvis djupare analyser.

Sten-Åke Stenberg kunde genom att sammanställa uppgifter från kronofogdedistrikten visa att andelen vräkningar visserligen varie- rade mellan kommuner, men att skillnaderna föll bort när han kon- trollerade för ett antal relevanta faktorer.31 Socialtjänsten i de olika kommunerna föreföll att agera ungefär lika, givet de vräkningshotades egenskaper. Stenbergs studie hade inte kunnat genomföras på ett tillförlitligt sätt om han inte fått tillgång till information om samt- liga vräkningar från kronofogdedistrikten. Studien visade i detta fall således att det inte var några stora skillnader mellan kommunerna trots att den ojusterade statistiken indikerade det.

Det finns en potential att analysera sådana här ”naturliga experi- ment” i långt större utsträckning än vad som hittills har skett. Till exempel kan den diskussion som sedan ett drygt årtionde pågår om evidensbaserad socialtjänst tänkas stimulera sådana studier.

30Hedstrom, P., Liu, K-Y., Nordvik, M. K. Interaction Domains and Suicide: A Population- based Panel Study of Suicides in Stockholm, 1991–1999. Social Forces 2008, 87(2).

31Stenberg, S-Å. Vräkt ur folkhemmet. Carlssons 2009.

109

Varför är registeruppgifter bra för forskning?

SOU 2014:45

4.4.7Longitudinella studier

Vid tvärsnittsstudier kan man fånga en ögonblicksbild. Det hindrar naturligtvis inte att den kan innehålla frågor till intervjupersonerna om vad som har varit och om deras tro om framtiden. Men svaren speglar vad de just nu minns eller tror om framtiden. Både minnes- bilder och framtidsförhoppningar kan förändras över tid. Vid longi- tudinella studier följer man samma individer över en längre tid för att fånga förändringar i deras liv eller av ett samhälle där befolkningens sammansättning förändras. Det kan handla om förändringar i allt från social status och hälsa till åsikter och värderingar. Den tid de följs kan variera från ett par år till ett helt återstående liv. Flera av de forskningsexempel som ges i detta kapitel bygger på en longitu- dinell design. Likväl finns det skäl att särskilt uppmärksamma registrens betydelse för longitudinell forskning.

En form av longitudinella studier är befolkningsstudier eller, som man ofta säger inom medicinsk och epidemiologisk forskning, kohortstudier. Dessa studier är prospektiva till sin karaktär, det vill säga man väljer ut en grupp individer och följer dem ett antal år framåt för att till exempel lära mer om uppkomsten av sjukdomar. I projekten LifeGene och EpiHealth är man på väg att samla in upp- gifter och prover från flera tiotusentals individer och familjer för att på sikt kunna undersöka hur arv och miljö påverkar hälsan.32 De uppgifter som samlas in direkt från individer kan i forsknings- projekt kompletteras med uppgifter från register.

I andra fall kan ett forskningsregister ha skapats för ett mer kortsiktigt projekt, men många år senare visa sig vara användbart för helt nya forskningsfrågor. Det kanske äldsta forskningsregistret i Sverige, och ett av de äldsta i världen, är den så kallade Malmö- studien. Den gjordes 1938 då en forskare gjorde intelligenstester på alla tioåringar i staden. Från början användes registret för att studera bland annat ”kvarsittningsfrågan” som var aktuell på 1940-talet. Senare har det använts för att studera intelligensens konstans, det vill säga effekterna av utbildning på de kognitiva färdigheterna (cognitive skills), vart 1938 års 10-åringar senare tog vägen i arbetslivet och, i en avhandling från 2011, sambandet mellan de kognitiva färdigheter- na tidigt i livet och dödsrisker. I den sistnämnda studien följdes indi- viderna från Malmöstudien upp med hjälp av dödsorsaksregistret.33

32Se vidare avsnitt 8.4.2.

33Broady, D. Longitudinella studier. PM april 1983; Lager, A. The Role of Education and Cognitive Skills in Understanding Moratlity Inequalities, Karolinska Institutet 2011.

110

SOU 2014:45

Varför är registeruppgifter bra för forskning?

En alternativ design för longitudinell forskning är att med hjälp av register få fram uppgifter om personers förflutna. Om man vill finna förklaringar till en sjukdom som manifesteras i dag, men som kan ha orsakats av händelser långt tillbaka i tiden, kan uppgifter från vårdregister eller gamla prover från biobanker ge viktig information. På det sättet kunde forskare finna ett samband mellan livmoderhals- cancer och så kallade HPV-infektioner (HPV = Human Papilloma Virus). Det har lett fram till utvecklingen av ett vaccin mot HPV som i dag bara i Sverige beräknas spara ett par hundra liv per år.34

Ett liknande exempel avser patienter som nyligen fått diagnosen reumatoid artrit (RA). I Umeå finns sedan många år en biobank som ursprungligen startades med utgångspunkt i frågeställningar rörande hjärtkärlsjukdomar. Forskarna kunde i denna hitta prover från de aktuella patienterna som var tagna för 10–15 år sedan och som innehöll så kallade pre-RA-faktorer. Med hjälp av dessa prover kan man nu arbeta vidare med att försöka utveckla mediciner som kan förebygga sjukdomen långt innan den brutit ut.35

En tredje kategori av longitudinell forskning är där man helt använder redan insamlade uppgifter. Peter Fredriksson, Björn Öckert och Hessel Oosterbeek matchade UGU-data med registerdata om klasstorlek (ett fullständigt register som förs av Skolverket). Vid den tid som undersökningen avsåg var skolorna tvingade att dela på klasser som annars skulle ha fått fler än 30 elever. Forskarna kunde således jämföra elever som hade gått i skolklasser med strax under 30 elever respektive i klasser som på grund av delningen hade be- tydligt färre elever, och därigenom bedöma betydelsen av klasstorlek i åldrarna 10–13 år för barnens kognitiva och övriga utveckling. De fann att barn som gått i mindre klasser hade en mer positiv utveck- ling än barn som gått i större. Även i vuxen ålder hade barn från de mindre klasserna i genomsnitt något högre utbildning och högre inkomster.36

När longitudinella studier görs på ett begränsat urval av personer förvärras ofta det problem med bortfall som finns vid tvärsnitts-

34Lehtinen, M., J. Dillner, P. Knekt, et al. Serologically diagnosed infection with human papillomavirus type 16 and risk for subsequent development of cervical carcinoma: Nested case-control study. British Medical Journal 1996:312(7030): 537–539; Wallin, K.L., F. Wiklund, T. Angström et al. Type-specific persistence of human papillomavirus DNA before the development of invasive cervical cancer. New England Journal of Medicine 1999:341(22): 1633–1638, National Board of Health and Welfare. 2008. Background to a human pa- pillomavirus vaccination in Sweden. Stockholm: National Board of Health and Welfare.

35Eriksson C. et al. Arthritis Res Ther. 2011:13(1):R30.E-pub

36Fredriksson, P., Oosterbeek, H., Öckert, B. Långsiktiga effekter av mindre klasser, IFAU rapport 2012:5

111

Varför är registeruppgifter bra för forskning?

SOU 2014:45

studier och som jag tidigare har berört. Bortfallet tenderar av olika skäl att öka över tid. Därmed ökar också osäkerheten i resultaten. Detta talar för att man där det är möjligt bör göra longitudinella studier med hjälp av registeruppgifter.

4.4.8Mikrosimulering

I utredningsdirektiven nämns att registeruppgifter kan användas för mikrosimulering.37 De exempel på forskning som hittills har redo- visats syftar i regel till att förstå de mekanismer som påverkar hälsa och välfärd. Vid mikrosimulering driver man förståelsen ett steg längre och försöker förutsäga möjliga eller sannolika effekter av en planerad åtgärd, exempelvis en förändring av skatter eller bidrag. Med hjälp av mikrosimuleringsmodeller kan man beräkna åtgärdens effekter både för olika typer av hushåll och för hela befolkningen.38 Med mikro avses att dataunderlaget utgörs av uppgifter om individer (eller till exempel hushåll, arbetsplatser eller bostäder). Med simule- ring avses att man undersöker hur individernas situation påverkas av ändrade regelsystem, till exempel ändrade skatter eller bidrag.

Mikrosimuleringsmodeller har utvecklats bland annat för att kunna göra mer tillförlitliga beräkningar än vad som är möjligt när man utgår från genomsnittliga förhållanden. Ett exempel kan belysa problemet.

För några år sedan fördes en diskussion om möjligheten att genom skattesänkningar minska kostnaderna för socialbidrag. Diskussionen utgick från ett genomsnittligt hushåll som betalar inkomstskatt och också får socialbidrag. En sänkning av skatten för detta tänkta hus- håll skulle således sänka behovet av socialbidrag med lika mycket. Förutsatt att skattesänkningen inte överstiger det genomsnittliga socialbidraget blir med en sådan beräkning en hundraprocentig verk- ningsgrad på socialbidraget av skattesänkningen. Inom ramen för en utredning om socialtjänstlagen vid slutet av 1990-talet gjordes en beräkning med hjälp av mikrosimulering. Verkningsgraden på socialbidragen blev då knappt 10 procent. Den minskade skatte- intäkten resulterade med andra ord i att kostnaderna för socialbidrag minskade med bara en tiondel därav. Resultatet har sin förklaring i att de hushåll som hade socialbidrag ofta inte betalade någon skatt,

37Anders Ekholm m fl har bidragit till utredningen med en underlagsrapport, Vad är mikro- simulering?

38Se http://www.scb.se/Pages/Standard__195232.aspx eller http://www.stat.fi/tup/mikrosimulointi/esittely_sv.html.

112

SOU 2014:45

Varför är registeruppgifter bra för forskning?

något som mikrosimuleringsmodellen beaktade men inte kalkylen baserad på genomsnitt. 39

Mikrosimuleringsmodeller har ofta tagits fram inom regerings- administrationer för att beräkna effekter av planerade politiska åt- gärder, men har också utvecklats och använts i forskningen. Sedan slutet av 1980-talet finns i Sverige en skatte-bidrags-modell, Fördel- ningsAnalytiskt Statistiksystem för Inkomster och Transfereringar (FASIT), som har utvecklats, förvaltas och vidareutvecklas av SCB. Den används flitigt i Regeringskansliet för att bedöma effekterna av olika planerade reformer, men har även, om än i blygsam omfatt- ning, använts i samhällsvetenskaplig forskning.

FASIT är en så kallad statisk tvärsnittsmodell. Det innebär att man inte antar några förändringar i beteenden över tid. För att komma åt detta problem har andra modeller av dynamisk karaktär utveck- lats. I en översiktsartikel från 2013 redovisar Jinjing Li och Cathal O’Donoghue ett sextiotal så kallade dynamiska mikrosimulerings- modeller med inriktning på ekonomi och välfärd som för närvaran- de används i olika delar av världen.40 Några av dessa har tagits fram i Sverige, bland andra Swedish Simulation Model (SESIM). SESIM utvecklades ursprungligen inom finansdepartementet för att analysera studiemedelssystemets långsiktiga effekter, men den har senare kommit att användas för andra analyser, också av forskare. Anders Klevmarken med flera har använt den för att analysera effekter av en åldrande befolkning.41

De har till exempel i sina analyser pekat på risken för att antalet fattiga äldre (med inkomster under 50 procent av medianinkomsten) kommer att öka kraftigt fram till år 2020 för att sedan fortsätta uppåt till år 2040. De har också visat att kostnaderna för äldreomsorgen som andel av summan av de direkta skatter som hushållen betalar kan komma att öka från strax över 20 procent i dag till 25 procent år 2020 och drygt 36 procent år 2040.

Detta slags beräkningar säger naturligtvis inte hur det kommer att bli. Men de utgör ett viktigt underlag när politiken ska utformas.

Ett annat exempel på användning av mikrosimuleringsmodeller är de beräkningar som Smittskyddsinstitutet har gjort av effekterna av vaccinationskampanjen mot influensa 2009. Man sökte där med

39SOU 1999:46.

40Li, J. & O’Donoghue. A survey of dynamic mivrosumulation models: uses, model structure and methodology, International Journal of Microsimulation 2013:6(2) 3-55.

41Klevmarken, A., Lindgren, B. (ed). Simulating an Ageing Population. A microsimulation approach applied to Sweden. Contribution to Economic Analysis No 285, Emerald Group Publishing Lmtd, Bingley, United Kingdom 2008; ISBN 978-0-444-53253-4.

113

Varför är registeruppgifter bra för forskning?

SOU 2014:45

hjälp av en annan modell, Mikrosim, beräkna vad som skulle ha hänt utan vaccinering. Slutsatsen blev att vaccinationen hade sparat hundratalet liv och drygt 1 700 inläggningar i slutenvård, men också att den hade lett till cirka 150 fall av narkolepsi.42

Mikrosimuleringsmodeller kräver stora datamängder för att fun- gera väl. I själva verket är det just datas omfattning som bestämmer hur väl variationsanalysen kan göras. I en rapport till Finanspolitiska rådet skriver professor Daniel Waldenström: ”Om man exempelvis är intresserad av analyser av invandrare uppdelade på födelseland och ålder blir grupperna snart så små att den statistiska osäkerheten gör det svårt att dra meningsfulla slutsatser. Om undersökningen därutöver har ovanligt höga bortfall, vilket särskilt är fallet med gruppen unga invandrare, omöjliggörs praktiskt all form av statistisk analys.”43

4.5Sammanfattning

Som har framgått av detta kapitel innebär det ofta en förutsättning, och än oftare en fördel, för forskare att ha tillgång till stora data- material, till exempel i form av befolkningsregister. Det ger möjlig- heter att få kunskaper som kan vara svåra eller omöjliga att vinna med andra forskningsmetoder.

Att använda personuppgifter av det slag som forskarna behöver kan emellertid i vissa situationer uppfattas som ett hot mot indivi- ders personliga integritet. Hur man ska se på dessa risker och den avvägning mellan intressen som måste göras ska jag återvända till i kapitel 6. Dessförinnan ska jag emellertid, i kapitel 5, redovisa de rättsliga förutsättningarna för registerbaserad forskning.

42 Vaccinationskampanjen mot influensa A(H1N1) 2009, Utvärdering av hälsoeffekter säsongerna 2009/2010 och 2010/2011. Smittskyddsinstitutet 2013; Brouwers, L., Cakici, B., Camitz, M., Tegnell, A., Boman, M. Economic consequences to society of pandemic H1N1 influenza 2009 – premininary results for Sweden. Euro Surveill. 2009:43(37):pii=19333. www.eurosurveillance.org/ViewArticle.aspx?ArticleId=19333.

43 Waldenström, D. Regeringen och ojämlikheten, En granskning av budgetens fördelnings- politiska redogörelser 1992–2011. Rapport till Finanspolitiska Rådet 2012/6.

114

5Rättsliga förutsättningar för registerbaserad forskning

5.1Inledning

I detta kapitel ska jag redovisa de bestämmelser som är av betydelse för förutsättningarna för registerbaserad forskning och som därmed är relevanta för utredningen. De bestämmelser som behandlas mot- svarar i stort de som finns upptagna i kommittédirektiven (Dir. 2013:8, se bilaga 1). Målet är att ge en översiktlig beskrivning av det rättsliga regelverk som reglerar registerforskningen i dag.

Jag har i föregående kapitel visat på vinsterna för forskningen med att använda registeruppgifter. Användningen av personuppgifter för forskningsändamål kan emellertid vara känsligt för individerna. Det finns en omfattande lagstiftning som har till syfte att skydda den personliga interiteten. Samtidigt ger lagstiftningen stöd för forska- re att behandla personuppgifter för forskningsändamål.

Kapitlet inleds med en genomgång av de regelverk som styr be- handlingen av personuppgifter och skyddet för den personliga inte- griteten. Här finns reglering på både internationell och nationell nivå. Därefter beskrivs några av de internationella instrument som införts till skydd för enskilda inom hälso- och sjukvård samt forsk- ning. För att möta Sveriges internationella åtaganden på detta om- råde infördes 2004 en särskild lag om etikprövning av forskning som avser människor. Forskares möjlighet att få tillgång till personupp- gifter och skyddet för personuppgifterna hos forskningshuvudman som är en statlig myndighet regleras av bestämmelserna om offent- lighet och sekretess och av personuppgiftslagen (1998:204) (PUL). Sättet för utlämnande av personuppgifter regleras bland annat i en särskild bestämmelse i lagen (2001:99) om den officiella statistiken som beskrivs översiktligt i kapitlet. I det avslutande avsnittet redo- görs närmare för de bestämmelser som bland annat rör bevarandet av allmänna handlingar, däribland forskningsunderlag.

115

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.2Internationell reglering till skydd för den personliga integriteten vid behandling av personuppgifter

5.2.1FN:s allmänna förklaring om de mänskliga rättigheterna m.m.

Den allmänna förklaringen om mänskliga rättigheter antogs år 1948 av FN:s generalförsamling. Förklaringen omfattar politiska och med- borgerliga rättigheter men även sociala, ekonomiska och kulturella. Den allmänna förklaringen är inte bindande för medlemsstaterna men ses numera som ett uttryck för sedvanerättsliga regler. Skyddet för den personliga integriteten behandlas i artikel 12. Där stadgas att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Vidare anges i artikel 29 att en person endast får underkastas sådana inskränkningar som har fast- ställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd.

FN har också antagit den internationella konventionen om med- borgerliga och politiska rättigheter. Konventionen antogs 1966 och trädde i kraft 1976. För närvarande är cirka 150 stater, däribland Sverige, anslutna till konventionen. I artikel 17 i konventionen upp- repas innehållet i ovannämnda artikel 12 i den allmänna förklaringen. För att öka respekten för konventionens rättigheter har vissa kon- troller införts, band annat rapporteringsskyldighet för medlemsstater- na. Kommittén för mänskliga rättigheter (Human Rights Committee) har inrättats för att övervaka att medlemsstaterna efterlever sina skyldigheter enligt konventionen.

I sammanhanget bör också nämnas att FN:s generalförsamling år 1990 antog riktlinjer om datoriserade register med personuppgifter (Guidelines concerning computerized personal data files). Riktlinjer- na anger tio grundläggande principer som medlemsstaterna ska ta hänsyn till vid lagstiftning avseende datoriserade register med person- uppgifter. Det anges bland annat att personuppgifter inte får samlas in eller behandlas på ett olagligt sätt eller användas för syften som står i strid med FN:s stadga. Ändamålet med registret ska vara spe- cificerat, berättigat och på något sätt uttryckligt angivet för den

116

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

som berörs. Detta är för att försäkra att alla personuppgifter som samlas in och behandlas är relevanta och adekvata för det angivna ändamålet, att uppgifterna inte används i strid med det angivna ända- målet och att uppgifterna inte bevaras längre än som krävs för att uppfylla det angivna ändamålet. Enligt riktlinjerna ska var och en ha rätt att få reda på om information om henne eller honom är registre- rad och i så fall vilken. Var och en ska vidare ha rätt till rättelse eller utplåning av onödiga eller felaktiga uppgifter. Uppgifter som kan ge upphov till diskriminering, till exempel information om ras eller etniskt ursprung, sexualliv, politiska åsikter eller religiös eller filoso- fisk övertygelse bör inte registreras. Den som för registret ansvarar för att tillbörliga åtgärder vidtas för att skydda uppgifterna från obehörig åtkomst, missbruk och smitta av datavirus. Det ska i varje land finnas en myndighet med ansvar att övervaka att lagstiftningen på området efterlevs. Överträdelse av bestämmelserna ska leda till sanktioner.

5.2.2Europakonventionen

Den europeiska konventionen av den 4 november 1950 om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) inkorporerades i svensk rätt den 1 januari 1995 och gäller sedan dess som lag i Sverige. Av 2 kap. 19 § rege- ringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med Sveriges åtaganden på grund av konventionen.

Det är framför allt artikel 8 i konventionen som har betydelse för skyddet av den personliga integriteten. I bestämmelsen anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Av andra punkten följer att en offentlig myndighet inte får inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förbyggande av oordning eller brott eller till skydd för hälsa och moral eller för andra personers fri och rättigheter.

Behandling av personuppgifter kan falla inom tillämpningsom- rådet för artikel 8 i Europakonventionen, dock endast i de fall be- handlingen avser uppgifter om privatliv, familjeliv, hem eller korre- spondens. Artikel 8 innebär att staten ska avhålla sig från ingrepp i den skyddade rättigheten, men också en skyldighet för staten att

117

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

vidta åtgärder för att skydda den enskildes privata sfär.1 Bestäm- melsen innebär således en skyldighet att upprätthålla skyddet för privatlivet genom lagstiftning, men kan också medföra en skyldig- het för myndigheter att agera i enskilda fall.

För att vara förenligt med artikel 8 måste ett ingrepp i den kon- ventionsskyddade rättigheten ha stöd i inhemsk lag. Lagen ska vara tillgänglig för allmänheten och utformad med sådan precision att inskränkningarna är förutsebara.2 Ingreppet ska vidare vara nödvän- digt. Det krävs således att det finns ett ”angeläget samhälleligt behov”. Slutligen ska inskränkningen i den grundläggande rättigheten stå i rimlig proportion till det syfte som ska tillgodoses genom inskränk- ningen. Varje konventionsstat har viss frihet att avgöra om en in- skränkning är nödvändig, men Europadomstolen förbehåller sig rätten att övervaka om friheten utnyttjas på ett rimligt sätt.

5.2.3Europarådets Dataskyddskonvention

Europarådets ministerkommitté antog år 1981 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av person- uppgifter, den så kallade dataskyddskonventionen. Konventionen trädde i kraft den 1 oktober 1985. Samtliga medlemsstater i EU har ratificerat konventionen. Konventionen är bindande för de länder som tillträtt den. Till konventionen ansluter en rad rekommenda- tioner om hur personuppgifter bör behandlas inom olika områden, till exempel rekommendation nr R (83) 10 till skydd för person- uppgifter som används för vetenskaplig forskning och statistik. Rekommendationerna är inte direkt bindande.

Konventionen har enligt artikel 1 till syfte att säkerställa respek- ten för grundläggande fri- och rättigheter, särskilt rätten till personlig integritet i samband med automatisk databehandling av personupp- gifter.3 Konventionens tillämpningsområde är enligt artikel 2 automa- tiserade personregister och automatisk databehandling av person- uppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet. Den centrala delen av konventionen är kapi- tel II (artikel 4–11) som innehåller de grundläggande principerna för dataskydd. Det finns bland annat krav på att personuppgifter

1Danelius, H., Mänskliga rättigheter i europeisk praxis, 4 uppl., 2012, s. 347 f.

2Danelius, H., Mänskliga rättigheter i europeisk praxis, 4 uppl., 2012 s. 351.

3Begreppet ”automatisk databehandling” behandlas i avsnitt 5.3.4.4.

118

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

som undergår automatisk databehandling ska erhållas och behand- las på ett korrekt och lagligt sätt, vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras och inte bevaras längre tid än nödvändigt (artikel 5). Uppgifter som avslöjar ras, politiska åsikter, hälsa och sexualliv samt att någon dömts för brott får inte behandlas om inte nationell lag ger ett ändamålsenligt skydd (artikel 6). Konventionen innehåller också bestämmelser om bland annat krav på säkerhetsåtgärder, information till den registrerade samt sanktioner och rättsmedel.

Europarådet inledde år 2010 en översyn av konventionen som fortfarande pågår.

5.2.4OECD:s riktlinjer

Inom Organisationen för ekonomiskt samarbete och utveckling (OECD) har en expertgrupp utarbetat riktlinjer avseende integri- tetsskyddet och flödet av personuppgifter över gränserna: Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd. Samtidigt antogs en rekommendation till medlemsländernas regeringar att beakta riktlinjerna i nationell lagstiftning. Sverige har liksom samtliga andra medlemsländer godtagit rekommendationerna och därmed åtagit sig att följa riktlinjerna. Syftet med dessa är att försöka undvika de risker för intrång i den personliga integriteten och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behand- las, deras natur eller det sammanhang i vilket de används.4 Rikt- linjerna är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn och avser både uppgifter som lagras auto- matiskt och uppgifter som förs manuellt. Riktlinjerna är att uppfatta som minimiregler. Det är således inget som hindar att det nationella skyddet görs mer omfattande än riktlinjerna anger. Riktlinjerna inne- håller en särskild avdelning som anger åtta grundläggande principer till skydd för den personliga integriteten på det nationella planet. Här anges bland annat att personuppgifter ska vara relevanta för de ändamål för vilka de ska användas och vara riktiga och fullständiga samt hållas aktuella. En annan grundläggande princip är att de ända- mål för vilka personuppgifterna samlades in ska vara preciserade senast vid insamlingen.

4 SOU 1997:39 s. 170 f.

119

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.2.5Europeiska unionens stadga om de grundläggande rättigheterna

Vid Europeiska rådets möte i Nice år 2000 antog medlemsstaterna Europeiska unionens stadga om de grundläggande rättigheterna (EU- stadgan).5 Stadgans syfte är att kodifiera de grundläggande fri-och rättigheter som EU redan dessförinnan har erkänt. I stadgan anges de grundläggande rättigheterna under sex huvudrubriker: värdighet, frihet, jämlikhet, solidaritet, medborgarskap och rättvisa. Liksom Europakonventionen förbjuder stadgan bland annat tortyr, slaveri och tvångsarbete och ger ett skydd för människans rätt till frihet och säkerhet och rätten till en rättvis rättegång. Stadgan innehåller dessutom ytterligare rättigheter som inte finns med i Europakonven- tionen, till exempel personuppgiftsskydd och rätten till god förvalt- ning.

När det gäller skyddet för den personliga integriteten anges i stadgan att var och en har rätt till fysisk och mental integritet (arti- kel 3). Alla har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7) samt skydd för person- uppgifter som rör honom eller henne (artikel 8). I artikel 8 anges vidare att personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få till- gång till insamlade uppgifter och att få rättelse av dem. I artikeln stadgas också att en oberoende myndighet ska kontrollera att regler- na efterlevs.

Enligt artikel 35 har var och en rätt till tillgång till förebyggande hälsovård och till medicinsk vård på de villkor som fastställs i natio- nell lagstiftning och praxis. En hög nivå av skydd för människors hälsa ska säkerställas vid utformning och genomförande av all unionspolitik och alla unionsåtgärder.

Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna numera är rättligt bindande när EU-institutionerna och medlemsländerna tillämpar EU:s lagar och regler.6

5SOU 2010:4 s. 104.

6Prop. 2007/08:168 s. 58.

120

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.2.6Sammanfattning

Av redogörelsen framgår att Sverige förbundit sig att säkerställa respekten för grundläggande fri- och rättigheter, däribland rätten till personlig integritet i samband med automatisk databehandling av personuppgifter. När det gäller hur skyddet för den personliga integriteten i samband med databehandling ska utformas är det vissa principer som återkommer i de olika dokumenten och riktlinjerna. Av central betydelse är kravet att personuppgifter endast får samlas in för ett eller flera angivna ändamål. Uppgifterna ska erhållas och behandlas på ett korrekt och lagligt sätt, vara ändamålsenliga, rele- vanta och inte onödiga för de ändamål för vilka de lagras och inte bevaras längre tid än nödvändigt. Uppgifter av särskilt känslig natur, vanligtvis sådana som avslöjar ras eller etnicitet, politiska åsikter, facklig tillhörighet, hälsa och sexualliv eller att någon har dömts för brott, får endast behandlas under särskilda omständigheter som regleras i lag. Vanligtvis finns också krav på bestämmelser om bland annat säkerhetsåtgärder, information till den registrerade samt sank- tioner och rättsmedel. I sammanhanget bör påpekas att det i vissa av de angivna dokumenten också finns rättigheter som delvis måste tillgodoses genom forskning, till exempel rätten till förebyggande hälsovård och till medicinsk vård i EU-stadgan.

De principer som redovisas ovan återkommer i dataskyddsdirek- tivet som redovisas i avsnitt 5.3.2.

5.3Nationell reglering till skydd för den personliga integriteten vid behandling av personuppgifter

5.3.1Regeringsformen

Regeringsformen (RF) innehåller vissa grundläggande bestämmelser till skydd för den personliga integriteten. Enligt målsättningsstad- gandet i 1 kap. 2 § första stycket ska den offentliga makten utövas med respekt band annat för den enskilda människans frihet. I fjärde stycket samma paragraf anges att det allmänna ska värna om den enskildes privat- och familjeliv. Målsättningsstadgandet anger några av de viktigaste målen för samhällets verksamhet men har inte någon bindande verkan för det allmänna.7 Bestämmelsen kan således inte ligga till grund för några individuella rättigheter. I 2 kap. 4 och 5 §§

7 Prop. 1975/76:209 s. 128, prop. 2009/10:80 s. 173.

121

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

finns bestämmelser om förbud mot allvarliga fysiska integritets- intrång såsom döds- och kroppsstraff och enligt 2 kap. 6 § är var och en skyddad gentemot det allmänna mot påtvingade kroppsliga in- grepp.

För att stärka skyddet för den personliga integriteten infördes den 1 januari 2011 ett nytt andra stycke i 2 kap. 6 § RF. I bestäm- melsen anges att var och en är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen får enligt 2 kap. 20 § RF begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokra- tiskt samhälle. Begränsningen får inte gå utöver vad som är nödvän- digt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsikts- bildningen (2 kap. 21 § RF). Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskåd- ning.

I förarbetena till grundlagsändringen anförs att resultatet av Integritetsskyddskommitténs kartläggning och analys av lagstiftning som rör den personliga integriteten ger belägg för slutsatsen att lag- stiftning som innefattar intrång i den enskildes personliga integritet i viss utsträckning uppvisar brister, bland annat i att de avvägningar mellan olika motstående intressen som normalt ska göras i lagstift- ningsärenden i vissa fall är bristfälligt redovisade. 8 Det anförs vidare att kommittén konstaterar att grundlagarna starkt betonar vikten av yttrande- och informationsfrihet och att den fria åsiktsbildningen intar en privilegierad ställning. När det gäller grundlagsbestämmelser som har betydelse för integritetsskyddet finns endast förbud mot politisk åsiktsregistrering och ett förbud mot husrannsakan, hemlig avlyssning med mera utan stöd i lag, bestämmelser vars främsta syfte är att skydda den fria åsiktsbildningen. Kommittén konstaterar att lagstiftaren inte lägger tillräcklig vikt vid integritetsskydds- aspekterna när ny lagstiftning arbetas fram.

I propositionen anförs att respekten för individens självbestäm- mande är grundläggande för en demokrati. Vidare anges att vikten av respekt för individens rätt att själv förfoga över och ta ställning till det allmännas tillgång till sådan information som rör hans eller hennes privata förhållanden kommer att betonas på ett tydligare sätt om skyddet för den personliga integriteten i 2 kap. RF stärks. En

8 Prop. 2009/10:80 s. 176.

122

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

sådan förstärkning kan även förväntas främja intresset av en fri åsiktsbildning och antas öka Sveriges trovärdighet som fördrags- slutande part till Europakonventionen. Målet med regleringen är enligt propositionen att tvinga lagstiftaren att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen och att öka förutsättningarna för att avvägningarna i fråga om identitets- intrånget blir mer ingående belysta.9

Bestämmelserna i 2 kap. 6 § andra stycket RF medför att behand- lingar av information om enskildas personliga förhållanden som sker utan den enskildes samtycke som innebär övervakning eller kart- läggning av den enskilde och som innebär ett betydande intrång i den personliga integriteten måste anges i lag. Med enskildas personliga förhållanden avses enligt förarbetena vitt skilda slag av information som är knuten till den enskildes person, till exempel uppgifter om namn och andra personliga identifikationsuppgifter, adress, familje- förhållanden, hälsa och vandel.10 Även fotografisk bild samt uppgifter som inte är direkt knutna till den enskildes privata sfär, exempelvis uppgift om anställning, omfattas av uttrycket. Även en uppgift om en persons ekonomi torde omfattas.

När det gäller frågan om samtycke anförs i motiven att integri- tetsskyddet bör ta sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande.11 Om åtgärderna däremot förutsätter den enskildes godkännande kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att det bör omfattas av ett stärkt grundlagsskydd. Detta gäller oberoende av vilka slags uppgifter åt- gärden eller behandlingen avser. PUL bör enligt förarbetena kunna tjäna som vägledning vid bedömningen av vad som krävs för att en åtgärd ska falla utanför grundlagsskyddet redan på grund av att den vidtas med den enskildes samtycke.

Avseende begreppen övervakning och kartläggning anförs i för- arbetena att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om beskattning eller liknande, i många fall kan anses innebära kartlägg- ning av enskildas förhållanden även om avsikten inte är att kartlägga enskilda.12 Så torde fallet vara i fråga om ett stort antal uppgifts-

9Prop. 2009/10:80 s. 177.

10Ibid.

11Prop. 2009/10:80 s. 178 f.

12Prop. 2009/10:80 s. 180.

123

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

samlingar som det allmänna förfogar över. En mycket stor mängd information som rör enskildas personliga förhållanden finns till exempel lagrad i Skatteverkets, Tullverkets, Försäkringskassans och Kronofogdemyndighetens olika databaser. Även Statistiska central- byrån (SCB) och andra statistikansvariga myndigheter lagrar och bearbetar stora mängder uppgifter om enskildas personliga förhål- landen i sina databaser.13 Flera av dessa uppgiftssamlingar omfattar en stor andel av landets hela befolkning och flera av dem innehåller också till viss del mycket integritetskänsliga uppgifter. Myndighets- specifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering förekommer inom i stort sett all statlig och kommunal förvaltning. Särskilda föreskrifter som anger de närmare förutsättningarna för informationshante- ringen finns för till exempel socialtjänsten, studiestödsverksamheten, Kriminalvården och den brottsbekämpande verksamheten hos såväl polismyndigheterna, Tullverket och åklagarmyndigheterna som Skatteverket och Kustbevakningen samt hos domstolarna. I flertalet fall är uppgifterna tillgängliga för myndigheterna på sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behand- lingen är ett helt annat. Det förekommer även att uppgiftssamlingar inrättas och utformas i syfte att fungera som mer utpräglade person- register. Som exempel nämns polisens belastningsregister. Vidare kon- stateras att en rad åtgärder som innefattar insamling av information om enskildas personliga förhållanden i andra situationer kan anses innebära övervakning, till exempel hemlig kameraövervakning, tele- avlyssning och teleövervakning. Det betonas att det är åtgärdens effekter som är av avgörande betydelse vid bedömningen av om den ska anses falla under grundlagsbestämmelsens tillämpningsområde, inte det huvudsakliga syftet med åtgärden.

Grundlagsskyddet omfattar endast betydande integritetsintrång och i förarbetena betonas att grundlagsbestämmelsen bara omfattar vissa kvalificerade intrång i den personliga integriteten.14 Vid bedöm- ningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även

13Se kapitel 3.

14Prop. 2009/10:80 s. 183.

124

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med be- handlingen. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. I detta sam- manhang anförs det att konstitutionsutskottet i flera lagstiftnings- ärenden som rört myndigheters personuppgiftsbehandling framfört att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i form av lag och att regeringen vid flera tillfällen har instämt i denna bedöm- ning.15 Regeringen har också uttalat att behovet av lagstiftning är särskilt stort om uppgifterna sprids externt i en inte obetydlig om- fattning.16

Vid bedömningen av vad som kan anses utgöra ett betydande in- trång bör flera omständigheter vägas in. Förutom de ovan angivna nämns i förarbetena att även omfattningen av utlämnandet av upp- gifter till andra som sker utan omedelbart stöd av offentlighetsprin- cipen kan vara av betydelse vid bedömningen. Däremot bör den närmare avgränsningen av grundlagsbestämmelsens tillämpnings- område inte påverkas av sekretesslagstiftningens utformning. Den omständigheten att sekretesslagstiftningen innehåller en presumtion för offentlighet, det vill säga ett rakt skaderekvisit, för uppgifter i en viss myndighets verksamhet bör således inte i sig utgöra skäl för bedömningen att myndighetens behandling av uppgifterna faller utan- för det utvidgade grundlagsskyddet. Även om intresset av insyn är så stort att det inte är motiverat att införa långtgående begränsningar i allmänhetens rätt att få tillgång till handlingar, kan uppgifterna och hanteringen av dem således vara så integritetskänslig att den bör omfattas av grundlagsskyddet. Det förhållandet att de uppgifter som behandlas av en myndighet omfattas av sekretess med ett om- vänt skaderekvisit bör inte heller utgöra en omständighet som med automatik innebär att en bestämmelse om uppgiftsskyldighet måste anses omfattas av den nya grundlagsbestämmelsens tillämpningsom-

15 Prop. 1990/91:60 s. 58, bet. 1990/91:KU 11 s. 11, bet. 1997/98:KU 18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även till exempel prop. 1990/91:60 s. 58, prop. 1997/98:108 s. 39 och prop. 2011/12:176 s.20.

16 Prop. 1990/91:60 s. 58.

125

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

råde. Även andra omständigheter måste beaktas vid bedömningen av hur långtgående intrång uppgiftsskyldigheten innebär när ställning tas till om föreskrifterna omfattas av den nya bestämmelsen. En sådan omständighet kan vara på vilket sätt och för vilka syften mottaga- ren av uppgifterna hanterar utlämnade uppgifter.

I förarbetena anges att det är förenat med svårigheter att peka ut vilka specifika företeelser som är av sådant slag att de innebär ett betydande intrång i integriteten.17 I sista hand är det riksdagen som får avgöra vilka företeelser som är av så ingripande karaktär att de inte bör kunna begränsas på annat sätt än genom lag.

5.3.2Dataskyddsdirektivet

5.3.2.1Syfte

Inom EU regleras behandling av personuppgifter i Europaparlamen- tets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, det så kallade dataskyddsdirek- tivet. Syftet med direktivet är enligt artikel 1.1 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privat- liv, i samband med behandling av personuppgifter. Det anges i arti- kel 1.2 att medlemsstaterna inte får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna på grund av detta skydd. Målet med direktivet är att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter mellan medlemsländerna.18 Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när be- handling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen.

5.3.2.2Huvuddragen i direktivet

Huvuddragen i direktivet är sammanfattningsvis följande.19 Direk- tivet är tillämpligt på all behandling av personuppgifter som sker helt eller delvis på automatisk väg. Direktivet omfattar även icke automa- tisk behandling av personuppgifter om de ingår eller är avsedda att

17Prop. 2009/10:80 s. 185.

18Prop. 1997/98:44 s. 34.

19Prop. 1997/98:44 s. 35

126

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

ingå i ett register. Med register avses i sammanhanget varje struk- turerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.20 Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten, till exempel den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straff- rättens område och inte heller på register för privat bruk. Även be- handling av personuppgifter för uteslutande journalistiska, konstnär- liga och litterära ändamål undantas.

Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare an- vändas på ett sätt som är oförenligt med ursprungsändamålet. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska inte anses oförenlig med dessa ändamål, förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder.

Personuppgifter får behandlas när den enskilde lämnat sitt sam- tycke. Därutöver får personuppgifter behandlas endast när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en författningsreglerad förpliktelse att behandling av uppgifterna ska ske, när det är nödvändigt för att skydda den en- skildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller om det i övrigt skett en intresseavvägning som resulterat i att behandling av personuppgifter ska få ske.

Medlemsstaterna ska förbjuda behandling av känsliga personupp- gifter, det vill säga uppgift som avslöjar ras21, religion, politisk åsikt, facklig tillhörighet eller som rör hälsa och sexualliv. Det finns dock vissa undantag från denna huvudregel, bland annat vid den enskil- des uttryckliga samtycke, för ideella föreningars medlemsregister och för hälso- och sjukvårdens administration. Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndig- heten besluta om andra undantag från förbudet än dem som anges i direktivet, dock endast under förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma på vilka villkor nationella identifikationsnummer får behandlas.

20I punkt 27 i ingressen till direktivet anges att innehållet i ett register måste vara struktu- rerat enligt särskilda kriterier som avser den enskilda personen, för att lätt ge tillgång till personuppgifterna. Akter eller grupper av akter eller deras omslag som inte är strukturerade efter särskilda kriterier faller inte inom direktivets tillämpningsområde.

21Användningen av begreppet ”ras” kommenteras i avsnitt 5.3.4.8.

127

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

När personuppgifter samlas in ska den registrerade informeras om bland annat vem som är registeransvarig och vad uppgifterna ska användas till. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige emellertid inte lämna någon in- formation, om den registrerade redan känner till informationen eller om det skulle visa sig omöjligt eller innebära en arbetsinsats som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Den re- gistrerade har också rätt att få sådana uppgifter som inte har behand- lats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller vidare regler om säkerhet vid behandlingen.

All behandling av personuppgifter ska enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter från anmälningsskyldigheten. Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att till- synsmyndigheten först gett tillstånd till detta.

Den registrerade ska ha rätt att få sina rättigheter enligt den natio- nella lagen prövad av tillsynsmyndigheten och av domstol. Tillsyns- myndigheten ska vara ett oberoende organ. Den ska ha undersök- ningsbefogenheter och befogenheter att effektivt ingripa mot otillåten behandling av personuppgifter.

Överföring av personuppgifter till ett tredje land, som i detta sammanhang innebär ett land utanför EU, får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå.

5.3.2.3Kompletterande rättsakter

Inom EU finns också vissa kompletterande rättsakter till data- skyddsdirektivet, bland annat rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (data- skyddsrambeslutet) med särskilda regler om skydd för personupp- gifter i frågor som rör polisiärt och straffrättsligt samarbete.

128

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.3.2.4Reformarbete

Europeiska kommissionen presenterade i november 2010 meddelan- det Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM/2010/0609) som innehöll en strategi för att stärka EU:s regler om dataskydd. Både rådet och parlamentet uttryckte sitt stöd för kommissionens strategi. I januari 2012 lade kommis- sionen fram ett förslag till reform av EU:s regler om skydd för per- sonuppgifter. Förslaget innebär bland annat att dataskyddsdirektivet ska ersättas av en allmän dataskyddsförordning. En förordning har direkt effekt i medlemsländerna. Det innebär att förslaget, om det genomförs, inte bara kommer att ersätta dataskyddsdirektivet utan även PUL.

I Europaparlamentet behandlades förslaget i LIBE-utskottet (Committee for Civil Liberties, Justice and Home Affairs). Rapportören Jan Philipp Albrecht lade fram ett förslag till betän- kande i december 2012. Ett förslag med parlamentets ändringar antogs av parlamentet den 12 mars 2014 med 621 ja-röster mot 10 nej-röster och 22 nedlagda. I Ministerrådet behandlar rådsarbets- gruppen för dataskydd (DAPIX) kommissionens förslag. Ett stort antal möten har hållits under våren 2014. Det grekiska ordförande- skapet planerar att nå en partiell allmän inriktning om kapitlet som rör överföring av personuppgifter till tredje land till ministermötet i juni 2014. På grund av valet till Europaparlamentet i maj 2014 kommer förhandlingar mellan Ministerrådet och Europaparlamentet att inledas tidigast under andra halvan av 2014.

5.3.3Kommissionens förordning om tillgång till konfidentiella uppgifter för vetenskapliga syften

EU-kommissionen antog 2013 en förordning om tillämpning av Europaparlamentets och rådets förordning om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften.22 I ingressen (preamble) till förordningen slås fast att rätt- visande svar på många ekonomiska, sociala, miljörelaterade och poli- tiska frågor endast kan nås med hjälp av relevanta och detaljerade uppgifter som möjliggör djupgående analyser. Kvaliteten på och

22 Kommissionens förordning (EU) nr 557/2013 av den 17 juni 2013 om tillämpning av Europaparlamentets och rådets förordning (EG) nr 223/2009 om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften och om upphävande av kommis- sionens förordning (EG) nr 831/2002.

129

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

aktualiteten hos de detaljerade uppgifter som är tillgängliga för forsk- ning har därför blivit ett viktigt inslag i en vetenskapligt underbyggd förståelse och styrning av samhället. Vidare anges att forskar- världen därför bör få bättre möjligheter att ta del av konfidentiella uppgifter som används för utveckling, framställning och spridning av europeisk statistik, för analys i den vetenskapliga utvecklingens intresse, utan att det äventyrar den höga skyddsnivå som krävs för konfidentiella statistikuppgifter. I förordningen fastställs villkoren för när tillgång till konfidentiella uppgifter som översänts till EU:s statistikmyndighet Eurostat får beviljas för att möjliggöra statistiska analyser för vetenskapliga syften. I förordningen anges också reglerna för samarbetet mellan Eurostat och de nationella statistikansvariga myndigheterna för att underlätta sådan tillgång.

Enligt artikel 3 ska vissa krav vara uppfyllda för att Eurostat ska få lämna ut uppgifter för forskningsändamål. Den som begär tillgång till uppgifterna ska vara en erkänd forskningsenhet och ett lämpligt forskningsförslag ska lämnas in. I ansökan ska anges vilken typ av konfidentiella uppgifter för vetenskapliga syften som begärs. Till- gången ska ges antingen genom kommissionen (Eurostat) eller genom en annan åtkomstplats som kommissionen (Eurostat) godkänt. Den nationella statistikansvariga myndighet som lämnat uppgifterna ska också ge sitt medgivande till utlämnande. I artikel 4 anges vilka kriterier en forskningsenhet ska uppfylla för att bli en erkänd forsk- ningsenhet. Förordningen innehåller också definitioner av vissa be- grepp samt bestämmelser om vad forskningsförslag ska innehålla, de nationella statistikansvariga myndigheternas ståndpunkt, lämpliga skyddsåtgärder, tillgången till konfidentiella uppgifter genom åt- komstplatser och organisatoriska frågor. Till förordningen hör särskil- da riktlinjer23 med närmare bestämmelser om den praktiska tillämp- ningen av förordningen när det gäller bland annat bedömning av forskningsenheter, upprättande av forskningsförslag och godkän- nande av åtkomstplatser och lämpliga säkerhetsåtgärder.

23 Guidelines for the assessment of research entities, reserach proposals and access facilities.

130

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.3.4Personuppgiftslagen

5.3.4.1Personuppgiftslagens syfte och förhållande till annan lagstiftning

Dataskyddsdirektivet har genomförts i svensk rätt genom PUL och personuppgiftsförordningen (1998:1191), PUF. PUL följer i stort sett dataskyddsdirektivets text och disposition och innehåller bland annat bestämmelser om behandling av personuppgifter, personupp- giftsansvar, information till den registrerade, skadestånd och straff. Syftet med PUL är, enligt 1 §, att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Av 2 § PUL framgår att lagen är subsidiär i förhållande till andra författningar. Det innebär att om det finns en annan lag eller förordning som avviker från PUL, ska de bestämmelserna tillämpas i stället. Sådana avvikande bestämmelser finns ofta i så kallade re- gisterförfattningar som reglerar inrättandet och förfarandet av vikti- gare register på det offentliga området. Även bestämmelser som föreskriver att myndigheter eller enskilda får eller ska lämna ut upp- gifter avses i paragrafen. Bestämmelser om så kallad uppgiftsskyl- dighet går således före bestämmelserna i PUL.

5.3.4.2Några viktiga begrepp

3 § PUL innehåller definitioner av vissa grundläggande begrepp. Avsikten är att definitionerna i PUL ska ha samma innebörd som enligt dataskyddsdirektivet.24

Behandling (av personuppgifter) avser varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Som exempel på behandling anges i be- stämmelsen insamling, registrering, organisering, lagring, bearbet- ning eller ändring, återvinning, inhämtande, användning, utlämnan- de genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller sambearbetning, blockering, utplå- ning eller förstöring. Så snart personuppgifter på något sätt hanteras är det enligt förarbetena fråga om en behandling som faller inom PUL:s tillämpningsområde, om behandlingen är automatisk eller avser ett manuellt personregister.25 Avsikten är att alla former av hante- ring ska omfattas.

24SOU 1997:39 s. 327.

25SOU 1997:39 s. 332.

131

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Mottagare definieras som den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare.

Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Defini- tionen av personuppgifter innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Det bör dock tilläggas att en uppgift om en avliden person i vissa fall kan säga något om en levande person och därmed också utgöra en personuppgift. I förarbetena anförs att en uppgift om en persons arvsanlag (DNA) kan vara en uppgift som avser flera personer efter- som denna uppgift i kombination med andra uppgifter kan ge upp- lysning om den personens föräldrar och avkomma.26

Enligt förarbetena omfattas även kodade personuppgifter av PUL, så länge någon kan göra uppgifterna läsbara och därmed identifiera individer.27 Även sådana uppgifter som i sig är anonyma men som möjliggör identifikation genom så kallad bakvägsidentifikation av en fysisk person omfattas. I förarbetena tolkas begreppet så att det endast krävs att en fysisk person kan identifieras med hjälp av upp- gifterna, inte att den personuppgiftsansvarige själv förfogar över samt- liga uppgifter som gör identifieringen möjlig. I förarbetena anges som exempel ett trafikföretag som kan registrera när ett personligt och numrerat så kallat månadskort används vid resor. Även om trafikföretaget inte registrerat vem som innehar månadskortet, kan det ändå vara fråga om en personuppgift eftersom den uppgiften kan finnas registrerad på något annat håll, till exempel hos den skola eller socialförvaltning som delat ut kortet.

Som exempel på personuppgifter kan nämnas personnummer, registreringsnummer för fordon, kundnummer och lägenhetsnum- mer.

Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Så snart det förekommer en behandling av person- uppgifter i lagens mening finns det en eller flera personuppgifts- ansvariga för den behandlingen. Den personuppgiftsansvarige har ett skadeståndssanktionerat ansvar för att behandlingen av person- uppgifter sker i enlighet med bestämmelserna i PUL. Som huvud- regel kan därför bara fysiska personer, juridiska personer, utländska

26SOU 1997:39 s. 338.

27Ibid. I förarbetena används begreppet krypterade i stället för kodade.

132

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

filialer eller myndigheter betraktas som personuppgiftsansvariga, inte några andra ”organ” som saknar rättskapacitet och således inte kan ådömas skadestånd.28

Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Både fysiska och juridiska personer kan vara personuppgiftsbiträde. Den personuppgiftsan- svarige har skadeståndsansvar gentemot de registrerade för person- uppgiftsbiträdets behandling av personuppgifter. Personuppgifts- biträden har inte enligt lagen något eget skadeståndsansvar gentemot de registrerade, men de kan genom avtal eller allmänna regler bli skadeståndsskyldiga gentemot den personuppgiftsansvarige för sina handlingar.

Ett personuppgiftsombud är en fysisk person som, efter förord- nande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt.

Den registrerade är den som en personuppgift avser. Av defini- tionen av personuppgifter framgår att den registrerade måste vara en fysisk person som är i livet.

Med samtycke avses enligt definitionen varje slag av frivillig, sär- skild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt.29 Vid en tvist torde dock den personuppgiftsansvarige ha bevisbördan för att den registrerade har lämnat sitt samtycke. Ett skriftligt sam- tycke kan därför ändå vara lämpligt.

Enligt definitionen ska det vara den registrerade som blir infor- merad och godtar behandlingen av sina personuppgifter. Det är så- ledes den registrerade själv som ska lämna sitt samtycke. Att till exem- pel en organisation som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar är inte tillräckligt. Samtycket måste vara individuellt.30

Frågan om samtycket i alla lägen måste avges personligen, det vill säga av den registrerade själv, har diskuterats i förarbetena.31 Datalagskommittén konstaterade att det verkar klart att ett ombud, en ställföreträdare eller en god man kan framföra den registrerades frivilliga, särskilda och informerade viljeyttring till den personupp- giftsansvarige (eller dennes ombud), och enligt kommittén bör ett

28SOU 1997:39 s. 336.

29SOU 1997:39 s. 341.

30Ibid.

31Ibid.

133

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

ombud eller en ställföreträdare kunna lämna samtycke på den re- gistrerades vägnar.

Det har inte ställts upp några särskilda, rättsliga krav för att någon ska få avge ett samtycke. Det anges i förarbetena att ett samtycke ska vara en informerad viljeyttring från den registrerade och att den som faktiskt kan tillgodogöra sig information om vad en behand- ling innebär och som faktiskt kan avge en frivillig viljeyttring, som innebär att han eller hon godtar behandlingen, kan lämna ett rätts- ligt giltigt samtycke. Det anses naturligt att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respekterar individen i den meningen att den som förstår vad det handlar om får bestämma själv.32 Frågan om när någon har sådan mognad att han eller hon förstår vad sam- tycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare bör kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen viljeyttring.

Datalagskommittén tar vidare upp frågan om vad kravet på fri- villighet innebär. I förarbetena nämns som exempel den situation att samtycke till viss uppgiftsbehandling uppställs som en förutsätt- ning för att den registrerade ska få något som han eller hon önskar eller behöver, till exempel ett telefonabonnemang, en livsnödvändig sjukvårdsbehandling eller en anställning. Det konstateras att om situ- ationen är sådan att den registrerade i praktiken inte kan avstå, kan samtycket inte gärna vara ”frivilligt”. Det anförs dock att undantag får göras om det kan visas att den registrerade skulle ha lämnat sam- tycket även utan ”tvånget”. Även omständigheten att en registrerad kan ha en underordnad eller beroende ställning i förhållande till den personuppgiftsansvarige bör beaktas vid bedömningen av om ett samtycke har lämnats frivilligt.

Kravet på att samtycket ska vara särskilt medför att ett generellt samtycke till uppgiftsbehandling inte accepteras. Den registrerade ska informeras om vilken eller vilka behandlingar som ska göras och de är dessa, och inga andra, som det särskilda samtycket avser.33 Definitionen av begreppet samtycke innebär också att ett så kallat hypotetiskt samtycke inte kan godtas. Med hypotetiskt samtycke avses att man på olika grunder antar att individen i fråga skulle ha samtyckt om han eller hon hade ställts inför frågan.

32Ibid.

33SOU 1997:39 s. 342.

134

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Tillsynsmyndigheten är den myndighet som regeringen utser för att utöva tillsyn. Enligt 2 § PUF är Datainspektionen tillsynsmyn- dighet.

5.3.4.3Det territoriella tillämpningsområdet

Det följer av 4 § PUL att lagen gäller för sådana personuppgifts- ansvariga som är etablerade i Sverige. Det framgår vidare av bestäm- melsen att lagen som huvudregel också tillämpas när den person- uppgiftsansvarige är etablerad i en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbets- området men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige. Undantag gäller dock om utrustningen bara används för att överföra uppgifter mellan två sådana länder.

5.3.4.4Behandling av uppgifter som omfattas av lagen

Det framgår av 5 § PUL vilka personuppgifter som omfattas av lagen. Bestämmelsen har följande lydelse.

5 §

Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad.

Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

I bestämmelsens första stycke slås det fast att lagen gäller för all behandling av personuppgifter som är helt eller delvis automatise- rad. Enligt förarbetena är behandling i datorer av personuppgifter som finns i datorformat (i binär form), inklusive överföringen av personuppgifter till sådant format, som regel att betrakta som auto- matiserad behandling.34 Så snart en personuppgift har kommit in i en dator eller motsvarande maskin skulle det alltså vara fråga om sådan automatiserad behandling som omfattas av lagen. Av punkt 14 och 15 i ingressen till dataskyddsdirektivet framgår att även ljud- eller bilduppgifter om fysiska personer omfattas om det sker med hjälp av automatisk databehandling eller om uppgifterna ingår eller

34 SOU 1997:39 s. 344.

135

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

avses att ingå i ett register. Däremot är det enligt förarbetena mera osäkert om och i vilken utsträckning reglerna om automatiserad behandling ska tillämpas på behandling av personuppgifter som inte finns i datorformat, till exempel bilder och ljud avseende individer som tas upp och lagras i något analogt format, såsom på ett negativ eller ett ljud- eller videoband.

Även delvis automatiserad behandling av personuppgifter om- fattas av lagen. Det innebär bland annat att lagen tillämpas redan när någon samlar in personuppgifter manuellt, till exempel via enkäter, med syfte att senare registrera uppgifterna i datorformat. Det inne- bär vidare att muntligt utlämnande eller utlämnande på papper av personuppgifter som finns i datorformat omfattas av lagen. Det gör även manuell, intern användning av sådana personuppgifter.35

Av 5 § andra stycket PUL framgår att lagen i vissa fall gäller även för sådan behandling av personuppgifter som inte är automati- serad. Den behandling som avses är manuellt behandlade person- uppgifter som ingår i eller är avsedda att ingå i ett register. I lagen används inte begreppet register utan i stället definitionen av ett re- gister, det vill säga en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Ett register är enligt förarbetena en samling av personuppgifter.36 Samlingen ska, för att utgöra ett register, innehålla uppgifter om fler än en person. En omfattande samling uppgifter om en enda person är således inte något register. För att något ska kunna sägas vara en samling krävs det vidare en viss beständighet. En hög med lösa papper på ett skrivbord omfattas således inte, även om papperen tillfälligt- vis råkar vara sorterade i bokstavsordning efter efternamn. Däremot krävs det inte att alla handlingar i ett register finns på ett och samma ställe. Om personuppgifter i pappershandlingar som är utspridda, till exempel på olika håll i landet eller inom ett företag, är tillgäng- liga med hjälp av ett centralt index, kan det ändå vara fråga om ett enda register. Ett annat exempel är att ett företag kan ha ett kort- register som innehåller kundernas namn och en hänvisning till det ställe, till exempel en filial, där kundens akt med ytterligare per- sonuppgifter finns.

35Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 122

36SOU 1997:39 s. 339.

136

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Uppgiftssamlingen måste också vara strukturerad.37 Det innebär att uppgifterna måste vara sorterade enligt något slags system. Det krävs dessutom att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Man måste alltså kunna söka bland uppgifterna i samlingen för att det ska vara fråga om ett register. Av punkt 15 och 27 i ingressen till dataskyddsdirektivet fram- går att kriterierna ska avse enskilda personer och vara utformade för att lätt ge tillgång till personuppgifterna. Ett manuellt register som visserligen innehåller personuppgifter men som inte är sökbart med hjälp av någon personuppgift (namn, personnummer et cetera) om- fattas således inte. Det kan till exempel vara fråga om akter som har ordnats efter löpnummer utan möjlighet att söka fram uppgifter om enskilda personer.

I dataskyddsdirektivet och PUL talas det om kriterier i pluralis. Enligt förarbetena skulle det innebära att registret måste vara sök- bart på mer än ett kriterium. En förteckning i bokstavsordning över personer skulle således inte vara ett register, om namnet är den enda sökingången. Om alla kriterier eller bara ett kriterium måste avse personuppgifter är dock mera oklart.38

5.3.4.5Undantag från personuppgiftslagen

Undantag för behandling av personuppgifter i ostrukturerat material

Enligt 5 a § PUL behöver vissa i bestämmelsen angivna hanterings- regler i PUL inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, så kallat ostrukturerat material. Av andra stycket i samma bestämmelse framgår att sådan behand- ling emellertid inte får utföras om den innebär en kränkning av den registrerades personliga integritet.

Bestämmelsen infördes den 1 januari 2007 som ett resultat av en översyn av PUL. Personuppgiftslagsutredningens uppdrag var att analysera förutsättningarna för en reglering med inriktning på miss- bruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet var att underlätta vardaglig hantering av person-

37SOU 1997:39 s. 339.

38SOU 1997:39 s. 340.

137

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

uppgifter samtidigt som den enskilde skulle ges ett effektivt skydd mot missbruk av uppgifterna.39

Bestämmelsen innebär en förenklad reglering för behandling av personuppgifter i ostrukturerat material såsom löpande text samt ljud och bild. Behandling får i sådana fall i princip utföras fritt så länge det inte uppkommer en kränkning av den registrerades personliga integritet.

Med ostrukturerat material avses sådant som inte framstår som något regelrätt personregister eller någon annan form av system som upprättats för att påtagligt underlätta sökning efter eller samman- ställning av just personuppgifter. I det undantagna området ingår till exempel produktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller ska infogas i en databas med en per- sonuppgiftsanknuten struktur såsom ett ärendehanteringssystem.40

Enligt bestämmelsens andra stycke får en sådan behandling av personuppgifter i ostrukturerat material som avses i första stycket inte utföras om den innebär en kränkning av den registrerades per- sonliga integritet. Det har inte ansetts möjligt eller lämpligt att i lagen införa en uttömmande uppräkning av alla de fall av behandling av personuppgifter som kan utgöra missbruk av personuppgifter och därmed en kränkning av en enskilds personliga integritet. Det kon- staterades i förarbetena att det är bäst att ha en allmänt hållen be- stämmelse om vad som utgör missbruk, som mot bakgrund av för- arbetena får uttolkas i rättspraxis och vägledning från till exempel Datainspektionen.41 Det har således lämnats åt rättstillämpningen att i varje enskilt fall, med beaktande av samtliga omständigheter, väga det intrång som kan ha skett i den personliga integriteten mot eventuella motstående intressen. I förarbetena lämnas ändå vissa riktlinjer för behandling av personuppgifter i ostrukturerat material. Av dessa framgår bland annat att personuppgifter inte ska behandlas för otillbörliga syften, så som förföljelse eller skandalisering, eller att man inte utan godtagbara skäl ska samla en stor mängd uppgifter om en person.42

39SOU 2004:6 s. 33.

40SOU 2004:6 s. 12, prop. 2005/06:173 s. 21.

41SOU 2004:6 s. 144.

42SOU 2004:6 s. 148, prop. 2005/06:173 s. 29.

138

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Det bör i sammanhanget noteras att undantagsbestämmelsen i 5 a § PUL i princip aldrig torde bli tillämplig vid behandling av personuppgifter för registerforskning.

Undantag för privat behandling av personuppgifter

Det framgår av 6 § PUL att lagen inte gäller för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verk- samhet av rent privat natur.

Förhållandet till tryck- och yttrandefriheten

Enligt 7 § PUL tillämpas inte bestämmelserna i lagen i den utsträck- ning det skulle strida mot bestämmelserna om tryck- och yttrande- frihet i tryckfrihetsförordningen (TF) eller yttrandefrihetsgrund- lagen (YGL).

Genom bestämmelsen undantas den grundlagsskyddade rätten att framställa yttranden. Undantaget gäller för behandling av person- uppgifter som syftar till att framställa ett sådant yttrande som avses i TF eller YGL, till exempel en tryckt skrift eller ett radioprogram. Behandling som syftar till att uppgifter samlas in av till exempel en journalist för att göra ett TV-program eller av en författare om- fattas av undantaget.43 Även behandling av personuppgifter i utkast, koncept eller minnesanteckningar som upprättas i syfte att framställa ett yttrande omfattas. Det gör även behandling för bevarande och spridning av redan grundlagsskyddat material, till exempel klipp- arkiv.

Den behandling av personuppgifter som sker inom statistisk och vetenskaplig verksamhet har ofta som mål att utmynna i en publika- tion av resultaten. Regeringen har dock gjort den bedömningen att även om forskningsresultat ofta offentliggörs i olika publikationer, så kan inte forskningen sägas syfta till ett offentliggörande i grund- lagens mening utan i stället till att nå ett visst resultat. Den bedrivna forskningen kan därför enligt regeringen inte anses åtnjuta grund- lagsskydd under åberopande av att forskningsresultaten ska publi- ceras.44

43SOU 1997:39 s. 258 ff.

44Prop. 2002/03:50 s. 119, jämför Ds 2001:62 s. 54 och 128.

139

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Bestämmelsen innebär vidare undantag för den grundlagsskyddade rätten att sprida yttranden, meddelarfriheten och anskaffarfriheten.

Enligt bestämmelsens andra stycke ska vissa bestämmelser i PUL inte tillämpas på sådan behandling av personuppgifter som sker ute- slutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Bestämmelsen innebär att endast de bestämmelser i lagen som rör säkerhet ska tillämpas på sådan behandling. I förarbetena be- tonas att det är viktigt att det även vid behandling för journalistiska ändamål eller konstnärligt eller litterärt skapande finns en lämplig säkerhetsnivå så att personuppgifter inte till exempel läcker ut eller annars sprids på ett icke avsett vis.45

Förhållandet till offentlighetsprincipen

Det följer av 8 § PUL att lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt bestämmel- serna om offentlighetsprincipen i 2 kap. TF att lämna ut person- uppgifter.

Offentlighetsprincipen beskrivs närmare i avsnitt 5.6.2. Den inne- bär kortfattat bland annat en rätt för var och en att hos myndigheter ta del av allmänna handlingar med personuppgifter i den utsträck- ning handlingarna inte innehåller uppgifter som är sekretessbelagda. Av betydelse för principen är också myndigheternas skyldighet en- ligt lag och andra författningar att bevara allmänna handlingar. Den som begär att få ta del av allmänna handlingar har vidare i allmänhet rätt att få vara anonym. Offentlighetsprincipen innebär således att myndigheterna i vissa fall är skyldiga att ge ut personuppgifter till en obestämd krets av mottagare som kan utnyttja uppgifterna för okända ändamål.46

Förhållandet mellan dataskyddsdirektivet och offentlighetsprin- cipen diskuterades i förarbetena till PUL.47 Att personuppgifter lämnas ut med stöd av den grundlagsfästa offentlighetsprincipen är enligt propositionen i och för sig att anse som en sådan behandling av personuppgifter som omfattas av direktivet. En myndighets ut- lämnande av personuppgifter med stöd av offentlighetsprincipen kan dock inte anses vara oförenligt med de ändamål för vilka uppgifter- na ursprungligen samlades in. Offentlighetsprincipen framgår av

45Prop. 1997/98:44 s. 52.

46Öman, S. och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 184.

47Prop. 1997/98:44 s. 43 ff.

140

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

grundlagen och får anses utgöra en integrerad del av all förvalt- ningsverksamhet som myndigheterna ägnar sig åt. I propositionen anfördes ett antal ytterligare skäl för tolkningen att offentlighets- principen inte var oförenlig med dataskyddsdirektivet. Lagrådet invände mot att direktivet gick att förena med offentlighetsprin- cipen och anförde bland annat att det mot bakgrund av syftet med direktivet (skapandet av en gemensam hög skyddsnivå som skapar förutsättningar för ett fritt flöde av uppgifter mellan länderna) inte är sannolikt att EG-domstolen skulle godta en tolkning av direk- tivet i den riktning som regeringen har gjort och att det finns en påtaglig risk för att domstolen skulle finna offentlighetsprincipen oförenlig med direktivet. För att vara säker på att den svenska lag- stiftningen står sig vid en prövning i EG-domstolen ansåg Lagrådet att bestämmelserna i TF och den dåvarande sekretesslagen (1980:100) behövde ändras.

Regeringen delade inte Lagrådets farhågor rörande EG-direk- tivets förenlighet med offentlighetsprincipen och anförde att det rörde sig om en svensk grundlagsskyddad rättighet med lång tradition som är en viktig del av det svenska statsskicket. Vidare anfördes att den svenska offentlighetsprincipens starka ställning och grundläggande betydelse för det svenska förvaltningssystemet också är väl känd i de övriga medlemsstaterna. Under det förhandlingsarbete som ägde rum efter att Sverige blivit medlem i EU förändrades direktivet på flera punkter av särskilt stor betydelse för frågan om hur det förhåller sig till offentlighetsprincipen. Det förslag till direktiv som Datalagsutredningen hade att ta ställning till skiljde sig alltså på avgörande punkter från direktivet i dess slutliga form. Det anförs vidare att det är av betydelse att förändringarna till stor del föranled- des av den svenska inställningen och att förändringarna alltså syftade till att göra det möjligt för medlemsstaterna att förena regler om skydd för personuppgifter med en offentlighetsprincip. Detta har slagits fast i punkt 72 i ingressen till direktivet.48 Konstitutions- utskottet gjorde liksom regeringen bedömningen att det inte fanns någon bestämmelse i direktivet som inte gick att förena med offent- lighetsprincipen, men framhöll att man först genom EG-domstolens prövning kan veta hur EG-direktivet egentligen ska tolkas och tilläm- pas.49

48I punkt 72 anges att direktivet gör det möjligt att vid genomförandet av dessa bestämmel- ser ta hänsyn till principen om allmänhetens rätt till tillgång av allmänna handlingar.

491997/98:KU 18 s. 26 f.

141

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Förhållandet till arkivlagstiftningen

Enligt 8 § andra stycket PUL hindrar inte bestämmelserna i lagen att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.

Utgångspunkten i arkivlagstiftningen är att bevara uppgifter och att inte korrigera dem på ett sådant sätt att ursprungsuppgifterna utplånas. Myndigheternas skyldighet att spara allmänna handlingar i arkiv innebär att en stor mängd personuppgifter bevaras för evigt. Frågan är hur arkivlagens krav på bevarande kan förenas med PUL:s krav på att uppgifter som inte längre behövs för sitt ändamål ska förstöras och att uppgifter ska vara riktiga och aktuella.

I förarbetena till PUL anfördes att de ändamål som bevarandet av myndighetsarkiven ska tillgodose kan hänföras till vad som i EG- direktivet kallas ”historiska, statistiska och vetenskapliga ändamål”.50 Det är således inte nödvändigt att myndigheterna redan när person- uppgifterna samlas in uttryckligen anger arkivering och bevarande som ett ändamål för behandlingen. Är en myndighets primära han- tering av uppgifterna tillåten, kan det inte anses oförenligt med den primära hanteringen att bevara uppgifterna. Det kan inte heller anses oförenligt med de ursprungligen angivna ändamålen att myndigheten efter en tid lämnar över sina handlingar till en arkivmyndighet för långtidsförvaring. Myndigheterna är rättsligt förpliktade att bevara allmänna handlingar och bevarandet är också en arbetsuppgift av allmänt intresse. Den behandling av icke känsliga personuppgifter som bevarandet utgör är således enligt propositionen tillåten enligt dataskyddsdirektivet. För myndigheternas bevarande av känsliga personuppgifter behövs det däremot ett undantag enligt artikel 8.4. I propositionen anförs att de svenska myndigheternas bevarande även av känsliga personuppgifter utgör ett sådant viktigt allmänt intresse som berättigar en medlemsstat att göra ett undantag. Detta undantag måste omfatta också den insamling och det långtidsbevarande av personuppgifter som sker vid de särskilda arkivmyndigheterna som tar emot arkivmaterial från myndigheter och enskilda.

Lagrådet uttalade att undantagen i fråga om bevarande och arkive- ring av allmänna handlingar endast var motiverade med hänsyn till undantagens betydelse för offentlighetsprincipen och drog slutsatsen att undantagen stred mot det övergripande syftet med direktivet. Regeringen ansåg dock att offentlighetsprincipen var förenlig med direktivet och att undantagen var av väsentlig betydelse för offent-

50 Prop. 1997/98:44 s. 47 f.

142

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

lighetsprincipen. Det ansågs dessutom att det var ett viktigt allmänt intresse i sig att de syften som ligger till grund för arkiven, och som redovisats ovan, kan tillgodoses.

Lagrådet har även i senare lagstiftningsärenden haft invändningar i fråga om bevarande av allmänna handlingar enligt arkivlagstift- ningen.51

Regeringens möjlighet att meddela föreskrifter om undantag

8 a § PUL bemyndigar regeringen att meddela föreskrifter om undan- tag från en rad bestämmelser i PUL om det är nödvändigt med hänsyn till vissa intressen, såsom rikets säkerhet, försvaret, allmän säkerhet och skyddet för fri- och rättigheter.

5.3.4.6Krav på behandlingen av personuppgifter

9 § PUL innehåller vissa grundläggande krav på behandlingen av personuppgifter. Bestämmelsen har följande lydelse.

9 §

Den personuppgiftsansvarige skall se till att

a.personuppgifter behandlas bara om det är lagligt,

b.personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed,

c.personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål,

d.personuppgifter inte behandlas för något ändamål som är oför- enligt med det för vilket uppgifterna samlades in,

e.de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen,

f.inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen,

g.de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella,

h.alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och

i.personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

I fråga om första stycket d gäller dock att en behandling av per- sonuppgifter för historiska, statistiska eller vetenskapliga ändamål inte

51 Prop. 1997/98:108 s. 126 f. och 59 f.

143

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

skall anses som oförenlig med de ändamål för vilka uppgifterna sam- lades in.

Personuppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål under längre tid än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål.

Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.

Det är den personuppgiftsansvarige som ansvarar för att kraven är uppfyllda, även om den personuppgiftsansvarige anlitat ett person- uppgiftsbiträde eller utsett ett personuppgiftsombud. Uppfylls inte kraven är behandlingen olaglig. Bestämmelsen är tillämplig även om den registrerade gett sitt samtycke till att personuppgifter behandlas i strid med bestämmelsen. Den registrerades samtycke befriar alltså inte den personuppgiftsansvarige från att se till att kraven i bestäm- melsen är uppfyllda.

Enligt 9 § punkt a och b har den personuppgiftsansvarige ansvar för att personuppgifter endast behandlas om det är lagligt och alltid behandlas på ett korrekt sätt och i enlighet med god sed. När det är lagligt att behandla personuppgifter framgår av PUL, till exempel 10 och 13–20 §§, och anknytande lagstiftning.52 I vilka fall det är olagligt att behandla personuppgifter kan vidare framgå av annan lagstiftning, till exempel brottsbalken och marknadsföringslagen. Dessa rättskällor kan också ange riktlinjer för vad som är ett korrekt sätt att behandla personuppgifter. Vad som är god sed vid behand- ling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bland annat de mer preciserade föreskrifter som kan utfärdas med stöd av PUL, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa samman- slutningar och hur ansvarsfulla personuppgiftsansvariga som regel beter sig.53

En av de centrala bestämmelserna i PUL är 9 § punkt c, enligt vilken personuppgifter enbart får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Bestämmelsen innebär att ända- målen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in.54 Ändamålen måste då anges uttryckligen.

52SOU 1997:39 s. 350.

53Prop. 1997/98:44 s. 143

54SOU 1997:39 s. 350, prop. 1997/98:44 s. 120 f.

144

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Det finns inte något krav på att ändamålsangivelsen ska nedtecknas. Bestämmelserna i 23–25 §§ PUL om skyldigheten att lämna informa- tion till den registrerade när personuppgifterna samlas in medför emellertid ofta att ändamålen måste uppges redan när behandlingen påbörjas. Den personuppgiftsansvarige är vidare alltid skyldig att uppge ändamålen antingen i en anmälan till tillsynsmyndigheten (36 § PUL) eller till var och en som begär en sådan upplysning (42 § PUL). Om den personuppgiftsansvarige har anmält ett personuppgifts- ombud till Datainspektionen behöver den personuppgiftsansvarige inte göra en anmälan enligt 36 § PUL. Det följer dock av 39 § PUL att personuppgiftsombudet ska göra en förteckning över de behand- lingar som den personuppgiftsansvarige genomför och att förteck- ningen ska omfatta åtminstone de uppgifter som en anmälan enligt 36 § PUL skulle ha innehållit. Även här ska ändamålen med behand- lingen således anges. Ändamålen ska vidare anges i ett sådant besked som den personuppgiftsansvarige är skyldig att tillhandahålla den registrerade enligt 26 § PUL. Bestämmelsen medför en skyldighet för den personuppgiftsansvarige att en gång per år till den som an- söker om det lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter om den sökande behandlas ska beskedet, utöver ändamålet med behandlingen, innehålla bland annat uppgift om vilka uppgifter som behandlas och varifrån de hämtats.

Ändamålen ska vidare vara särskilda. Det innebär enligt förarbetena att en alltför allmänt hållen ändamålsangivelse inte godtas.55 Hur pass detaljerad ändamålsangivelsen ska vara för att uppfylla lagens krav på att vara särskild får emellertid avgöras i praxis. Enligt för- arbetena till lagen (2001:454) om behandling av personuppgifter inom socialtjänsten kan man när det gäller tolkningen av begreppet sär- skilda få viss ledning av kraven i artikel 6 i Dataskyddsdirektivet och 9 § punkten e och f i PUL att personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålet med behandlingen och att inte fler uppgifter får behandlas än som är nöd- vändigt med hänsyn till ändamålet med behandlingen.56 Om inte ändamålet har en viss grad av precision kan det vara svårt att avgöra om personuppgifterna är adekvata och relevanta eller om för många personuppgifter behandlas. Kan man inte avgöra vilka personupp- gifter som behövs för att ändamålet ska kunna uppfyllas är ända- målet inte särskilt utan allmänt. Det är möjligt att ange flera ända-

55Ibid.

56SOU 1999:109 s. 156.

145

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

mål när uppgifterna samlas in, även om de olika ändamålen inte är förenliga med varandra.

De ändamål som personuppgifterna ska samlas in för ska också vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av PUL och anknytande lagstiftning. Det anförs i förarbetena att det är osäkert om bestämmelsen om berät- tigade ändamål har någon självständig betydelse.57 Den har dock tagits med i den svenska lagen för säkerhets och fullständighets skull.

Enligt 9 § punkt d får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Denna så kallade finalitetsprincip är av central betydelse vid be- handling av personuppgifter. Den innebär att det, när behandling för nya ändamål ska ske, måste göras en prövning av om dessa ända- mål är oförenliga med de ursprungligen angivna. Bestämmelsen gör det extra viktigt att tänka efter före och vid insamlingen av upp- gifterna ange alla de ändamål för vilka man kan tänkas behöva använda de insamlade uppgifterna.58 Vad som är oförenligt med de ursprung- liga ändamålen får enligt förarbetena bestämmas genom praxis och kompletterande föreskrifter.59 Det bör dock finnas ett visst spelrum vid tolkningen av begreppet oförenligt.60 Senare behandling behöver alltså inte direkt motsvaras av ett från början angivet ändamål.

Det anges inte i förarbetena till PUL vad som ska beaktas vid prövningen av om de nya ändamålen är oförenliga med ursprung- ligen bestämda. I förarbetena till lagen (2001:454) om behandling av personuppgifter inom socialtjänsten uttalades följande.

Enligt utredningens uppfattning bör man vid denna ”oförenlighets- prövning”, hypotetiskt utgå från hur en registrerad typiskt sett (inte den registrerade i det enskilda fallet) skulle se på saken. Kommer man vid en sådan bedömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. Detta är, menar utredningen, en rimlig utgångspunkt med tanke på syftet bakom EG-direktivet, dvs. att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatlivet, i samband med behandling av personuppgifter. Vid sådant förhållande blir det fråga om en restriktiv tillämpning av bestämmelsen i 9 § första stycket d personuppgiftslagen och utrymmet för att be-

57SOU 1997:39 s. 350.

58Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 203.

59SOU 1997:39 s. 351.

60SOU 1999:105 s. 253.

146

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

handla redan insamlade personuppgifter för andra ändamål blir följakt- ligen litet.61

Behandlingen av personuppgifterna för de nya ändamålen måste, liksom behandlingen för de ursprungliga, vara tillåten enligt 10 § och, om det rör sig om känsliga personuppgifter, dessutom enligt 13–20 §§.62 Det krävs inte i sig att den registrerade samtycker till behandlingen för de nya ändamålen eller att ny information till de registrerade lämnas enligt bestämmelserna i 23–25 §§.

Även ett utlämnande av personuppgifter till någon annan är en typ av behandling och måste vara förenligt med de ursprungliga ända- målen. Den som utlämnar personuppgifterna måste beakta vad den som vill ha ut uppgifterna ska använda dem till och jämföra den till- tänkta användningen med de ursprungliga ändamålen. Det är därför inte möjligt att kringgå finalitetsprincipen genom att en personupp- giftsansvarig lämnar ut uppgifterna till någon annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprung- liga.63 Det bör dock noteras att den som fått ut uppgifterna inte är bunden av de ändamål som den utlämnande personuppgiftsansva- rige bestämt utan bara av de ändamål som han eller hon själv har bestämt för sin behandling innan de begärdes ut.

Finalitetsprincipen har också betydelse för möjligheten att sam- bearbeta uppgifter. Med sambearbetning av uppgifter avses maskinell bearbetning av uppgifter i ett personregister tillsammans med upp- gifter i ett annat personregister hos den registeransvarige eller hos annan registeransvarig.64 PUL innehåller inte något uttryckligt förbud mot sambearbetning av uppgifter. Däremot begränsar bestämmelsen i praktiken möjligheten till sambearbetning, eftersom en uppgift inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Ändamålsbestämmelsen anger således inte bara ramen för vilka uppgifter som får behandlas utan också när sambearbetning av uppgifter får ske.65

Artikel 29-gruppen66 har i april 2013 gett ut en rapport avseende ändamålsprincipen (the principle of purpose limitiation), det vill

61SOU 1999:109 s. 160.

62SOU 1997:39 s. 351.

63Ibid.

64Prop. 2002/03:135 s. 58 f.

65Prop. 2000/01:126 s. 33 f. och 59 f, prop. 2001/02:144 s. 41, prop. 2004/05:70 s. 75.

66Artikel 29-gruppen (Article 29 Working Party on Data Protection) består av en företrä- dare för varje nationell tillsynsmyndighet i EU-medlemsstaterna, en företrädare för EU- kommissionen samt den europeiske datatillsynsmannen. Gruppen har bildats för att data- skyddsdirektivet ska tillämpas på ett enhetligt sätt i medlemsstaterna och har fått sitt namn av artikel 29 i dataskyddsdirektivet. I artikel 30 finns bestämmelser om gruppens uppgifter.

147

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

säga artikel 6 b i dataskyddsdirektivet som motsvarar 9 § punkt c och d i PUL.67 Rapporten innehåller en utförlig analys av principen och syftar till att förtydliga dess betydelse och erbjuda riktlinjer för hur den ska tillämpas i praktiken. I rapporten konstateras att prin- cipen förbjuder behandling som är oförenlig med det ursprungliga syftet i stället för att kräva att det senare syftet ska vara förenligt med det ursprungliga. Denna formulering är avsedd att skänka viss flexibilitet till systemet. Senare behandling för ett annat ändamål behöver inte nödvändigtvis vara oförenligt med det första ändamålet. Detta får avgöras från fall till fall. Vid denna ändamålsprövning ska främst förhållandet mellan det ursprungliga ändamålet och det senare ändamålet beaktas. Vidare ska det sammanhang som uppgifternas samlades in i och de rimliga förväntningarna från dem som upp- gifterna rör beaktas. Hänsyn måste också tas till vilken typ av upp- gifter det rör sig om och vilken effekt vidare behandling kan få för dem som uppgifterna rör. Vilka säkerhetsåtgärder den personupp- giftsansvarige vidtagit för att garantera korrekt behandling och förhindra oriktig behandling är också av betydelse.

Det följer av 9 § punkt e att de personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Det innebär enligt förarbetena att uppgifternas be- skaffenhet måste korrespondera med det mål man vill uppnå med behandlingen.68 Enligt punkt f får inte fler personuppgifter behand- las än som är nödvändigt med hänsyn till ändamålen med behand- lingen. Det är i första hand den personuppgiftsansvarige som har att bedöma vilka uppgifter som är adekvata och relevanta i för- hållande till de ändamål han eller hon har bestämt för behandlingen samt hur många personuppgifter som krävs för att uppnå ändamålet med behandlingen.69 Det ligger dock på den personuppgiftsansvarige att förklara varför de olika uppgifterna behövs för att uppfylla ändamålen med behandlingen.

Det är vidare den personuppgiftsansvarige som har ansvar för att de behandlade personuppgifterna enligt 9 § punkt g är riktiga och, om det är nödvändigt, aktuella.

Gruppen är rådgivande och oberoende och förutom att verka för en enhetlig rättstillämpning ska gruppen bland annat yttra sig till EU-kommissionen om skyddsnivån i gemenskapen och i tredje land samt ge råd till kommissionen om förslag till ändringar av direktivet. Dessutom ska gruppen avge yttranden om branschöverenskommelser som utarbetas inom EU.

67Opinion 03/2013 on purpose limitation (00569/13 EN WP 203).

68SOU 1997:39 s. 126.

69Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 210 f.

148

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Den personuppgiftsansvarige ska, enligt 9 § punkt h, självmant vidta rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I förarbetena betonas i detta sam- manhang vikten av att de behandlade uppgifterna håller en hög kva- litet eftersom användningen av felaktiga, missvisande eller ofullstän- diga uppgifter kan förorsaka registrerade och andra stora skador och stor förtret i övrigt.70 Sådana problem kan enligt förarbetena förebyggas genom en sund källkritik och noggrannhet samt genom att det dokumenteras varifrån olika uppgifter har hämtats.

Enligt 9 § punkt i får personuppgifter inte bevaras länge än nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras.71 Det är det ursprungliga ändamålet som bestämdes vid insamlingen som avgör hur länge personuppgifterna får bevaras i identifierbart skick.72 Enligt 8 § andra stycket ska bestämmelserna i PUL inte hindra att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.

I 9 § andra–fjärde styckena PUL finns särskilda bestämmelser som avser behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Bestämmelserna medför att behandling av personuppgifter för dessa ändamål har en särskild position.

Behandling för historiska ändamål syftar i första hand på beva- randet av personuppgifter i arkiv.73 Det följer av 8 § andra stycket PUL att bestämmelserna i lagen inte hindrar att en myndighet arki- verar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Undantaget för behandling av person- uppgifter för historiska ändamål har således störst betydelse för enskilda arkiv, till exempel arkiv som förs av föreningar och företag.74 För att undantagsbestämmelsen ska vara tillämplig på enskilda arkiv krävs enligt förarbetena en nedtecknad plan för bevarande av viss kvalitet med syfte att bevara uppgifterna för överskådlig framtid.75

Med behandling för statistiska ändamål avses enligt förarbetena i första hand framställning av numeriska sammanställningar av elemen-

70SOU 1997:39 s. 351.

71SOU 1997:39 s. 351.

72Öman, S. och Lindblom, H.-O. Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 213.

73SOU 1997:39 s. 353 ff.

74Öman, S., och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 221.

75SOU 1997:39 s. 354 f.

149

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

tära observationer som kan hänföras till händelser, flöden eller till- stånd och verksamhet för att göra sådana sammanställningar.76

Med behandling för vetenskapliga ändamål menas enligt förarbe- tena sådan behandling som har koppling till den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut.77 Även vetenskapligt utförda epidemiologiska undersökningar omfattas. Släktforskning faller däremot utanför, liksom annan forskning eller utredningsverk- samhet av mera privat natur. Utgångspunkterna är att det måste finnas ett samhällsintresse av att forskningen bedrivs och att den måste vara vetenskaplig i någon mening.

Enligt andra stycket ska en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte anses som oför- enlig med de ändamål för vilka uppgifterna samlades in. Det innebär att personuppgifter kan användas för vetenskaplig forskning och sta- tistik oavsett för vilka ändamål uppgifterna ursprungligen samlades in. Personuppgifter som samlats in för ett visst forsknings- och statistikprojekt kan således senare också användas i ett annat sådant projekt.78

Det följer av tredje stycket att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som följer av första stycket i. Personuppgifterna får emellertid inte bevaras under en längre tid än vad som behövs för dessa ändamål.79 Personuppgifter som inte längre behövs för de ursprungligen bestäm- da ändamålen får således bevaras för att användas för historiska, statistiska eller vetenskapliga ändamål. När uppgifterna har använts färdigt för dessa ändamål måste de emellertid avidentifieras eller utplånas. Vid vetenskaplig forskning finns dock särskilda krav på dokumentation och reproducerbarhet. Det innebär att personupp- gifter som använts i ett forskningsprojekt kan behöva bevaras under lång tid efter det att projektet avslutats. Personuppgifter som använts färdigt för statistiska eller vetenskapliga ändamål får bevaras i arkiv för historiska ändamål.

Enligt fjärde stycket får personuppgifter som behandlas för histo- riska, statistiska eller vetenskapliga ändamål användas för att vidta åtgärder i fråga om den registrerade endast om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till

76Prop. 1997/98:44 s. 127.

77SOU 1993:10 s.198, SOU 1997:39 s. 302, prop. 1997/98:44 s. 127.

78SOU 1997:39 s. 309 f.

79Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 222

150

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

den registrerades vitala intressen. Det följer av 8 § andra stycket PUL att bestämmelsen inte gäller för en myndighets användning av personuppgifter i allmänna handlingar. Huvudregeln är således att den personuppgiftsansvariga ska kunna visa att den enskilde har lämnat sitt samtycke för att personuppgifterna ska få användas för att vidta åtgärder. Personuppgifterna får emellertid alltid användas för att vidta åtgärder om det finns synnerliga skäl med hänsyn till den enskildes vitala intressen. Ett exempel på ett sådant tillfälle är enligt förarbetena att en forskare som undersöker ett misstänkt sam- band mellan intag av en medicin och någon allvarlig sjukdom upp- täcker att det faktiskt finns ett sådant samband och därför varnar de registrerade som har fått medicinen så att de kan låta undersöka sig och få behandling.80

5.3.4.7När behandling av personuppgifter är tillåten

9 § PUL anger de krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. För att behandling av personupp- gifter ska vara tillåten måste dessutom något av de förhållanden som anges i 10 § PUL vara för handen. Bestämmelsen har följande lydelse.

10 §

Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att

a.ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas,

b.den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet,

c.vitala intressen för den registrerade skall kunna skyddas,

d.en arbetsuppgift av allmänt intresse skall kunna utföras,

e.den personuppgiftsansvarige eller en tredje man till vilken per- sonuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller

f.ett ändamål som rör ett berättigat intresse hos den personupp- giftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.

80 Prop. 1997/98:44 s. 121.

151

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Bestämmelsen anger uttömmande i vilka fall personuppgifter över huvud taget får behandlas. Personuppgifter får således inte behandlas i några andra fall än dem som anges i bestämmelsen. Vid behandling av känsliga personuppgifter, uppgifter om lagöverträdelser med mera, personnummer eller samordningsnummer krävs det dessutom att behandlingen är tillåten enligt de bestämmelser som gäller för behand- ling av sådana uppgifter (13–22 §§ PUL).

Samtycke

Uppgifter får för det första behandlas om den enskilde lämnat sitt samtycke till behandlingen. Vad som krävs för ett godkänt samtycke diskuteras i avsnitt 5.3.4.2 som behandlar 3 § PUL.

Utöver de fall där den enskilde lämnat sitt samtycke får person- uppgifter behandlas i de sex fall som räknas upp i punkterna a–f. Under de förhållanden som anges där får personuppgifter således behandlas oberoende av den registrerades samtycke.

Nödvändighetskravet

I de fall den registrerade lämnat sitt samtycke till en behandling krävs det inte att behandlingen är nödvändig. I övriga fall måste behand- lingen vara nödvändig för olika syften. Den närmare innebörden av nödvändighetskravet är inte helt klar.81 Som anförs i förarbetena kan de flesta arbetsuppgifter rent faktiskt utföras manuellt utan sådan behandling som omfattas av lagen även om det kostar mycket mer och tar betydligt längre tid än att behandla personuppgifterna auto- matiskt.82 Enligt Datalagskommittén kan nödvändighetskravet inte rimligen innebära att det ska vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av lagen. Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt utan att personuppgifter behandlas, kan det inte anses nödvändigt att behandla personuppgifterna. Det kanske går nästan lika bra att använda avidentifierade83 uppgifter. Det räcker sannolikt

81Frågan diskuteras vidare i avsnitt 8.3.2.1.

82SOU 1997:39 s. 359.

83I betänkandet används begreppet ”anonyma”, men här torde uppgifter där det inte längre är möjligt att identifiera personen avses. Sådana uppgifter utgör inte längre personuppgifter i PUL:s bemärkelse.

152

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

att det innebär en påtaglig förenkling för den personuppgiftsansva- rige att personuppgifter behandlas på automatiserad väg.84

Behandling för att utföra en arbetsuppgift av allmänt intresse

Den bestämmelse i 10 § PUL som är av särskilt intresse när det gäller registerbaserad forskning är bestämmelsen i punkt d som reglerar möjligheten att behandla personuppgifter utan den enskildes samtycke om det är nödvändigt för att en arbetsuppgift av allmänt intresse ska kunna utföras. I förarbetena anges arkivering, forskning och fram- ställning av statistik som exempel på sådana uppgifter av allmänt intresse.85 Arbetsuppgiften kan utföras av en myndighet eller ett enskilt subjekt. Att någon själv kan tjäna pengar på att utföra arbetsuppgiften utesluter inte enligt Datalagskommittén att den ändå kan vara av allmänt intresse, såsom när uppgifter som tidigare skötts av det allmänna läggs ut på privata företag som drivs i vinstsyfte. Bedömningen av om arbetsuppgiften är av allmänt intresse måste göras mot bakgrund av verksamhetens syfte.86

Behandling av personuppgifter efter en intresseavvägning

En annan bestämmelse som kan ha betydelse i sammanhanget är bestämmelsen om en intresseavvägning i punkt f. Enligt denna bestämmelse får personuppgifter behandlas om behandlingen är nödvändig för att ett ändamål ska kunna tillgodoses som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut. Det krävs dock att detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelsen är ett slags generalklausul som möjliggör befogad behandling när ingen av de andra bestämmelserna i paragrafen är tillämplig.

I förarbetena anges att det ligger i sakens natur att behandlingen bara får avse uppgifter om sådana registrerade vars intresse inte väger lika tungt som den personuppgiftsansvariges.87 Om en registrerad meddelar den personuppgiftsansvarige att han eller hon inte vill att behandlingen fortsätter, får den registrerades intresse av att slippa

84SOU 2001:32 s. 95, SOU 2001:100 s. 90.

85SOU 1997:39 s. 361.

86Prop. 2000/01:105 s. 36.

87SOU 1997:39 s. 362.

153

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

fortsatt behandling som regel anses väga över den personuppgifts- ansvariges intresse av fortsatt behandling; bara i synnerliga undan- tagsfall bör den personuppgiftsansvariges intresse av behandlingen anses väga över intresset hos en registrerad som uttryckligen motsatt sig behandlingen. Finns inte längre förutsättningar för att behandla personuppgifterna enligt någon annan bestämmelse måste de be- handlade uppgifterna förstöras eller avidentifieras; även lagring av personuppgifter anses nämligen som en form av behandling.

5.3.4.8Förbud mot behandling av känsliga personuppgifter

Enligt 13 § PUL råder ett principiellt förbud mot att behandla käns- liga personuppgifter. Vilka personuppgifter som definieras som käns- liga anges uttömmande i bestämmelsen. Bestämmelsen har följande lydelse.

13 §

Det är förbjudet att behandla personuppgifter som avslöjar

a.ras eller etniskt ursprung,

b.politiska åsikter,

c.religiös eller filosofisk övertygelse, eller

d.medlemskap i fackförening.

Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv.

Uppgifter av den art som anges i första och andra styckena be- tecknas i denna lag som känsliga personuppgifter.

Utgångspunkten är således att det är förbjudet att behandla uppgifter av den art som anges i bestämmelsen. I 14–20 §§ finns emellertid vissa undantag. Bestämmelsen är inte heller tillämplig vid behand- ling av personuppgifter i ostrukturerat material enligt i 5 a § PUL. Det bör dock noteras att känsliga personuppgifter inte får behand- las i ostrukturerat material om det innebär en kränkning av den registrerades personliga integritet (5 a § andra stycket PUL).

Ras eller etniskt ursprung

Det är för det första förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung. Enligt kommissionens förklaring till förslaget till dataskyddsdirektiv inkluderar uppgift om ras eller

154

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

etniskt ursprung även uppgift om hudfärg.88 Uppgifter om namn och språkkunskaper tillsammans har ansetts utgöra indirekta upplysningar om en persons etniska ursprung.89 I propositionen avseende genomförande av tredje penningtvättsdirektivet konstaterades att bilden i en passhandling i förening med namn och uppgift om medborgarskap kan avslöja såväl ras som etniskt ursprung.90 Datainspektionen anger i sin rapport 2002:2 angående behandling av elevers uppgifter i grundskolan att en uppgift om en persons modersmål i vissa fall kan vara en uppgift som indirekt avslöjar etniskt ursprung.91 Datainspektionen anger vidare i rapport 2002:3 angående behandling av personuppgifter hos rekryteringsföretag att en uppgift om medborgarskap i vissa fall kan avslöja ras eller etniskt ursprung.92 Regeringen har dock bedömt att en isolerad uppgift om medborgarskap inte avslöjar vare sig ras eller etniskt ursprung.93

I sammanhanget bör noteras att riksdagen har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och från biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor.94 Användningen av ordet ras i författningstexter riskerar enligt riksdagen att underblåsa för- domar. Riksdagen har dock konstaterat att den inte har möjlighet att besluta att ordet ska utmönstras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella överenskommelser eller författningar som genomför EG-direktiv. I propositionen En reformerad grundlag (prop. 2009/10:80) föreslog regeringen att begreppet ras utmönstras ur regeringsformen. Riksdagen antog förslaget och i regeringsformen används i dag i stället uttrycket “etniskt ursprung, hudfärg eller annat liknande förhållande” (2 kap. 12 och 24 §§ RF). Det är rege- ringens ambition att se över frågan om huruvida ordet ras bör ut- mönstras i all lagstiftning.95

88SOU 1993:10 Bilaga s. 177, SOU 1997:39 s. 131.

89SOU 2001:32 s. 124, SOU 2001:100 s. 93 f. och SOU 2003:40 s. 180.

90Prop. 2008/09:70 s. 142.

91Datainspektionens rapport 2002:2 s. 8.

92Datainspektionens rapport 2002:3 s. 8.

93Prop. 2001/02:144 s. 41.

94Bet. 1997/98:KU 29 s. 7.

95Prop. 2009/10:85 s. 123 och prop. 2011/12:45 s. 94.

155

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Politiska åsikter samt religiös eller filosofisk övertygelse

Förbudet gäller vidare behandling av personuppgifter som avslöjar en persons politiska åsikter samt religiösa eller filosofiska övertygelse. Enligt kommentaren till PUL bör man kunna tolka begreppet poli- tiska åsikter restriktivt så att det inte innefattar åsikter om alla sam- hälleliga eller andra mänskliga förhållanden.96 Som exempel på en uppgift som avslöjar en persons politiska åsikter anges uppgift om att någon är medlem i ett politiskt parti. En uppgift om medlem- skap i en partipolitiskt obunden intresseorganisation är emellertid, enligt kommentaren, inte att betrakta som en känslig personupp- gift.

När det gäller religiös eller filosofisk övertygelse anges i förarbete- na att en uppgift om att någon inte har någon religiös tro, liksom information om aktiviteter som hör samman med sådan övertygelse, ska anses utgöra en känslig personuppgift i lagens bemärkelse.97

Medlemskap i fackförening

Med fackförening avses sådana sammanslutningar av arbetstagare som avses i 6 § lagen (1976:580) om medbestämmande i arbetslivet, det vill säga sådan sammanslutning av arbetstagare som enligt sina stadgar ska tillvarata arbetstagarnas intressen i förhållandet till arbets- givaren. Uppgift om medlemskap i arbetsgivarorganisation eller arbetslöshetskassa omfattas inte av definitionen i PUL.98

Uppgifter som rör hälsa och sexualliv

När det gäller uppgifter om hälsa omfattas alla uppgifter som rör en persons tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol.99 Enligt kommissionens förklaring till förslaget till dataskyddsdirektiv skulle uppgifter om varje indikation på drog- eller alkoholmissbruk anses röra hälsa.100 EU-domstolen har slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personupp-

96Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 284 f.

97SOU 1997:39 s. 131 f.

98Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 285.

99SOU 1997:39 s. 132.

100SOU 1993:10 Bilaga s. 177.

156

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

gift om hälsa.101 Vidare har Högsta domstolen ansett att en uppgift om att en anställd har samarbetssvårigheter sammantagen med en uppgift om att personen är sjukskriven är att bedöma som uppgifter som rör hälsa enligt 13 § PUL.102

Uppgifter om läkemedel och andra varor som förskrivits en en- skild har ansetts röra dennes hälsa och därför utgöra känsliga person- uppgifter103. Datainspektionen har gjort bedömningen att redan en uppgift om att någon är eller har varit på läkarbesök är en känslig personuppgift.104 Datainspektionen har vidare ansett att en uppgift om att någon är handikappad105 är en uppgift som rör hälsa.106 I sam- ma beslut kom Datainspektionen även fram till att redan en uppgift om att någon är registrerad som medlem i De Handikappades Riks- förbund107, där inspektionen antog att det stora flertalet medlem- mar är handikappade, måste behandlas som en känslig personuppgift.

När det gäller uppgifter som rör sexualliv anför Datalagskom- mittén att en isolerad uppgift om vilket kön en person har inte kan anses utgöra en uppgift som rör dennes sexualliv.108 Inte heller en uppgift om civilstånd kan i sig anses vara en sådan uppgift som rör den registrerades sexualliv. Kommittén bedömer däremot att en upp- gift om att någon har bytt kön är en uppgift som kan anses röra den personens hälsa eller sexualliv.

Datalagskommittén tar också upp frågan om hur man ska be- döma om avbildningar av personer, till exempel fotografier, utgör känsliga personuppgifter i bestämmelsens bemärkelse.109 Det får en- ligt kommittén anses osäkert om en bild på den som är fysiskt handi- kappad eller ser sjuk ut innefattar uppgifter som rör personens hälsa. Kommittén ansåg det dock rimligt att bilder på människor i mera ”normala” sammanhang inte avslöjar några känsliga person- uppgifter.

101Dom den 6 november 2003 i mål C-101/01 och RH 2004:51.

102NJA 2005 s. 361.

103Prop. 2008/09:145 s. 305.

104Datainspektionens beslut 2009-12-14, dnr 1409-2009.

105I Datainspektionens beslut används ordet ”handikappad”. Ordet har i dag ersatts med begreppet ”person med funktionsnedsättning”.

106Datainspektionens beslut 2008-10-15, dnr 1176-2008.

107Förbundet heter i dag Delaktighet Handlingskraft Rörelsefrihet.

108SOU 1997:39 s. 368.

109SOU 1997:39 s. 368.

157

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.3.4.9Undantag från förbudet mot behandling av känsliga personuppgifter

Det följer av 14 § PUL att det trots förbudet i 13 § PUL är tillåtet att behandla känsliga personuppgifter i de fall som anges i 15–19 §§ PUL. Så kan till exempel ske om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offent- liggjort uppgifterna (15 § PUL). Att samtycket ska vara ”uttryckligt” innebär att det kommer till uttryck på något sätt som en utomstå- ende kan iaktta.110 En bestämmelse som kan ha betydelse i forsk- ningssammanhang är 18 § PUL som rör behandling av personupp- gifter för hälso- och sjukvårdsändamål. Denna verksamhet gränsar många gånger till forskningsverksamhet. 18 § PUL har följande lydelse.

18 §

Känsliga personuppgifter får behandlas för hälso- och sjukvårds- ändamål, om behandlingen är nödvändig för

a)förebyggande hälso- och sjukvård,

b)medicinska diagnoser,

c)vård eller behandling, eller

d)administration av hälso- och sjukvård.

Den som är yrkesmässigt verksam inom hälso- och sjukvårdsom- rådet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är under- kastad en liknande tystnadsplikt och som har fått känsliga person- uppgifter från verksamhet inom hälso- och sjukvårdsområdet.

Känsliga personuppgifter får enligt första stycket behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för vissa i bestämmelsen uppräknade syften. Behandlingen av de känsliga per- sonuppgifterna ska vara nödvändig för något eller några av de upp- räknade syftena. Innebörden av nödvändighetskravet har redovisats ovan.

Uppräkningen av syften i första stycket täcker i praktiken nästan all behandling av personuppgifter som förekommer inom hälso- och sjukvården. Undantagets räckvidd preciseras inte närmare i förarbetena till lagen.111 Det har dock i senare lagstiftningsärenden ansetts rimligt att inte ge bestämmelsen en alltför snäv räckvidd och

110Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar (25 september 2013), kommentaren till 3 §.

111Prop. 1997/97:44 s. 68 f och 126 f.

158

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

att även aktiviteter inom hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas.112

För att möjliggöra behandlingen av personuppgifter i register med det övergripande syftet att förbättra kvaliteten på individnivå inom svensk hälso- och sjukvård finns i dag en särskild reglering av nationella och regionala kvalitetsregister inom hälso- och sjukvården i patientdatalagen (2008:355) (se avsnitt 5.3.6.3).

Det följer av andra stycket att den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt alltid får behandla sådana känsliga personuppgifter som omfattas av tystnads- plikten. Bestämmelsen ger således möjlighet för personer som har sådan sträng tystnadsplikt som normalt gäller inom hälso- och sjuk- vårdsverksamhet att behandla känsliga personuppgifter. Enligt andra stycket får vidare den som inte är yrkesmässigt verksam inom hälso- och sjukvårdsområdet men som ändå har fått känsliga personupp- gifter från verksamhet inom hälso- och sjukvårdsområdet alltid behandla dessa uppgifter om en liknande tystnadsplikt gäller för honom eller henne i fråga om uppgifterna. Bestämmelsen kan bli aktuell till exempel när känsliga personuppgifter från en myndighet inom hälso- och sjukvården lämnas till forskningsverksamhet.113

Det undantag från förbudet mot behandling av känsliga person- uppgifter som är av störst betydelse i registerforskningssamman- hang finns i 19 § PUL och rör forskning och statistik. Bestämmel- sen har följande lydelse.

19 §

Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

Känsliga personuppgifter får behandlas för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhälls- intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.

Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt andra stycket anses uppfyllda. Med forsk- ningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finan- sierar forskning.

112Prop. 2005/06:70 s. 144.

113Prop. 1997/98:44 s. 126.

159

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Personuppgifter får lämnas ut för att användas i sådana projekt som avses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt.

Av bestämmelsens första, andra och tredje stycke framgår när käns- liga personuppgifter får behandlas för forsknings- och statistik- ändamål utan uttryckligt samtycke. Av fjärde stycket framgår att personuppgifter får lämnas ut till vissa statistikprojekt.

Tidigare gällde samma regler för användande av känsliga person- uppgifter vid forskning som vid statistik. I samband med införan- det av lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) den 1 januari 2004 infördes en sär- skild reglering för forskning i bestämmelsens första stycke. Enligt bestämmelsen får känsliga personuppgifter behandlas för forsknings- ändamål endast om behandlingen godkänts enligt etikprövnings- lagen.

Enligt 6 § första stycket etikprövningslagen får forskning som innefattar behandling av känsliga personuppgifter eller personupp- gifter om lagöverträdelser med mera som avses i 21 § PUL genom- föras bara om behandlingen har godkänts vid en etikprövning enligt etikprövningslagen. Etikprövningslagen tillämpades ursprungligen bara om forskningspersonen inte hade lämnat sitt uttryckliga sam- tycke till behandlingen av personuppgifterna. Efter en lagändring som trädde i kraft den 1 juni 2008 tillämpas lagen emellertid numera även när det finns samtycke. Det framgår av bestämmelsens orda- lydelse att det är själva behandlingen av personuppgifter som ska godkännas. Det är således inte tillräckligt att forskningen i sig har godkänts vid etikprövningen.

Bestämmelserna i etikprövningslagen behandlas närmare i av- snitt 5.5.

I bestämmelsens andra stycke finns det en allmän avvägnings- norm som anger när känsliga personuppgifter får behandlas för statistikändamål. Enligt bestämmelsen krävs det för det första att behandlingen av känsliga personuppgifter är nödvändig på det sätt som sägs i 10 § PUL. Det krävs vidare att samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära.

För att göra en avvägning enligt normen måste det ske en hel- hetsbedömning av samtliga omständigheter.114 Vid bedömningen bör

114 Prop. 1997/98:44 s. 127.

160

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

man enligt förarbetena beakta bland annat statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vilken utsträckning den enskilde skulle kunna skadas om man be- gärde samtycke och om en kontakt med den enskilde skulle kunna snedvrida undersökningsresultatet. Vid intresseavvägningen bör också beaktas om de berörda fått information av något slag, till exempel via anslag eller annonser. Andra faktorer som bör vägas in är i vilken utsträckning den som begär det ska ha rätt att bli struken och hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer.

Det är i första hand den personuppgiftsansvarige som ska tilläm- pa avvägningsnormen på eget ansvar. Det har överlämnats åt rätts- tillämpningen att med användande av den allmänna normen och efter rådande värderingar i samhället avgöra vilka behandlingar som kan tillåtas. Det har i dessa bedömningar betonats att normen ger uttryck för en restriktiv tillämpning.115

Enligt tredje stycket ska förutsättningarna i andra stycket anses uppfyllda om behandlingen har godkänts av en forskningsetisk kom- mitté. Bestämmelsen gällde tidigare behandling för både forsknings- ändamål och för statistikändamål. När etikprövningslagen infördes ändrades bestämmelsen i 19 § PUL så att behandling av känsliga personuppgifter endast får behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. I förarbetena till etikprovningslagen anfördes att reglerna i 19 § andra och tredje stycket PUL för statistikprojekt borde kvarstå oförändrade.116 Skälet till detta var att Riksförsäkringsverket, Folkhälsoinstitutet, Statens institutionsstyrelse och Socialstyrelsen tillsammans hade startat en forskningsetisk kommitté som har möjlighet att bedöma statistik- projekt. Någon sådan kommitté finns emellertid inte i dag och det saknas således möjlighet till etikgodkännande av statistikprojekt.

Enligt fjärde stycket får personuppgifter lämnas ut för att an- vändas för statistikändamål om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen ska läsas mot bakgrund av 24 § första och andra styckena PUL.117 Där anges att om per- sonuppgifter samlats in från någon annan källa än den registrerade ska den personuppgiftsansvarige självmant lämna den registrerade

115Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s.

116Prop. 2002/03:50 s. 174.

117Prop. 2002/03:50 s. 197.

161

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

information om behandlingen av uppgifterna när de registreras. Så- dan information behöver dock inte lämnas om det finns bestäm- melser om registrerandet eller utlämnandet av personuppgifterna i lag eller annan författning. Bestämmelsen i 19 § fjärde stycket PUL är just en sådan bestämmelse om utlämnande av personuppgifter till statistikprojekt. Bestämmelsen medför att den som samlar in personuppgifter från något annat håll än den registrerade för att använda i ett statistikprojekt inte behöver följa bestämmelserna om information om behandlingen till den registrerade enligt 24 § PUL.

Det bör betonas att bestämmelsen inte medför någon skyldighet att lämna ut personuppgifter. Den innebär endast att det är tillåtet enligt PUL för den som innehar uppgifterna att lämna ut dem.118 Om något annat följer av regler om sekretess och tystnadsplikt får uppgifterna dock inte lämnas ut.

5.3.4.10Behandling av personuppgifter om lagöverträdelser m.m.

Behandling av personuppgifter som rör lagöverträdelser med mera finns i 21 § PUL. Bestämmelsen har följande lydelse.

21 §

Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.

Personuppgifter som avses i första stycket får dock behandlas för forskningsändamål av andra än myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet i första stycket.

Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut.

Vid behandling av personuppgifter om lagöverträdelser med mera är det inte tillräckligt att kraven i 21 § PUL är uppfyllda. Även de grundläggande kraven på behandling av personuppgifter i 9 § PUL måste beaktas och behandlingen måste vara tillåten enligt 10 § PUL. Innefattar behandlingen sådana känsliga personuppgifter som avses i 13 § PUL måste även bestämmelserna i 13–20 §§ följas.

118 Prop. 1997/98:44 s. 128.

162

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Enligt huvudregeln i första stycket får endast myndigheter be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Detta gäller även om den enskilde har lämnat sitt samtycke till annan behandling.

Bestämmelsen är för det första tillämplig vid personuppgifter om lagöverträdelser som innefattar brott, det vill säga i de fall ett straff är föreskrivet för överträdelsen.119 En uppgift om att någon har eller kan ha begått ett visst brott utgör en uppgift om en lagöverträdelse, även om det inte finns någon dom. Bestämmelsen är vidare tillämp- lig på uppgifter om domar i brottmål. Här avses bland annat uppgift om att någon är dömd för brott även om det inte framgår vilket, samt uppgift om att någon frikänts. Med straffprocessuella tvångsmedel avses till exempel häktning, beslag och kvarstad i brottmål. Att någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1991:1128) om psykiatrisk tvångsvård är exempel på uppgifter om administrativa frihetsberö- vanden.

I andra stycket finns ett undantag från huvudregeln att person- uppgifter om lagöverträdelser med mera endast får behandlas av myndigheter. Enligt bestämmelsen får enskilda behandla sådana uppgifter för forskningsändamål, under förutsättning att behand- lingen har godkänts enligt etikprövningslagen.

Regeringen eller den myndighet som regeringen bestämmer har i tredje stycket bemyndigats att meddela föreskrifter om undantag från förbudet i första stycket. I bestämmelsen avses generella undan- tag, inte undantag i enskilda fall. Regeringen har enligt 9 § PUF bemyndigat Datainspektionen att meddela sådana föreskrifter. Data- inspektionen har meddelat föreskrifter om undantag genom DIFS 1998:3, som ändrats genom DIFS 2010:1. Datainspektionen får också i enskilda fall besluta om undantag från förbudet.

Av fjärde stycket framgår att regeringen eller, om regeringen så bestämmer, tillsynsmyndigheten kan besluta om undantag från första stycket även i enskilda fall. Regeringen har enligt 9 § PUF bemyn- digat Datainspektionen att meddela sådana beslut.

119 SOU 1997:39 s. 380, prop. 1997/98:44 s. 129.

163

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.3.4.11 Behandling av uppgifter om personnummer

Behandling av personnummer och samordningsnummer utan den enskildes samtycke regleras i en särskild bestämmelse. Bestämmel- sen har följande lydelse.

22 §

Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till

a.ändamålet med behandlingen,

b.vikten av en säker identifiering, eller

c.något annat beaktansvärt skäl.

Dataskyddsdirektivet ställer krav på att medlemsländerna ska reglera användningen av personnummer i lag. Medlemsländerna får där- emot fritt besluta hur de materiella reglerna ska utformas.

Paragrafen innebär att uppgifter om personnummer eller sam- ordningsnummer120 utan samtycke bara får behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. För att en behandling av en uppgift om personnummer eller samordnings- nummer ska få genomföras krävs dessutom att de grundläggande kraven i 9 § är uppfyllda och att behandlingen är tillåten enligt 10 §.

Det anfördes i förarbetena till motsvarande bestämmelse i data- lagen att användningen av personnummer i registersammanhang alltid bör prövas från integritetssynpunkt, och att ”onödig” användning ska betraktas som ett integritetsintrång.121 Registreringen ska vara påkallad av ett godtagbart skäl och det ska vara ett skäl som objek- tivt framstår som befogat. Den registeransvarige har bevisbördan för att personnummer ska få finnas i ett personregister. Fall då det kan finnas sådana objektiva skäl är bland annat vissa forsknings- register och andra register där det är särskilt viktigt med en säker identifiering, till exempel för att tillgodose framtida forsknings- behov.

Datainspektionen har i ett flertal fall intagit en restriktiv inställ- ning till användandet av personnummer i personregister.122 I vissa sammanhang, som till exempel inom sjukvården, skatteförvaltningen och polis- och rättsväsende har registrering av personnummer god- känts på grund av förväxlingsrisken. Däremot har det inte ansetts

120Den som obegränsat skattskyldig men inte folkbokförd i Sverige får från Skatteverket ett samordningsnummer.

121Prop. 1990/91:60 s. 69.

122Öman, S. och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 355.

164

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

motiverat att registrera personnummer i medlemsregister som syftar till att den enskilde ska få erbjudanden och förmåner.

5.3.4.12 Skyldigheter enligt personuppgiftslagen

PUL medför vissa skyldigheter för den personuppgiftsansvarige. Den personuppgiftsansvarige ska, om personuppgiften samlas in från per- sonen själv, självmant lämna den registrerade information om be- handlingen av uppgifterna (23 § PUL). Om uppgifterna har samlats in från någon annan källa ska sådan information lämnas till den registrerade när uppgifterna registreras (24 § PUL). Med begreppet ”när uppgifterna registreras” avses enligt kommentaren när de matas in i en dator eller sorteras in i ett sådant manuellt register som om- fattas av lagen.123 Enligt Datainspektionens allmänna råd bör infor- mation lämnas snarast och senast fyra veckor efter det att uppgifterna har registrerats, om inte uppgifterna dessförinnan behandlas på annat sätt än genom att lagras.124

Den information som lämnas till den registrerade ska innehålla uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som kan behövas för att den registrerade ska kunna ta tillvara sina rättigheter under behandlingen (25 § PUL). Den personuppgiftsansvarige är också skyldig att till den som ansöker om det en gång per år gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte (26 §). Behandlas sådana uppgifter ska information lämnas om vilka uppgifter som behandlas, varifrån de har hämtats, ändamålen med behandlingen och vem som tagit emot dem. På begäran av den re- gistrerade är den personuppgiftsansvarige skyldig att snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med PUL eller föreskrifter som meddelats med stöd av PUL (28 § PUL). Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas (31 § PUL). Datainspektionen får i enskilda fall besluta om vilka säkerhetsåtgärder som den personuppgifts- ansvarige ska vidta (32 § PUL). Datainspektionen har möjlighet att förena ett sådant beslut med vite.

123Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011 s. 378.

124Information till registrerade enligt personuppgiftslagen – Datainspektionens allmänna råd, s. 7.

165

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Den personuppgiftsansvarige ska göra en skriftlig anmälan till Datainspektionen innan en behandling av personuppgifter som är helt eller delvis automatiserad påbörjas (36 § PUL). Om den person- uppgiftsansvarige har utsett ett personuppgiftsombud och anmält detta till inspektionen behöver sådan anmälan emellertid inte göras (37 § PUL). Personuppgiftsombudet ska dock föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits.

5.3.4.13 Rättelse, skadestånd och straff

Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande får myndigheten vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem (45 § PUL). Datainspektionen får an- söka hos förvaltningsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas (47 § PUL).

Enligt 48 § PUL är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL har orsakat.

I 49 § PUL finns bestämmelser om straff vid överträdelse av vissa bestämmelser i PUL. Den som uppsåtligen eller av grov oaktsam- het till exempel behandlar personuppgifter i strid med 13–21 §§ PUL kan dömas till böter eller fängelse i högst sex månader, eller vid grovt brott högst två år.

5.3.5Övriga registerförfattningar

5.3.5.1Inledning

PUL innehåller generella regler om behandling av personuppgifter. Som framgår av 2 § PUL är lagen subsidiär i förhållande till andra författningar, vilket innebär att om det i en annan lag eller i en för- ordning finns bestämmelser som avviker från PUL:s bestämmelser ska de bestämmelserna gälla. Det finns över 100 olika författningar

166

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

som innehåller bestämmelser om behandling av personuppgifter som kompletterar PUL.125 Dessa brukar kallas särskilda registerförfatt- ningar. De särskilda registerförfattningarnas huvudsakliga syfte är att reglera inrättandet och användningen av viktiga register eller andra personuppgiftssamlingar inom den offentliga sektorn.126 För- fattningarna är avsedda att ge ett anpassat integritetsskydd vid myn- dighetens hantering av personuppgifter då det finns behov av att avvika från eller komplettera det integritetsskydd som PUL ger. Utgångspunkten är att myndighetsregister med ett stort antal regi- strerade och med ett känsligt innehåll ska regleras särskilt i lag.127 Vid införandet av PUL anfördes i propositionen att det traditio- nella svenska systemet med särreglering i särskilda författningar var att föredra framför generella undantag från PUL.128 Vidare anfördes att det i stort sett bara var verksamhet inom den offentliga sektorn som skulle kunna undantas från PUL, och eftersom det inom den sektorn ofta förekommer stora mängder känsliga personuppgifter som har hämtats in med straffsanktionerad uppgiftsplikt bedömdes det särskild viktigt med ett starkt integritetsskydd. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som PUL ger garanteras att behovet av särregler alltid övervägs noga i den ordning som krävs för författningsgivning. Vidare anfördes att målsättningen är att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen fann ingen anledning att ändra på det målet.

När föreligger skäl att införa en särskild registerförfattning? En omständighet som talar för att det bör införas en särreglering i form av en särskild registerlag är att en särskild författning under vissa förutsättningar anses innebära en bättre garanti för utformningen av integritetsskyddet.129 Ett annat skäl för en särskild registerlag kan vara att en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt PUL. Vidare kan en särskild registerlag vara motiverad när det finns anledning att avvika från eller precisera regleringen i PUL eller när PUL:s bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser. Det kan också bli aktuellt när det finns anledning att begränsa

125Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 686.

126SOU 2012:90 s. 51.

127Prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och 1997/98:44 s. 41.

128Prop. 1997/98:44 s. 41.

129SOU 2012:90 s. 52.

167

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

möjligheten till behandling av uppgifter av integritetsskäl eller när det finns anledning att vara särskilt tydlig gentemot allmänheten.

5.3.5.2Något om registerförfattningarnas struktur

Det finns i dag ingen klar uppfattning om hur många olika särskilda registerförfattningar det finns.130 Författningarna är uppbyggda på olika sätt och saknar en gemensam begreppsstruktur. Sören Öman har dock i artikeln Särskilda registerförfattningar försökt att göra en sammanställning av några vanliga typer av bestämmelser i de särskil- da registerförfattningarna. Som underlag för genomgången har bland annat 18 angivna särskilda registerförfattningar använts. Öman kon- staterar att de särskilda registerförfattningarna för myndigheters behandling av personuppgifter normalt brukar innehålla vissa typer av bestämmelser, men att utformningen av bestämmelserna varierar och att inte alla registerförfattningar innehåller alla typer av bestäm- melser.131

Tillämpningsområde

Varje författning har ett visst tillämpningsområde, som vanligtvis brukar anges i en inledande bestämmelse.132 Det normala är att det i bestämmelsen anges att författningen gäller vid behandling av personuppgifter i en viss myndighets eller vissa myndigheters verk- samhet av visst slag. Det vanligaste är att författningen gäller för samma slags behandling som PUL, det vill säga behandling som är helt eller delvis automatiserad eller annan (manuell) behandling som avser personuppgifter som ingår i eller är avsedda att ingå i register. Ibland anges det att vissa bestämmelser i författningen bara gäller automatiserad behandling.

Författningarna gäller vanligtvis för behandling av personupp- gifter i enlighet med PUL:s definition. I vissa fall har tillämpnings- området utsträckts till att även gälla avlidna eller juridiska personer. Ibland finns det detaljerade regler om vilka uppgifter som får be- handlas om en viss kategori av personer.

När det gäller hur verksamheten anges kan det ske på olika sätt. Det kan hända att författningen hänvisar till verksamhet som myn-

130Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 686.

131Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 690.

132Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 691 f.

168

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

digheten ska bedriva enligt andra författningar, till exempel verksam- het enligt lagstiftningen om socialtjänsten. Det förekommer ibland också mer allmänna beskrivningar av verksamheten, till exempel be- skattningsverksamheten, men då brukar verksamheten konkretiseras i förarbetena. Utanför tillämpningsområdet faller regelmässigt verk- samhet som avser myndigheternas interna administrativa verksamhet.

Författningarnas förhållande till PUL och dataskyddsdirektivet

De särskilda registerförfattningarna gäller före PUL:s bestämmel- ser, men får inte stå i strid med dataskyddsdirektivet. Direktivet gäller inte för sådan verksamhet som inte omfattas av EU-rätten och inte heller för sådana behandlingar som rör allmän säkerhet, för- svar, statens säkerhet och straffrätt. Registerlagar som faller utanför EU-rättens tillämpningsområde behöver således inte vara förenliga med dataskyddsdirektivet. Utgångspunkten är emellertid att de sär- skilda registerförfattningarna så långt som möjligt ska stämma över- ens med PUL och därmed också med dataskyddsdirektivet.133

Personuppgiftsansvaret och ändamålen med behandlingen

De särskilda registerförfattningarna innehåller vanligtvis bestäm- melser om ändamålen med behandlingen. Ibland delas ändamålen in i primära och sekundära.134 De primära ändamålen avser myndig- hetens eget behov av att behandla personuppgifter, till exempel för att kunna handlägga myndighetens ärenden. De sekundära ändamålen avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Huvudregeln är att behandling för att lämna ut personuppgifter till annan enligt de sekundära ändamålen bara får avse personuppgifter som myndigheten samlat in och behandlat för sina primära ändamål. Myndigheten får således inte samla in personuppgifter som den inte behöver för sin egen verksamhet.

När det gäller frågan hur preciserad en ändamålsbestämmelse i en registerförfattning ska vara har regeringen i prop. 1997/98:97 om polisens register anfört att syftet med en ändamålsbestämmelse är att ange en yttersta ram inom vilken uppgifterna får behandlas och

133Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 694 f.

134Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 699 f.

169

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

att det ligger i sakens natur att ändamålsbestämmelser ofta måste formuleras tämligen generellt.135

Enligt definitionen i PUL är den personuppgiftsansvarige ensam eller tillsammans med andra ansvarig för att bestämma ändamålen med och medlen för behandlingen av personuppgifter. I de sär- skilda registerförfattningarna anger man regelmässigt de tillåtna ända- målen med behandlingen. På inrådan av Lagrådet började man där- för införa uttryckliga bestämmelser i de särskilda registerförfatt- ningarna om vilken myndighet som är personuppgiftsansvarig.136

Vilka personuppgifter som får behandlas

De särskilda registerförfattningarna innehåller i regel någon form av bestämmelse om vilka personuppgifter som får behandlas.137 Av författningarna, ibland kompletterade av PUL, framgår att person- uppgifter får behandlas bara om det är nödvändigt för de angivna ändamålen. Ibland finns det särskilda bestämmelser om en databas med uppgifter som används i verksamheten. Ibland finns det dess- utom en förordning med detaljerade bestämmelser om vilka upp- gifter som får finnas i registret eller databasen.

För behandling av känsliga personuppgifter enligt 13 § PUL och uppgifter om lagöverträdelser med mera enligt 21 § PUL finns det vanligtvis vissa begränsningar. Det anges till exempel att uppgifter- na bara får behandlas om det är nödvändigt med hänsyn till ända- målet med behandlingen och att de inte får användas som sökbegrepp, det vill säga för att få fram listor på personer med de egenskaper som avspeglas i uppgifterna.138

Direktåtkomst

Registerförfattningar innehåller inte sällan särskida bestämmelser om direktåtkomst. Begreppet direktåtkomst är ett av de begrepp som kan ha olika innebörd i olika registerförfattningar. Med direkt- åtkomst avses vanligtvis att någon (här kallad mottagarmyndighet) har direkt tillgång till någon annans (här kallad värdmyndighet) register eller databaser och på egen hand kan söka efter information,

135Prop. 1997/98:97 s. 121.

136Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 697.

137Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 702.

138Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 704.

170

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att värdmyndigheten inte har någon kontroll över vilka uppgifter som mottagarmyndigheten vid ett visst tillfälle tar del av.139 Direktåtkomst kan till exempel ske genom att mottagarmyndigheten ges elektronisk tillgång till hela eller delar av värdmyndighetens elektroniska informationssamlingar.140 Det finns också myndigheter som har gemensamma register och där de deltagande myndigheterna behandlar sina egna uppgifter men också har möjlighet att ta del av uppgifter som andra myndigheter har registrerat i registret.

Direktåtkomst anses innebära särskilda risker för otillbörliga integritetsintrång. Det beror på bestämmelserna om elektroniska upp- tagningar i TF. När det gäller elektroniska upptagningar är huvud- regeln att en sådan anses förvarad hos en myndighet om upptag- ningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (2 kap. 3 § andra och tredje stycket TF). Det saknar betydelse var den begärda elektroniska handlingen rent fysiskt befinner sig. Frågan om en elektronisk hand- ling ska anses förvarad hos en myndighet ska i stället avgöras utifrån myndighetens möjligheter att förfoga över upptagningen. Det finns två undantag från huvudregeln, som avser sammanställningar av uppgifter ur en eller flera upptagningar för automatiserad behand- ling, så kallat potentiella handlingar.141 Dels anses en potentiell hand- ling förvarad hos myndigheten endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder (2 kap. 3 § andra stycket andra meningen TF). Dels anses en potentiell handling inte förvarad hos en myndighet om sammanställningen inne- håller personuppgifter som myndigheten enligt lag eller förordning saknar befogenhet att tillgängliggöra. Denna regel brukar kallas begränsningsregeln.

En handling ska, för att vara allmän i TF:s bemärkelse, vara antingen inkommen eller upprättad hos myndigheten. En upptag- ning anses inkommen till en myndighet när någon har gjort den tillgänglig för myndigheten med hjälp av tekniskt hjälpmedel som

139Se till exempel prop. 2004/05:164 s. 83, 2009/10:85 s. 168 och 2011/12:45 s. 133.

140SOU 2012:90 s. 82.

141En potentiell handling anses utgöra en handling hos myndigheten oavsett om samman- ställningen gjorts tidigare eller om myndigheten själv har behov av att göra en sådan sam- manställning eller inte. Bestämmelsen ger uttryck för likställighetsprincipen, som innebär att allmänheten ska ha tillgång till datalagrad information i samma utsträckning som myndig- heten.

171

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Bestämmelsen innebär att en upptagning för automatiserad behandling som av en myndig- het tillförts ett informationssystem som är gemensamt för flera myndigheter ska anses som inkommen hos alla myndigheter som har tillgång till systemet. I TF görs det ingen skillnad mellan den elektroniska information som en myndighet själv har samlat in och den information från en annan myndighet som den har direktåt- komst till. Sammanställningar av uppgifter ur en värdmyndighets upp- tagningar för automatiserad behandling som genom direktåtkomst görs tekniskt tillgängliga för en mottagarmyndighet utgör således som huvudregel allmänna handlingar hos mottagarmyndigheten. Det saknar betydelse om mottagarmyndigheten rent faktisk använder sig av möjligheten. Det räcker att den finns för att uppgiften ska anses utgöra allmän handling hos mottagarmyndigheten. Det med- för att om någon begär att få ut en allmän handling som är en så kallad potentiell handling från mottagarmyndigheten är denna skyl- dig att göra de sökningar i och bearbetningar av värdmyndighetens information som kan ske med rutinbetonade åtgärder. Det är oklart vilken betydelse så kallade absoluta sökförbud kan ha, det vill säga förbud i en värdmyndighets registerförfattning mot användning av vissa sökbegrepp, för att begränsa mottagarmyndighetens skyldig- het.142 Men det är klart att en motttagarmyndighet är skyldig att göra en sökning och ta fram och lämna ut en potentiell handling, även om den i sin egen verksamhet är förhindrad på grund av sök- eller ändamålsbegränsningar i författningen att utnyttja direktåtkomst.

Andra typer av bestämmelser

Många särskilda registerförfattningar innehåller bestämmelser om tillåtna sökbegrepp, som begränsar myndighetens möjlighet och skyl- dighet att ställa samman personuppgifter. De kan också innehålla bestämmelser om information, samtycke och sambearbetning. Alla dessa typer av bestämmelser påverkar möjligheten för forskare att få tillgång till uppgifter och på vilket sätt det kan ske.

142 SOU 2012:90 s. 115 f.

172

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.3.5.3En översyn av registerlagstiftningen

Flera statliga utredningar, bland annat Integritetsskyddskommittén och E-offentlighetskommittén, har föreslagit att de särskilda register- författningarna ska ses över. Det har anförts att registerförfatt- ningarna saknar en sinsemellan enhetlig struktur och att olika begrepp används för att beskriva samma sak. År 2011 tillsattes en utredning för att se över den så kallade registerlagstiftningen. Utredningen har tagit sig namnet Informationshanteringsutredningen. I delbetän- kandet Överskottsinformation vid direktåtkomst (SOU 2012:90) redovisades vissa delfrågor. Enligt de ursprungliga direktiven skulle utredningen göra en översiktlig inventering av gällande register- författningar och inom tre olika verksamhetsområden närmare ana- lysera hur de är uppbyggda och tillämpas.143 Utredningens uppdrag har nu ändrats och arbetet ska i stället koncentreras på att utreda förutsättningarna för att skapa en generell, enhetlig och samlad reglering för myndigheternas personuppgiftsbehandling och lämna författningsförslag till en sådan.144 Utredningen ska härvid bland annat beakta den pågående översynen inom EU av regleringen om skyddet för personuppgifter.

5.3.6Exempel på register som kan användas vid forskning

5.3.6.1Inledning

Vissa av de särskilda registerförfattningarna reglerar register som kan användas i forskning. Nedan följer en översiktlig genomgång av några av dessa.

5.3.6.2Hälsodataregister

En central förvaltningsmyndighet inom hälso- och sjukvården får enligt 1 § lagen (1998:543) om hälsodataregister utföra automatise- rad behandling av personuppgifter i hälsodataregister. Personupp- gifter i ett hälsodataregister får behandlas för framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar. Enligt 6 §

143Kommittédirektiv Integritet, effektivitet och öppenhet i en modern e-förvaltning, (Dir. 2011:86) s. 19 f.

144Dir. 2014:31.

173

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

samma lag är den som bedriver verksamhet inom hälso- och sjuk- vård skyldig att lämna uppgifter till ett hälsodataregister för dessa ändamål. Uppgifterna samlas in utan den enskildes samtycke.

Regeringen får bland annat meddela föreskrifter om vilka myn- digheter som får föra hälsodataregister, begränsning av ändamålen och begränsningar av de uppgifter ett hälsodataregister får inne- hålla. Regeringen har med stöd av denna bestämmelse utfärdat flera förordningar om hälsodataregister. Exempel på sådana register där personuppgifterna bland annat får behandlas för forskningsändamål och för epidemiologiska undersökningar är cancerregistret och patientregistret.145 Båda dessa register förs av Socialstyrelsen. Även personuppgifter i läkemedelsregistret, register över insatser inom den kommunala hälso- och sjukvården och tandhälsoregistret hos Socialstyrelsen får användas för forskningsändamål.146

5.3.6.3Kvalitetsregister

Med kvalitetsregister avses enligt 7 kap. 1 § patientdatalagen en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska vidare möjliggöra jämförelser inom hälso- och sjukvården på nationell eller regional nivå.

Bestämmelser om hanteringen av personuppgifter i nationella och regionala kvalitetsregister finns i 7 kap. patientdatalagen. Patient- datalagen innehåller en samlad reglering av informationshanteringen inom hälso- och sjukvård som ska tillämpas av alla vårdgivare, både i offentlig och privat verksamhet. Om inte annat följer av patient- datalagen eller föreskrifter som meddelats med stöd av lagen gäller bestämmelserna i PUL. Till exempel är definitionerna i 3 § PUL, rätten till registerutdrag enligt 26 § PUL och bestämmelserna om säkerhetsåtgärder i PUL tillämpliga även inom vård och omsorg.

Inom hälso- och sjukvården förs kvalitetsregister på flera olika nivåer. De kan föras alltifrån lokalt inom en offentlig eller privat

145Förordning (2001:709) om cancerregister hos Socialstyrelsen och förordning (2001:707) om patientregister hos Socialstyrelsen.

146Förordning (2005:363) om läkemedelsregister hos Socialstyrelsen, förordning (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården och förordning (2008:194) om tandhälsoregister hos Socialstyrelsen.

174

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

vårdgivares verksamhet till nationellt med hela landet som upptag- ningsområde.147

5.3.6.4Lokala kvalitetsregister

Ett lokalt kvalitetsregister innebär att personuppgifter från en eller flera vårdenheter hos samma vårdgivare samlas in till ett gemensamt register i syfte att utveckla och säkra kvaliteten i verksamheten. Samma juridiska person är således ansvarig för hanteringen av upp- gifterna. Lokala kvalitetsregister regleras av patientdatalagens allmänna bestämmelser.

Samtycke

Behandling av personuppgifter i ett lokalt kvalitetsregister får utföras även om den enskilde motsätter sig behandlingen (2 kap. 2 § patient- datalagen).

Ändamål

Av 2 kap. 4 § patientdatalagen framgår för vilka ändamål vårdgivare får behandla personuppgifter inom hälso- och sjukvården. Enligt fjärde punkten får personuppgifter behandlas för att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten.

Personuppgiftsansvar

Vårdgivaren är personuppgiftsansvarig för behandlingen av person- uppgifter (2 kap. 6 § patientdatalagen).

Personuppgifter som får behandlas

En vårdgivare får endast behandla sådana personuppgifter som be- hövs för de ändamål som anges i 2 kap. 4 § patientdatalagen. Upp- gifter om lagöverträdelser med mera enligt 21 § PUL får endast

147 Prop. 2007/08:126 s. 177, se även avsnitt 8.2.2.

175

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

behandlas om det är absolut nödvändigt för ett sådant ändamål (2 kap. 7 § patientdatalagen).

Rätt till information

Den som är personuppgiftsansvarig ska se till att den registrerade får information om personuppgiftsbehandlingen (8 kap. 6 § patient- datalagen). Informationen ska innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kate- gorier av uppgifter som behandlas, den uppgiftsskyldighet som kan följa av lag eller förordning och de sekretess- och säkerhetsbestäm- melser som gäller. Den personuppgiftsansvarige ska vidare informera om rätten enligt 4 kap. 4 § patientdatalagen att i vissa fall begära att uppgifter spärras, rätten enligt 4 kap. 5 § patientdatalagen att få information om direktåtkomst och elektroniska åtkomst, rätten att ta del av uppgifter enligt 26 § PUL samt rätten till rättelse och underrättelse av tredje man enligt 28 § PUL. Den registrerade ska slutligen få information om rätten till skadestånd vid behandling av personuppgifter i strid med patientdatalagen, vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling, vad som gäller i fråga om bevarande och gallring samt huruvida personuppgiftsbehandlingen är frivillig eller inte.

Bevarande och gallring

Personuppgifter i kvalitetsregister är allmänna handlingar. När det gäller bevarande och gallring av uppgifter i lokala kvalitetsregister gäller arkivlagens bestämmelser (se avsnitt 5.8).

Sekretess

Kvalitetsregisteruppgifter hämtas vanligtvis från patientjournaler eller annan dokumentation som förs i samband med den individ- inriktade hälso- och sjukvården. Uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden hos hälso- och sjukvård i offent- lig regi skyddas av hälso- och sjukvårdssekretess enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400) (OSL). Uppgifter i ett kvalitetsregister används inte i den direkta vården av patient. I för-

176

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

arbetena till vårdregisterlagen anges att sekretessen enligt 7 kap. 1 c § sekretesslagen, nuvarande 25 kap. 1 § OSL gäller inom den offent- ligt bedrivna hälso- och sjukvården oavsett om uppgifterna finns i ett vårdregister eller behandlas för bland annat kvalitetssäkring.148 Det innebär att 25 kap. 1 § OSL är tillämplig även för uppgifter i ett kvalitetsregister.

5.3.6.5Regionala och nationella kvalitetsregister

I de regionala och nationella kvalitetsregistren samlas personupp- gifter och annan information som rapporterats till registret från flera vårdgivare inom ett landsting, inom en eller flera av landets sjukvårdsregioner eller hela landet.149 I de regionala och nationella kvalitetsregistren är det således olika juridiska personer som är per- sonuppgiftsansvariga för hantering av personuppgifterna. Dessa re- gister regleras av särbestämmelserna i kap. 7 patientdatalagen.

Samtycke

Det följer av 7 kap. 2 § patientdatalagen att personuppgifter inte får behandlas i ett nationellt eller regionalt kvalitetsregister om den enskilde motsätter sig det. Det krävs således inget uttryckligt sam- tycke från den enskilde för registrering.150 I praktiken innebär det att så kallat ”optout” oftast är tillräckligt för personuppgiftsbehand- ling i ett kvalitetsregister. Den enskildes integritet skyddas genom möjligheten att motsätta sig behandling efter att den enskilde fått information om behandlingen. Om den enskilde motsätter sig person- uppgiftsbehandlingen sedan den påbörjats ska uppgifterna utplånas ur registret så snart som möjligt.

Kvalitetsregisters ändamål

Det primära ändamålet med behandling av personuppgifter i natio- nella och regionala kvalitetsregister ska vara att systematiskt och fortlöpande utveckla vårdens kvalitet (7 kap. 4 § patientdatalagen), det vill säga att följa upp medicinsk och annan kvalitet på själva

148Prop. 1997/98:108 s. 78.

149Prop. 2007/08:126 s. 177.

150Prop. 2007/08:126 s. 186 f.

177

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

vårdinsatserna. Med vård avses i detta sammanhang individinriktad patientverksamhet, det vill säga vård, undersökning och behandling inom hälso- och sjukvården.151

Av 7 kap. 5 § framgår att personuppgifter som behandlas för kvalitetssäkring också får behandlas för vissa sekundära ändamål. Uppgifterna får enligt bestämmelsen behandlas för framställning av statistik och för forskning inom hälso- och sjukvårdsområdet. Upp- gifterna får även lämnas ut till tredje man som avser att använda uppgifterna för kvalitetssäkring, framställning av statistik eller forsk- ning inom hälso- och sjukvård. Personuppgifter får vidare be- handlas för att fullgöra en uppgiftsskyldighet som följer av lag och förordning. Undantag gäller dock för sådan uppgiftsskyldighet som följer av 6 kap 5 § OSL, se avsnitt 5.6.3.8.

Några andra ändamål än de ovan angivna är inte tillåtna. Det är således inte tillåtet att behandla personuppgifter för andra ändamål även om dessa inte är oförenliga med det ändamål för vilket upp- gifterna samlades in, det vill säga kvalitetssäkring. Den finalitets- princip som gäller vid behandling av personuppgifter enligt PUL gäller således inte vid behandling av personuppgifter i nationella eller regionala kvalitetsregister.

Som framgår ovan medger bestämmelsen att personuppgifter som samlats in för kvalitetssäkringsändamål även används för forsk- ning inom hälso- och sjukvård. Med forskning avses även epide- miologiska studier.152

Personuppgiftsansvar

Kvalitetsregistren bygger på att vårdgivare, både privata och offent- liga, rapporterar in vissa uppgifter till dessa. Den inrapporterande vårdgivaren har så kallat lokalt personuppgiftsansvar och ansvarar för att insamling och inrapportering av personuppgifter sker på ett korrekt sätt. Vårdgivaren ska också hålla reda på vilka personupp- gifter som behandlas var och ansvara för informationen till patienten.

Det följer av 7 kap. 7 § patientdatalagen att det endast är myn- digheter inom hälso- och sjukvården som får vara centralt person- uppgiftsansvariga, det vill säga personuppgiftsansvariga för central behandling av personuppgifter i ett nationellt eller regionalt kvali- tetsregister. Regeringen eller den myndighet som regeringen bestäm-

151Prop. 2007/08:126 s. 179.

152Prop. 2007/08:126 s. 180.

178

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

mer får emellertid besluta att även annan får vara personuppgifts- ansvarig. Skälet till bestämmelsen är enligt förarbetena att det framstår som mindre lämpligt att stora samlingar av integritetskänsliga person- uppgifter samlas i enskild verksamhet utan att förutsättningarna för detta närmare övervägs eller anges.153 Sedan personuppgifterna kommit in till den centrala myndighet, i regel ett landsting, som an- svarar för kvalitetsregistret som helhet ansvarar den myndigheten för den fortsatta behandlingen, till exempel för säkerhetsfrågor och för att felaktiga uppgifter rättas.

Personuppgifter som får behandlas

Enligt 7 kap. 8 § patientdatalagen får endast sådana personuppgifter som behövs för det primära ändamålet, kvalitetssäkring av vård, tas in i ett nationellt eller regionalt kvalitetsregister. Av propositionen framgår att tolkningen av vad som behövs för ändamålet kvalitets- säkring kan ske inom ganska vida ramar.154 Det betonas att person- uppgifter som inte direkt behövs för kvalitetssäkringsändamål utan endast skulle vara bra att ha i framtida forskningsprojekt inte får samlas in. Inskränknigen torde dock sakna praktik betydelse.

Den registrerades personnummer eller namn får behandlas endast om det inte är tillräckligt att använda kodade personuppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde. Känsliga personuppgifter enligt 13 § PUL och som inte rör hälsa samt personuppgifter om lagöverträdelser medmera som avses i 21 § PUL får behandlas endast om regeringen i det enskilda fallet medger det. Enligt 6 § patientdataförordningen (2008:360) får även Datainspektionen pröva frågor om medgivande till behandling efter att ha hört Socialstyrelsen. Av bestämmelsen i 2 kap. 3 § patient- datalagen följer att andra känsliga personuppgifter än sådana som rör hälsa ändå kan behandlas i ett kvalitetsregister om den enskilde lämnat ett uttryckligt samtycke till behandlingen. I förarbetena be- tonas att det i information till den enskilde klart bör framgå att ett uttryckligt samtycke omfattar just dessa slags personuppgifter.155

153Prop. 2007/08:126 s. 183.

154Prop. 2007/08:126 s. 185.

155Ibid.

179

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Rätt till information

Innan personuppgifter behandlas i ett nationellt eller regionalt kvalitetsregister ska den enskilde enligt de allmänna bestämmel- serna om information i 8 kap. 6 § patientdatalagen få information om bland annat vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kategorier av uppgifter som behandlas, rätten till registerutdrag enligt 26 § PUL och de sekretess- och säkerhets- bestämmelser som gäller för uppgifterna och behandlingen. Därut- över ska den enskilde enligt särbestämmelsen i 7 kap. 3 § patient- datalagen också upplysas om rätten att när som helst få uppgifter om sig själv utplånade ur registret. Patienten ska vidare få reda på i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal, till exem- pel om uppgifter inhämtas genom sambearbetning med andra re- gister.156 Slutligen ska patienten informeras om vilka kategorier av mottagare som personuppgifter kan komma att lämnas ut till, till exempel om uppgifterna kan komma att lämnas ut för forsknings- ändamål. Om det inte är möjligt att lämna informationen innan be- handlingen påbörjas ska den lämnas så snart som möjligt därefter.

Det har överlåtits till den personuppgiftsansvarige att själv be- stämma hur informationen ska ges. I propositionen anges det dock att det åligger den personuppgiftsansvarige att se till att informa- tionen är utformad på ett sätt som kan förstås av patienten.157

Om ett kvalitetsregister först i ett senare skede avses användas för ett nytt ändamål eller sambearbetas utan att de registrerade blivit informerade om detta vid registreringen är det enligt propositionen tillräckligt att tydlig information om det nya ändamålet eller sam- bearbetningen lämnas, exempelvis på en webbplats eller i en tidnings- annons.158 Det bör noteras att det nya ändamålet måste ligga inom ramen för det ursprungliga ändamålet med behandlingen.

Bevarande och gallring

Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska enligt 7 kap. 10 § patientdatalagen gallras när de inte längre behövs för ändamålet kvalitetssäkring. En stor del av värdet med ett kva- litetsregister är emellertid att det ger möjlighet till uppföljning vid

156Prop. 2007/08:126 s. 191.

157Ibid.

158Ibid.

180

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

ett senare tillfälle. Arkivmyndigheten i det landsting eller den kommun till vilken den personuppgiftsansvarige hör har därför fått möjlighet att föreskriva att personuppgifter i ett nationellt eller regionalt kvalitetsregister ska bevaras under längre tid för histo- riska, statistiska eller vetenskapliga ändamål.

Sekretess

Som anförs ovan hämtas uppgifter till kvalitetsregister från patient- journaler eller annan dokumentation som förs i samband med den individinriktade hälso- och sjukvården. Uppgifterna hos den inrappor- terande vårdenheten skyddas således av hälso- och sjukvårdssekre- tess enligt 25 kap. 1 § OSL. I förarbetena till patientdatalagen disku- terades om uppgifter i regionala och nationella kvalitetsregister skyd- das av hälso- och sjukvårdssekretessen, eftersom det i dessa fall inte är samma myndighet som är vårdgivare och som för registret. I propositionen konstateras att vårdgivarna enligt 31 § hälso- och sjukvårdslagen och 16 § tandvårdslagen (1985:125) är skyldiga att genomföra systematisk och fortlöpande säkring av kvaliteten i hälso- och sjukvårdsverksamheten.159 Därför bör kvalitetssäkring i form av kvalitetsregister ses som en integrerad del av sådan hälso- och sjukvårdsverksamhet som avses i 25 kap. 1 § OSL, oavsett om ett kvalitetsregister är nationellt, regionalt eller lokalt. Visserligen lämnas patientuppgifter ut till annan offentlig vårdgivare när de inrapporteras till ett kvalitetsregister som förs centralt utanför den egna myndighetsorganisationen. Uppgifterna härrör emellertid från en individinriktad verksamhet av samma slag som bedrivs av den mottagande myndigheten. Trots att det inte finns någon direkt vård- relation mellan den mottagande registerföraren och patienten lämnar uppgifterna inte den sektor av faktisk hälso- och sjukvårdsverk- samhet som omfattas av tillämpningsområdet för 25 kap. 1 § OSL. Slutsatsen är att sekretessbestämmelsen är tillämplig beträffande samt- liga uppgifter i ett kvalitetsregister vari flera vårdgivare deltar och inte bara beträffande de uppgifter som härrör från samma myndig- hetsorganisation som ansvarar för den centrala registerföringen.

Det följer av 25 kap. 11 § 4 OSL att sekretessen inte hindrar att uppgift lämnas till ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen.

159 Prop. 2007/08:126 s. 195.

181

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.3.6.6Biobankslagen

Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (bio- bankslagen) reglerar hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. Med biobank avses enligt 1 kap. 2 § biobankslagen biologisk material från en eller flera män- niskor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör.

Lagen är tillämplig på en biobank som inrättats i Sverige i en vårdgivares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Lagen är också tillämplig på vävnadsprover som lämnats ut från sådana biobanker för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och vilka även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Lagen ska också gälla i tillämpliga delar för vävnadsprover som tas och samlas in för trans- plantationsändamål enligt lagen (1995:831) om transplantation m.m. Lagen är inte tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas en längre tid.

En biobank får enligt 2 kap. 2 § biobankslagen användas för vård och behandling och andra medicinska ändamål i en vårdgivares verksamhet. Därutöver får en biobank endast användas för ändamål som avser kvalitetssäkring, utbildning, forskning, klinisk prövning, utvecklingsarbete eller annan därmed jämförlig verksamhet. Om en biobank inrättas för ändamål som avser forskning eller klinisk prövning får det ske först efter prövning och godkännande av en nämnd för forskningsetik (etikprövningsnämnd). Biobanken får i sådana fall inte användas för annat ändamål än det för vilket det inrättats utan att nämnden godkänt detta.

I 3 kap. biobankslagen finns bestämmelser om samtycke och information vid insamling och bevarande i en biobank och i 4 kap. regleras utlämnande av vävnadsprover. I biobankslagen finns också bestämmelser om en särskild biobank, PKU-biobanken, som avser vävnadsprover från nyfödda barn.160

160 Fenylketonuri (Phenylketonuria, PKU) är en ärftlig, medfödd ämnesomsättningssjukdom som utan behandling leder till allvarlig hjärnskada. Alla barn erbjuds provtagning i samband med födelsen. Med behandling utvecklas barnet normalt (Socialstyrelsen).

182

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Bestämmelserna i biobankslagen beskrivs närmare i avsnitt 9.5.

5.3.6.7Rättspsykiatriskt forskningsregister

Rättsmedicinalverket (RMV) är central förvaltningsmyndighet för rättspsykiatrisk undersökningsverksamhet, rättsmedicin, rättskemi och rättsgenetik. Enligt 2 § förordning (2007:976) med instruktion för Rättsmedicinalverket ska RMV bland annat svara för rättspsy- kiatriska undersökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. RMV ska enligt samma bestämmelse utföra rättsmedicinska obduktioner och andra rättsmedicinska undersökningar och svara för rättsmedi- cinsk medverkan i övrigt på begäran av domstol, länsstyrelse, allmän åklagare eller polismyndighet. Ytterligare en uppgift som myndig- heten särskilt ska svara för är utvecklingsarbete och stöd åt forsk- ning av betydelse för verksamheten. För att tillgodose behovet av information för forskning och utvecklingsarbete inom rättspsykiatrin har med stöd av en särskild lag det rättspsykiatriska forsknings- registret inrättats. Enligt 1 § lagen (1999:353) om rättspsykiatriskt forskningsregister är RMV personuppgiftsansvarig för registret. Registret får användas endast för behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts enligt lagen om etikprövning av forskning som avser människor (se avsnitt 5.4). Registret får även användas för RMV:s uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete) (3 §).

Enligt uppgift från RMV har insamlandet av uppgifter med stöd av lagen om rättspsykiatriskt forskningsregister upphört. Det beror delvis på tekniska problem vid överföring av uppgifter från Social- styrelsen och Kriminalvården. Vidare har det framkommit att re- gistret inte är ändamålsenligt för forskning inom rättspsykiatri. De uppgifter som lagras i databasen bedöms inte vara de som behövs för forskning och analys inom området. Eftersom uppgifter inte får överföras förrän det finns en lagakraftvunnen dom kan det ta lång tid innan alla uppgifter hamnar i registret. Det uppfattas också som en brist att inga uppgifter från de mål där åtalet ogillats får föras in i registret.

183

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.4Internationella dokument till skydd för den enskilde inom hälso- och sjukvård samt forskning

5.4.1Europarådets konvention om mänskliga rättigheter och biomedicin

5.4.1.1Inledning

Europarådets ministerkommitté antog den 19 november 1996 en ny konvention om mänskliga rättigheter och biomedicin (Konvention angående skydd av de mänskliga rättigheterna och människans vär- dighet med avseende på tillämpningen av biologi och medicin). Sverige undertecknade konventionen 1997 men den har inte ratifi- cerats. Ett hinder mot ratificering av biomedicinkonventionen är de krav som ställs avseende den rättsliga reglering som rör besluts- oförmögna.161 Konventionens syfte är att skydda människor i sam- band med hälso- och sjukvård samt forskning.162 Den innehåller bland annat principer om information och samtycke, ställföreträdare för inte beslutskompetenta personer, gendiagnostik och genterapi, forskning och försök på människor samt tagande och användning av biologiskt material från människor.

5.4.1.2Syfte

Enligt artikel 1 första stycket ska konventionsstaterna skydda alla människors värdighet och identitet och utan diskriminering garan- tera varje människa respekt för hennes integritet och andra grund- läggande fri- och rättigheter i samband med tillämpning av biologi och medicin. I inledningen till konventionen hänvisas till ett flertal olika internationella dokument där individuella och sociala mänsk- liga rättigheter redan erbjuds skydd, såsom FN:s allmänna för- klaring om de mänskliga rättigheterna och Europakonventionen. I inledningen betonas också den snabba utvecklingen inom det bio-

161Regeringen tillsatte i juni 2012 en utredning som ska lämna förslag till en enkel och ända- målsenlig reglering avseende personer som på grund av att de är beslutsoförmögna helt eller delvis saknar möjlighet att fullt ut vara delaktiga eller på annat sätt utöva sitt självbestäm- mande i situationer då detta förutsätts inom hälso- och sjukvård, tandvård eller forskning som avser människor och biologiskt material från människor (Dir 2012:72). Utredningen har antagit namnet Utredningen om beslutsoförmögna personers ställning i hälso- och sjukvård, tandvård, socialtjänst och forskning och ska redovisa sitt resultat senast den 1 januari 2015.

162Prop. 2002/03:50 s. 68.

184

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

medicinska området, den fara som kan uppkomma genom missbruk av vetenskapen och samhällets ansvar för att biomedicinska framsteg utnyttjas till förmån för hela mänskligheten, både nuvarande och kommande generationer. Behovet av internationellt samarbete och en allmän debatt förs också fram.

5.4.1.3Människans företräde

I konventionens inledning betonas att framstegen inom biologi och medicin bör användas till gagn för mänskligheten. Detta får dock inte ske på bekostnad av den enskilda människans intresse. Artikel 2 slår fast den viktiga principen att (den enskilda) människans intressen och välfärd ska ha företräde framför samhällets eller vetenskapens egna intressen.

5.4.1.4Yrkesåliggande och etiska regler

Enligt artikel 4 ska alla åtgärder inom hälso- och sjukvård, inklusive forskning, genomföras i enlighet med tillämpliga yrkesåligganden och professionell standard. Bestämmelsen motsvarar i stort sett den svenska lagstiftningens krav på att hälso- och sjukvårdspersonalen ska utföra sitt arbete i överensstämmelse med vetenskap och be- prövad erfarenhet, vilket kommer till uttryck i 2 kap. 1 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område.163

5.4.1.5Bestämmelser som rör forskning

Det följer av artikel 15 att vetenskaplig biologisk och medicinsk forskning ska bedrivas fritt men samtidigt på ett sådant sätt att den inte kommer i konflikt med konventionens bestämmelser eller med andra regler till skydd för människan. Det finns inte någon defini- tion av begreppet forskning. Det anförs i förarbetena till etikpröv- ningslagen att gränsdragningen mellan etablerade behandlings- metoder och forskning ibland är svår att göra.164

I artikel 16 i–v anges de allmänna förutsättningarna för att forskning på människor ska godkännas. I bestämmelsen stadgas att det inte ska finnas något likvärdigt alternativ till forskning på män-

163Prop. 2002/03:50 s. 69 f.

164Prop. 2002/03:50 s. 70.

185

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

niskor. Det innebär dels att forskningen inte får genomföras om liknande resultat kan erhållas på annat sätt, dels att en mera ingri- pande metod inte får tillåtas om en mindre ingripande åtgärd kan användas för att få fram motsvarande kunskap.165 De eventuella risker försökspersonen utsätts för får inte stå i bristande proportion till den potentiella nyttan med forskningen. Forskningen måste ha godkänts av ett behörigt organ efter en oberoende prövning av dess vetenskapliga värde. Vid prövningen ska bedömas hur viktigt syftet med forskningen är. Vidare ska en tvärvetenskaplig granskning av projektets etiska försvarlighet göras. Försökspersonerna måste vara informerade om sina rättigheter och det skydd de åtnjuter. Det krävs vidare att försökspersonen har lämnat ett uttryckligt och specificerat samtycke till att medverka i en specificerad åtgärd och att samtycket har dokumenterats. Underförstått (hypotetiskt) samtycke är således otillräckligt i samband med forskning på människor. Vad gäller doku- mentation rekommenderas skriftlighet, men i undantagsfall kan munt- ligt samtycke godtas. Ett samtycke får återkallas när som helst.

5.4.1.6Skydd för personer som inte kan lämna samtycke

Artikel 6 innehåller bestämmelser till skydd för personer som inte själva har förmåga att lämna samtycke. Huvudregeln är att forsk- ning på dessa personer endast får genomföras om forskningen är till direkt fördel för den åtgärden avser. När forskningen avser underårig som inte anses beslutskompetent måste tillstånd till åt- gärden lämnas av den underåriges ställföreträdare (vårdnadshavaren) eller av en myndighet, person eller annat organ, i enlighet med vad som är föreskrivet i lag. I takt med stigande ålder och mognad ska allt större hänsyn tas till barnets egna synpunkter och önskemål.

I de fall forskning ska utföras på vuxna personer som på grund av sjukdom, psykisk störning eller liknande saknar förmåga att ge sitt samtycke till ett ingrepp krävs det att samtycke lämnas av patien- tens ställföreträdare eller av föreskriven myndighet, person eller organ. Den berörda personen ska så långt möjligt delta i samtyckes- förfarandet.

Eftersom skyddet för personer som inte kan lämna sitt samtycke vid forskning är särskilt påkallat, finns i artikel 17 vissa komplet- terande förutsättningar som måste vara uppfyllda. Enligt huvudregeln i artikel 17 punkten 1 krävs att forskningsresultatet kan förväntas

165 Prop. 2002/03:50 s. 70.

186

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

bli till konkret och direkt nytta för försökspersonens hälsa. Be- stämmelsen anses innehålla ett krav på proportionalitet mellan denna förväntade nytta och eventuella risker för försökspersonen.166 Vidare krävs det att jämförbara resultat inte kan nås genom forskning på människor som har förmåga att lämna samtycke. Från huvudregeln i artikel 17 punkt 1 om krav på direkt nytta för försökspersonen medges dock i punkt 2 vissa undantag under följande förutsättningar. Den aktuella forskningens mål måste vara att genom en markant förbättring av den vetenskapliga förståelsen av den enskildes till- stånd, sjukdom eller störning bidra till att uppnå resultat som kan medföra nytta, antingen för den berörda försökspersonen eller för andra personer som kan hänföras till samma grupp i fråga om ålder, sjukdom eller tillstånd. Detta innebär bland annat att ett friskt barn kan medverka i forskning som förväntas vara till nytta för andra barn, eller att forskning på åldersdementa kan tillåtas i syfte att få fram bättre metoder att behandla andra personer med åldersdemens. Forskningen får inte medföra mer än minimal risk och minimalt obehag för den berörda individen.167

5.4.1.7Konventionens krav

Konventionen avses omfatta alla medicinska och biologiska åtgärder med människor, bland annat forskningsrelaterade åtgärder. I artikel 1 andra stycket förpliktas konventionsstaterna att vidta nödvändiga åtgärder avseende nationell rätt för att genomföra bestämmelserna i konventionen. Konventionsstaterna ska se till att det finns ett lämp- ligt skydd för att med kort varsel kunna förhindra eller stoppa ett brott mot rättigheterna och principerna i konventionen (artikel 23). Enligt artikel 24 ska parterna också sörja för att lämpliga sanktioner tillämpas i händelse av brott mot bestämmelserna i konventionen. Vissa materiella rättigheter som skyddas i konventionen får inskränkas i nationell lag, under förutsättning att inskränkningen är nödvändig i ett demokratiskt samhälle med hänsyn till den allmänna säker- heten, förebyggandet av brott, folkhälsan eller skyddandet av annans fri- och rättigheter (artikel 26). Vissa av konventionens rättigheter är emellertid undantagna från möjligheten till inskränkningar. Ett sådant undantag gäller de särskilda skyddsreglerna för personer som medverkar i forskning.

166Prop. 2002/03:50 s. 71.

167Ibid.

187

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Artikel 27 tillåter konventionsstaterna att införa ett mer långt- gående skydd än som fastställs i konventionen.

5.4.1.8Tolkning av konventionen

Det är inte möjligt att med stöd av konventionen föra talan vid Europadomstolen i ett enskilt fall. Europadomstolen kan emellertid enligt artikel 29 ge vägledning i rättsfrågor som rör tolkning av kon- ventionen. Sådana uttalanden kan ske på begäran av konventions- staternas regeringar och Europarådets styrkommitté för bioetikfrågor.

5.4.1.9Rapporter om konventionens tillämpning

Det följer av artikel 30 att Europarådets generalsekreterare har möjlighet att ålägga en konventionsstat att avge en rapport om hur konventionens bestämmelser implementerats i nationell rätt. Några egentliga sanktioner mot en stat som inte följer sina åtaganden enligt konventionen finns dock inte.

5.4.2Helsingforsdeklarationen

Vid sidan av de internationella överenskommelserna på detta område finns en mängd forskningsetiska principer som påverkar förutsätt- ningarna att bedriva forskning. De viktigaste internationella forsk- ningsetiska riktlinjerna för medicinsk forskning på människor är Helsingforsdeklarationen. Deklarationen antogs av World Medical Association 1964 som en reaktion på de oacceptabla medicinska försök som utfördes i Nazityskland under andra världskriget. Dekla- rationen innehåller grundläggande etiska principer i syfte att väg- leda läkare och andra som medverkar i medicinsk forskning som omfattar människor. Sådan forskning innefattar forskning på identi- fierbart mänskligt material eller uppgifter som kan hänföras till identifierbara personer.

En av de grundläggande principerna i deklarationen är att om- sorgen om dem som är föremål för undersökningen alltid måste gå före vetenskapens och samhällets intressen vid medicinsk forskning på människor (artikel 8). Enligt artikel 9 är den läkare som är in- blandad i forskning ansvarig för att skydda forskningspersonens liv, hälsa, värdighet, integritet, rätt till självbestämmande, privatliv

188

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

och skydd för privata uppgifter. Ansvaret för forskningspersonerna ligger alltid på läkarna, aldrig på den enskilde även om denne lämnat sitt samtycke. Artikel 24 stadgar att alla tänkbara försiktig- hetsåtgärder måste vidtas för att respektera deltagarnas privatliv och behandla patientinformation konfidentiellt. När det gäller per- soner som kan lämna samtycke är huvudregeln att deltagande i medicinsk forskning alltid ska vara frivilligt (artikel 25). Enligt artikel 32 ska samtycke normalt inhämtas från den enskilde vid in- samling, analys, lagring eller återanvändning av identifierbara prover och data. I de fall det är omöjligt eller opraktiskt att få ett samtycke eller det skulle hota studien att begära ett sådant får forskningen utföras utan samtycke från den enskilde. Då krävs i stället ett god- kännande från en forskningsetisk kommitté.

5.5Etikprövningslagen

5.5.1Syfte

För att Sverige skulle kunna ratificera Europarådets konvention om mänskliga rättigheter och biomedicin krävdes en rättslig reglering av den forskningsetiska granskningen. I syfte att uppfylla de krav som bland annat ställdes i konventionen infördes den 1 januari 2004 lagen om etikprövning av forskning som avser människor, etikprövnings- lagen. Lagen innehåller bestämmelser om etikprövning av forskning som avser människor och biologiskt material från människor. Den innehåller också bestämmelser om samtycke till sådan forskning. Syftet med lagen är enligt 1 § etikprövningslagen att skydda den en- skilda människan och respekten för människovärdet vid forskning.

5.5.2Vissa definitioner

I 2 § etikprövningslagen definieras vissa centrala begrepp. Forskning definieras som vetenskapligt experimentellt eller teore-

tiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Sådant arbete som utförs inom ramen för hög- skoleutbildning på grundnivå eller på avancerad nivå omfattas inte. Enligt förarbetena avses ett systematiskt och metodiskt sökande efter ny kunskap och nya idéer, både när det sker utan någon bestämd tillämpning i sikte (grundforskning) och när det sker med en be-

189

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

stämd tillämpning i sikte (tillämpad forskning).168 Lagens forsknings- begrepp inbegriper också utvecklingsarbete på vetenskaplig grund. Enligt förarbetena avses därmed ett idérikt och systematiskt ut- nyttjande av vetenskaplig och annan kunskap för att åstadkomma nya produkter, nya processer, nya system eller väsentliga förbättringar av existerande system.

Enligt 31 § hälso- och sjukvårdslagen (1982:763) ska kvaliteten inom hälso- och sjukvårdsverksamheten systematiskt och fortlöpan- de utvecklas och säkras. Sådan verksamhet anses inte utgöra forsk- ning i lagens mening.169 Ibland ingår vetenskapligt utvecklingsarbete i myndigheternas arbete med uppföljning. I dessa fall får man se till syftet med det vetenskapliga utvecklingsarbetet. Om syftet är myn- dighetsinternt utvärderingsarbete blir etikprövningslagens bestäm- melser inte tillämpliga. Avsikten är att forskningsbegreppet ska omfatta allt det som omfattas av motsvarande begrepp enligt 19 § PUL.

En forskningshuvudman är den statliga myndighet eller fysiska eller juridiska person inom vars verksamhet forskningens utförs. Inom staten utförs forskning främst vid universitet och högskolor, men även vissa andra myndigheter som till exempel Brottsförebyg- gande rådet (BRÅ) bedriver forskning.170

Med forskningsperson avses den levande människa som forsk- ningen avser.

Med behandling av personuppgifter avses sådan behandling som anges i 3 § PUL.

5.5.3Tillämpningsområde

I 3 och 4 §§ etikprövningslagen anges vilken forskning som omfattas av lagen. Den bestämmelse som har störst betydelse vid register- forskning är 3 §. Bestämmelsen har följande lydelse.

168Prop. 2002/03:50 s. 91 och 192.

169Ibid.

170Prop. 2002/03:50 s. 192.

190

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

3 §

Denna lag ska tillämpas på forskning som innefattar behandling av

1.känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204), eller

2.personuppgifter om lagöverträdelser som innefattar brott, domar

ibrottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden enligt 21 § personuppgiftslagen.

Bestämmelsen är tillämplig på forskning som avser uppgifter om levande människor inom alla vetenskapliga områden. Av första punk- ten framgår att lagen gäller för forskning som innefattar behandling av känsliga personuppgifter enligt 13 § PUL, det vill säga personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa och sexualliv. I andra punkten anges att även forsk- ning som innefattar behandling av personuppgifter om lagöverträdel- ser som innefattar brott med mera enligt 21 § PUL omfattas av lagens tillämpningsområde.

När lagen infördes krävdes ingen etikprövning vid forskning som innefattade behandling av känsliga personuppgifter eller lagöverträ- delser med mera om försökspersonen hade gett sitt uttryckliga sam- tycke till behandlingen. Bestämmelsen har emellertid ändrats och sedan den 1 juni 2008 krävs en godkänd etikprövning vid all forsk- ning som innebär behandling av de i paragrafen angivna kategori- erna av personuppgifter, oavsett om samtycke har lämnats eller inte. Skälet till ändringen var enligt förarbetena att det är fråga om personuppgifter som är potentiellt integritetskränkande och rege- ringen ansåg att en etikprövning bör göras för att säkerställa skyddet för medverkande personer.171 Det faktum att personerna själva har haft möjlighet att ta ställning till behandlingen av personuppgifterna vid inhämtandet av godkännande ansågs inte utgöra tillräcklig grund för att undandra dessa ärenden från den kontroll som en etikpröv- ning innebär.

Enligt 4 § gäller lagen även för forskning som innebär ett fysiskt ingrepp på en levande eller avliden person, utförs enligt en metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt eller som innebär en uppenbar risk för sådan skada. Lagen gäller vidare studier på biologiskt material från en levande eller avliden person, vilket innebär att det behövs etikgodkännande för att an- vända material från en biobank i ett forskningsprojekt. Vid forskning

171 Prop. 2007/08:44 s. 25.

191

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

på levande personer enligt denna bestämmelse krävs det att forsk- ningspersonen fått information om forskningsprojektet och att personen lämnat sitt samtycke till att delta i projektet (16–22 §§ etikprövningslagen).

Det kan i sammanhanget nämnas att Sverige har ovanligt hög detaljeringsgrad när det gäller omfattningen av etikprövningslagens tillämpningsområde.172 I många andra länders lagstiftning beskrivs tillämpningsområdet på ett mer övergripande sätt, till exempel att etikprövning ska göras vid ”medicinsk forskning” eller ”biome- dicinsk forskning på människor”. I annan lagstiftning, såsom i den danska och finska, omfattar etikprövningen endast forskning som innefattar försök på levande och döda människor, inte behandling av personuppgifter. Den svenska etikprövningslagen är inriktad på att skydda de människor som medverkar i forskningen oavsett forsk- ningsområde.

Det följer av 5 § etikprövningslagen att lagen ska tillämpas på forskning som ska utföras i Sverige.

Enligt 4 a § förordning (2003:615) om etikprövning av forsk- ning som avser människor får en regional etikprövningsnämnd lämna rådgivande yttranden över forskning som avser människor i de fall forskningen inte omfattas av etikprövningslagen. Nämnden får också lämna rådgivande yttranden över arbeten som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

5.5.4Godkännande

I 6 § etikprövningslagen finns den centrala bestämmelsen om att den forskning som lagen omfattar inte får utföras utan ett etikgod- kännande. Forskning som innefattar behandling av känsliga person- uppgifter eller personuppgifter om lagöverträdelser med mera enligt 13 och 21 §§ PUL får dessutom utföras bara om behandlingen av personuppgifter har godkänts vid en etikprövning. Bestämmelsen har följande lydelse.

172 Prop. 2007/08:44 s. 32 f.

192

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

6 §

Forskning som avses i 3–5 §§ får utföras bara om den har godkänts vid en etikprövning. Ett godkännande får förenas med villkor. Ett godkännande skall avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskningen får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behand- lingen har godkänts vid etikprövningen.

Ett godkännande upphör att gälla, om inte forskningen har börjat utföras senast två år efter det att beslutet om godkännande vann laga kraft.

Ett godkännande enligt denna lag medför inte att forskningen får utföras, om den strider mot någon annan författning.

Enligt förarbetena avses med begreppet att utföra forskning själva genomförandefasen, det vill säga att forskningen påbörjas genom att forskningspersoner rekryteras och material samlas in, att konkreta försök utförs och att den kunskap som kommer fram analyseras och bearbetas.173 Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller på annat sätt avgränsad forskning. Ett projekt är ofta avgränsat med avseende på den vetenskapliga frågeställningen, antalet forskningspersoner, finansiering eller på något annat sätt. Det framgår av förarbetena att den forskning som ska etikprövas måste vara avgränsad i någon mening för att kunna godkännas vid etikprövningen.174 Några generella, principiella godkännanden till att under oöverskådlig framtid få utföra forskning på ett visst mate- rial, inom ett visst område eller liknande godkännande kan inte läm- nas. En prövning från etiska utgångspunkter anses inte kunna isoleras till enstaka moment i forskningen utan måste bygga på en helhets- bedömning av just den forskning som en viss ansökan avser. Vid prövningen beaktas den aktuella forskningens frågeställningar, syfte, vetenskapliga värde, utförande, risker för forskningspersoner eller för synen på människovärdet, tilltänkta kontakter med forsknings- personer samt forskningsledningens och de deltagande forskarnas kompetens.

I första stycket anges vidare att forskning bara får innefatta be- handling av sådana personuppgifter som avses i 3 § om behand- lingen har godkänts vid etikprövningen. Innan etikprövningslagen infördes fick känsliga personuppgifter enligt en avvägningsnorm i 19 § första stycket PUL behandlas för forskningsändamål, om be- handlingen var nödvändig på det sätt som anges i 10 § PUL och om samhällsintresset av det forsknings- och statistikprojekt där behand-

173Prop. 2002/03:50 s.195.

174Ibid.

193

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

lingen ingick klart vägde över den risk för otillbörligt intrång i den enskildes personliga integritet som behandlingen kunde innebära. Etikprövningslagen medförde att etikprövning av forskning där känsliga personuppgifter ingår blev obligatorisk och möjligheten för forskningshuvudmannen att själv tillämpa avvägningsnormen i 19 § PUL försvann. Följden blev att nämnderna vid etikprövning av forskning som innehåller känsliga personuppgifter också har att ta ställning till behandlingen av känsliga personuppgifter. Vid denna prövning ska nämnden tillämpa i princip samma avvägningsnorm som tidigare fanns i 19 § första stycket PUL.175

Ett beslut vid etikprövning av forskning kan innebära att an- sökan avslås, godkänns eller godkänns under vissa villkor. Vid etik- prövning av forskning som avser att behandla känsliga personupp- gifter eller som berör lagöverträdelser med mera ska det enligt förarbetena ingå att bedöma förutsättningarna för behandlingen av personuppgifterna utan samtycke.176 Om nämnden kan konstatera att samtycke bör inhämtas trots att den sökande anser att det inte är nödvändigt eller att formerna för information till forskningsper- sonerna bedöms bristfälliga har nämnden möjlighet att avslå ansökan. Nämnden kan också besluta om villkor för ett godkännande. För att tillgodose integritetsaspekterna kan nämnden förena beslutet med särskilda villkor, exempelvis krav på samtycke. Även andra villkor, till exempel rätt för forskningspersonen att få uppgifter strukna eller formerna för rekrytering av forskningspersonerna, kan ställas upp som förutsättningar för godkännande.

Av bestämmelsens andra stycke framgår att ett etikgodkännande är begränsat i tid. Genomförandefasen ska ha påbörjats senast två år efter det att beslutet om godkännande vann laga kraft. Plane- ringsarbete och ordnande av finansiering räknas inte till genom- förandefasen.177

I tredje stycket finns en erinran om att etikprövningen inte inne- bär en prövning av några andra bestämmelser som kan påverka om och hur forskning får genomföras.

175Prop. 2002/03:50 s. 173

176Prop. 2007/08:44 s. 26.

177Prop. 2002/03:50 s. 195.

194

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.5.5Utgångspunkter för etikprövningen

I 7–11 §§ etikprövningslagen anges de allmänna utgångspunkter som gäller vid etikprövningen. Bestämmelserna har sin bakgrund i artikel 16 i Europarådets konvention om mänskliga rättigheter och biomedicin. Syftet med bestämmelserna är att skydda både män- niskovärdet i stort och den enskilde forskningspersonens välbefin- nande.178

Enligt 7 § etikprövningslagen får forskning godkännas bara om den kan utföras med respekt för människovärdet. Mänskliga rättig- heter och grundläggande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför samhällets och vetenskapens behov (8 § etikprövnings- lagen). Bestämmelserna innebär att välfärden för de människor som deltar i eller på annat sätt ingår i forskning ska gå före samhällets och vetenskapens intressen.179 De medför också enligt förarbetena att man vid etikprövningen bör se längre än till de direkta riskerna för de medverkande. Som exempel på fall där det kan bli aktuellt anges i propositionen forskning som kan innebära genetisk påverkan på kommande generationer.180 I propositionen påpekas att dessa krav kan tala både för och emot forskningen, eftersom människans välfärd i stort ofta gynnas av att forskningen kommer till stånd. Det framhålls också att det från samhällelig synpunkt är mycket viktigt att det skapas möjlighet att genom forskning utveckla ny kunskap.

Av avvägningsregeln i 9 § etikprövningslagen följer att forsk- ning får godkännas endast om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Det anförs i förarbetena till bestäm- melsen att det ligger i sakens natur att riskerna i normalfallet måste vara begränsade och att sökanden måste visa att värdet av forsk- ningen verkligen är så högt att det väger tyngre än intresset av att forskningspersonerna skyddas mot risker.181 Enligt propositionen ska avvägningen ske i två steg.182 Först ska en bedömning av forsk- ningens vetenskapliga bärkraft göras. Forskningen ska kunna generera kunskap som är väl underbyggd. Prövningen avser även till exempel om de metoder som används ger tillförlitliga svar på forskningens

178Prop. 2002/03:50 s. 196.

179Prop. 2002/03:50 s. 98.

180Ibid.

181Prop. 2002/03:50 s. 196.

182Prop. 2002/03:50 s. 98 f.

195

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

frågeställningar eller det problem eller förhållande som forskaren vill belysa. Det anges vidare att som allmänt krav på forskning där människor ska ingå bör gälla att forskningen ska kunna innebära teoretisk och/eller praktisk nytta för samhället och mänskligheten i stort. Efter bedömningen av forskningens vetenskapliga bärkraft ska en avvägning göras mellan riskerna för skada eller obehag och det väntade värdet av den kunskap forskningen sannolikt kan ge. Vid denna så kallade risk-värde-bedömning fastställs om forsk- ningen berör en sådan frågeställning som motiverar ett mänskligt deltagande och om den kan besvara eller belysa frågeställningen på ett korrekt sätt. Vid denna avvägning får riskerna, som det anges i förarbetena, inte stå i bristande proportion till forskningens poten- tiella allmängiltiga värde.

Forskning får inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forsknings- personers hälsa, säkerhet och personliga integritet (10 § etikpröv- ningslagen). Forskningen bör således bara få genomföras om det inte finns några alternativa likvärdiga metoder som inte innefattar försök på människor eller om det kan utföras annan forskning som visser- ligen innefattar risker för människor men som innebär mindre risker än i det projekt som ansökan avser.183 Behandling av känsliga person- uppgifter eller personuppgifter som rör lagöverträdelser med mera får godkännas bara om den är nödvändig för att forskningen ska kunna utföras (10§ etikprövningslagen andra stycket). Nödvän- dighetskravet i bestämmelsen motsvarar det som gäller enligt PUL, till exempel enligt 10 § PUL, se avsnitt 5.3.4.7.184

Forskning får godkännas bara om den ska utföras av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs (11 § etikprövningslagen).

5.5.6Utlämnande av personuppgifter

Enligt 12 § etikprövningslagen får personuppgifter lämnas ut för att användas i forskning, om inte något annat följer av regler om sekre- tess och tystnadsplikt. Bestämmelsen har koppling till 24 § PUL. Av bestämmelsen följer att den personuppgiftsansvarige självmant ska informera den registrerade om att uppgifter om honom eller henne behandlas, om uppgifterna samlats in från någon annan källa

183Prop. 2002/03:50 s. 100.

184Prop. 2002/03:50 s. 196.

196

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

än den registrerade själv. Det skulle i praktiken innebära att en forskare vid behandling av registeruppgifter som hämtats från myn- dighetsregister alltid skulle behöva informera de registrerade om behandlingen. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personupp- gifterna i en lag eller någon annan författning. Bestämmelsen i 12 § etikprövningslagen är en sådan bestämmelse som medför att en forskare inte automatiskt behöver informera den registrerade om sin behandling.185 Däremot kan etikprövningsnämnden ställa villkor om att information ändå ska lämnas till den registrerade.

5.5.7De regionala etikprövningsnämnderna

Det är forskningshuvudmannens ansvar att ansöka om etikprövning (23 § etikprövningslagen). Etikprövning ska enligt 24 § etikprövnings- lagen ske vid en regional nämnd. Etikprövningsnämnden prövar även inrättande av biobanker enligt lagen om biobanker i hälso- och sjukvården m.m. i de fall biobanken ska användas för ändamål som avser forskning eller klinisk prövning (2 kap. 3 § biobankslagen)(se avsnitt 5.3.6.6).

Etikprövningen sker i dag vid sex regionala nämnder, som är indelade i två eller flera avdelningar. Minst en avdelning på varje ort prövar ärenden inom det medicinska vetenskapsområdet medan en avdelning prövar ärenden som rör övrig forskning. Varje avdelning består av en ordförande, som är eller har varit ordinarie domare, och femton ledamöter, av vilka tio ska ha vetenskaplig kompetens och fem ska företräda allmänna intressen. De regionala nämndernas kanslier ligger vid universiteten i Göteborg, Linköping, Lund, Umeå och Uppsala och vid Karolinska Institutet (KI) i Stockholm.

Om en nämnd finner att forskningen ger upphov till etiska frågor av ny eller principiell karaktär bör nämnden enligt 28 § etikpröv- ningslagen inhämta yttrande från Vetenskapsrådet (VR) eller andra behöriga myndigheter. Om nämnden är oenig finns en möjlighet att i vissa fall lämna över ärendet för avgörande till Centrala etikpröv- ningsnämnden (29 § etikprövningslagen).

185 Prop. 2002/03:50 s. 197.

197

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

5.5.8Centrala etikprövningsnämnden

Om en regional nämnd har avgjort ett ärende och beslutet har gått forskningshuvudmannen emot kan huvudmannen överklaga beslutet hos Centrala etikprövningsnämnden. Centrala etikprövningsnämn- den prövar som ovan nämnts även ärenden som en regional nämnd överlämnat på grund av oenighet.

Enligt etikprövningslagen får forskning som faller inom lagens tillämpningsområde inte påbörjas innan den har godkänts av en nämnd. För att detta krav ska upprätthållas krävs en fungerande tillsyn.186 Centrala etikprövningsnämnden har uppgiften att utöva tillsyn över efterlevnaden av etikprövningslagen och de föreskrifter som meddelats med stöd av lagen. Tillsynsansvaret omfattar den forskning som inte täcks av det tillsynsansvar som Inspektionen för vård och omsorg (IVO), Läkemedelsverket och Datainspektionen har, bland annat medicinsk grundforskning som bedrivs av annan huvudman än vårdgivare inom hälso- och sjukvården, till exempel i anslutning till lärosätenas medicinska institutioner. Tillsyn kan bli aktuellt vid misstanke att forskning som omfattas av lagen bedrivs utan godkännande eller att forskning bedrivs i strid med villkor som meddelats i samband med ett godkännande.

Centrala etikprövningsnämnden har sitt kansli vid VR i Stockholm. Nämnden består av en ordförande, som är eller har varit ordinarie domare, och sex övriga ledamöter varav fyra ska ha vetenskaplig kompetens och två ska företräda allmänna intressen.

5.5.9Straff

Den som uppsåtligen byter mot kravet på godkännande enligt 6 § första stycket etikprövningslagen kan enligt 38 § dömas till böter eller fängelse i högst sex månader. I ringa fall döms dock inte till ansvar. Till ansvar döms inte heller om gärningen är straffbelagd en- ligt någon annan författning.

186 Prop. 2002/03:50 s. 163 f.

198

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

5.6Offentlighet och sekretess

5.6.1Inledning

Vilka möjligheter har forskare att ta del av uppgifter från myndig- heter? I Sverige gäller offentlighetsprincipen, som bland annat med- för en grundläggande rätt för envar att ta del av allmänna hand- lingar hos en myndighet. Utgångspunkten är således att den som så önskar, däribland forskare, ska kunna ta del av samtliga allmänna handlingar som förvaras på en myndighet.187 I sekretesslagstiftningen finns emellertid undantag från huvudregeln om handlingsoffentlighet som medför att allmänhetens, och däribland forskarnas, möjlighet att ta del av allmänna handlingar begränsas. Bestämmelserna om offentlighet och sekretess är således av avgörande betydelse för forskarnas möjlighet att få ta del av myndigheternas uppgifter. De reglerar också skyddet för de uppgifter forskningshuvudmannen förvarar hos sig.

5.6.2Offentlighetsprincipen

5.6.2.1Rätten att ta del av allmänna handlingar

Enligt 2 kap. 1 § TF har varje svensk medborgare, till främjande av ett fritt meningsutbyte och en allsidig upplysning, rätt att ta del av allmänna handlingar.188 Med handling avses enligt 2 kap. 3 § TF framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälp- medel. Ordet handling betyder således inte enbart ett papper med skrift eller en bild på utan också till exempel en bandinspelning eller en upptagning för automatiserad behandling. En handling inne- håller information av något slag.

En handling är allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten (2 kap. 3 § första stycket TF). Det är vanligtvis inte svårt att avgöra om en vanlig pappershandling är att anse som förvarad hos en myndighet. När det gäller information som är lagrad på en hårddisk kan det emellertid vara besvärligare att bedöma. Själva hårddisken med upp- tagningen för automatiserad behandling kan finnas hos en myndig-

187Principen medför dock inte någon skyldighet för myndigheten att lämna ut allmän hand- ling i elektronisk form.

188Rätten avser enligt lagtexten svenska medborgare men ska tillämpas även för andra.

199

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

het samtidigt som en annan myndighet har möjligheter att se infor- mationen på bildskärmar eller få utskrifter av upptagningen direkt på egna skrivare. För denna typ av handlingar finns en särskild regel i 2 kap. 3 § andra stycket första meningen TF. Enligt bestämmelsen ska en upptagning anses förvarad hos en myndighet om upptagning- en är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller uppfattas på annat sätt. Bestämmelsen innebär att en upptagning för automatiserad behandling som huvudregel anses förvarad både hos den myndighet där upptagningen rent fysiskt finns och hos den myndighet som har åtkomst till upptagningen. Dessutom anses en upptagning för automatiserad behandling förvarad hos en myndighet, om myndigheten kan få utskrifter av upptagningen från någon annan som har hand om upptagningen för myndighetens räk- ning, till exempel en annan myndighet som ansvarar för databehand- ling som är gemensam för ett antal myndigheter. Myndigheten be- höver alltså inte ha direktåtkomst till upptagningen. Denna regel innebär också att information som rent fysiskt befinner sig utanför Sverige eller för vilken det överhuvudtaget inte går att avgöra var den finns kan vara förvarad hos en eller flera svenska myndig- heter.189

Som redovisats ovan finns det två undantag från huvudregeln. Det första finns i 2 kap. 3 § andra stycket andra meningen TF. Enligt denna bestämmelse ska en sammanställning av uppgifter ur en upptagning för automatiserad behandling, en så kallad potentiell handling, anses förvarad hos myndigheten bara om myndigheten kan göra sammanställningen med rutinbetonade åtgärder.190 Krävs en mera kvalificerad, konstruktiv insats, till exempel i form av ny- skrivning av datorprogram, är upptagningen inte att betrakta som förvarad på myndigheten.191 Enligt förarbetena avses med rutin- betonade åtgärder en begränsad arbetsinsats som inte är förknippad med några nämnvärda kostnader.192 Bedömningen av om en åtgärd är rutinbetonad får göras med hänsyn till såväl den allmänna tekniska utvecklingen som den tekniska kompetensen och den tekniska utvecklingen hos myndigheten i fråga.

Det bör i sammanhanget förtydligas att för så kallade färdiga elektroniska handlingar gäller huvudregeln i 2 kap. 3 § andra stycket

189Lenberg, E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo) kommentaren till 2 kap. 3 § tryckfrihetsförordningen.

190Prop. 2001/02:70 s. 20.

191Prop. 1975/76:160 s. 90.

192Prop. 2001/02:70 s. 22 och 37.

200

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

första meningen TF. Med uttrycket färdig elektronisk handling avses handlingar i elektronisk form med ett bestämt, fixerat inne- håll som går att återskapa gång på gång.193 Exempel på sådana hand- lingar är e-brev samt promemorior, protokoll och beslut i elektronisk form. Färdiga elektroniska handlingar ska således anses förvarade hos myndigheten även om det krävs mer än rutinbetonade åtgärder för att göra dem tillgängliga.194

Det andra undantaget från huvudregeln finns i 2 kap. 3 § tredje stycket TF. I bestämmelsen anges att en sammanställning av uppgifter ur en upptagning för automatiserad behandling inte anses förvarad hos en myndighet om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig. Denna så kallade begränsnings- regel gäller även om sammanställningen kan tas fram med rutin- betonade åtgärder.

Regeln innebär att sammanställningar av uppgifter ur upptag- ningar som en myndighet av hänsyn till skyddet för enskildas inte- gritet inte har rätt att ta fram i sin egen verksamhet inte heller är till- gängliga för allmänheten. En förutsättning för att undantaget ska vara tillämpligt är att det gäller personuppgifter. Med begreppet personuppgifter avses här detsamma som i PUL, dock med den skillnaden att begreppet i TF också omfattar avlidna personer.195

5.6.2.2I vilken form ska uppgifterna ges ut?

Den som önskar ta del av en allmän handling har rätt att göra det på två olika sätt. Sökanden kan ta del av handlingen genom att myn- digheten tillhandahåller den på stället (2 kap. 12 § första stycket TF). Sökanden kan också ta del av handlingen genom att mot en avgift få den utlämnad i avskrift eller kopia (2 kap. 13 § första stycket TF).

Bestämmelserna i TF medför således ingen generell skyldighet för en myndighet att lämna ut en uppgift i elektronisk form. I vissa registerförfattningar finns bestämmelser som reglerar om och i vilka fall personuppgifter får utlämnas i elektronisk form. En myn- dighet kan också välja att lämna ut allmänna handlingar i elektronisk form i enlighet med förvaltningslagens bestämmelser om service- skyldighet.196 En förutsättning för detta är att inga hinder för ut-

193Prop. 2001/2002:70 s. 20 f.

194Prop. 2001/02:70 s. 38.

195Ibid.

196SOU 2010:4 s. 77.

201

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

lämnande finns i den registerförfattning som gäller för myndigheten. Regeringen har i olika sammanhang uppmanat myndigheterna att lämna ut handlingar på elektronisk väg, även om ingen sådan legal skyldighet föreligger.197

5.6.2.3Begränsning av rätten att ta del av allmänna handlingar

Som anges ovan medför offentlighetsprincipen att envar har rätt att ta del av allmänna handlingar hos en myndighet. Huvudregeln är således att registeruppgifter som ingår i allmänna handlingar omfattas av offentlighetsprincipen och ska lämnas ut av myndigheten när någon, till exempel en forskare, önskar ta del av dem.

Rätten att ta del av allmänna handlingar får begränsas på de sätt som framgår av 2 kap. 2 § TF. Bestämmelsen har följande lydelse.

2 kap. 2 § TF

Rätten att taga del av allmänna handlingar får begränsas endast om det är påkallat med hänsyn till

1.rikets säkerhet eller dess förhållande till annan stat eller mellan- folklig organisation,

2.rikets centrala finanspolitik, penningpolitik eller valutapolitik,

3.myndighets verksamhet för inspektion, kontroll eller annan tillsyn,

4.intresset att förebygga eller beivra brott,

5.det allmännas ekonomiska intresse,

6.skyddet för enskilds personliga eller ekonomiska förhållanden,

7.intresset att bevara djur- eller växtart.

Begränsning av rätten att taga del av allmänna handlingar skall angivas noga i bestämmelse i en särskild lag eller, om så i visst fall befinnes lämpligare, i annan lag vartill den särskilda lagen hänvisar. Efter bemyndigande i sådan bestämmelse får dock regeringen genom för- ordning meddela närmare föreskrifter om bestämmelsens tillämplighet.

Utan hinder av andra stycket får i bestämmelse som där avses riks- dagen eller regeringen tilläggas befogenhet att efter omständigheterna medgiva att viss handling lämnas ut.

Sekretessregleringen är en undantagsreglering i förhållande till offent- lighetsprincipen. Sekretess ska därför gälla för uppgifter endast om det finns ett särskilt skyddsvärt intresse. I bestämmelsens första stycke finns en uttömmande uppräkning av vilka intressen som får skyddas genom att allmänna handlingar hålls hemliga, de så kallade

197 Se bland annat prop. 2001/02:70 s. 34.

202

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

sekretessgrunderna. Allmänna handlingar får således inte hållas hem- liga för att skydda några andra intressen än dem som räknas upp.

Den sekretess som kan bli aktuell vid uttag ur myndigheternas register för forskning är främst sådan sekretess som har sin grund i punkten 6, det vill säga sekretess till skydd för enskilds personliga och ekonomiska förhållanden.

Vilka handlingar som är hemliga ska enligt andra stycket anges i en särskild lag. Den lag som avses är offentlighets- och sekretess- lagen, OSL. OSL innehåller bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar, gemensamt betecknat som sekretess (1 kap. 1 § andra stycket OSL). Utgångspunkten är att det av OSL ska framgå alla de fall då all- männa handlingar är hemliga.198 Punkterna 1–5 och 7 i 2 kap. 2 § TF motsvaras av 15–20 kap. i OSL. Punkten 6 som reglerar skyddet för enskilds personliga eller ekonomiska förhållanden motsvaras av femte avdelningen (21–40 kap.) i OSL. Det är tillåtet att ta in bestämmel- ser om hemliga handlingar i andra lagar, men då ska OSL hänvisa dit.

Regeringen ges i andra stycket rätt att besluta om komplette- rande föreskrifter. Sådana regeringsföreskrifter finns samlade i offentlighets- och sekretessförordningen (2009:641), OSF.

I det tredje stycket har regeringen och riksdagen fått befogenhet att genom särskilda föreskrifter i sekretessbestämmelserna ge dispens från sekretessen.

5.6.3Offentlighets- och sekretesslagen

5.6.3.1Sekretessbestämmelsernas uppbyggnad

OSL innehåller bestämmelser om myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hante- ring av allmänna handlingar (1 kap. 1 § OSL). Som anges ovan inne- håller lagen också bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna handlingar.

OSL utgör ett undantag från offentlighetsprincipen och sekretess ska därför gälla endast om det finns ett särskilt skyddsvärt intresse. Utgångspunkten är att sekretess endast ska gälla i den omfattning som är nödvändig för att skydda det intresse som föranlett bestäm- melsen.199 För att så tydligt som möjligt klargöra sekretessens om-

198Lenberg, E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo), kommentaren till 2 kap. 2 § tryckfrihetsförordningen.

199SOU 2003:99 s. 79.

203

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

fattning är sekretessbestämmelserna som regel utformade med hjälp av tre olika slags rekvisit. Dessa anger föremålet för sekretessen, sekretessens räckvidd och sekretessens styrka.200 Med föremålet för sekretessen avses vilket slags uppgift som sekretessregleringen avser, till exempel personliga och ekonomiska förhållanden. Sekretessen räckvidd anger inom vilken verksamhet eller i vilken typ av ärenden sekretessbestämmelsen gäller. I undantagsfall hänvisas också till en viss bestämd myndighet. Om inget annat anges är bestämmelsen tillämplig inom hela den offentliga förvaltningen. Sekretessens styrka anges genom ett skaderekvisit.

Skaderekvisit

Som anförts ovan medför offentlighetsprincipen att sekretess ska gälla endast i den omfattning som är nödvändig för att skydda det intresse som ligger till grund för bestämmelsen.201 Ett sätt att åstadkomma detta är att använda så kallade skaderekvisit, det vill säga särskilda rekvisit som anger vilken styrka sekretessen har. Det finns i huvudsak två olika typer av skaderekvisit, det raka och det omvända. Vid ett rakt skaderekvisit är utgångspunkten offentlighet. Det uttrycks i lagtexten genom att sekretess gäller om det kan antas att en viss skada inträffar om uppgiften röjs. Vid ett omvänt skaderekvisit föreligger en presumtion för att uppgifterna omfattas av sekretess. Sekretessen uttrycks i dessa fall genom att sekretess gäller om det inte står klart att uppgiften kan röjas utan skada och men. I vissa fall kan sekretessen vara absolut. Det innebär att någon skade- och menprövning inte ska göras och att uppgiften inte kan lämnas ut.

Förbehåll

En myndighet ska också alltid ta ställning till om uppgifter som är sekretessbelagda ändå kan lämnas ut med förbehåll. Av 10 kap. 14 § OSL följer att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en sekretessbestämmelse hindrar att en uppgift lämnas ut kan undanröjas genom ett förbehåll som inskränker rätten att lämna uppgiften vidare eller utnyttja den ska

200SOU 2003:99 s. 78.

201SOU 2003:99 s. 131.

204

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

myndigheten göra ett sådant förbehåll när uppgiften lämnas ut. Bestämmelsen ska bara tillämpas vid utlämnande till enskilda.

Skada och men

Vad avses med uttrycket ”skada och men” i OSL? Enligt för- arbetena till den tidigare sekretesslagen (1980:100) avser begreppet ”skada” ekonomisk skada.202 Begreppet ”men” ansågs lämpligt att använda avseende integritetskränkningar. Uttrycket ”men” har, enligt förarbetena, en mycket vid innebörd. I första hand åsyftas sådana skador som att någon blir utsatt för andras missaktning om dennes personliga förhållanden blir kända. Redan den omständigheten att vissa personer känner till en för någon enskild ömtålig uppgift kan anses vara tillräckligt för att medföra men. Den berörda personens egen upplevelse ska vara utgångspunkten vid en bedömning av om men föreligger. Vid bedömningen bör dock viss hänsyn kunna tas till gängse värderingar i samhället.

Enskilds personliga eller ekonomiska förhållanden

Begreppet ”enskilds personliga och ekonomiska förhållanden” är hämtat från 2 kap. 2 § första stycket 6 TF. I förarbetena till sekretess- lagen anfördes att det inte var nödvändigt att göra någon analys av begreppets innebörd.203 Innebörden av begreppet personliga förhål- landen får i stället bestämmas med ledning av vanligt språkbruk. I propositionen anges som exempel på personliga förhållanden en persons adress eller yttringar av ett psykiskt sjukdomstillstånd. Upp- gifter om en persons ekonomi faller också under begreppet personliga förhållanden. Personliga och ekonomiska förhållanden bör emeller- tid enligt förarbetena hållas isär, bland annat för att sekretessregle- ringen också avser juridiska personer, som ju inte kan säga ha några ”personliga förhållanden”.

För att en enskild ska lida skada eller men krävs det att uppgifter- na är hänförliga till en viss individ.204 Det innebär enligt förarbetena att man i allmänhet bör kunna lämna ut så kallade avidentifierade

202Prop. 1979/80:2 Del A s. 83, SOU 2003:99 s. 138 ff.

203Prop. 1979/80:2 Del A s. 84.

204Prop. 1979/80:2 Del A s. 84.

205

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

uppgifter utan risk för att skada eller men uppkommer.205 Sekre- tessen gäller nämligen endast när det finns ett samband mellan en individ och uppgiften. I propositionen anförs det vidare att det i enstaka fall kan tänkas att en avidentifiering inte är tillräcklig för att hindra att sambandet mellan individen och uppgiften spåras. Huruvida en sådan risk föreligger får bedömas efter omständigheterna i del enskilda fallet.

Överföring av sekretess och primär och sekundär sekretess

Det är en grundläggande princip i sekretessregleringen att sekretess inte överförs automatiskt mellan myndigheter.206 En sekretessbe- stämmelse som gäller för en uppgift hos en myndighet blir inte utan särskild reglering tillämplig hos en annan myndighet när uppgiften lämnas dit. Detta beror bland annat på att behovet av och styrkan i en sekretess inte kan bestämmas enbart med hänsyn till sekretess- intresset.207 Detta måste i varje sammanhang vägas mot intresset av insyn i myndigheternas verksamhet. Denna avvägning kan resultera i en annan bedömning utanför det område där en sekretessregel gäller. Kravet på offentlighet kan således innebära att de uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda.

För att uppgiften hos den mottagande myndigheten ska omfattas av sekretess krävs det att det finns en sekretessbestämmelse som är tillämplig för den mottagande myndigheten, så kallad primär sek- retess. Med en primär sekretessbestämmelse avses enligt 3 kap. 1 § OSL en sekretessbestämmelse som en myndighet ska tillämpa på grund av att bestämmelsen riktar sig direkt till myndigheten eller omfattar viss verksamhetstyp eller ärendetyp som hanteras hos myn- digheten eller omfattar vissa uppgifter hos myndigheten. Ett alter- nativ är att det finns en särskild överföringsbestämmelse som medför att sekretessen sprids utanför sitt ursprungliga tillämpningsområde, en sekundär sekretess. Enligt definitionen i 3 kap. 1 § OSL är en sekundär sekretessbestämmelse en bestämmelse om sekretess som en myndighet ska tillämpa på grund av en bestämmelse om överföring av sekretess.

205Avidentifierade uppgifter får här förstås som vad som i denna utredning benämns anony- miserade uppgifter, det vill säga även kodade uppgifter.

206Prop. 2008/09:150 s. 315.

207Prop. 1979/80:2 Del A s. 75 f.

206

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Om det finns flera primära sekretessbestämmelser till skydd för samma uppgift hos en myndighet ska myndigheten tillämpa den bestämmelse som ger det starkaste sekretesskyddet.208 I de fall en uppgift överförs från en myndighet till en annan och det finns en primär sekretessbestämmelse som är tillämplig på uppgiften hos den mottagande myndigheten gäller den bestämmelsen före en sekundär sekretessbestämmelse. Detta gäller oavsett den primära sekretessens styrka, det vill säga även om det skulle innebära ett svagare skydd än den sekundära bestämmelsen skulle ha gjort.209

5.6.3.2Myndigheternas sekretessprövning

Enligt 2 kap. 14 § TF är det alltid den myndighet som förvarar en handling som ska pröva om den kan lämnas ut. En allmän handling som får lämnas ut ska tillhandahållas genast eller så snart som möjligt (2 kap. 12 § TF), vilket innebär att en begäran att ta del av hand- lingen ska prövas skyndsamt av myndigheten.210

När någon, till exempel en forskare, begär ut en uppgift ur en myndighets register ska myndigheten inledningsvis ta ställning till om uppgiften finns i en allmän handling. Om så är fallet medför offentlighetsprincipen som framgått ovan att handlingen som huvud- regel är offentlig och ska lämnas ut. Uppgiften kan emellertid om- fattas av sekretess. Myndigheten ska då bedöma om uppgiften kan hänföras till en enskild och om det innebär skada och men för den enskilde eller dennes närstående om uppgiften lämnas ut, en så kallad skade- och menprövning eller utlämnandeprövning. Om en skade- och menprövning resulterar i slutsatsen att de uppgifter som begärs ut omfattas av sekretess får uppgifterna inte lämnas ut. Det kan emellertid finnas sekretessbrytande bestämmelser som är tillämpliga och som bryter igenom sekretesskyddet och medger att uppgifter- na ändå får lämnas ut.

I vissa fall är sekretessen absolut. Någon skade- och menpröv- ning ska då inte göras. Uppgifterna kan dock eventuellt ändå lämnas ut med stöd av en sekretessbrytande bestämmelse.

Det bör noteras att det endast är specifika uppgifter som kan skyddas av sekretess, inte de handlingar i vilka uppgifterna förekom- mer. I de fall vissa uppgifter i en handling får lämnas ut och andra

208Prop. 1979/80:2 Del A s. 70, prop. 2008/09:150 s. 316.

209Ibid.

210SOU 2010:4 s. 63.

207

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

inte ska de uppgifter som inte kan lämnas ut strykas över eller ute- slutas på annat sätt, så att handlingen i övrigt kan lämnas ut (2 kap.

12§ första stycket TF).

Om myndigheten kommer fram till att de begärda uppgifterna

inte går att lämna ut ska myndigheten meddela den som har begärt uppgifterna sin bedömning och skälen till att handlingen eller delar av den inte lämnas ut. Den enskilde har rätt till ett skriftligt av- slagsbeslut. En myndighets beslut att inte lämna ut en handling till den enskilde, att lämna ut en handling med förbehåll eller att avslå den enskildes begäran att själv använda tekniska hjälpmedel för att ta del av upptagningar för automatiserad behandling överklagas enligt huvudregeln till kammarrätten (6 kap. 8 § första stycket OSL). Även i de fall klaganden är en juridisk person eller kommunal myn- dighet ska beslutet överklagas till kammarrätten. Av tredje stycket följer att beslut av en tingsrätt och som gäller handling i domstolens rättsskipande eller rättsvårdande verksamhet dock överklagas till hovrätten. Ett avslagsbeslut som meddelats av en statlig myndighet som lyder under regeringen överklagas av en annan sådan myndig- het till regeringen (6 kap. 8 § fjärde stycket OSL).

5.6.3.3Utlämnandeprövningen

Vad ska myndigheterna beakta vid utlämnandeprövning vid rakt respektive omvänt skaderekvisit? Vid rakt skaderekvisit finns det som ovan anförts en presumtion för offentlighet. Den som ska tillämpa det raka skaderekvisitet kan göra sin bedömning inom ganska vida ramar.211 Prövningen ska göras utifrån själva uppgiften och någon bedömning av det enskilda fallet behöver inte alltid göras. Det är i stället uppgiften i sig som är avgörande för om ett utläm- nande kan vara ägnat att skada det intresse som ska skyddas av sekretessen. Om uppgiften är sådan att den typiskt sett skulle be- traktas som harmlös ska den normalt falla utanför sekretessen. Om uppgiften i stället är sådan att den lätt kan komma att missbrukas ska den i de flesta fall omfattas av sekretess. Det är således arten av den uppgift som efterfrågas som är av avgörande betydelse.

En grundsats som hör samman med offentlighetsprincipen är att den som begär en uppgift hos en myndighet inte ska behöva legiti- mera sig och tala om varför han eller hon vill ta del av en viss upp-

211 Prop. 1979/80:2 Del A s. 80, SOU 2003:99 s. 131.

208

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

gift.212 Enligt 2 kap. 14 § tredje stycket TF får en myndighet inte på grund av att någon begär att få ta del av en handling efterforska vem han eller hon är eller i vilket syfte handlingen begärs i större utsträckning än som behövs för att myndigheten ska kunna pröva om det föreligger hinder att lämna ut handlingen. Ett rakt skade- rekvisit innebär vanligtvis att den som gör skadebedömningen inte behöver frångå denna princip. Vem som begär uppgiften och vad den ska användas till ska som huvudregel inte inverka på bedöm- ningen. Frågan om vem som begär en uppgift eller ändamålet med begäran kan emellertid ändå få betydelse när sekretessfrågan ska avgöras. Om det i ett särskilt fall framgår att den som begär att få ut en uppgift för vilken det gäller sekretess enligt ett rakt skaderekvisit kommer att använda uppgiften till skada eller men för den upp- giften rör gäller sekretess just för den uppgiften. Utgångspunkten är dock inte att tjänstemannen själv ska försöka utröna om omstän- digheterna är sådana som beskrivits i ett visst utlämnandefall. En sådan åtgärd bör enligt förarbetena endast förekomma om det finns särskild anledning till det.

Vid ett omvänt skaderekvisit är, som framgått ovan, sekretess huvudregel. I sådana fall har tillämparen i praktiken ett begränsat utrymme för sin bedömning.213 För att kunna bedöma om en uppgift omfattas av sekretess vid tillämpningen av ett omvänt skaderekvisit måste hänsyn tas till samtliga omständigheter i det enskilda fallet. Många gånger måste handläggaren ta reda på mottagarens identitet och avsikter för att kunna avgöra om uppgifterna ska lämnas ut. Upp- lysningar om sökandens identitet och avsikter kan dock medföra att det framstår som oskadligt att lämna ut uppgifterna.

5.6.3.4Massuttag

Det omvända skaderekvisitet kan medföra problem vid så kallade massuttag, det vill säga uttag av en stor mängd uppgifter. Möjligheten till massuttag är en förutsättning för registerforskning och sådana uttag sker i dag ofta av uppgifter som skyddas av statistiksekretess. Vid massuttag är det vanligtvis omöjligt att avgöra vilken risk för skada eller men som föreligger för varje enskild person. I förarbetena till sekretesslagstiftningen finns vissa uttalanden som rör massuttag. Det anförs att situationen i sådana fall är sådan att tjänstemannen

212Prop. 1979/80:2 Del A s. 81, SOU 2003:99 s. 132.

213Prop. 1979/80:2 Del A s. 82, SOU 2003:99 s. 132.

209

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

av naturliga skäl inte kan bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift.214 Kun- skaper om beställarens identitet och avsikt med uppgifterna i för- ening med den skaderisk som typiskt sett är förbunden med uppgifter som avses med beställningen bör enligt förarbetena vara ett fullt tillräckligt underlag för en sekretessbedömning. Dessa förarbets- uttalanden talar för att det är möjligt med en sekretessprövning vid massuttag. Uttalandena i förarbetena följer emellertid i anslutning till uttalanden om det raka skaderekvisitet.215 Det har lett till en diskussion inom den juridiska doktrinen om förarbetsuttalandena gäller även vid omvänt skaderekvisit. I diskussionen har framförts att det inte kan tas för givet att uttalanden om massuttag ska anses gälla även uppgifter som är skyddade av den starkare sekretessen.216 Andra menar däremot att det är möjligt att efter en objektiv pröv- ning lämna ut uppgifter även genom massuttag vid ett omvänt skade- rekvisit.217 Förekomsten av bestämmelsen om statistiksekretess visar detta, eftersom sådana uttag i regel sker genom massuttag. Det har anförts att lagstiftarens tanke inte kan ha varit att den utlämnande myndigheten ska göra en individuell prövning i dessa fall. Ett om- vänt skaderekvisit betyder inte, har det anförts, att den enskildes inställning måste efterforskas i varje enskilt fall, utan avgörande är vem som begär ut uppgifterna, för vilket syfte och vilket sekre- tesskydd uppgifterna har hos mottagaren. En annan tolkning av för- arbetena är inte möjlig. Uppgifter som regleras med omvänt skade- rekvisit skulle annars inte kunna lämnas ut eftersom en skadeprövning inte kan genomföras av resursskäl.

5.6.3.5Sekretess som kan gälla hos de myndigheter från vilka forskare begär uppgifter

Det är i huvudsak OSL och OSF som styr i vilka fall en myndighet får lämna ut uppgifter för forskning och andra ändamål. Här följer en översiktlig genomgång av några av de bestämmelser som reglerar möjligheten för forskare att få del av uppgifter.

214Prop. 1979/80:2 Del A s. 81.

215Ibid.

216Rynning, E.,Förvaltningsrättslig tidskrift 2003, s. 107.

217von Essen, U.,Förvaltningsrättslig tidskrift 2003, s. 206 f, Ekroth,J., Förvaltningsrättslig tidskrift, 2005, s. 418.

210

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

Statistiksekretess

Den sekretess som oftast är aktuell när en forskare begär ut upp- gifter från en myndighet är den så kallade statistiksekretessen, som regleras i 24 kap. 8 § OSL. Bestämmelsen har följande lydelse.

24 kap 8 §

Sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds per- sonliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Detsamma gäller annan jämförbar undersökning som utförs av Riksrevisionen eller riksdagsförvaltningen eller, i den utsträckning regeringen meddelar föreskrifter om det, av någon annan myndighet. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detsamma gäller en uppgift som avser en avliden och som rör dödsorsak eller dödsdatum, om uppgiften behövs i ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

Enligt bestämmelsens första mening gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. Statistik kan framställas för att användas som underlag för ett beslut i ett ärende hos en myndighet. Det är emellertid inte sådan verk- samhet som avses. I stället är det fråga om en mera allmänt utre- dande verksamhet utan anknytning till något särskilt ärende.218 Be- stämmelsen reglerar sekretessen hos många av de myndigheter som ansvarar för register som är intressanta för registerbaserad forskning. Som exempel kan nämnas den statistikproduktion som sker vid statistikansvariga myndigheter, såsom SCB, Socialstyrelsen, BRÅ och Försäkringskassan.219

Enligt bestämmelsen andra mening gäller sekretess även för med statistik jämförbar undersökning inom Riksrevisionen eller riksdags- förvaltningen. Även myndigheter under regeringen har möjlighet att sekretessbelägga uppgifter i andra med statistik jämförbara under- sökningar, förutsatt att regeringen föreskrivit det. Regeringen har

218Prop. 1979/80:2 Del A s. 263.

219SOU 2012:83 s. 138 f.

211

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

med stöd av bestämmelsen meddelat föreskrifter om sekretess i 7 § OSF.

I 7 § OSF regleras sekretess för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden i en mängd myndigheter avseende vissa särskilda undersökningar. För dessa uppgifter gäller föreskrifterna i 24 kap. 8 § första stycket tredje meningen och andra stycket OSL, om inte en längre gående begränsning i sekretessen anges i bestämmelsen. Till exempel gäller sekretess för uppgifter om enskildas personliga förhållanden i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier som utförs av sjukvårds- inrättningar, utbildningsanstalter och forskningsinrättningar.

I prop. 2013/14:162 föreslås vissa ändringar i statistiksekretessen. Bland annat föreslås att så kallade andra jämförbara undersökningar som utförs inom det statliga kommittéväsendet och av Statskontoret ska omfattas av statistiksekretess utan att regeringen meddelar före- skrifter om det. Den andra ändringen innebär att paragrafen delas upp i fler stycken, i syfte att göra bestämmelserna mer överskådliga och lättare att tillämpa. Lagändringarna föreslås träda i kraft den 1 augusti 2014.

Statistiksekretessen gäller oavsett varifrån uppgiften härrör eller hur den kommit till myndigheten.220 Det är alltså inte ändamålet med uppgiften utan verksamheten vari den förekommer som är avgörande. Det kan leda till att en uppgift hos en myndighet är offentlig inom en handläggande avdelning men sekretessbelagd inom en avdelning som framställer statistik. En uppgift som är offentlig hos en myndighet som samlat in den av administrativa skäl blir sekretessbelagd hos en annan myndighet som hämtar in uppgiften för att upprätta statistik.

Sekretessen gäller för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den en- skilde. Härigenom skyddas inte bara sådana uppgifter som inne- håller identitetsbeteckningar som namn och personnummer på en enskild utan även uppgifter som på något sätt kan hänföras till en viss enskild.221

Bestämmelsen innehåller inte något skaderekvisit. Statistiksekre- tessen är således absolut och det är som huvudregel förbjudet att lämna ut några som helst uppgifter. Skälen till den starka statistik- sekretessen diskuteras i förarbetena till den tidigare sekretesslagen. I propositionen konstateras att det i fråga om statistikuppgifter finns

220Prop. 1979/80:2 Del A s. 263.

221Ibid.

212

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

en intressekonflikt mellan önskemålet om allmän insyn i statistiskt primärmaterial och hänsynen till den enskildes integritet.222 Ett skäl att ha en långtgående sekretess är att offentlighetsintresset på denna punkt ter sig förhållandevis svagt. Integritetsintresset är däremot på- tagligt. Det anges vidare i propositionen att registeruppgifter från exempelvis SCB visserligen var för sig är tämligen harmlösa, men att en sammanställning av sådana uppgifter ofta är integritetskänslig. Behovet av ett starkt sekretesskydd beträffande statistiken beror också, enligt propositionen, på att statistikkvaliteten blir dålig om inte den enskilde uppgiftslämnaren är säker på att hans uppgifter inte kommer ut.

Det finns fyra undantag från regeln om absolut sekretess. Det undantag som är mest relevant i forskningssammanhang är det som anges i bestämmelsens tredje mening. Där anges att uppgifter som behövs för forsknings- eller statistikändamål får lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. I dessa fall gäller således ett omvänt skaderekvisit. Möjligheten till utlämnande för forsk- ningsändamål är avsedd att tillämpas mycket restriktivt.223

Det andra undantaget som kan bli aktuellt vid uttag av uppgifter för forskningsändamål framgår av samma mening i bestämmelsen. Där anges att uppgift som inte genom namn, annan identitetsbeteck- ning eller därmed jämförbart förhållande är direkt hänförlig till den enskilde får lämnas ut. Det får dock endast ske under förutsättning att det står klart att uppgiften kan röjas utan att den enskilde eller denne närstående lider skada eller men. Undantaget infördes för att tillgodose behovet av detaljerad statistik.224 Bestämmelsen avser inte endast utlämnande till forsknings- och statistikändamål, utan är generellt tillämplig. Med ”därmed jämförbart förhållande” åsyftas enligt förarbetena bilnummer, telefonnummer, anställningsnummer, fastighetsbeteckning och så vidare. Begreppet enskild omfattar också avliden.

222Prop. 1979/80:2 Del A s. 262.

223Prop. 1994/95:200 s. 38.

224Prop. 1979/80:2 Del A s. 264.

213

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Hälso- och sjukvårdssekretess

En viktig källa till information för forskare, främst på det medi- cinska området, är personuppgifter som hämtas från journaler eller från ett nationellt, regionalt eller lokalt kvalitetsregister. Sådana uppgifter skyddas av sekretess enligt 25 kap. 1 § OSL. Bestämmel- sen har följande lydelse.

25 kap. 1 §

Sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon när- stående till denne lider men. Detsamma gäller i annan medicinsk verk- samhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning, insemination, befruktning utanför kroppen, fastställande av könstill- hörighet, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar.

Första stycket gäller inte om annat följer av 7, 8 eller 10 § eller 26 kap. 6 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Med uttrycket hälso- och sjukvård avses för det första den öppna och slutna sjukvård för vilken grundläggande bestämmelser finns i hälso- och sjukvårdslagen (1982:763).225 Hit hör också förebyggan- de medicinska hälsovård, till exempel verksamhet på mödra- och barnavårdscentralerna och inom psykiatrisk barn- och ungdomsvård. Också tandvården hör till hälso- och sjukvården. Bestämmelsen omfattar vidare verksamhet som utgör en del i annan typ av förvalt- ning, till exempel elevhälsan inom skolväsendet, eller sjukvård inom socialtjänsten, kriminalvården eller försvarsmakten. Vidare omfattas företagshälsovården i det allmännas verksamhet.

Bestämmelsen är endast tillämplig på sådan hälso- och sjukvård och annan medicinsk verksamhet som är individuellt inriktad. Miljö- och samhällsmedicin och annan förebyggande hälsovård av mera generell karaktär faller således utanför tillämpningsområdet.

Sekretessen enligt 25 kap 1 § OSL tar sikte på den hälso- och sjukvård som bedrivs av det allmänna i sjukhus och andra vård- inrättningar samt verksamheten vid inrättningar för öppen vård till exempel distriktsläkarmottagningar och folktandvårdskliniker. Utan- för bestämmelsens tillämpningsområde faller däremot verksamhet vid sjukhus och andra liknande inrättningar som drivs av enskilda.

225Lenberg E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo) kommentaren till 25 kap. 1 §.

214

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

För sådan verksamhet gäller i stället föreskrifterna om tystnads- plikt i patientsäkerhetslagen (2010:659).

Sekretessregleringen gäller också ”i annan medicinsk verksam- het”. Med detta uttryck avses verksamhet som inte primärt har vård- eller behandlingssyfte, till exempel verksamhet som bedrivs hos Rättsmedicinalverket. I lagtexten exemplifieras sådan verksam- het med rättsmedicinsk och rättspsykiatrisk undersökning, insemi- nation, befruktning utanför kroppen, fastställande av könstillhörig- het, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar.

Sekretessen i 25 kap. 1 § OSL ska iakttas av all den personal som är verksam inom det allmännas hälso- och sjukvård, oavsett om verksamheten avser det egentliga vårdarbetet eller administrativt, ekonomiskt eller tekniskt arbete. Bestämmelsen är således tillämplig för exempelvis läkare, sjuksköterskor och barnmorskor men även för apotekare, arbetsterapeuter, logopeder, läkarsekreterare, psyko- loger, kuratorer, psykoterapeuter, sjukgymnaster, sjukhusfysiker, sjukvårdsbiträden, skriv- och ambulanspersonal, telefonister och vaktmästare.

Sekretessen omfattar uppgift om enskildas hälsotillstånd eller andra personliga förhållanden. Bestämmelsen avser uppgifter om den vård- behövande eller därmed jämställda personer samt uppgifter som en vårdbehövande lämnar om andra personer, exempelvis närstående, grannar eller arbetskamrater.226

Enligt 25 kap. 1 § gäller sekretess om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Det föreligger således en presumtion för att upp- gifter om en enskilds hälsotillstånd eller andra personliga förhållan- den i hälso- och sjukvården, till exempel uppgifter i kvalitetsregister (se avsnitt 5.3.6.3) inte ska lämnas ut. Frågan om uppgifter kan läm- nas ut måste avgöras efter en skadeprövning från fall till fall, med beaktande av samtliga omständigheter. Om uppgifter lämnas ut från den allmänna hälso- och sjukvården till forskningsändamål följer det av 11 kap. 3 § OSL att hälso- och sjukvårdssekretessen blir tillämplig på uppgiften även hos den mottagande myndigheten. Om det finns en primär sekretessbestämmelse hos den mottagande myndigheten ska dock den gälla i första hand.

226 Lenberg E. m.f., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo), kommentaren till 25 kap. 1 §.

215

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Sekretess på grund av behandling i strid med personuppgiftslagen

En annan sekretessbestämmelse som aktualiseras oavsett från vilken myndighet forskare begär ut data är 21 kap. 7 § OSL. Bestämmel- sen har följande lydelse.

21 kap. 7 §

Sekretess gäller för personuppgift, om det kan antas att ett utläm- nande skulle medföra att uppgiften behandlas i strid med personupp- giftslagen.

Uttrycken personuppgift och behandling i bestämmelsen har samma innebörd som i PUL. Med personuppgifter avses således all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Till skillnad från sekretessbestämmelser som gäller till skydd för ”uppgift om enskilds personliga förhållanden” kan sekretessen enligt denna paragraf således inte gälla till skydd för avlidna. Uttrycket ”behandling” definieras i 3 § PUL (se av- snitt 5.3.4.2).

Bestämmelsen är tillämplig hos sådana myndigheter som är person- uppgiftsansvariga eller som annars har tillgång till personuppgifter. Paragrafen innehåller ett förbud att lämna ut personuppgifter om det kan antas att uppgifter efter utlämnandet kommer att behandlas i strid med bestämmelserna i PUL. Om det är fråga om känsliga personuppgifter hänvisar PUL till etikprövningslagen. Det krävs således även att bestämmelserna i etikprövningslagen är uppfyllda för att sekretess inte ska gälla. Bestämmelsen innebär att den utläm- nande myndigheten måste undersöka hur uppgifterna kommer att behandlas hos den som har begärt ut dem, till exempel hos den forskningshuvudman som uppgifterna ska lämnas ut till.

Bestämmelsen har utsatts för kritik. Problemen med bestämmel- sen diskuteras bland annat i E-offentlighetskommitténs slutbetän- kande Allmänna handlingar i elektronisk form – offentlighet och inte- gritet.227 I betänkandet konstateras att den sekretess som föreskrivs i 21 kap. 7 § OSL är försedd med ett rakt skaderekvisit. Detta innebär att utgångspunkten är att uppgifterna ifråga är offentliga och att sekretess endast gäller om det kan antas att viss skada upp- står om uppgiften lämnas ut. Avsikten vid användningen av raka skaderekvisit är att skadebedömningen ska kunna göras med ut- gångspunkt i själva uppgiften och att myndighetens tjänstemän inte

227 SOU 2010:4 s. 320 ff. Se också JO:s yttranden dnr 1102-2004 och 1849-2004.

216

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

ska behöva ta reda på vem som begär ut en uppgift eller ändamålet med begäran. Beträffande sekretessen i 21 kap. 7 § OSL har emeller- tid inte arten av den uppgift som begärs utlämnad direkt betydelse för prövningen av skaderekvisitet och därmed för frågan om när myndigheten får efterforska vad sökanden ska använda uppgifterna till. I stället är det avgörande för om en efterforskning bör göras om det på grund av någon omständighet kring sökandens begäran kan antas att sökande kommer att hantera uppgifterna på ett sätt som strider mot PUL. Kommittén konstaterar att sekretessbestäm- melsen i 21 kap. 7 § OSL inskränker den enskildes möjligheter att åberopa sin rätt enligt 2 kap. 14 § tredje stycket TF att inte behöva uppge sitt namn eller sitt syfte med att önska studera en viss hand- ling. För att offentlighetsprincipen ska kunna upprätthållas effektivt är det av vikt att den enskilde kan förbli anonym.

Kommittén framför vidare att bestämmelsen i 21 kap. 7 § OSL bryter mot systematiken i OSL genom att skaderekvisitet tar sikte på skada eller men som kan tänkas uppkomma på grund av att den som fått del av uppgiften kan komma att bryta mot bestämmelserna i PUL. Utgångspunkten är annars att skaderekvisiten tar sikte på skada eller men som kan uppkomma genom själva utlämnandet av upp- gifterna. Vidare har det framförts att den praktiska tillämpningen av bestämmelsen är problematisk. Den som ska tillämpa bestäm- melsen måste göra mer eller mindre väl underbyggda antaganden om avsikt och syfte hos den som begär att få ut uppgifter för vilka ingen sekretess råder i övrigt. En utlämnande myndighet tvingas göra antaganden om en ännu inte påbörjad behandling av person- uppgifter omfattas av PUL och om den i så fall kan tänkas strida mot lagens bestämmelser. Kommittén anför att detta inte bara öppnar för skönsmässiga bedömningar utan också strider mot huvudprin- cipen att offentlighetsprincipen förutsätter att myndigheten inte ska efterforska vem sökanden är eller hur han eller hon tänker använda uppgifter ur en allmän handling efter utlämnandet. Enligt kommittén har det från myndighetshåll påpekats att bestämmelsen är svår att tillämpa. Det är svårt att bedöma om PUL över huvud taget kommer bli tillämplig på den behandling som sökanden kan antas företa och bedöma hur en tillämpning av PUL skulle kunna tänkas utfalla i det enskilda fallet. Det anförs att många myndig- heter uppfattar denna prövning som komplicerad och att den ger utrymme för subjektiva bedömningar.

Trots att kommittén kunde instämma i den kritik som framförts mot bestämmelsen ansåg den inte att det var lämpligt att upphäva

217

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

bestämmelsen utan lämnade i stället förslag till förtydligande av sek- retessbestämmelsen i 21 kap. 7 § OSL.228

Räckvidden av bestämmelsen i 21 kap. 7 § OSL diskuteras även i VR:s rapport Rättsliga förutsättningar för en databasinfrastruktur för forskning.229 Det anförs att en behandling av personuppgifter är i strid med PUL inte bara om den saknar laglig grund utan även om exempelvis informationskrav och säkerhetskrav inte uppfylls. Det kan därför diskuteras hur långt den utlämnande myndigheten ska orientera sig i forskarens verksamhet och dessa omfattande frågor, särskilt med tanke på att bestämmelsen innehåller ett rakt skaderekvisit. Det anförs att det finns olika uppfattningar bland de statistikansvariga myndigheterna i denna fråga.

5.6.3.6Sekretessbrytande bestämmelser

Som huvudregel gäller sekretess även mellan myndigheter (8 kap. 1 § OSL). Det har dock ansetts att sekretessregleringen inte bör hindra myndigheterna från att utväxla uppgifter i de fall där intresset av att uppgifterna lämnas ut bör ha företräde framför det intresse som sekretessen ska skydda. Ett antal sekretessbrytande bestäm- melser och undantag från sekretessen har därför införts i lagen. De flesta av dem är samlade i 10 kap. OSL. Även om sekretess gäller för en viss uppgift enligt någon annan bestämmelse i lagen får hand- lingen ändå lämnas ut om någon av bestämmelserna i 10 kap. OSL är tillämplig. Till exempel hindrar inte sekretess att en uppgift lämnas till en annan enskild eller till en myndighet om den enskilde sam- tycker till det (10 kap. 1 § OSL) eller om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet (10 kap. 2 § OSL).

Sekretessbrytande bestämmelser och undantag för forskningsändamål

Det finns inte någon allmän bestämmelse i OSL som medger undan- tag från sekretess för forskningsändamål. I förarbetena till den tidigare sekretesslagen diskuterades möjligheten att införa en särskild dispens- befogenhet för forskningsändamål.230 En sådan reglering ansågs

228SOU 2010:4 s. 333 f.

229Rättsliga förutsättningar för en databasinfrastruktur för forskning 11:2010 Vetenskaps- rådet s. 90.

230Prop.1979/80:2 Del A s. 347.

218

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

emellertid inte nödvändig. Det motiverades med att om den efter- frågade uppgiften är hemlig enligt en sekretessbestämmelse som inne- håller ett skaderekvisit torde skadeprövningen ofta kunna resultera i ett utlämnande av uppgiften. Är mottagaren en offentlig institution eller tjänsteman överförs sekretessen till institutionen (nuvarande 11 kap. 3 § OSL) och en enskild forskare kan åläggas tystnadsplikt (med stöd av nuvarande 10 kap. 14 § OSL). Vidare anfördes att forskningens behov kan tillgodoses genom särskilda föreskrifter och att forskningen i vissa fall får tillgång till uppgifter med stöd av den så kallade generalklausulen (nuvarande 10 kap. 27 § OSL). Det konstaterades också att forskningen i vissa fall kan få tillgång till uppgifter efter dispens från regeringen (enligt nuvarande 10 kap. 6 § OSL). Någon särskild dispensbefogenhet för forskningsända- mål ansågs därför inte behövas.

Här följer en genomgång av de sekretessbrytande bestämmelser och undantag som kan bli tillämpliga vid utlämnande av uppgifter för forskningsändamål.

Generalklausulen

Som anfört ovan gäller som huvudregel sekretess mellan myndig- heter (8 kap. 1 § OSL). För att inte oförutsedda hinder ska upp- komma i myndigheternas verksamhet har emellertid en generalklausul med följande lydelse införts.

10 kap. 27 §

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Första stycket gäller inte i fråga om sekretess enligt 24 kap. 8 §, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och 2 §§, 31 kap. 1 § första stycket, 2 och 12 §§, 33 kap. 2 §, 36 kap. 3 § samt 40 kap. 2 och 5 §§.

Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av per- sonuppgiftslagen (1998:204).

Bestämmelsen medger att sekretessbelagda uppgifter lämnas till en annan myndighet om intresset av att uppgifterna lämnas har före- träde framför det intresse som sekretessen ska skydda. Det krävs dock att det är uppenbart att intresset av att en uppgift lämnas ut har företräde framför det intresse som sekretessen ska skydda för

219

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

att generalklausulen ska bli tillämplig. Bestämmelsen kan inte tilläm- pas vid alla typer av sekretess. Vissa områden, såsom hälso- och sjuk- vård och socialtjänst, är helt undantagna från bestämmelsens tillämp- ningsområde. Den kan inte heller tillämpas vid statistiksekretess en- ligt 24 kap. 8 § PUL. Enligt tredje stycket gäller bestämmelsen inte heller om utlämnandet strider mot lag eller förordning eller före- skrift som har meddelats med stöd av PUL.

Av förarbetena framgår att generalklausulen särskilt ger utrymme för informationsutbyte när det är fråga om myndigheter med samma sakliga behörighet men med skilda lokala kompetensområden eller myndigheter som har närbesläktade funktioner och som båda har rättslig befogenhet att direkt begära in de utväxlade uppgifterna.231 Av särskilt intresse för denna framställning är att det i förarbetena också anges att bestämmelsen är möjlig att tillämpa vid utlämnande av uppgifter till forskning.232

När det gäller bland annat generalklausulen anfördes det i för- arbetena att möjligheterna att utväxla uppgifter mellan myndig- heter får utnyttjas mer sparsamt och med större försiktighet om informationen inte är sekretesskyddad hos den mottagande myndig- heten. Detta gäller särskilt i fråga om uppgifter som är hemliga med hänsyn till enskilds intressen.233 Om en uppgift inte skyddas av sekretess hos den mottagande myndigheten kan risken för skada ska uppkomma vara så stor att uppgiften inte bör lämnas ut.234 Uppgifter som en enskild person har lämnat i förtroende kan det finnas särskild anledning att inte lämna ut.

Förbehåll

I 10 kap. 14 § OSL finns en regel som medger att uppgifter som omfattas av sekretess kan lämnas ut med så kallat förbehåll. Bestäm- melsen har följande lydelse.

10 kap. 14 §

Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja

231Prop. 1979/80:2 Del A s. 326 f.

232Prop. 1979/80:2 Del A s. 347.

233Prop. 1979/80: 2 Del A s. 77.

234Prop. 1979/80: 2 Del A s. 91.

220

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde.

Att den tystnadsplikt som uppkommer genom ett sådant förbehåll som anges i första stycket inskränker den rätt att meddela och offent- liggöra uppgifter som följer av 1 kap. 1 § tryckfrihetsförordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrundlagen följer av 13 kap. 5 § andra stycket.

Bestämmelsen ger myndigheten möjlighet att lämna ut uppgifter som är sekretessbelagda till en enskild, under förutsättning att den risk för skada, men eller annan olägenhet som hindar att uppgifter- na lämnas ut kan undanröjas genom att ett förbehåll uppställs vid utlämnandet. Ett förbehåll kan också ställas upp om den som upp- giften rör samtycker till att en sekretessbelagd uppgift lämnas ut under förutsättning av sådant förbehåll. Ett förbehåll får ställas upp endast om förbehållet behövs för att undanröja den skaderisk som annars skulle utgöra ett hinder mot utlämnande och om förbehållet, sammanvägt med andra omständigheter, är tillräckligt för att undan- röja risken. Förbehållet bör vara så preciserat att den enskilde kan bedöma hur han eller hon kan utnyttja de uppgifter som lämnas ut. Ett förbehåll kan till exempel gälla förbud mot vidarespridning av handlingens innehåll eller mot publicering av namn eller hemliga uppgifter ur handlingen.

Förbehållet innebär att den som tar emot uppgifterna har tyst- nadsplikt. Om den som förbehållet riktar sig mot inte följer villkoren i förbehållet kan ansvar för brott mot tystnadsplikten bli aktuellt (20 kap. 3 § brottsbalken).

Bestämmelsen om förbehåll är endast tillämplig vid utlämnandet till enskild, inte till en annan myndighet. Förbehållet kan därmed inte rikta sig till en person som vill ta del av uppgifterna i egenskap av offentlig funktionär eller anställd vid en myndighet. Handlingar eller uppgifter som utlämnas till en myndighet omfattas i sådana fall i stället av den sekretess som gäller hos den myndigheten och i vissa fall av sekundär sekretess. I forskningssammanhang kan så- ledes förbehåll endast användas vid forskning som bedrivs av enskild huvudman.

221

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

Dispensmöjligheter

I förarbetena till sekretesslagen anförs att det finns behov av undantag från sekretess i särskilda fall.235 De enskilda sekretess- bestämmelserna kan inte utformas så att varje tänkbart behov av utlämnande beaktas. Därför infördes en regel enligt vilken rege- ringen har möjlighet att i ett enskilt fall medge dispens från sekretess enligt vilken sekretessbestämmelse som helst. Bestämmelsen har följande lydelse.

10 kap. 6 §

Regeringen får för ett särskilt fall besluta att en sekretessbelagd uppgift i ett regeringsärende får lämnas ut. Regeringen får även i övrigt för ett särskilt fall besluta om undantag från sekretess, om det är motiverat av synnerliga skäl.

Om ingen annan sekretessbrytande bestämmelse är tillämplig kan det således bli aktuellt för den som begär ut uppgifter för forsknings- ändamål att ansöka om dispens hos regeringen. För att regeringen ska kunna medge dispens krävs det dock att det är påkallat av syn- nerliga skäl. Det framgår av förarbetena att det är fråga om en undan- tagsbestämmelse som ska användas med stor restriktivitet, åtminstone när enskilda intressen berörs.236 I förarbetena anges dock särskilt att bestämmelsen kan bli tillämplig vid utlämnande för särskilt angelägna forskningsändamål.237

Regeringen har enligt 10 kap. 7 § OSL möjlighet att förena ett beslut om dispens med förbehåll som inskränker mottagarens rätt att förfoga över uppgiften.

5.6.3.7Bestämmelser om skydd för enskild inom forskning och statistik

Enligt kommittédirektiven är det, för att bibehålla allmänhetens för- troende för forskningen, av stor vikt att regelverket tillgodoser den enskilda individens integritetsskydd. Det är i detta sammanhang av central betydelse att de uppgifter forskaren förfogar över omfattas av ett fungerande sekretesskydd. Här följer exempel på ett antal

235Prop. 1979/80:2 Del A s. 346.

236Ibid.

237Prop. 1979/80:2 Del A s. 347.

222

SOU 2014:45

Rättsliga förutsättningar för registerbaserad forskning

sekretessbestämmelser som kan bli aktuella vid olika sorters forsk- ning.

Uppgifter som rör enskildas hälsa eller sexualliv

Enligt 21 kap. 1 § OSL gäller sekretess för uppgift som rör en en- skilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, könsbyte, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs.

Som exempel på uppgifter som kan omfattas av bestämmelsen anges i förarbetena uppgifter om könsbyten, transsexualitet, HIV eller psykiska sjukdomar i vissa fall.238 Efter beaktande av omstän- digheterna i det enskilda fallet kan även mindre känsliga uppgifter än de som nämnts sekretessbeläggas med stöd av bestämmelsen. Be- dömningen påverkas av olika faktorer, såsom om den enskilde är underårig eller vuxen, i vilken verksamhet uppgiften finns och av vem eller under vilka förhållanden uppgiften begärs utlämnad. Prövning- en är vidare beroende av den enskildes egen inställning, till exempel om den enskilde själv har berättat i media att han eller hon har bytt kön.

Bestämmelsen är en primär sekretessbestämmelse och dess räck- vidd har inte begränsats till någon särskild verksamhet eller myndig- het. Den ska således tillämpas av alla myndigheter och andra organ som ska tillämpa OSL och medför ett minimiskydd för känsliga uppgifter om enskildas hälsa och sexualliv inom hela den offentliga sektorn.239 I bestämmelsens andra stycke görs vissa undantag från sekretessen, till exempel vid en förhandling om tvångsmedel och i vissa typer av mål vid domstol.

Sekretess till skydd för enskild inom forskning och statistik

I 24 kap. OSL finns vissa sekretessbestämmelser särskilt till skydd för enskild inom forskning och statistik.

Enligt 24 kap. 1 § gäller sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften

238Prop. 2005/06:161 s. 97.

239Prop. 2005/06:161 s. 31.

223

Rättsliga förutsättningar för registerbaserad forskning

SOU 2014:45

rör eller någon närstående till denne lider men. Alla slags uppgifter som hänför sig till sådana undersökningar kan vara föremål för sek- retess. Ett omvänt skaderekvisit gäller, det vill säga det råder en presumtion för sekretess.

I samband med att lagen (2013:794) om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa infördes i december 2013 infördes även en sekretessbestämmelse i 24 kap. 2 a § OSL. Enligt bestämmelsen gäller sekretess i verksamhet som avser förande av eller uttag ur register enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa för uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde. Sekretessen är således som huvud- regel absolut. Sekretessen hindrar dock inte att uppgift lämnas ut i den utsträckning som framgår av lagen. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

I 24 kap. 4 § finns en bestämmelser om sekretess i den verksam- het som bedrivs av Institutet för språk och folkminnen (tidigare Språk- och folkminnesinstitutet; SOFI). Enligt bestämmelsen gäller sekretess för uppgift i en upptagning som har dialektologiskt eller etnologiskt innehåll och som har gjorts eller anskaffats för veten- skapligt ändamål, om det kan antas att den som har lämnat uppgiften eller som uppgiften avser eller någon närstående till denne lider men om uppgiften röjs.

Sekretess gäller enligt 24 kap. 5 § OSL hos universitet och hög- skolor för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat som har lämnats eller kommit fram vid sådan forskning som efter överenskommelse bedrivs i sam- verkan med en enskild, om det måste antas att den enskilde har deltagit i samverkan under förutsättning att uppgiften inte röjs.

En viktig bestämmelse i forskningssammanhang är den så kallade statistiksekretessen i 24 kap. 8 § OSL. Bestämmelsen har behand- lats i avsnitt 5.6.3.5. Statistiksekretessen tar i första hand sikte på uppgifter som avser en enskilds personliga eller ekonomiska förhål- landen i sådan verksamhet som avser framställning av statistik. Enligt bestämmelsen har emellertid även myndigheter under regeringen möjlighet att sekretessbelägga uppgifter i andra jämförbara under- sökningar, om regeringen har föreskrivit det. Regeringen har med stöd av bestämmelsen meddelat föreskrifter om sekretess i 7 § OSF

224

ULF	Undersökningarna om levnadsförhållanden
VR	Vetenskapsrådet
YGL	Yttrandefrihetsgrundlagen