sou 2018 36

SOU och Ds kan köpas från Norstedts Juridiks kundservice. Beställningsadress: Norstedts Juridik, Kundservice, 106 47 Stockholm Ordertelefon: 08-598 191 90

E-post: kundservice@nj.se

Webbadress: www.nj.se/offentligapublikationer

För remissutsändningar av SOU och Ds svarar Norstedts Juridik AB på uppdrag av Regeringskansliets förvaltningsavdelning.

Svara på remiss – hur och varför

Statsrådsberedningen, SB PM 2003:2 (reviderad 2009-05-02).

En kort handledning för dem som ska svara på remiss.

Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remisser

Layout: Kommittéservice, Regeringskansliet

Omslag: Elanders Sverige AB

Tryck: Elanders Sverige AB, Stockholm 2018

ISBN 978-91-38-24800-3

ISSN 0375-250X

Till statsrådet

Helene Hellmark Knutsson

Regeringen beslutade den 7 juli 2016 att tillkalla en särskild utredare med uppdrag att bl.a. föreslå kompletterande reglering av behandling av personuppgifter för forskningsändamål med anledning av EU:s nya dataskyddsförordning (dir. 2016:65).

Som särskild utredare förordnades den 7 juli 2016 professor Cecilia Magnusson Sjöberg. Sist i detta missiv finns en förteckning över utredningens sekreterare, experter och sakkunniga.

Regeringen har beslutat tre tilläggsdirektiv till utredningen (dir. 2017:29, 2017:61 och 2017:87) med ytterligare uppdrag. Utred- ningstiden för uppdraget har förlängts till den 25 maj 2018.

Utredningen har antagit namnet Forskningsdatautredningen. Utredningen redovisade delar av sitt uppdrag i delbetänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) till regeringen i maj 2017. De uppdrag som lämnades i tilläggsdirektiv 2017:29 och 2017:87 redovisades separat den 9 november 2017 i promemorian Personuppgiftsbehandling i forskningsbibliotekens verk- samhet (Komm2017/01529/U 2016:04, bilaga 5).

Utredningen överlämnar nu slutbetänkandet Rätt att forska – Långsiktig reglering av forskningsdatabaser (SOU 2018:36). Utred- ningens uppdrag är härmed slutfört.

Stockholm i juni 2018

Cecilia Magnusson Sjöberg

/Maria Jacobsson

Staffan Malmgren

Margareta Sandén

Magnus Stenbeck

Utredningens experter, sakkunniga och sekreterare

Experter
Johan Askling, professor	2016-10-10
Anna Bennet Bark, enhetschef	2016-10-10
Robert Erikson, professor	2016-10-15
Ulrika Harnesk, jurist	2016-10-10
Peter Höglund, professor	2016-10-10
Anna Hörnlund, chefsjurist	2016-10-10
Jonas Jeppson, verksjurist	2016-10-10
Petra Otterblad, avdelningschef	2016-10-10
Jerker Rydén, verksjurist	2017-05-15
Maria Wästfelt, enhetschef	2017-03-01
Sakkunniga
Thomas Neidenmark,	2017-03-23
departementssekreterare
Linda Stridsberg, ämnesråd	2017-08-01
Olle Sundberg, kansliråd	2016-10-10
Maria Wästfelt, kansliråd	2016-10-10 – 2017-02-28
Tyri Öhman, kansliråd	2016-10-10
Sekreterare
Cecilia Arrgård, numera	2017-09-01 – 2018-04-30
chefsjurist
Tommy Fraenkel,	2017-06-03 – 2017-08-08
kammarrättsassessor
Staffan Malmgren, jurist	2016-09-01
Maria Jacobsson, jurist	2017-08-01
(huvudsekreterare)
Margareta Sandén,	2017-08-17
hovrättsassessor
Magnus Stenbeck, docent	2016-09-26
Linda Stridsberg, numera	2016-09-01 – 2017-07-31
ämnesråd (huvudsekreterare)

SOU 2018:36		Innehåll
6.3.4	Ändamål och utlämnande ......................................	185
6.3.5	Databasens innehåll................................................	187
6.3.6	Insamling av uppgifter ...........................................	187
6.3.7	Ingen etikprövning av forskningsdatabaser...........	189

6.3.8Förhållandet till personuppgiftslagen

		och personuppgiftsansvar ......................................	190
	6.3.9	Kodnyckelförfarande .............................................	191
	6.3.10	Rättelse m.m...........................................................	191
	6.3.11	Sökbegrepp.............................................................	192
	6.3.12	Förbud mot bakvägsidentifiering ..........................	192
	6.3.13	Intern elektronisk åtkomst ....................................	193
	6.3.14	Gallring...................................................................	193
	6.3.15	Registerutdrag ........................................................	194
	6.3.16	Rättelse och skadestånd .........................................	195
	6.3.17	Sekretess .................................................................	195
	6.3.18	Sambearbetning......................................................	196
	6.3.19	Kompletterande förordningar ...............................	196
6.4	Remissvar ...............................................................................		197
	6.4.1	Allmänna synpunkter.............................................	197
	6.4.2	Remissynpunkter på vissa delar av förslagen.........	212
6.5	Avslutningsvis........................................................................		217
7	Vår ansats...............................................................		219
7.1	Inledning................................................................................		219
7.2	Principiella utgångspunkter...................................................		219
	7.2.1	Inledande utgångspunkter .....................................	219
	7.2.2	Forskarsamhällets utgångspunkter........................	220
	7.2.3	Politiska utgångspunkter .......................................	221

7.2.4Vår ansats utifrån den politiska viljan och

Sammanfattning

Inledning

För att vårt samhälle ska utvecklas och för att vi ska kunna lösa olika problem behöver vi forskning. Vi behöver forskare och forsknings- huvudmän inom olika ämnesområden som tar fram resultat som går att använda till vårt gemensamma bästa.

Sverige har en världsledande ställning vad gäller statistik om levnads- förhållanden och hälsa. På grund av våra individbaserade register finns det goda möjligheter till framgångsrik forskning baserad på dessa. Detta gör vårt land attraktivt även för forskare i andra länder. För att fullt ut kunna dra nytta av våra unika förutsättningar behövs ett mer effektivt utnyttjande av befintliga register och databaser.

Regeringen har i våra direktiv1 anfört att det behövs bättre förut- sättningar för registerbaserad forskning och givit oss i uppdrag att föreslå en långsiktig reglering av forskningsdatabaser.

Utöver detta uppdrag har vi i denna del av utredningens arbete också haft i uppdrag att analysera

•om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister,

•vilken rättslig reglering av ett nationellt biobanksregister som behövs,

•vilken rättslig reglering som behövs för att Statistiska centralbyrån (SCB) ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden till Luxembourg Income Study (LIS),

•om det behövs ett förstärkt skydd för uppgifter om avlidna i forensisk forskning, och

1Kommittédirektiv Personuppgiftsbehandling för forskningsändamål, dir. 2016:65.

Sammanfattning

SOU 2018:36

•vilka rättsliga förutsättningar som finns i EU:s dataskyddsförord- ning2 för behandling av personuppgifter hos Kungliga biblioteket och andra forskningsbibliotek.

Det sistnämnda uppdraget redovisade vi i en promemoria till Utbild- ningsdepartementet hösten 2017 (bilaga 5).

Vårt delbetänkande

I delbetänkandet Personuppgiftsbehandling för forskningsändamål3 analyserade vi vilken reglering av behandling av personuppgifter för forskningsändamål som är möjlig och kan behövas med anledning av att dataskyddsförordningen ska börja tillämpas den 25 maj 2018.

Vi identifierade i samband med det arbetet ett behov av att införa en forskningsdatalag med syfte att möjliggöra personuppgiftsbehand- ling för forskningsändamål samtidigt som den enskildes fri- och rättigheter skyddas. I delbetänkandet föreslog vi därför en forsknings- datalag som skulle vara tillämplig för all personuppgiftsbehandling för forskningsändamål oavsett rättslig grund.

Vi kom även till slutsatsen att prövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) utgör en sådan lämplig och särskild skyddsåtgärd som krävs för att personuppgiftsbehandling för forskningsändamål av känsliga person- uppgifter eller personuppgifter om lagöverträdelser m.m. ska vara tillåten.

Vi konstaterade vidare att det finns anledning att närmare utreda behovet av förändringar i etikprövningsförfarandet. Den fullständiga etikprövningen bör enligt vår mening begränsas till de person- uppgiftsbehandlingar som formellt sett kräver ett dylikt omfattande skydd. Dagens krav på etikprövning omfattar även sådan person- uppgiftsbehandling som generellt sett kan betraktas som mindre riskfylld för den enskilde, men som ändå är i behov av lämplig skydds- åtgärd. Att tillämpa samma etikprövningsförfarande på all slags personuppgiftsbehandling som etikprövningslagen omfattar är mot

2Europaparlamentet och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen.

3Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017: 50).

SOU 2018:36

Sammanfattning

denna bakgrund inte rimligt och proportionerligt. Om förfarandet inte kan anpassas utifrån skyddsbehovet, riskerar det dessutom att urholka förtroendet för etikprövning som skyddsåtgärd. Mot bak- grund av begränsningarna i vårt uppdrag och våra ramar i övrigt föreslog vi att ett differentierat etikprövningsförfarande borde utredas vidare i särskild form.

Vår ansats

En forskningsdatabas är en databas (uppgiftssamling) med person- uppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt.

Den tid under vilken en forskningsdatabas finns i en forsknings- huvudmans verksamhet – databasens livscykel – kan delas in i olika stadier. Vissa aktiviteter i forskningsdatabasen pågår löpande, medan andra är starkare knutna till en viss period. Livscykelperspektivet kan användas till att analysera vilka aktiviteter som behöver regleras för att åstadkomma en säker behandling av personuppgifter i databasen. Vi beskriver forskningsdatabasens livscykel i följande fem steg.

1.Skapandet av en forskningsdatabas.

2.Insamlingen av personuppgifter.

3.Förvaltningen av forskningsdatabasen.

4.Användningen av forskningsdatabasen.

5.Avvecklingen av en forskningsdatabas.

En reglering som bara omfattar ett fåtal centralt utpekade forsk- ningsfält och ett mindre antal forskningshuvudmän skulle enligt vår bedömning inte vara tillräcklig för att tillgodose en säker hantering av personuppgifter i forskningsdatabaser. Vi föreslår därför en generell reglering som omfattar så många databaser som möjligt. I praktiken existerar dessutom redan en hel mängd olika sorters forsknings- databaser hos flera olika typer av forskningshuvudmän.

Vi finner att principen om forskningens frihet innebär att initia- tivet till att skapa en forskningsdatabas bör komma från forsknings-

Sammanfattning

SOU 2018:36

huvudmännen och inte från regeringen. Vi menar att det är i forsk- ningsverksamheten som behoven av uppgiftssamlingar bäst kan identi- fieras och formuleras. Vårt förslag till en långsiktig reglering utgår således ifrån att det är forskningshuvudmännen som ska bedöma vilka forskningsdatabaser som behövs.

I enlighet med vårt uppdrag ska den reglering vi föreslår – utöver att uppfylla forskningens behov – också infatta ett gott skydd för den personliga integriteten. Vi menar att det föreligger ett gott integritets- skydd när denna rättighet står i balans med andra grundläggande rättigheter och legitima samhällsintressen. Vi föreslår därför en reglering som möjliggör en ändamålsenlig och säker behandling av personuppgifter i forskningsdatabaser. Regleringen uppfyller både forskningens behov och innefattar ett gott skydd för den personliga integriteten.

En långsiktig reglering av forskningsdatabaser

Vi föreslår att behandlingen av personuppgifter i en forskningsdatabas ska regleras i en särskild lag, lagen om forskningsdatabaser (forsk- ningsdatabaslagen). Lagen reglerar bl.a. vilka forskningshuvudmän som ska få ansvara för forskningsdatabaser och vilka skyddsåtgärder som krävs för att en forskningsdatabas ska vara rättsenlig.

Såväl de statliga högskolorna och universiteten som de privata läro- sätena som omfattas av offentlighetsprincipen samt har examensrätt, ska enligt vårt förslag få behandla personuppgifter i forsknings- databaser. Även andra myndigheter än sådana som bedriver under- visning ska få ansvara för forskningsdatabaser, om forskning ingår i deras uppdrag. Det ska gälla både statliga och kommunala myndig- heter.

En grundläggande skyddsåtgärd som vi föreslår är att en forsk- ningsdatabas måste godkännas enligt etikprövningslagen. Vid etik- prövningen ska t.ex. forskningsdatabasens vetenskapliga värde vägas mot de risker den kan medföra för forskningspersoners hälsa, säker- het och personliga integritet. Dessutom föreslår vi att all forskning som ska använda uppgifter i en forskningsdatabas ska vara etikgod- känd. Vi föreslår ändringar i etikprövningslagen som möjliggör dessa skyddsåtgärder.

SOU 2018:36

Sammanfattning

En annan viktig skyddsåtgärd som vi föreslår är en ny bestämmelse om forskningssekretess i offentlighets- och sekretesslagen (2009:400) och en motsvarande bestämmelse om tystnadsplikt hos privata forsk- ningshuvudmän i forskningsdatabaslagen. Uppgifterna i en forsk- ningsdatabas liksom i de forskningsprojekt som använder dessa upp- gifter kommer därför att omfattas av antingen forskningssekretess eller tystnadsplikt.

Dessutom ställer forskningsdatabaslagen krav på organisatoriska skyddsåtgärder. Sådana krav följer också direkt av dataskyddsförord- ningen. Vi specificerar dessa ytterligare genom att kräva att forsk- ningshuvudmannen ska ha en verksamhetschef som ska ha det verk- ställande ansvaret för en forskningsdatabas. Det ska därtill finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen. Vidare ska verksamheten hos forskningshuvudmannen omfattas av ett risk- baserat informationssäkerhetsarbete.

I forskningsdatabaslagen finns det krav på tekniska skyddsåtgär- der. Forskningshuvudmannen ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter i en forsk- ningsdatabas. Forskningshuvudmannen ska även kontrollera att åtkomsten används på rätt sätt.

Behandlingen av personuppgifter i en forskningsdatabas kommer på samma sätt som annan personuppgiftsbehandling att omfattas av Datainspektionens4 tillsyn. Utöver att en forskningsdatabas kommer att vara föremål för tillsyn, föreslår vi att Vetenskapsrådet ska få i uppgift att följa upp forskningsdatabaser som skapas med stöd av den nya lagen. Vi anser att regeringen måste hållas informerad om vilken effekt lagen får för hantering av personuppgifter i forskningsdata- baser. Därtill föreslår vi att Vetenskapsrådet ska få i uppgift att initiera och stödja arbetet med att upprätta en uppförandekod för behandling av personuppgifter i forskningsdatabaser.

Ytterligare en viktig skyddsåtgärd som vi föreslår är att ge forsk- ningspersonerna möjlighet till insyn i hur de egna uppgifterna hante- ras i forskningsdatabasen. En forskningshuvudman ska få medge den

4I ett pressmeddelande den 15 december 2017 informerar regeringen att den kommer att tillföra Datainspektionen 30 miljoner kronor för att stärka arbetet med den personliga integriteten. Myndigheten föreslås också att byta namn till Integritetsskyddsmyndigheten. Dessutom ska myndighetens uppdrag ändras så att dess stödjande och rådgivande roll blir tydligare.

Sammanfattning

SOU 2018:36

enskilde att få direktåtkomst till sina egna direkt identifierbara upp- gifter.

De förslag som vi lämnar kommer sammantaget att omfatta ett paket av skyddsåtgärder för den personliga integriteten. Utöver de krav som gäller enligt dataskyddsregleringen5 kommer person- uppgifterna i en forskningsdatabas att skyddas av bl.a.:

•begränsning av vilka forskningshuvudmän som får ansvara för en forskningsdatabas,

•forskningshuvudmannens personuppgiftsansvar,

•villkor för skapandet av en forskningsdatabas,

•krav på etikprövning av forskningsdatabasen,

•krav på etikprövning av de forskningsprojekt som ska använda personuppgifterna,

•sekretess och tystnadsplikt,

•inre sekretess,

•organisatoriska åtgärder,

•tekniska åtgärder,

•uppförandekoder

•krav på finansiering av forskningsdatabasen, samt

•uppföljning.

Rättspsykiatriska forskningsregistret

I några fall finns redan särskilda lagar för att möjliggöra forsknings- databaser. En sådan är lagen (1999:353) om rättspsykiatriskt forsk- ningsregister (nedan kallad registerlagen).

Rättsmedicinalverket (RMV) är personuppgiftsansvarigt för det rättspsykiatriska forskningsregistret. Registret får användas för två ändamål, dels behandling av personuppgifter för forskning inom rätts- psykiatrin, om forskningen och behandlingen har godkänts enligt

5Dataskyddsförordningen och lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

SOU 2018:36

Sammanfattning

etikprövningslagen, dels för RMV:s uppföljning, utvärdering och kvalitetssäkring inom rättspsykiatrin.

I en rapport6 till regeringen har RMV framhållit att registerlagen inte ger ett adekvat stöd för den rättspsykiatriska forskningen. Anled- ningen till det är att rättspsykiatrins nuvarande frågeställningar inte låter sig besvaras med stöd av de begränsade uppgifter som får registreras i registret. Enligt vad vi har inhämtat har registret inte underhållits sedan 2005.

Vi bedömer att det inte finns något långsiktigt behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och föreslår därför att registerlagen ska upphävas.

Ett nationellt biobanksregister

Vårt uppdrag har varit att göra en vidare beredning av det förslag till ett centralt register för spårbarhet till vävnadsprover i landets bio- banker som Registerforskningsutredningen7 lämnade.

Registerforskningsutredningen föreslog att Svenska biobanks- registret skulle göras om till ett nationellt system för registrering av biobanksprover (Nationella biobanksregistret) med Socialstyrelsen som huvudman och personuppgiftsansvarig.

Utredningen om reglering av biobanker8 har parallellt med vår utredning haft i uppgift att utreda vissa aspekter av ett nationellt register för spårbarhet av vävnadsprover. Denna utredning föreslog att ett nationellt biobanksregister ska inrättas för forskningens behov, samtidigt som det Svenska biobanksregistret ska finnas kvar. Det senare registret ska tillgodose hälso- och sjukvårdens behov av spårbarhet av prover som tagits i samband med vård och behandling. Uppgifterna ska göras tillgängliga för vårdgivare och nås genom direktåtkomst i system för sammanhållen journalföring enligt 6 kap. patientdatalagen (2008:355).9 Socialstyrelsen föreslås vara huvudman och personuppgiftsansvarig för ett nationellt biobanksregister över prover tagna för forskningsändamål.

6Ett nytt författningsstöd för Rättsmedicinalverkets behandling av personuppgifter, m.m. (Ju 2013/08833/Å).

7Registerforskningsutredningens slutbetänkande Unik kunskap genom registerforskning (SOU 2014:45).

8Utredningens om regleringen av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4).

9Med ”direktåtkomst” avses här samma begrepp som i 6 kap. patientdatalagen.

Sammanfattning

SOU 2018:36

Vi ansluter oss i huvudsak till Utredningens om regleringen av biobanker förslag om ett nationellt register för spårbarhet av prover i biobanker, som ska få användas för forskning, kvalitetssäkring och framställning av statistik.

Utredningen om regleringen av biobanker gjorde bedömningen att uppgifterna i det nationella biobanksregistret kommer att omfattas av statistiksekretess. För att tillförsäkra uppgifterna i registret ett god- tagbart skydd föreslår vi i stället en särskild sekretessbestämmelse som avser uppgifter om enskild i ett nationellt biobanksregister. Sekretessen ska gälla såvida det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (omvänt skaderekvisit). Sekretess kommer alltså att vara huvudregeln för dessa uppgifter. Det är samma nivå på sekretesskyddet som gäller för dessa uppgifter när de hanteras i hälso- och sjukvården.

Forskningsdatabaser i Europa

Vi har i uppdrag att analysera vilken rättslig reglering som behövs för att Statistiska centralbyrån (SCB) ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till europeiska databasen Luxemburg Income Study (LIS) samt att lämna nödvändiga författningsförslag.

Det är dock inte enbart LIS som är av intresse för vårt uppdrag att möjliggöra behandling av personuppgifter i forskningsdatabaser. Inom EU finns fler exempel på forskningssamarbeten där Sverige deltar tillsammans med andra länder.

Vi föreslår en sekretessbrytande bestämmelse som inte enbart ska vara tillämplig på LIS, utan på alla forskningsdatabaser som drivs av forskningshuvudmän som omfattas av dataskyddsförordningen. Under vissa förutsättningar ska en uppgift för vilken sekretess gäller få röjas för en forskningshuvudman utanför Sverige, som omfattas av dataskyddsförordningen. Om uppgiften i motsvarande fall skulle få lämnas ut till en svensk forskningsdatabas, och om forskningshuvud- mannen omfattas av motsvarande skyddsregler som gäller enligt offentlighets- och sekretesslagen samt lagen om forskningsdatabaser, får utlämnande myndighet pröva om uppgifterna kan lämnas ut.

Vi anser att en sådan bestämmelse möjliggör önskvärda forsk- ningssamarbeten inom EU och innefattar ett gott skydd för den

SOU 2018:36

Sammanfattning

personliga integriteten. Skyddet av uppgifterna måste uppfylla de krav på säkerhet vid behandling av personuppgifter som ställs i dataskydds- förordningen. Under dessa förutsättningar kan även syftet med förordningen uppfyllas, nämligen att skydda fysiska personer med avseende på behandling av personuppgifter samtidigt som det fria flödet av uppgifter inom unionen inte begränsas.

Det kommer inte att vara en helt lätt uppgift för en svensk myndighet att avgöra om en forskningsdatabas inom EU uppfyller de villkor som krävs för att uppgifterna ska få röjas. Myndigheterna kommer att behöva information om hur den mottagande forsknings- databasen behandlar personuppgifter och om vilka skyddsregler som tillämpas. Vi finner att det är lämpligt att en myndighet, t.ex. Veten- skapsrådet, får i uppdrag av regeringen att bistå myndigheterna med sådan information. Den myndighet som får detta uppdrag bör sam- råda med Datainspektionen.

Behandling av uppgifter om avlidna i forskning

Vi har undersökt vilket skydd för uppgifter om avlidna i forskningens som det finns i dag och om det finns något behov av att öka det.

Vi bedömer att befintlig lagstiftning tillsammans med vårt förslag om forskningssekretess och tystnadsplikt utgör ett tillräckligt skydd för uppgifter om avlidna. Vid denna bedömning har vi även beaktat att skyddet för efterlevande indirekt skyddar även den avlidne. Vi anser att det inte ska införas något ytterligare skydd för uppgifter om avlidna.

Summary

Introduction

If our society is to develop and if we are to be able to solve various problems, we need research. We need research and research organisations in various disciplinary areas that produce results that can be used for our common good.

Sweden has a world-leading position in terms of statistics about living conditions and health. Our individual-based registers provide good possibilities of successful research based on them. This means our country is also attractive for researchers in other countries. More effective use of existing registers and databases is needed to be able to benefit fully from our unique situation.

The Government stated in our terms of reference1 that better conditions are needed for register-based research and tasked us with proposing long-term regulation of research databases.

In addition to this remit, we have also had, in this part of the inquiry, the remit of analysing:

•whether there is a long-term need for special regulation of a forensic psychiatry research register;

•what regulation is needed of a national biobank register;

•what legal regulation is needed to enable Statistics Sweden (SCB) to release information about the income situation of individuals to the Luxembourg Income Study (LIS);

•whether stronger protection is needed for data about deceased persons in forensic research; and

1Processing of personal data for research purposes, terms of reference 2016:65.

Summary

SOU 2018:36

•what legal possibilities the EU’s General Data Protection Regulation2 provides for the processing of personal data by the National Library of Sweden and other research libraries.

The final part of our remit was reported to the Ministry of Education and Research in a memorandum in autumn 2017 (annex 5).

Our interim report

In our interim report Processing of personal data for research purposes3 we analysed what regulation of the processing of personal data for research purposes is possible and may be required on account of that the Data Protection Regulation will be applicable as from 25 May 2018.

In connection with that work we defined a need to pass a research data act with the purpose of enabling the processing of personal data for research purposes while protecting the rights and freedoms of the individual. In our interim report we therefore proposed a research data act that would be applicable to all processing of personal data for research purposes irrespective of the legal basis.

We also reached the conclusion that an examination under the Act (2003:460) concerning the Ethical Review of Research Involving Humans (the Ethical Review Act) constitutes such a suitable and specific safeguard that is required for personal data processing for research purposes of sensitive personal data or personal data concer- ning criminal offences, etc. to be permitted.

In addition, we found that there is reason to further investigate the need for changes to the ethical review procedure. In our view, the full ethical review should be limited to processing of personal data that formally requires extensive protection of that kind. Current ethical review requirements also cover processing of personal data that can generally be regarded as less of a risk for the individual, but that still requires a suitable safeguard. Against this background it is not reasonable and proportionate to apply the same ethical review proce- dure to all kinds of processing of personal data covered by the Ethical

2Regulation of the European Parliament and the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), called the Data Protection Regulation in the following.

3Interim report of the Research Data Inquiry, Personuppgiftsbehandling för forsknings- ändamål (Processing of personal data for research purposes) (SOU 2017: 50).

SOU 2018:36

Summary

Review Act. If the procedure cannot be geared to the need for protection, this also risks eroding confidence in ethical review as a safe- guard. In the light of the restrictions on our mandate and the rest of the framework for our work, we proposed that a differentiated ethical review procedure should be investigated further in a separate form.

Our approach

A research database is a collection of personal data that has been collected from individuals or from other sources and which is a national resource that supplies data for several different research projects.

The time during which a research database is in existence in the activities of a research organisation – the lifecycle of the database – can be divided into different stages. Some activities in the research database run continuously, while others have a stronger link to a certain period. The lifecycle perspective can be used to analyse what activities need to be regulated in order to achieve secure processing of personal data in the database. We describe the lifecycle of a research database in the following five stages:

1.Creation of a research database

2.Collection of personal data

3.Administration of the research database

4.Use of the research database

5.Closure of the research database

In our assessment, regulation that only covers a few fields of research, identified centrally, and a small number of research organisations would not be sufficient to provide for safe handling of personal data in research databases. We therefore propose general regulation covering as many databases as possible. In practice there are also already a large quantity of different kinds of research databases in several different types of research organisations.

We conclude that the principle of the freedom of research means that the initiative to create a research database should come from research organisations and not from the Government. In our view, the

Summary

SOU 2018:36

needs for collections of data can best be identified and formulated in research activities. Our proposal for long-term regulation therefore assumes that it is research organisations that will assess what research databases are needed.

According to our remit, the regulation we propose also has to include good protection for personal privacy – in addition to meeting the needs of research. In our view, there is good protection of privacy when this right is in balance with other fundamental rights and legitimate public interests. We therefore propose suitable and secure regulation of research databases that both meets the needs of research and includes good protection of personal privacy.

Long-term regulation of research databases

We propose regulating the processing of personal data in a research database in a separate act, the act on research databases. This act regulates what research organisations will be allowed to be responsible for research databases and what safeguards are required for a research database to be compliant with the law.

Under our proposal, both state higher education institutions and universities and the private higher education institutions that are covered by the principle of public access to information and have a right to award qualifications will be allowed to process personal data in research databases. Public authorities other than those that conduct education will be allowed to be responsible for research databases if their mission includes research. This applies to both central and local government authorities.

One fundamental safeguard that we propose is that a research database must be approved under the Ethical Review Act. In this process, the scientific value of the research database must be assessed and weighed in relation to its potential risks with respect to the health, security and privacy of the included research subjects. In addition, we propose that all research that will use data in a research database will have to have ethical approval. We propose amendments to the Ethical Review Act that make these safeguards possible.

Another important safeguard that we propose is a new provision on research secrecy in the Public Access to Information and Secrecy Act (2009:400) and a corresponding provision on an obligation to

SOU 2018:36

Summary

observe professional secrecy at private research organisations in the research databases act. The data in a research database as well as the research projects that use these data will therefore be covered by either research secrecy or an obligation to observe secrecy.

In addition, the research databases act makes requirements concerning organisational safeguards. Such requirements also follow directly from the Data Protection Regulation. We specify them in more detail by requiring principal research organisations to have a head of operations with operational responsibility for a research database. There also has to be an organisational unit that is responsible for the security and privacy protection in the research database. In addition, the activities of the principal research organisation have to include risk-based information security work.

The research databases act contains requirements concerning technical safeguards. The research organisation has to determine conditions for the allocation of authorisation for electronic access to personal data in a research database. The research organisation also has to check that access is used in the right way.

The processing of personal data in a research database will come under the supervision of the Swedish Data Protection Authority in the same way as other processing of personal data. In addition to a research database being subject to supervision, we propose giving the Swedish Research Council the task of monitoring databases created under the new act. We consider that legislators must be kept informed about the effect of the act on the handling of personal data in research databases. Moreover, we propose giving the Swedish Research Council the task of initiating and supporting work to draft a code of conduct for the processing of personal data in research databases.

A further important safeguard we propose is to give research subjects the possibility of insight into how their own data are handled in the research database. A research organisation will be able to grant the individual direct access to their own directly identifiable data.

Taken together, the proposals we present will make up a package of safeguards for personal privacy. In addition to the requirements that apply under the regulation of data protection4, personal data in a research database will be protected by, for example:

4The Data Protection Regulation and the Data Protection Act proposed by the Government in Govt Bill Ny dataskyddslag (New Data Protection Act), Govt Bill 2017/18:105.

Summary

SOU 2018:36

•limitation of which research organisations are allowed to be responsible for a research database;

•the research organisation’s responsibility for personal data;

•conditions for the creation of a research database;

•requirement of ethical review of the research database;

•requirement of ethical review of the research projects that are to use the personal data;

•secrecy and obligation to observe secrecy;

•internal secrecy;

•organisational measures;

•technical measures;

•codes of conduct;

•requirements concerning financing of the research database; and

•monitoring.

Forensic psychiatry research register

In certain cases special laws already make research databases possible. One such law is the Act on Forensic Psychiatry Research Register (1999:353) (called the Register Act below).

The National Board of Forensic Medicine is the controller of personal data for the forensic psychiatry research register. The register may be used for two purposes: first, processing of personal data for research in forensic psychiatry, if the research and processing has been approved under the Ethical Review Act and, second, for monitoring, evaluation and quality assurance in forensic psychiatry by the Board.

In a report5 to the Government the Board has pointed out that the Register Act does not provide adequate support for research in forensic psychiatry. This is because current issues in forensic

5New statutory support for the National Board of Forensic Medicine’s personal data etc. (Ju 2013/08833/Å).

SOU 2018:36

Summary

psychiatry cannot be resolved with the aid of the limited information that is allowed to be registered in the register. According to information we have obtained the register has not been maintained since 2005.

Our assessment is that there is no long-term need for special regulation of a forensic psychiatry research register and we therefore propose the repeal of the Register Act.

A national biobank register

Our remit has been to continue the preparation of the proposal for a central register for traceability of tissue samples in Sweden’s biobanks presented by the Register-based Research Inquiry6.

The Register-based Research Inquiry proposed converting the Swedish Biobank Register into a national system for registration of biobank samples (the National Biobank Register) with the National Board of Health and Welfare as the body responsible and controller of personal data.

In parallel with this Inquiry, the Inquiry on the Regulation of Biobanks7 has been tasked with investigating certain aspects of a national register for traceability of tissue samples. That Inquiry proposed establishing a national biobank register for research needs, while retaining the Swedish Biobank Register. That register would meet healthcare needs of traceability of samples taken in connection with care and treatment. The data would be made available to healthcare providers and be reached by direct access in systems for keeping integrated medical records under Chapter 6 of the Patient Data Act (2008:355).8 The National Board of Health and Welfare is proposed as the body responsible for, and controller of personal data of, a national biobank register of samples taken for research purposes.

We mainly concur with the proposals of the Inquiry on the Regulation of Biobanks for a national register for traceability of samples in biobanks to be used for research, quality assurance and the production of statistics.

6Final report of the Register-based Research Inquiry, Unik kunskap genom registerforskning (Unique knowledge through register-based research) (SOU 2014:45).

7Final report of the Inquiry on the Regulation of Biobanks, Framtidens biobanker (Biobanks of the future) (SOU 2018:4).

8Here “direct access” means the same term as in Chapter 6 of the Patient Data Act.

Summary

SOU 2018:36

The Inquiry on the Regulation of Biobanks made the assessment that the data in the national biobank register will be covered by statistics secrecy. To guarantee acceptable protection for the data in the register, we instead propose a special secrecy provision referring to data about an individual in a national biobank register. This secrecy would apply unless it is clear that the data can be disclosed without damage to the individual or someone close to them (reverse requirement of damage). So secrecy will be the general rule for these data. This is the same secrecy protection as applies to these data when they are handled in healthcare.

Research databases in Europe

We have the remit of analysing what legal regulation is needed to enable Statistics Sweden (SCB) to release information on the income situation of individuals from its registers to the European database called the Luxemburg Income Study (LIS) and to present the necessary legislative proposals.

However, it is not only the LIS that is of interest for our remit of making it possible to process personal data in research databases. In the EU there are several examples of research cooperation in which Sweden is participating along with other countries.

We propose a secrecy override applicable not only to the LIS but also to all research databases operated by research organisations covered by the Data Protection Regulation. This override would mean that, under certain conditions, data that is subject to secrecy may be disclosed to a research organisation outside Sweden that is covered by the Data Protection Regulation. If it would be possible to release the data to Swedish research database in corresponding cases, and if the research organisation is subject to secrecy rules corresponding to those that apply under the Public Access to Information and Secrecy Act and the research databases act, the releasing authority may examine whether the data can be released.

We consider that such a provision enables desirable research cooperation in the EU and includes good protection for personal privacy. The protection for the data would have to meet the requirements concerning security in the processing of personal data set in the Data Protection Regulation. Under these conditions the

SOU 2018:36

Summary

purpose of the Regulation can also be met: i.e. protection of natural persons with regard to the processing of personal data at the same time as the free movement of data in the Union is not restricted.

It will be a demanding task for a Swedish authority to determine whether a research database in the EU meets the conditions set for the disclosure of the data. Authorities will need information about how the receiving research database processes personal data and what safeguards are applied. The Inquiry finds that it is appropriate for a government agency, for example the Swedish Research Council, to be commissioned by the Government to assist authorities with infor- mation of that kind. The agency that is given this commission should consult with the Swedish Data Protection Authority.

Processing of data about deceased persons in research

We have examined the current protection of data about deceased persons in research and whether there is a need to increase it.

Our assessment is that the existing legislation along with our proposal for research secrecy and an obligation to observe secrecy provides sufficient protection for data about deceased persons. In making this assessment we have also taken account of the fact that the protection for survivors also protects the deceased person indirectly. We consider that no further protection should be introduced for data about deceased persons.

1 Författningsförslag

1.1Förslag till lag om forskningsdatabaser

1 kap. Lagens tillämpningsområde m.m.

Innehåll och syfte

1 § Denna lag innehåller bestämmelser om behandling av person- uppgifter i en forskningsdatabas.

I 4 kap. 5 § finns en bestämmelse om tystnadsplikt hos enskilda (privata) forskningshuvudmän.

2 § Syftet med denna lag är att möjliggöra behandling av person- uppgifter i en forskningsdatabas. Syftet är också att säkerställa att de registrerades personliga integritet skyddas vid denna behandling.

Förhållandet till annan lagstiftning

3 § Denna lag kompletterar Europaparlamentet och rådets för- ordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), nedan kallad data- skyddsförordningen.

4 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Författningsförslag

SOU 2018:36

Om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter i en forskningsdatabas som avvi- ker från denna lag ska de bestämmelserna gälla.

Definitioner

5 § Med forskningshuvudman avses i denna lag detsamma som i 2 § lagen (2003:460) om etikprövning av forskning som avser män- niskor.

6 § Med forskningsdatabas avses i denna lag en databas (uppgifts- samling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att till- handahålla uppgifter till flera olika forskningsprojekt.

Lagens tillämpningsområde

7 § Denna lag tillämpas vid behandling av personuppgifter som ut- förs inom ramen för verksamhet som bedrivs vid personuppgiftsan- svarigas eller personuppgiftsbiträdens verksamhetsställen i Sverige.

2 kap. Grundläggande villkor för skapandet av en forskningsdatabas

1 § En forskningshuvudman får vara personuppgiftsansvarig för behandling av personuppgifter i en forskningsdatabas under förut- sättning att forskningshuvudmannen är en

1.statlig myndighet,

2.kommunal myndighet, eller

3.juridisk person eller enskild näringsidkare som bedriver högre utbildning och har examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) jämställs med myndighet.

SOU 2018:36

Författningsförslag

2 § Personuppgifter får behandlas i en forskningsdatabas för att

1.skapa underlag för olika forskningsprojekt, och

2.lämna ut uppgifter till flera olika forskningsprojekt inom ett angivet forskningsområde.

3 § Personuppgifter får behandlas i en forskningsdatabas under förutsättning att

1.den har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, och

2.forskningshuvudmannen har säkerställt finansieringen av forsk- ningsdatabasen.

4 § En forskningshuvudman ska i ett beslut om att skapa en forsk- ningsdatabas fastställa

1.vilka uppgifter som ska behandlas i forskningsdatabasen, och

2.för vilka särskilda ändamål dessa uppgifter är nödvändiga att behandla.

3 kap. Organisatoriska åtgärder

1 § Forskningshuvudmannen ska utse en verksamhetschef för forsk- ningsdatabasen.

Verksamhetschefen ska minst en gång per år sammanställa och lämna skriftlig information om behandlingen av personuppgifter i forskningsdatabasen till forskningshuvudmannen.

2 § Det ska hos forskningshuvudmannen finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen. Den ska ha till uppgift att genom tekniska och organisatoriska åtgärder skydda enskildas personliga integritet och upprätthålla en tillräcklig säkerhetsnivå för de personuppgifter som behandlas i forskningsdatabasen.

Författningsförslag

SOU 2018:36

3 § En forskningshuvudman som behandlar personuppgifter i en forskningsdatabas ska bedriva ett systematiskt och riskbaserat infor- mationssäkerhetsarbete med stöd av ett ledningssystem för infor- mationssäkerhet.

Forskningshuvudmannen ska tilldela tillräckliga resurser för infor- mationssäkerhetsarbetet. Den som utför för detta arbete ska hålla forskningshuvudmannen informerad.

4 kap. En säker och ändamålsenlig behandling av personuppgifter

Uppgifterna i forskningsdatabasen

1 § Personuppgifter i en forskningsdatabas får vara direkt identi- fierbara, om det är nödvändigt för att uppfylla ändamålet med forsk- ningsdatabasen.

Forskningshuvudmannen ska besluta om en forskningsdatabas ska bestå av direkt identifierbara uppgifter eller om det är tillräckligt för ändamålet att uppgifterna är pseudonymiserade eller skyddade på annat sätt.

Intern elektronisk åtkomst

2 § Den som arbetar hos en forskningshuvudman får ta del av per- sonuppgifter i en forskningsdatabas endast om han eller hon behö- ver uppgifterna för sitt arbete hos huvudmannen.

3 § Forskningshuvudmannen ska bestämma villkoren för tilldel- ning av behörighet för elektronisk åtkomst till personuppgifter i en forskningsdatabas. Behörigheten ska anpassas och begränsas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter.

4 § Forskningshuvudmannen ska se till att elektronisk åtkomst till personuppgifter i en forskningsdatabas dokumenteras och kan kon- trolleras.

SOU 2018:36

Författningsförslag

Forskningshuvudmannen ska göra systematiska och återkom- mande kontroller av om någon obehörigen kommer åt personupp- gifter i en forskningsdatabas.

Tystnadsplikt hos enskild forskningshuvudman

5 § Den som arbetar hos en enskild (privat) forskningshuvudman får inte obehörigen röja vad han eller hon i sitt arbete har fått veta om en enskilds personliga eller ekonomiska förhållanden. När någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning ska detta inte anses utgöra obehörigt röjande.

I det allmännas verksamhet ska bestämmelserna i offentlighets- och sekretesslagen (2009:400) tillämpas.

5 kap. Utlämnande av personuppgifter från en forskningsdatabas

Villkor för utlämnande

1 § Personuppgifter i en forskningsdatabas får lämnas ut till ett forskningsprojekt under förutsättning att

1.tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) eller denna lag inte hindrar det, och

2.forskningsprojektet har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

2 § Personuppgifter som lämnas ut från en forskningsdatabas ska vara pseudonymiserade eller skyddade på likvärdigt sätt.

Personuppgifter får dock vara direkt identifierbara vid utläm- nandet, om det är nödvändigt för att uppfylla ändamålet med den forskning uppgifterna lämnas ut till.

3 § Personuppgifter som behandlas för de ändamål som anges i 2 kap. 2 § får också lämnas ut till en utredning av oredlighet i forsk- ning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning.

Författningsförslag

SOU 2018:36

Direktåtkomst

4 § Personuppgifter i en forskningsdatabas får inte lämnas ut genom direktåtkomst annat än till den registrerade själv enligt 5 §.

5 § En forskningshuvudman får medge den registrerade direkt- åtkomst till direkt identifierbara uppgifter om den enskilde själv. Innan uppgifterna lämnas ut på detta sätt ska forskningshuvud- mannen pröva om uppgifterna får lämnas ut. Den registrerade får under samma förutsättningar medges direktåtkomst till sådan doku- mentation som avses i 4 kap. 4 §.

6 kap. Uppföljning och utvärdering

1 § Forskningshuvudmannen ska regelbundet ta ställning till om behandlingen av personuppgifter i en forskningsdatabas ska fort- sätta.

2 § Vetenskapsrådet ska regelbundet följa upp och utvärdera verk- samheten vid forskningsdatabaser. Vetenskapsrådet ska i sin utvär- dering granska forskningsdatabaserna avseende säkerhet och ända- målsenlighet.

Vetenskapsrådet ska redovisa resultatet av sin utvärdering till regeringen.

7 kap. Ytterligare föreskrifter

1 § Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om

1.finansieringen av en forskningsdatabas,

2.begränsning av de ändamål för vilka uppgifter får behandlas i en forskningsdatabas,

3.begränsningar av de uppgifter som en forskningsdatabas får inne-

hålla,

4.begränsningar av behandling av uppgifter i en forskningsdatabas,

5.det systematiska och riskbaserade informationssäkerhetsarbe- tet som forskningshuvudmannen ska bedriva enligt 3 kap. 3 §,

SOU 2018:36

Författningsförslag

1.3Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor

Härigenom föreskrivs att 2, 3, 5, 6, 8, 10 och 11 §§ lagen om etikpröv- ning av forskning som avser människor (2003:460) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §1

I denna lag avses med forskning: vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utveck- lingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå,

forskningsdatabas: detsamma som avses i 1 kap. 6 § lagen (2019:000) om forskningsdatabaser,

forskningshuvudman: en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs,

forskningsperson: en levande människa som forskningen avser, och

behandling av personuppgifter:	behandling av personuppgifter:
sådan behandling som anges i 3 §	sådan behandling som anges i
personuppgiftslagen (1998:204).	artikel 4.2 i Europaparlamentet och
	rådets förordning (EU) 2016/679
	av den 27 april 2016 om skydd för
	fysiska personer med avseende på
	behandling av personuppgifter och
	om det fria flödet av sådana uppgifter
	och om upphävande av	direk-
	tiv 95/46/EG (allmän dataskydds-
	förordning), här benämnd	EU:s
	dataskyddsförordning.

1Senaste lydelse 2008:192.

Författningsförslag

SOU 2018:36

3 §2

Denna lag ska tillämpas på forskning som innefattar behandling av

1. känsliga personuppgifter	1. sådana särskilda kategorier
enligt 13 § personuppgiftslagen	av personuppgifter som avses i
(1998:204),	artikel 9.1 i EU:s dataskyddsför-
	ordning (känsliga personuppgif-
	ter),

2. personuppgifter		om	lag-	2. sådana personuppgifter om
överträdelser	som	innefattar		lagöverträdelser som	innefattar
brott, domar i brottmål, straff-				brott, domar i brottmål, straff-
processuella	tvångsmedel		eller	processuella tvångsmedel		eller
administrativa	frihetsberövanden			administrativa frihetsberövanden,
enligt 21 § personuppgiftslagen.				3. personuppgifter i	en	forsk-
				ningsdatabas enligt lagen (2019:000)
				om forskningsdatabaser, eller
				4. personuppgifter som samlas in
				från en forskningsdatabas		enligt
				lagen (2019:000) om forsknings-
				databaser.

5 §

Denna lag skall tillämpas på Denna lag ska tillämpas på forskning som skall utföras i Sverige. forskning som avses i 3 §, och som ska utföras inom ramen för verk- samhet som bedrivs vid personupp- giftsansvarigas eller personuppgifts- biträdens verksamhetsställen i

Sverige.

Denna lag ska även tillämpas på forskning som enbart omfattas av 4 § och som ska utföras i Sverige.

		6 §
Forskning som avses i 3–5 §§		Forskning som avses i 3–5 §§
får utföras bara om den har god-		får utföras bara om den har god-
känts vid en etikprövning. Ett		känts vid en etikprövning. Ett
godkännande får förenas	med	godkännande får förenas med
villkor. Ett godkännande	skall	villkor.

2Senaste lydelse 2008:192.

SOU 2018:36Författningsförslag

avse ett visst projekt eller en del	Ett godkännande ska avse ett
av ett projekt eller en på något	visst projekt, en del av ett pro-
liknande sätt bestämd forskning.	jekt eller en på något liknande
	sätt bestämd forskning eller en
	forskningsdatabas.

Forskningen får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behandlingen har godkänts vid etikpröv- ningen.

Ett godkännande upphör att gälla, om inte forskningen har börjat utföras senast två år efter det att beslutet om godkännande vann laga kraft.

Ett godkännande enligt denna lag medför inte att forskningen får utföras, om den strider mot någon annan författning.

8 §

Mänskliga rättigheter och grundläggande friheter skall alltid beaktas vid etikprövningen sam- tidigt som hänsyn skall tas till intresset av att ny kunskap kan utvecklas genom forskning. Män- niskors välfärd skall ges företräde framför samhällets och vetenska- pens behov.

Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen sam- tidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Män- niskors välfärd ska ges företräde framför samhällets och veten- skapens behov.

10 §

Forskning får inte godkännas, om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forsk- ningspersoners hälsa, säkerhet och personliga integritet.

Behandling av personuppgif-	Behandling av personupp-
ter som avses i 3 § får godkännas	gifter som avses i 3 § får god-
bara om den är nödvändig för att	kännas bara om den är nödvändig
forskningen skall kunna utföras.	för att forskningen ska kunna
	utföras.
	11 §

Forskning får godkännas bara om den skall utföras av eller under överinseende av en forskare som

Forskning får godkännas bara om den ska utföras av eller under överinseende av en forskare som

SOU 2018:36

Författningsförslag

1.4Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att i fråga om offentlighets- och sekretess- lagen (2009:400)

dels att 24 kap. 2 a och 2 b §§ ska upphöra att gälla,

dels att 10 kap. 23 och 27 §§, 24 kap. 1, 2 och 9 §§ och rubrikerna närmast före 8 kap., 24 kap. 1 och 2 §§ ska ha följande lydelser, och dels att det ska införas en ny paragraf, 8 kap. 4 §, och närmast före

8 kap. 4 § en ny rubrik av följande lydelse.

Sekretess mot forskningshuvudman utanför Sverige som omfattas av EU:s dataskyddsförordning

8kap. 4 §

En uppgift för vilken sekretess gäller enligt denna lag får inte röjas för en forskningshuvudman med verksamhetsställe utanför Sverige som ansvarar för en forskningsdatabas och som omfattas av förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, om inte

1.uppgiften i motsvarande fall skulle få lämnas ut till en forsk- ningshuvudman med verksamhetsställe i Sverige, och

2.forskningshuvudmannen omfattas av motsvarande skydds- regler som gäller enligt denna lag och enligt lagen (2019:000) om forskningsdatabaser.

Nuvarande lydelse

Föreslagen lydelse

10 kap.

Om inte annat följer av 19–

22 §§ får en uppgift som angår misstanke om ett begånget brott

23 §3

Om inte annat följer av 19–

22 §§ får en uppgift som angår misstanke om ett begånget brott

3Senaste lydelse 2014:663.

Författningsförslag

SOU 2018:36

och som är sekretessbelagd en- ligt 24 kap. 2 a eller 8 §, 25 kap. 1 §, 2 § andra stycket eller 3– 8 §§, 26 kap. 1–6 §§, 29 kap. 1 §, 31 kap. 1 § första stycket, 2 eller 12 §, 33 kap. 2 §, 36 kap. 3 § eller 40 kap. 2 eller 5 § lämnas till en åklagarmyndighet, Polismyndig- heten, Säkerhetspolisen eller någon annan myndighet som har till uppgift att ingripa mot brottet endast om misstanken angår

1.brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år,

2.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller

3.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, om gärningen innefattat försök till överföring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168).

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekre- tessen ska skydda.

Första stycket gäller inte i fråga om sekretess enligt 24 kap. 2 a och 8 §§, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och 2 §§, 31 kap. 1 § första

och som är sekretessbelagd en- ligt 24 kap. 8 §, 25 kap. 1 §, 2 §

andra	stycket	eller 3–8 §§,
26 kap.	1–6 §§,	29 kap. 1 §,

31 kap. 1 § första stycket, 2 eller 12 §, 33 kap. 2 §, 36 kap. 3 § eller 40 kap. 2 eller 5 § lämnas till en åklagarmyndighet, Polismyndig- heten, Säkerhetspolisen eller någon annan myndighet som har till uppgift att ingripa mot brottet endast om misstanken angår

1.brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år,

2.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller

27 §4

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretess- belagd uppgift lämnas till en myn- dighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Första stycket gäller inte i fråga om sekretess enligt 24 kap. 1 och 8 §§, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och

4Senaste lydelse 2018:220.

SOU 2018:36Författningsförslag

stycket, 2 och 12 §§, 33 kap. 2 §,	2 §§, 31 kap. 1 § första stycket, 2
36 kap. 3 § samt 40 kap. 2 och 5 §§.	och 12 §§, 33 kap. 2 §, 36 kap. 3 §
	samt 40 kap. 2 och 5 §§.

Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning

24 kap.

Psykologisk undersökning	Forskningssekretess
1 §
Sekretess gäller för uppgift som	Sekretess gäller hos en forsk-
hänför sig till psykologisk under-	ningshuvudman för uppgift om
sökning som utförs för forsknings-	enskilds personliga och ekono-
ändamål, om det inte står klart	miska förhållanden, om det inte
att uppgiften kan röjas utan att	står klart att uppgifterna kan
den som uppgiften rör eller	röjas utan att den enskilde eller
någon närstående till denne lider	någon närstående till denne lider
men.	skada eller men.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Rättspsykiatriskt forskningsregister		Nationellt biobanksregister
	2 §
Sekretess	gäller i verksamhet	Sekretess gäller i verksamhet
som avser förande av eller uttag ur		som avser uppgifter i ett nationellt
register som förs enligt lagen		biobanksregister enligt biobanks-
(1999:353)	om rättspsykiatriskt	lagen (2018:000) för uppgift om en
forskningsregister för uppgift om en		enskild som har tillförts registret,
enskilds hälsotillstånd eller andra		om det inte står klart att uppgiften
personliga förhållanden som har		kan röjas utan att den enskilde eller
tillförts registret, om det inte står		någon närstående till denne lider
klart att uppgiften kan röjas utan		men.
att den enskilde eller någon
närstående till denne lider men.
Sekretessen gäller även i för-
hållande till en registrerad person

som är vård- eller behandlings- behövande för uppgift om hans eller hennes hälsotillstånd, om det

Författningsförslag

SOU 2018:36

med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

		9 §5
Den tystnadsplikt som följer			Den tystnadsplikt som följer
av 2 a	och 8 §§ och den tyst-		av 1 och 8 §§ och den tyst-
nadsplikt som följer av ett för-			nadsplikt som följer av ett för-
behåll som gjorts med stöd av 7 §			behåll som gjorts med stöd av 7 §
andra	meningen	inskränker	andra meningen	inskränker
rätten enligt 1 kap. 1 § tryckfri-			rätten enligt 1 kap. 1 § tryckfri-
hetsförordningen		och 1 kap. 1	hetsförordningen	och 1 kap. 1
och 2 §§ yttrandefrihetsgrund-			och 2 §§ yttrandefrihetsgrund-
lagen att meddela och offent-			lagen att meddela och offent-
liggöra uppgifter.			liggöra uppgifter.
Den tystnadsplikt som följer			Den tystnadsplikt som följer
av 2 § inskränker rätten att med-			av 1 och 2 §§ inskränker rätten
dela och offentliggöra uppgifter,			att meddela och	offentliggöra
när det är fråga om uppgift om			uppgifter, när det är fråga om
annat än verkställighet av beslut			uppgift om annat än verkstäl-
om vård utan samtycke.			lighet av beslut om vård utan
			samtycke.

Denna lag träder i kraft den 1 juli 2019.

5Senaste lydelse 2013:795.

SOU 2018:36

Författningsförslag

1.5Förslag till förordning om ändring av förordning (2009:975) med instruktion för Vetenskapsrådet

Härigenom föreskrivs att 2 § förordningen (2009:975) med instruk- tion för Vetenskapsrådet ska ha följande lydelse.

2 §6

Vetenskapsrådet ska också

1.genomföra forskningspolitiska analyser och ge regeringen råd

iforskningspolitiska frågor,

2.initiera och stödja strategiska satsningar inom forskning och forskningsinfrastruktur,

3.planera tillgången till forskningsinfrastruktur långsiktigt i sam- verkan med andra forskningsfinansiärer och forskningsutförare,

4.fördela medel till nationell forskningsinfrastruktur och inter- nationella åtaganden,

5.följa upp Sveriges medlemskap i svenska, europeiska och inter- nationella organisationer och infrastrukturer när det gäller kostnader

iförhållande till deltagande,

6.i samverkan med universitet och högskolor medverka till att skapa goda forskningsmiljöer, främja utbildning på forskarnivå av hög kvalitet, stödja forskare i början av sin karriär och främja forskares rörlighet,

7.medverka i och främja det svenska deltagandet i Europeiska unionens verksamhet inom forskning och teknisk utveckling,

8.företräda Sverige i de EU-organisationer och internationella organisationer som Regeringskansliet (Utbildningsdepartementet) informerar rådet om,

9.ansvara övergripande för samordning av kommunikation om forskning och forskningsresultat,

10.ansvara för kommunikation om forskning och forsknings- resultat inom sina områden,

11.utveckla samarbeten med de länder som Sverige har ingått avtal med inom forskningsområdet i de fall som Regeringskansliet (Utbildningsdepartementet) informerar rådet om,

6Senaste lydelse 2018:17.

Författningsförslag

SOU 2018:36

12.integrera ett jämställdhetsperspektiv i myndighetens verk- samhet och främja jämställdhet vid fördelning av forskningsmedel,

13.verka för att ett köns- och genusperspektiv inkluderas i den forskning som myndigheten finansierar, när det är tillämpligt,

14.ta initiativ till att etiska frågor uppmärksammas vid forskning och förmedla information om forskningsetiska frågor,

15.stödja och ge råd till Svenska Unescorådet inom ramen för Unescos vetenskapliga arbete,

16.initiera och stödja satsningar på konstnärlig forskning,

17.stödja och utveckla förutsättningarna för kliniska studier i Sverige,

18.förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål och bistå forskare med information om relevanta bestämmelser om register,

18 a. utvärdera och följa upp forskningsdatabaser enligt lagen (2019:000) om forskningsdatabaser avseende kvalitet, säkerhet och ända- målsenlighet.

19.ansvara för kommunikationssystemet Swedish University Computer Network (SUNET),

20.bistå styrgruppen för avtalet mellan svenska staten och vissa landsting om samarbete om utbildning av läkare, klinisk forskning och utveckling av hälso- och sjukvården (ALF-avtalet) med administrativt stöd, och

21.svara för utbildning av ledamöter och ersättare i Centrala etikprövningsnämnden och de regionala etikprövningsnämnderna.

22.initiera och stödja forsk- ningshuvudmännen i utarbetandet av gemensamma uppförandekoder enligt art. 40 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter (allmän data- skyddsförordning).

Denna förordning träder i kraft den 1 juli 2019.

SOU 2018:36

Författningsförslag

1.6Förslag till förordning om ändring i förordningen (2003:615) om etikprövning av forskning som avser människor

Härigenom föreskrivs att 8 § samt bilaga 2 till förordningen (2003:615) om etikprövning av forskning som avser människor ska ha följande lydelse.

	8 §
Nuvarande lydelse	Föreslagen lydelse

En regional etikprövnings- nämnd bör vid etikprövning av annan forskning än klinisk läke- medelsprövning besluta inom 60 dagar. Vid ändring enligt 4 § bör nämnden besluta inom 35 dagar.

Etikprövningsmyndigheten bör vid etikprövning av annan forskning än klinisk läkemedels- prövning besluta inom 60 dagar. Vid etikprövning av en forsk- ningsdatabas bör myndigheten besluta inom 120 dagar. Vid änd- ring enligt 4 § bör myndigheten besluta inom 35 dagar.

Bilaga 2

I denna bilaga anges avgifter för prövning av ansökan om etikpröv- ning.

Ansökan somAvgift

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

avser ändring enligt 4 §	2 000 kr
avser en forskningsdatabas	15 000 kr

Denna förordning träder i kraft den 1 juli 2019.

2 Vårt uppdrag och arbete

2.1Utredningsuppdraget

Forskningsdatautredningens övergripande uppdrag1 har varit att dels analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas med anledning av att dataskyddsförordningen2 börjar tillämpas, dels lämna nödvändiga författningsförslag. Förslagen ska resultera i en reglering utöver de generella bestämmelser som Dataskyddsutredningen har föreslagit i sitt betänkande3 och som under våren 2018 föranlett en proposition4 och en ny dataskyddslag (2018:218). I juni 2017 redovisades vårt del- betänkande5 med förslag till reglering av personuppgiftsbehandling för forskningsändamål samt förslag till anpassningar av vissa registerförfattningar som var direkt påkallade av att dataskydds- förordningen börjar tillämpas den 25 maj 2018.

I ett andra skede har utredningen haft i uppdrag att föreslå lång- siktiga regleringar av forskningsdatabaser med utgångspunkt i de förslag som lämnades av Registerforskningsutredningen.6 I detta uppdrag har ingått att föreslå en lösning som ersätter behovet av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (”LifeGene-lagen”), samt att analysera det långsiktiga behovet av en särskild reglering av ett rättspsykiatriskt forskningsregister. Utöver detta ska vi lämna

1Direktiv Personuppgiftsbehandling för forskningsändamål (dir 2016:65).

2Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

3Dataskyddsutredningens betänkande Ny dataskyddslag (SOU 2017:39).

4Regeringens proposition Ny dataskyddslag m.m. (prop. 2017/18:105).

5Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50).

6Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45).

Vårt uppdrag och arbete

SOU 2018:36

förslag till en reglering av ett nationellt biobanksregister, samt kart- lägga och vid behov föreslå författningsändringar för att stärka skyddet för uppgifter om avlidna inom forensisk forskning.

Vi har fått flera tilläggsdirektiv. Vi har fått uppdrag att analysera behovet och föreslå kompletterande reglering till dataskyddsförord- ningen och dataskyddslagen för behandling av personuppgifter i Kungliga bibliotekets verksamhet, och genom ytterligare tilläggs- direktiv utvidgades uppdraget till att omfatta personuppgifts- behandling vid alla forskningsbibliotek.7

Dessutom har vi i tilläggsdirektiv uppdragits att analysera behovet av och föreslå reglering för att möjliggöra Statistiska centralbyråns (SCB) utlämnande av uppgifter om individers inkomstförhållanden till Luxembourg Income Study.8

2.1.1Uppdraget att föreslå långsiktiga regleringar av forskningsdatabaser

Regeringen har konstaterat att någon långsiktig reglering av forsk- ningsdatabaser inte kommer att vara på plats när dataskydds- förordningen börjar tillämpas den 25 maj 2018. Den första delen av vårt uppdrag, som avrapporterades i delbetänkandet,9 var därför att föreslå kompletterande reglering till de anpassningar av svensk lagstiftning som Dataskyddsutredningen har föreslagit ska träda i kraft vid detta datum.10

Regeringen har därutöver efterfrågat långsiktiga lösningar på behovet att förbättra förutsättningarna för registerbaserad forsk- ning. Förslag har tidigare lämnats av Registerforskningsutred- ningen.11 I vårt uppdrag har därmed också ingått att ta ställning till om en långsiktig reglering av LifeGene-projektet, som nu bedrivs med stöd av en tidsbegränsad lag,12 och andra liknande initiativ med syftet att bygga gemensamma forskningsdatabaser innehållande personuppgifter för forskningsändamål kan åstadkommas utan att varje sådan databas regleras var för sig. Vårt uppdrag är således att

7Tilläggsdirektiv till Forskningsdatautredningen (U 2016:04), dir. 2017:29 och 2017:87.

8Dir 2017:61.

9SOU 2017:50.

10Regeringen har därefter föreslagit en ny dataskyddslag i prop. 2017/18:105.

11SOU 2014:45.

12Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa.

SOU 2018:36

Vårt uppdrag och arbete

föreslå de författningsförslag som behövs för en långsiktig reglering av forskningsdatabaser.

Vi tolkar att uppdraget i denna del är att föreslå kompletterande reglering så att den lagstiftning som gäller efter den 25 maj 2018 möjliggör en ändamålsenlig behandling av personuppgifter för forskningsändamål i forskningsdatabaser, samtidigt som skyddet för den enskildes fri- och rättigheter upprätthålls. Vi uppfattar detta som vårt huvuduppdrag för utredningens andra fas.

2.1.2Reglering av rättspsykiatriskt forskningsregister

Rättsmedicinalverket (RMV) är personuppgiftsansvarigt för ett rättspsykiatriskt forskningsregister. Registret får användas för behandling av personuppgifter för forskning inom rättspsykiatrin och för RMV:s uppföljning, utvärdering och kvalitetssäkring av sin verksamhet inom rättspsykiatrin. Registret regleras i lagen (1999:353) om rättspsykiatriskt forskningsregister.

RMV har analyserat behovet av rättsligt stöd och anser att de begränsningar som finns i den befintliga regleringen gör att registret inte utgör ett ändamålsenligt stöd för den rättspsykiatriska forsk- ningen vid myndigheten. RMV föreslår att lagen upphävs och ersätts av annan lagstiftning.13

Vi har i vårt delbetänkande tills vidare föreslagit vissa anpass- ningar av lagen om rättspsykiatriskt forskningsregister inför att dataskyddsförordningen ska börja tillämpas den 25 maj 2018.14 I utredningens andra fas har vi haft i uppgift att

•undersöka hur lagen om rättspsykiatriskt forskningsregister används i dag,

•analysera om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och hur en sådan regle- ring i så fall bör utformas, och

•lämna behövliga författningsförslag.

13Ett nytt författningsstöd för Rättsmedicinalverkets behandling av personuppgifter, m.m. (Ju2013/8833/Å).

14SOU 2017:50.

Vårt uppdrag och arbete

SOU 2018:36

2.1.3Reglering av ett nationellt biobanksregister

Utredningen om regleringen av biobanker hade bl.a. i uppdrag att se över lagen (2002:297) om biobanker i hälso- och sjukvården och andra angränsande författningar. Syftet med utredningen var att anpassa lagstiftningen så att den underlättar utvecklingen och förbättrar förutsättningarna för användning av prover och uppgifter i svenska biobanker för patientens, hälso- och sjukvårdens och forskningens behov. Utredningen överlämnade den 29 januari 2018 sitt slutbetänkande.15 Där ingår ett förslag till reglering av ett nationellt biobanksregister med syfte att kunna spåra prover, bland annat för forskningsändamål.

Våra respektive direktiv är närliggande i denna del och utformades mot bakgrund av att Registerforskningsutredningen föreslog att Socialstyrelsen skulle vara personuppgiftsansvarig för det sam- ordnande Svenska biobanksregistret, att registret skulle innehålla personuppgifter (inklusive provsvar), och att registret skulle regleras i en särskild lag, lagen om Nationella biobanksregistret. Regeringen ansåg att en vidare beredning av Registerforskningsutredningens förslag måste göras med beaktande av remissinstansernas syn- punkter och med anledning av att dataskyddsförordningen och kompletterande nationell lagstiftning blir tillämpliga i Sverige.

Vi har därför i uppdrag att lämna förslag till en reglering av ett nationellt biobanksregister.

2.1.4Utlämnande av personuppgifter till Luxembourg Income Study

Svenska forskare har sedan länge bidragit till den internationella forskningen om inkomstskillnader, fattigdom och om hur social- politikens transfereringar påverkar befolkningens disponibla in- komster. Denna forskning har underlättats genom ett internationellt samarbete och en internationell forskningsdatabas benämnd Luxembourg Income Study (LIS) med säte i Luxemburg och med jämförande uppgifter från 47 länder. SCB levererade uppgifter till databasen från dess tillkomst år 1983 fram till år 2007, men har där- efter bedömt att det saknas rättsliga förutsättningar för myndig- heten att leverera uppgifter. Sverige är därmed ett av få länder som

15Utredningens om regleringen av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4).

SOU 2018:36

Vårt uppdrag och arbete

inte kan bidra till LIS inkomstdatabas. Riksrevisionen (RRV) har granskat SCB:s förutsättningar att lämna ut personuppgifter från inkomststatistiken till LIS. RRV har konstaterat att de uppgifter som behövs omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), och att det därför skulle krävas en författningsreglerad skyldighet för att SCB ska kunna lämna ut uppgifterna. Regeringen anser att denna forskning och LIS-data- basen är av stor betydelse, men att vissa frågor återstår att analysera.

Vi har därför fått i uppdrag att

•analysera vilken rättslig reglering som behövs och är lämplig för att SCB ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till den organisation som administrerar LIS för att uppgifterna ska ingå i databasen, och

•lämna nödvändiga författningsförslag.

2.1.5Skydd för uppgifter om avlidna i forensisk forskning

Dataskyddsförordningen gäller inte behandling av uppgifter om avlidna personer. Medlemsstaterna får enligt förordningen fastställa bestämmelser för behandlingen av uppgifter om avlidna personer. I vissa registerförfattningar finns det ett uttryckligt skydd för upp- gifter om avlidna. RMV anser dock att integritetsskyddet för upp- gifter om avlidna personer i forskning bör ses över. Med anledning av detta har vi i uppgift att

•kartlägga vilket skydd som finns för sådana uppgifter om avlidna som hanteras inom forensisk forskning,

•analysera och ta ställning till om det finns behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning, och

•vid behov föreslå de författningsändringar som behövs.

2.1.6Reglering av forskningsbibliotekens personuppgiftsbehandling

I tilläggsdirektiv har utredningen fått i uppdrag att analysera vilken reglering som, utöver dataskyddsförordningen, kan behövas för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i

Vårt uppdrag och arbete

SOU 2018:36

Kungliga bibliotekets verksamhet.16 Vi fick därefter i ytterligare tilläggsuppdrag att analysera i vilken utsträckning dataskydds- förordningen kommer att vara tillämplig när personuppgifter behandlas i verksamheten hos forskningsbiblioteken och för vilken behandling av personuppgifter som forskningsbiblioteken har ett personuppgiftsansvar, samt vilka rättsliga förutsättningar som i sådana fall finns i dataskyddsförordningen för behandling av person- uppgifter i den verksamhet som bedrivs av forskningsbiblioteken.17 Vi skulle även analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av det för- slag till kompletterande dataskyddslag som lagts fram av Data- skyddsutredningen18 samt lämna de författningsförslag som behövs.

Dessa två uppdrag har redovisats tillsammans i en särskild prome- moria den 9 november 2017. Den ingår som bilaga till detta slut- betänkande.19

2.2Utredningsarbetet

Arbetet har bedrivits i utredningens sekretariat som, utöver den särskilda utredaren, har bestått av en huvudsekreterare och fyra ytterligare sekreterare. Till utredningen har förordnats nio experter och fyra sakkunniga. Jonas Jeppson, verksjurist vid RMV, har ingått i expertgruppen och har bidragit med underlag till den del av våra uppdrag som gäller Rättspsykiatriska forskningsregistret och uppgifter om avlidna i forskningen. Jerker Rydén, verksjurist vid Kungliga biblioteket, har varit expert i utredningen och har bidragit med underlag till biblioteksuppdragen.20 Docent Marjut Salokannel har anlitats för ett kortare uppdrag och har lämnat underlag med avseende på forskningsdatabaser, etikprövning m.m. i andra länder.

16Dir. 2017:29.

17Dir. 2017:89.

18Förslaget har lett till att lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan kallad dataskyddslagen) utfärdades den 19 april 2018. Lagen trädde i kraft den 25 maj 2018.

19Personuppgiftsbehandling i forskningsbibliotekens verksamhet, bilaga 5.

20Bilaga 5.

SOU 2018:36

Vårt uppdrag och arbete

2.2.1Expertgruppsmöten

Vår expertgrupp (inbegripet de sakkunniga) har sammanträtt sam- manlagt tio gånger, varav fyra efter det att vi lämnade vårt del- betänkande. I samband med dessa möten har några promemorior och utkast till betänkandetext presenterats och diskuterats, vilka senare bildat stommen i förvarande betänkande. Enskilda experter och sakkunniga har även bistått utredningen i dialog om specifika frågor.

2.2.2Besök vid lärosäten och myndigheter

Vi har under hösten 2017 och våren 2018 gjort ett antal besök vid lärosäten och myndigheter som vad gäller forskning berörs av data- skyddsförordningen och de kompletterande regleringar som föreslås eller förväntas föreslås. Vi har besökt universitetsledningar och berörda forskare vid universiteten i Göteborg, Lund, Stockholm, Uppsala och Umeå samt vid Chalmers tekniska högskola, Karolinska Institutet och Kungliga Tekniska Högskolan. Vi har också besökt Socialstyrelsen, Statistiska centralbyrån och Vetenskapsrådet. Vi har därutöver tillsammans med en representant för Utredningen om regleringen av biobanker medverkat vid Vetenskapsrådets Register- dataråd.

2.2.3Övriga kontakter och framträdanden

Vi har medverkat i flera konferenser och informerat om dataskydds- förordningen ur ett forskningsperspektiv i en rad olika samman- hang. Detta har innefattat föredrag vid sammanslutningar av forskare och dataförvaltare inom olika områden, exempelvis flera nationella konferenser med hälso- och sjukvårdens kvalitetsregister, sjukvårdens forskningsdagar, konferens om personlig medicin vid Stockholms universitet, Statistiska centralbyråns forskardagar, nationell konferens med etikprövningsnämnderna, nationellt möte med FoU-chefer21 vid landstingen, samt nordisk epidemiologi-

21Chefer för forskning och utveckling.

Vårt uppdrag och arbete

SOU 2018:36

kongress i Lund. Öppna föredrag om den allmänna dataskydds- förordningen har hållits vid universiteten i Göteborg, Karlstad, Linköping, Lund och vid Karolinska Institutet.

Vi har utöver detta tillsammans med Utbildningsdepartementets representanter medverkat i nordiskt samarbete mellan företrädare för regeringar och myndigheter kring förberedelser inför data- skyddsförordningens införande.

2.2.4Annat underlag i utredningsarbetet

Forskningsdatautredningen har under arbetets andra fas tagit del av och beaktat förslag lämnade av Integritetskommittén, Dataskydds- utredningen, Socialdataskyddsutredningen, Utredningen om till- synen över den personliga integriteten och Utredningen om översyn av etikprövningen. Vissa möten med representanter för dessa utred- ningar har också förekommit. Med anledning av att uppdragen till Utredningen om regleringen av biobanker har legat särskilt nära våra direktiv i den del som berör reglering av ett nationellt biobanks- register har kontakter upprätthållits med den utredningen under arbetets gång.

Vi har tagit del av och beaktat dataskyddslagen jämte pro- positionen med förslag till denna lag22 samt propositionen om data- skydd inom socialdepartementets verksamhetsområde.23 Vi har också tagit del av det slutbetänkande som överlämnats av Utred- ningen om regleringen av biobanker.24 Utöver detta har vi tagit del av och beaktat det utkast till lagrådsremiss som i april 2018 lämnats med avseende på utredningens eget delbetänkande rörande person- uppgiftsbehandling för forskningsändamål.25

22Prop. 2017/18:105.

23Prop. 2017/18:171.

24SOU 2018:4.

25Remiss 2018-04-04 U2018/01639/F.

SOU 2018:36

Vårt uppdrag och arbete

2.3Disposition m.m.

Betänkandet inleds i kapitel 3 med en redogörelse för bakgrunden till vårt uppdrag och vilka utgångspunkter som vi tagit med oss från arbetet med delbetänkandet.26 Vi redogör också för de begrepp som vi använder i detta slutbetänkande.

Kapitel 4 behandlar behovet av forskningsdatabaser mot bak- grund av digitaliseringens utveckling och med utgångspunkt i Registerforskningsutredningens bedömningar.27

Kapitel 5 innehåller en genomgång av de rättsliga förutsätt- ningarna för forskningsdatabaser.

Kapitel 6 behandlar Registerforskningsutredningens uppdrag och förslag med särskilt fokus på förslaget om reglering av forsk- ningsdatabaser.

I kapitel 7 redogör vi för vår ansats, det vill säga de principiella utgångspunkter som ligger till grund för våra bedömningar och för- slag. Här introduceras utgångspunkten att forskningsdatabaser kan beskrivas ur ett livscykelperspektiv, samt redogörs för några exempel på forskningsdatabaser.

I kapitel 8 redogör vi för utredningens förslag till reglering av personuppgiftsbehandling i forskningsdatabaser. De innefattar ett förslag till en ny lag om forskningsdatabaser samt förslag till ändringar av vissa andra lagar och förordningar som berör etikprövning och sekretess, samt av Vetenskapsrådets instruktion.

Kapitlen 9–12 behandlar övriga uppdrag vid sidan om huvud- uppdraget. I kapitel 9 föreslås att lagen om rättspsykiatriskt forsk- ningsregister ska upphävas. I kapitel 10 bereds Registerforsknings- utredningens förslag till reglering av ett nationellt biobanksregister. Kapitel 11 behandlar utlämnande av uppgifter till europeiska forsk- ningsdatabaser med särskilt fokus på Luxembourg Income Study. I kapitel 12 undersöks om det behövs ett förstärkt skydd för avlidna i forskning. Vi har här vidgat perspektiven till att omfatta utlämnande av uppgifter till europeiska forskningsdatabaser i allmänhet och till bedömningar om det behövs skydd för avlidna även i sådan forskning som inte tillhör den forensiska forskningen. Kapitel 13 innehåller en konsekvensanalys och kapitel 14 innehåller kommentarer till författ- ningsförslagen.

26SOU 2017:50.

27SOU 2014:45.

3Bakgrund, utgångspunkter och begrepp

3.1Bakgrund

I detta kapitel redogör vi kortfattat för bakgrunden till vårt uppdrag och vilka utgångspunkter som vi tagit med oss från arbetet med delbetänkandet.1 Vi redogör också för de begrepp som vi kommer att använda i detta slutbetänkande.

Utredningen har i uppdrag att föreslå en långsiktig reglering av forskningsdatabaser. Därutöver har utredningen även uppdrag som avser personuppgiftsbehandling i rättspsykiatriskt forskningsregister, hantering av uppgifter om avlidna och om utlämnande av uppgifter till Luxembourg Income Study (LIS). Vi har även i uppgift att lämna förslag till en reglering av ett nationellt biobanksregister.2

Vårt uppdrag i sin helhet handlar således om att utreda och för- bättra förutsättningarna för att behandla personuppgifter för forsk- ning i olika bemärkelser. Direktiven utgår från att registerbaserad forskning är värdefullt för vårt samhälle och måste kunna bedrivas på ett säkert och etiskt korrekt sätt. De lösningar som vi föreslår ska möjliggöra en ändamålsenlig behandling av personuppgifter för forsk- ningsändamål samtidigt som det finns ett skydd för den enskildes fri- och rättigheter.

Frågan om hur registerbaserad forskning bör vara reglerad har tidigare utretts av framför allt Statistikutredningen3 och Register- forskningsutredningen.4

Registerforskningsutredningen lämnade ett förslag till lag om forskningsdatabaser. Lagen skulle ge stöd för statliga universitet eller

1Delbetänkande av Forskningsdatautrednigen Personuppgiftsbehandling för forskningsändamål (SOU 2017:50).

2En mer noggrann redogörelse för alla delar i vårt uppdrag finns i kapitel 2.

3Delbetänkande av Statistikutredningen Registerdata för forskning (SOU 2012:36).

4Betänkande av Registerforskningsutredningen Unik kunskap genom registerforskning (SOU 2014:45).

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

högskolor som omfattas av högskolelagen (1992:1434) och andra statliga myndigheter, som har i uppdrag att bedriva forskning, att utföra behandling av personuppgifter i forskningsdatabaser. I den föreslagna lagen finns det vissa generella regler för forskningsdata- baser som för varje databas ska kompletteras med en särskild för- ordning som reglerar t.ex. ändamål och innehåll. I kapitel 6 behandlas Registerforskningsutredningens förslag utförligare.

3.2Utgångpunkter

Enligt vårt uppdrag ska Registerforskningsutredningens förslag beredas ytterligare med beaktande av remissinstansernas synpunkter (se kapitel 6). Det behövs enligt direktiven en analys av om förslaget är förenligt med dataskyddsförordningen5 och i annat fall vilka anpassningar av förslaget som kan krävas utifrån förordningen och den generella reglering som Dataskyddsutredningen har föreslagit.6

Det finns förstås också annat arbete som redan pågår för att för- bättra förutsättningarna för registerbaserad forskning. Vetenskaps- rådet har t.ex. i uppdrag av regeringen7 att inom myndigheten bygga upp en verksamhet för att förbättra tillgängligheten till register- uppgifter i Sverige för forskningsändamål. I uppdraget ingår även att bistå forskare med information om register och om relevant lag- stiftning. Ett led i att uppfylla detta uppdrag är Vetenskapsrådets arbete med webbplatsen registerforskning.se.

Redan i delbetänkandet formulerade vi några utgångspunkter som också har haft bäring på det fortsatta arbetet med att hitta lösningar för en ändamålsenlig reglering av forskningsdatabaser:

•Det är enligt utredningens bedömning en integrerad del av forsk- ningsprocessen att skapa forskningsinfrastrukturer som har bredare formulerade forskningsändamål än de som förekommer i enskilda forskningsprojekt.

5Europaparlamentet och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

6Dataskyddsutredningens betänkande Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Se även Regeringens proposition Ny dataskyddslag (prop. 2017/18:105) samt den beslutade lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

7Regeringsbeslut den 24 oktober 2013, U2013/6296/F, U2013/1927/F och U2013/2506/F.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

•Det är enligt utredningens bedömning rimligt att uppbyggnaden av en forskningsdatabas kan bedömas som personuppgiftsbehand- ling för forskningsändamål och därmed utgöra en del av själva forskningen.

En viktig utgångspunkt för vårt fortsatta arbete är därtill att

•det är möjligt att ta fram en ändamålsenlig och säker reglering av forskningsdatabaser, som både uppfyller forskningens behov och innefattar ett gott skydd för den personliga integriteten.

Dessa utgångspunkter hade vi med oss in i arbetet med att redovisa vårt uppdrag i detta slutbetänkande. I kapitel 7 har vi utvecklat våra utgångspunkter och vår ansats ytterligare.

3.3Centrala begrepp för slutbetänkandet

Delbetänkandet8 innehåller en genomgång av de termer och begrepp som används i dataskyddsdirektivet9, personuppgiftslagen (1998:204) och dataskyddsförordningen för att beskriva forskning. I bilaga 3 till delbetänkandet finns dessutom en strukturerad begreppsgenomgång av dataskyddsförordningen.

Även i Registerforskningsutredningens10 och Statistikutred- ningens11 betänkanden finns termer och begrepp beskrivna för det område som är relevant för vår utredning. Vi hänvisar därför till deras betänkande, för ytterligare fördjupning vad avser begreppen inom detta område.

Här ska vi gå igenom några termer och begrepp som är särskilt viktiga för vår slutredovisning.12

8SOU 2017:50, s. 87 ff.

9Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

10SOU 2014:45.

11SOU 2012:36.

12Med begrepp avses en avgränsad mental föreställning av någon viss företeelse. Med term avses ett namn på ett begrepp.

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

3.3.1Forskning och forskningsändamål

Vår bedömning: Behandling av personuppgifter i en forsknings- databas omfattas av begreppet ”vetenskapliga eller historiska forskningsändamål” i dataskyddsförordningen.

Vi diskuterade i delbetänkandet hur en avgränsning av begreppet forskning kan göras och särskilt hur begreppet kan avgränsas i förhållande till begreppet forskningsändamål. När det gäller den mer utvecklade analysen och diskussionen hänvisar vi till delbetänkandet.13 Uttrycket ”vetenskapliga eller historiska forskningsändamål” som används upprepade gånger i dataskyddsförordningen innefattar enligt vår bedömning forskningsändamål utan att någon särskild åtskillnad i betydelse bör göras mellan dessa två delar med avseende på person- uppgiftsbehandling. Vilka delar av forskningsprocessen som kan räknas in under begreppet forskning är viktigt för frågan om tillåten

behandling av personuppgifter i forskningsdatabaser.

En utgångspunkt för vår bedömning är att begreppet forsknings- ändamål har gemenskapsrättslig betydelse utifrån dataskyddsförord- ningen. Legaldefinitioner i nationell rätt kan inte påverka en bedöm- ning av om en viss behandling kan anses utföras för forskningsända- mål eller inte. De möjliga rättsliga grunderna för personuppgifts- behandling i artikel 6 är inte avhängiga av om en viss behandling anses utföras för forskningsändamål eller inte. Däremot är behandling som utförs för forskningsändamål i vissa fall särskilt gynnad när det gäller de grundläggande principerna för behandling av personuppgifter i artikel 5.

För att det centrala undantaget från förbudet att behandla känsliga personuppgifter som återfinns i artikel 9.2 j ska bli tillämpligt krävs att en viss behandling är nödvändig för forskningsändamål. Avgräns- ningar eller preciseringar av forskningsbegreppet i de legaldefinitioner som finns i 2 § lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) har alltså ingen betydelse för om detta undantag kan tillämpas.

Begreppet forskningsändamål definieras dock inte i dataskydds- förordningen. Viss vägledning kan hämtas i skäl 159, som anger att behandling av personuppgifter för vetenskapliga forskningsändamål

13SOU 2017:50 s. 97.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

bör ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privat- finansierad forskning. Det finns alltså stöd i förordningen för en vidsträckt tolkning av begreppet.

Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt artikel 179.1 i EUF-fördraget angående åstad- kommandet av ett europeiskt forskningsområde. Artikel 179.1 i EUF-fördraget anger att:

Unionen ska ha som mål att stärka unionens vetenskapliga och tekniska grund genom att åstadkomma ett europeiskt forskningsområde med fri rörlighet för forskare, vetenskapliga rön och teknik, att främja ut- vecklingen av unionens konkurrensförmåga, inbegripet inom unionens industri, och att underlätta alla forskningsinsatser som anses nödvändiga enligt andra kapitel i fördragen.

Skäl 159 breddar även begreppet genom att ange att vetenskapliga forskningsändamål också bör omfatta studier som utförs i allmän- hetens intresse inom folkhälsoområdet. Slutligen, och av betydelse för hantering av forskningsdata i replikeringsstudier, utredningar om oegentlighet i forskning m.m., anger skäl 159 att för att tillgodose forskningens särskilda krav bör särskilda villkor gälla, särskilt vad avser offentliggörande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål.

Av betydelse för registerbaserad forskning är att förordningen i skäl 157 lyfter fram att forskare kan erhålla ny kunskap av stort värde genom att koppla samman information från olika register. För att underlätta vetenskaplig forskning får personuppgifter behandlas för vetenskapliga forskningsändamål, med förbehåll för lämpliga villkor och skyddsåtgärder i unionsrätten eller i medlemsstaternas nationella rätt. Enligt vår bedömning talar detta skäl även för att i nationell rätt införa villkor och skyddsåtgärder för särskilda databaser för forsk- ningsändamål.

Ytterligare underlag för tolkning av begreppet forskningsändamål finns i Artikel 29-gruppens riktlinjer om samtycke enligt dataskydds- förordningen.14 I samband med dataskyddsförordningens skäl 33, som behandlar situationer där det inte är möjligt att på ett tidigt

14Article 29 Data Protection Working Party, Guidelines on Consent under Regulation 2016/679 (WP259), s. 27. Artikel 29-gruppen är en oberoende rådgivande EU-instans för skydd av personuppgifter och privatlivet. I samband med att dataskyddsförordningen börjat tillämpas har den ersatts av Europeiska Dataskyddsstyrelsen.

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

stadium fullt ut identifiera syftet med en behandling av personupp- gifter för vetenskapliga forskningsändamål, uttalar man följande om begreppet forskningsändamål (scientific research purposes):

[T]he WP29 considers the notion may not be stretched beyond its common meaning and understands that ‘scientific research’ in this context means a research project set up in accordance with relevant sector-related methodological and ethical standards.”

Dataskyddsförordningen ger i artikel 9.2 j en möjlighet för med- lemsstaterna att införa nationell lagstiftning som tillåter behandling av känsliga personuppgifter för forskningsändamål. Det är därför av betydelse för utredningens uppdrag hur forskningsändamål i förord- ningens mening ska uttolkas när det gäller om personuppgifts- behandling i en forskningsdatabas som ska stödja avgränsade forsk- ningsprojekt utan att själv producera sådana resultat kan anses falla inom definitionen för forskningsändamål.

Vi har i detta slutbetänkande utgått från att personuppgifts- behandling hos en sådan verksamhet ryms inom förordningens begrepp ”forskningsändamål”. Detta i huvudsak med stöd från skäl 159, men också utifrån skäl 157 som belyser databasers betydelse för forskning. Med beaktande av Artikel 29-gruppens tolkning av forskningsbegreppet anser vi att det är viktigt och nödvändigt att även personuppgiftsbehandling som görs i en forskningsdatabas ska följa relevanta metodologiska och etiska standarder.

3.3.2Register och databas

Vår bedömning: Termen register har i dataskyddsförordningen en specifik betydelse som är snävare än den som har använts i svensk lagstiftning. Termen har även i svensk lagstiftning kommit att utmönstras i ett flertal sammanhang. För att undvika osäkerhet i vad som avses undviker vi därför att använda denna term.

Termen databas saknar legaldefinition i dataskyddsförord- ningen. Vi anser att vi inte behöver definiera begreppet databas för att kunna använda begreppet forskningsdatabas.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

Termerna register och databas används ofta synonymt för att beskriva en logisk sammanställning av uppgifter. Enligt Rikstermbanken15 är databas en mängd data med en gemensam struktur, lagrade på ett sätt som möjliggör sökning och presentation enligt olika kriterier. Man brukar skilja på begreppen databas och databashanterare, där det senare är den tekniska lösning (programvara) som används för att åstadkomma själva sökningen och presentationen.16

Termen ”databas” används inte alls i dataskyddsförordningen. I stället anges i regleringen av dess tillämpningsområde (artikel 2.1) att den är tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. Det finns alltså inte något krav på att informationen ska vara strukturerad på något särskilt sätt för att dataskyddsförordningen ska vara tillämplig, utan det är tillräckligt att informationen behandlas, helt eller delvis, på automatisk väg. Det räcker i princip med att informationen finns digitalt lagrad. Även personuppgifter som förekommer i material som helt saknar struktur som möjliggör sökning och presentation, exempelvis uppgifter som framgår av digital video eller av inskannade dokument som inte OCR- behandlats, omfattas av dataskyddsförordningen.

Utöver digitalt lagrat material omfattar dataskyddsförordningen, likt tidigare dataskyddsdirektivet och personuppgiftslagen, även ”annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”. Begreppet register definieras i artikel 4.6 som ”strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier”. Motsvarande definition finns i dataskydds- direktivet (artikel 2 c) och personuppgiftslagen (5 § andra stycket). För att en strukturerad samling ska anses vara tillgänglig för sökning eller sammanställning enligt särskilda kriterier har Regeringsrätten17 ansett att det krävs något särskilt arrangemang för sökning bland uppgifterna, t.ex. i form av kortregister, sökmarkörer eller liknande, och att det därigenom ska finnas möjlighet till sökning av olika personuppgifter på ett betydligt effektivare sätt än i form av en genomgång och granskning dokument för dokument.

15Rikstermbanken är Sveriges nationella termbank, www.tnc.se

16I vardagligt tal används ibland ”databas” för att avse även den funktionalitet som åstad- kommer sökning och presentation. I denna framställning försöker vi dock skilja på själva samlingen av uppgifter som sådan och den infrastruktur, inklusive programvara som, krävs för att tillgängliggöra information från denna samling.

17RÅ 2001 ref 35 (KTH).

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

Ytterligare vägledning till begreppet kan fås från förordningens engelska översättning, där termen register har översatts med ”filing system”. Distinktionen är dock av begränsad betydelse för dagens forskningsdatabaser som uteslutande rör behandling av uppgifter på automatisk väg.

Begreppet databas används även i andra delar av den svenska lagstiftningen, ibland med olika definitioner. Enligt 1 kap. 1 § 5 stycket yttrandefrihetsgrundlagen avses med databas en samling av information lagrad för automatiserad behandling. Begreppet infördes i yttrandefrihetsgrundlagen år 2003 och ersatte då det registerbegrepp som tidigare använts.

På samma sätt utmönstrades i oktober 2001 termen ”register” ur ett antal författningar på skatte-, exekutions- och tullväsendets område för att i stället ersättas med termen ”databas”. Som skäl för en sådan begreppsmässig ändring anfördes att begreppet register även har en teknisk anknytning och därför kan ha olika innebörd för olika yrkesgrupper. Vidare för begreppet tankarna till ett på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar osv.18

Inom upphovsrättens område reglerar 49 § lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk en form av till upp- hovsrätten närstående ensamrätt som tidigare kallats katalogskydd, men som nu, efter genomförandet av EU:s databasdirektiv19 oftare benämns databasskydd. Skyddsobjektet omfattar sådana arbeten i vilket ett stort antal uppgifter har sammanställts eller vilka är resul- tatet av en väsentlig investering. För att arbetet ska omfattas av det aktuella skyddet finns ett visst krav på att uppgifterna ska vara syste- matiskt och metodiskt sammanställda, dvs. ett visst krav på en struktur i databasen.20

Även om begreppet databas saknar en brett tillämplig legal- definition i nationell rätt eller unionsrätten är det ett användbart begrepp som är väl etablerat i både juridiskt och allmänt språkbruk. Vi finner inte att vi behöver definiera begreppet databas närmare, men

18Regeringens proposition Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 88 ff.).

19Direktiv 96/9/EG av den 11 mars 1996 om rättsligt skydd för databaser.

20Se allmänt Johan Axhamn, Databasskydd, Stockholms universitet (2016).

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

avser nedan att föreslå en definition för det mer avgränsade begreppet forskningsdatabas.

3.3.3Forskningsdatabas m.m.

Vårt förslag: Vi föreslår i avsnitt 8.7 att forskningsdatabas ska definieras som en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt.

Det finns flera begrepp som beskriver de samlingar av uppgifter som forskare använder; t.ex. forskningsregister och forskningsdatabaser. För att beskriva forskningsdatabaser som samlar in uppgifter för flera tänkbara forskningsprojekt används ibland också begreppet databas- infrastruktur eller infrastruktur för forskning.

Registerforskningsutredningen använde i sitt förslag till lag om forskningsdatabaser följande definition av ordet forskningsregister:

Med register avses i detta sammanhang i första hand strukturerade samlingar av personuppgifter som har upprättats inom myndigheter för primärt andra ändamål än forskning. […] Med register avses i utred- ningsdirektiven dock även vissa uppgiftssamlingar som primärt är skapade för forskningsändamål.21

Registerforskningsutredningen definierade vidare begreppet forsk- ningsdatabas på följande sätt:

en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infra- struktur för att tillhandahålla uppgifter till flera olika framtida forsk- ningsprojekt.

Vår bedömning är att begreppet forskningsdatabas i den definition som registerforskningsutredningen använt fortsatt är ett värdefullt begrepp. Vi har därför valt att använda begreppet ifråga för sådana databaser som samlar in uppgifter för flera tänkbara forsknings- projekt. Vi har också valt i stort sett samma definition av begreppet som Registerforskningsutredningen. Vi föreslår dock en mindre förenkling av begreppets definition, som inte är avsedd att innebära

21SOU 2014:45 s. 18.

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

någon förändring av betydelsen i sak. Hänvisningen till nationell infrastruktur tillför inte något för förståelsen av begreppet och riskerar en sammanblandning med det bredare begreppet forsknings- infrastruktur, se avsnitt 3.3.4 nedan. Den ersätts därför med begreppet nationell resurs. Forskningsdatabasen ska vara en nationellt tillgänglig resurs. En databas som endast är tillgänglig för en begränsad krets användare utgör inte en forskningsdatabas enligt vår definition.

Vi definierar således forskningsdatabas som en databas (uppgifts- samling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhanda- hålla uppgifter till flera olika forskningsprojekt (avsnitt 8.7.1). Utanför lagens definition faller således forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller på ett på liknande sätt bestämd forskning

Vi ser däremot inte någon anledning att närmare definiera och använda begreppet forskningsregister. Med tanke på dataskydds- förordningens definition av register som något som i första hand rör icke-automatiserad behandling av personuppgifter riskerar begreppet med Registerforskningsutredningens definition att vilseleda.

3.3.4Forskningsinfrastruktur eller databasinfrastruktur för forskning

Vår bedömning: Vi skiljer på de uppgiftssamlingar som våra för- slag syftar till att möjliggöra (forskningsdatabaser) och de tjänster som tillgängliggör uppgifterna från dessa uppgiftssamlingar. De senare kallar vi med ett gemensamt begrepp databasinfrastruktur för forskning. Sådan databasinfrastruktur för forskning är en form av forskningsinfrastruktur, men eftersom det senare begreppet även omfattar basutrustning, forskningsmaterial, IKT-infrastrukturer m.m. är det för brett för att användas i denna framställning.

Registerforskningsutredningen har i sin definition av forskningsdata- bas angett att en sådan utgör en nationell infrastruktur. Det föranleder oss att närmare definiera vad vi menar med sådan infrastruktur och vilken eller vilka termer som är lämpliga att använda för begrepp på området.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

Med forskningsinfrastruktur avses vanligen olika medel som är nödvändiga för att utföra forskning, jfr definitionen i artikel 2 i ERIC- förordningen:22

anläggningar, resurser och därmed sammanhängande tjänster som forskar- samhället använder för att genomföra spetsforskning på alla områden; denna definition omfattar vetenskaplig basutrustning och forsknings- material, kunskapsbaserade resurser som samlingar, arkiv och strukturerad vetenskaplig information, IKT-infrastrukturer som nät, datorutrustning, programvara och kommunikationsverktyg samt alla andra unika medel som är nödvändiga för att uppnå vetenskaplig excellens. Sådana forsk- ningsinfrastrukturer kan vara lokaliserade på en enda plats eller organi- serade i ett nät (”spridda”).

Det är alltså fråga om ett brett begrepp som visserligen kan innefatta databaser (eftersom dessa får anses vara kunskapsbaserade resurser i form av strukturerad vetenskaplig information), men som även innefattar fysiska resurser som utrustning och material som inte kan sägas omfatta forskningsdatabaser.

Ett mer avgränsat begrepp som använts är databasinfrastruktur för forskning.23 Vi avser med denna term alla former av tjänster som till- gängliggör information från en forskningsdatabas, och som forskare kan använda för att hämta dessa uppgifter. I begreppet innefattas även den nödvändiga förvaltningen av den uppgiftssamling som utgör forskningsdatabasen, samt dokumentation i form av variabeldefini- tioner, datakvalitet uppdateringsfrekvenser, täckningsgrad m.m.

3.3.5Registerforskning eller registerbaserad forskning

Vår bedömning: Med begreppet registerbaserad forskning avser vi den vetenskapliga metodik eller vetenskapliga metodinslag som utredningens förslag syftar till att underlätta, dvs. sådan forskning som använder sig av uppgifter från forskningsdatabaser.

Termen registerforskning är enligt utredningen för allmän för att på ett rättvisande sätt beskriva den typ av forskning med hjälp av olika samlingar av personuppgifter som vi har att avhandla i detta betänkande.

22Rådets förordning (EG) nr 723/2009 av den 25 juni 2009 om gemenskapens rättsliga ram för ett konsortium för europeisk forskningsinfrastruktur (Eric-konsortium).

23Jfr Vetenskapsrådets rapport Rättsliga förutsättningar för en databasinfrastruktur för forskning (11:2010).

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

Det finns även flera begrepp än ovan nämnda som beskriver den forskning som bedrivs med hjälp av personuppgifter i olika register eller databaser; registerforskning, registerbaserad forskning, data- baserad forskning, datadriven forskning och användning av register- data i forskning m.m.

Enligt vad som framgår på webbplatsen registerforskning.se24 är registerforskning, eller mer korrekt registerbaserad forskning, forsk- ning som använder sig av uppgifter från ett eller flera register som förs av myndigheter eller andra organisationer.

Med registerbaserad forskning avsågs i Statistikutredningens del- betänkande25 sådan forskning som använder sig av uppgifter som kan knytas till fysiska personer, härrör från myndigheter eller andra organisationer och som i första hand inte primärt är insamlade för forskningsändamål. Det kan enligt Statistikutredningen också röra sig om forskning med personuppgifter som samlats in för forsknings- ändamål där personidentifikationen behålls under längre tid och där personerna följs upp med ny datainsamling vid ett eller flera tillfällen.

Termen registerforskning är enligt utredningen för allmän för att på ett rättvisande sätt beskriva den typ av forskning med hjälp av olika samlingar av personuppgifter som vi ska avhandla i detta betänkande. Registerbaserad forskning är en något mer adekvat beteckning, efter- som den bättre beskriver att forskningen görs med hjälp av uppgifter ur register. Vi avser i denna framställning sådan forskning som görs såväl med hjälp av uppgifter ur forskningsdatabaser som sådana upp- gifter som inte primärt är insamlade eller sammanställda för forsk- ningsändamål.

3.3.6Forskningshuvudman

Vårt förslag: Vi föreslår i avsnitt 8.7 att med forskningshuvudman ska avses detsamma som i etikprövningslagen.

24Vetenskapsrådet har i uppdrag av regeringen att inom myndigheten bygga upp en verksamhet för att förbättra tillgängligheten till registeruppgifter i Sverige för forskningsändamål och underlätta användningen av dessa. Webbplatsen är ett led i detta arbete.

25SOU 2012:36, s. 19.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

Vi ser ett behov av att reglera vilka forskningshuvudmän som får behandla personuppgifter i forskningsdatabaser och som ska ansvara för att det görs på ett ändamålsenligt och säkert sätt. Enligt 2 § etik- prövningslagen är en forskningshuvudman en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs.

I vårt författningsförslag ska vissa forskningshuvudmän få ansvara för forskningsdatabaser under angivna förutsättningar (se avsnitt 8.7.2 och 8.8.2). Vi utgår i våra förslag från samma definition av forsknings- huvudman som används i etikprövningslagen.

3.3.7Program och projekt

Vår bedömning: Det finns inget behov av att närmare definiera forskningsprogram i regleringen av forskningsdatabaser.

Med forskningsprojekt avses detsamma som i etikprövningslagen.

Vanliga beskrivningar av den empiriskt inriktade forskningsprocessen innefattar bl.a. bakgrundsstudier, litteraturgenomgång, idégenerering, planering, författande av forskningsansökan, eventuell etikprövning, datainsamling, konstruktion av databas, lagring av data (t.ex. person- uppgifter), analys av data, manusförfattande, publicering, dokumen- tation (bl.a. av data), samt arkivering av data. I vissa sammanhang kan denna process vara utsträckt i tiden över många år. Detta är särskilt vanligt förekommande om forskningen följer ett forskningsprogram med flera enskilda separata forskningsprojekt som ingående delar.

Vi avser att i vårt huvuduppdrag föreslå reglering för forsknings- databaser som hanteras utanför ramen för ett enskilt forsknings- projekt. Med forskningsprojekt menar vi detsamma som avses med motsvarande begrepp i 6 § etikprövningslagen.26

Inom ramen för ett större forskningsprogram kan initiativ till nya forskningsdatabaser uppstå. Eftersom begreppet forskningsprogram, till skillnad från forskningsprojekt, inte har någon rättslig betydelse vad gäller personuppgiftsbehandling ser vi dock inte ett behov av att när- mare definiera detta begrepp. De avgörande kriterierna för att en forsk- ningsdatabas ska kunna skapas är inte avhängiga om verksamheten är organiserad som ett forskningsprogram eller på något annat sätt.

26Angående detta begrepps avgränsning, se regeringens proposition Etikprövning av forskning (prop. 2002/03:50), s. 195.

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

3.3.8Forskningsperson

Vår bedömning: Med forskningsperson avses i denna framställ- ning en registrerad vars uppgifter används för forskning.

Med forskningsperson avses en levande människa som någon viss forskning avser (jfr 2 § etikprövningslagen). Begreppet kan omfatta såväl en person som undersöks fysiskt, som en person vars person- uppgifter ingår i ett forskningsunderlag.

Med registrerad avses enligt artikel 4.1 i dataskyddsförordningen en identifierad eller identifierbar fysisk person vars personuppgifter behandlas.

När en forskningspersons personuppgifter ingår i ett forsknings- underlag på ett sådant sätt att det är fråga om behandling av dennes personuppgifter är samma fysiska person såväl en forskningsperson som en registrerad.

3.3.9Fjärråtkomst, direktåtkomst till och annat utlämnande från forskningsdatabaser

Vår bedömning: Med direktåtkomst avser vi sådan åtkomst där upptagningar som kan innehålla personuppgifter är tillgängliga för en mottagande myndighet med ett tekniskt hjälpmedel som myndigheten själv utnyttjar.27

Vi använder begreppet även i sammanhanget direktåtkomst för den registrerade till sina egna uppgifter, och avser då samma form av åtkomst som patientdatalagen (2008:355) möjliggör. Även begreppet elektronisk åtkomst används på samma sätt som i patientdatalagen.

Med automatiserat utlämnande avser vi sådan automatiserad åtkomst till forskningsdatabaser som erbjuds forskare och enskilda forskningspersoner, och som är utformad på så sätt att den ansvariga för forskningsdatabasen har kontroll över om och i så fall vilka uppgifter som ska lämnas ut i varje enskilt fall.

27Detta är samma definition som Högsta förvaltningsdomstolen använt i HFD 2015 ref. 61.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

Begreppet direktåtkomst förekommer i ett antal författningar och har under lång tid diskuterats, särskilt i samband med informationsutbyte mellan myndigheter.28 Med direktåtkomst mellan myndigheter avses sådan tillgång till uppgifter i ett datorsystem där den myndighet som förfogar över systemet i vilket uppgifterna lagras (den utlämnande myndigheten) inte i det enskilda faller har kontroll över vilka upp- gifter som förs över till annan myndighet (den mottagande myndig- heten). Annan typ av informationsutbyte mellan myndigheter och även mellan myndigheter och enskilda betecknas vanligen (annat) elektroniskt utlämnande (eller i äldre sammanhang utlämnande av personuppgifter på medium för automatiserad behandling).

Innebörden av begreppet direktåtkomst i socialförsäkringsbalken har varit föremål för bedömning i en dom från Högsta förvaltnings- domstolen.29 Den avgörande skiljelinjen mellan direktåtkomst och annat elektroniskt utlämnande knöts i domen till om uppgifterna kunde anses vara förvarade hos den mottagande myndigheten utifrån definitionen i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Upp- giftsutlämnandet förutsatte i det fallet att den utlämnande myndig- heten reagerade på en begäran från den mottagande myndigheten. Den mottagande myndigheten ansågs därför inte ha tillgång till uppgifterna på så sätt som krävs enligt 2 kap. 3 § andra stycket tryck- frihetsförordningen.

I Högsta förvaltningsdomstolens avgörande behandlades begreppet så som det används i socialförsäkringsbalken vad gäller social- försäkringsdatabasen och i sammanhanget där en myndighet är mot- tagande part (114 kap. 18–22 §§ socialförsäkringsbalken). Den registrerade har inte möjlighet att få tillgång till sina uppgifter i socialförsäkringsdatabasen genom direktåtkomst.

I patientdatalagen används begreppet även för att beskriva direkt- åtkomst för den registrerade (patienten). Lagen tillåter att privat- personer kan medges direktåtkomst till sina uppgifter (5 kap. 5 § patientdatalagen). När vi i avsnitt 8.11.6 diskuterar direktåtkomst för den registrerade själv använder vi begreppet på samma sätt som i patientdatalagen.

28Se särskilt E-delegationens rapport Direktåtkomst och utlämnande på medium för automatiserad behandling (2012), Informationshanteringsutredningens slutbetänkande Myndighetsdatalag (SOU 2015:39) och eSam Elektroniskt informationsutbyte – en vägledning för utlämnande i elektronisk form.

29Detta är samma definition som Högsta förvaltningsdomstolen använt i HFD 2015 ref. 61.

Bakgrund, utgångspunkter och begrepp

SOU 2018:36

Gemensamt för de båda formerna av direktåtkomst är att det är fråga om en viss form av elektroniskt utlämnande där den som är ansvarig för informationen inte har kontroll över vilka uppgifter som en mottagare vid ett visst tillfälle tar del av.30

Det vanliga förfarandet för att få ut uppgifter lagrade i en forsk- ningsdatabas torde vara att den forskare som behöver uppgifterna, med stöd av ett automatiserat system, formulerar en begäran om- fattande vissa uppgifter, och att forskningsdatabasen, likaledes auto- matiserat, svarar på denna begäran med de uppgifter som enligt databasens konfigurerade regler kan lämnas ut. Det torde därför vara fråga om annat elektroniskt utlämnande. För att understryka dels att detta förfarande är huvudregeln, dels att det är fråga om automatiserad kommunikation mellan två digitala system, använder vi termen automatiserat utlämnande för sådan åtkomst.

Begreppet är skiljt från begreppet fjärråtkomst, med vilket i registerbaserade forskningssammanhang avses åtkomst till en it-miljö i vilken man kan arbeta med data i en forskningsdatabas, utan att de enskilda uppgifterna behöver överföras till forskarens eget it-system (se vidare i avsnitt 8.11.5 om begreppet och dess potential att uppnå uppgiftsminimering, samt avsnitt 4.2.3 om just forskningens behov av fjärråtkomst).

Samtliga ovanstående begrepp rör situationer där uppgifter lämnas ut till eller tillgängliggörs för en part utanför den organisation som har uppgifterna. Även internt inom en sådan organisation förekommer förstås att en anställd behöver tillgång till uppgifterna för att kunna fullgöra sina arbetsuppgifter. Vi använder termen elektronisk åtkomst för denna form av tillgång till uppgifter inom organisationen, vilket motsvarar det begrepp som används i 4 kap. 2–4 §§ patientdatalagen.

3.3.10Centraliserad och decentraliserad

Begreppsparet centraliserad/decentraliserad används i det följande för att beskriva både beslutsfattandet avseende forskningsdatabaser och för drift och övrigt förvaltande av själva databaserna, inklusive var uppgifterna fysiskt lagras.

Med centraliserat beslutsfattande avser vi en sådan process där en central part (myndighet) har ansvaret för och kompetensen att fatta

30Regeringens proposition Patientdatalag m.m. (prop. 2007/08:126), s. 87.

SOU 2018:36

Bakgrund, utgångspunkter och begrepp

de aktuella besluten, även om beslutet rör andra parters verksamhet. Med decentraliserat beslutsfattande avser vi situationen att parten själv ansvarar för beslut rörande sin egen verksamhet.

Med en centraliserad databas avses i stället en lösning där den faktiska lagringen av uppgifter, såväl som förvaltandet av it- systemet, utförs hos en och endast en part. Uppgifterna i en sådan databas kan i och för sig härstamma från olika källor (insamlade direkt från forskningspersonerna, hämtade från myndighetsregister, eller från andra källor), men det avgörande är att en part lagrar upp- gifterna på ett ställe och ansvarar självständigt för den behandling som denna lagring (och utlämnande) utgör.

En decentraliserad databas har i stället delat upp förvaltning och lagring av data i flera separata, samverkande system. En sådan lösning benämns ofta distribuerad databas. Ett specialfall av detta är s.k. federerade databaser, där de ingående systemen har en hög grad av självständighet och heterogenitet.31 Det kan exempelvis vara fråga om register hos flera olika myndigheter som med automatiserat utlämnande momentant tillgängliggör uppgifter på ett sådant sätt så att det för användaren framstår som en sammanhållen databas.

31SOU 2017:50 s. 261 f.

4 Behov av forskningsdatabaser

4.1Inledning

I direktiven till denna utredning anges att utredaren ska föreslå en långsiktig reglering av forskningsdatabaser och lämna de författnings- förslag som behövs.1 Förslag till anpassning av viss befintlig reglering till den allmänna dataskyddsförordning2 som ska tillämpas fr.o.m. 25 maj 2018 har utredningen tillsammans med andra förslag lämnat i tidigare delbetänkande.3

Vad gäller lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (den s.k. LifeGene-lagen) är den tidsbegränsad, men har i avvaktan på en långsiktig lösning i flera omgångar fått förlängd giltighetstid.4 Regeringen och riksdagen har även i vissa andra fall sett ett behov av att inrätta långsiktiga forsk- ningsdatabaser med breda ändamål. Det råder en rättslig osäkerhet inom detta område som har resulterat i speciallagstiftning i vissa fall. I kapitel 5 redogör vi för de rättsliga förutsättningarna för forsk- ningsdatabaser.

Förslag till reglering av forskningsdatabaser har tidigare lämnats av Registerforskningsutredningen,5 men detta har ännu inte lett till några författningsförslag. Mot bakgrund av att rättsläget nu genom refor- mer på europeisk nivå blivit tydligare har regeringen efterfrågat en långsiktig generell lösning för forskningsdatabaser. En lösning behövs som tar hänsyn till bland annat den utredningens och Utredningens

1Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65).

3Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50).

4Riksdagen har beslutat att förlänga denna lags giltighet till och med den 31 december 2020 (Prot. 2017/18:27 8 november § 15).

5Registerforskningsutredningens slutbetänkande Unik kunskap genom registerforskning (SOU 2014:45).

Behov av forskningsdatabaser

SOU 2018:36

om regleringen av biobanker6 slutbetänkanden, samt de möjligheter och begränsningar som kan finnas med anledning av dataskydds- förordningen och dess kompletterande svenska lagstiftning.7

I Registerforskningsutredningens betänkande görs noggranna genomgångar av fördelarna med såväl registerbaserad forskning i allmänhet som forskningsdatabaser i synnerhet. Vi gör bedömningen att de slutsatser beträffande behovet av forskningsdatabaser som Registerforskningsutredningen redovisade alltjämt i stort sett är rele- vanta. Vi hänvisar därför till det betänkandet när det gäller utred- ningen av behovet av forskningsdatabaser. Vi kommer i betänkandet endast att komplettera den utredning som redan gjorts, bl.a. med hän- syn till utvecklingen i samhället efter det att Registerforsknings- utredningen lämnade sitt betänkande i juni 2014.

Detta kapitel tar därför sin utgångspunkt i Registerforsknings- utredningens bedömningar. Vi har i uppdrag att komma med förslag som reducerar eller eliminerar den rättsliga osäkerheten. Vi ska föreslå en generell reglering som underlättar personuppgiftsbehandling i forskningsdatabaser samtidigt som den tillvaratar de krav på skydd av den personliga integriteten som den nya dataskyddsförordningen tillsammans med kompletterande och redan existerande bestämmelser ställer upp.

4.2Behövs det särskilda forskningsdatabaser?

I Registerforskningsutredningens betänkande diskuteras varför registeruppgifter är bra för forskning och vilka fördelar det finns med forskningsdatabaser.8 I korthet argumenteras där för att man med heltäckande stora befolkningsregister kan

•studera ovanliga företeelser som förekommer alltför sparsamt i exempelvis urvalsundersökningar,

•genom personnummer göra kopplingar mellan undersökningar av mindre grupper (t.ex. genom urval) och heltäckande register där alla individer kan återfinnas,

6Utredningens om regleringen av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4).

7Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

8SOU 2014:45, s. 93–114.

SOU 2018:36

Behov av forskningsdatabaser

•koppla uppgifter från biologiska prover i biobanker med uppgifter om personer i hälsodataregister, kvalitetsregister eller andra register från exempelvis Statistiska Centralbyrån (SCB),

•på lång sikt följa upp konsekvenser av tidigare händelser,

•kartlägga den sociala omgivningens betydelse för individuella handlingar,

•studera skillnader i sociala insatser och socialpolitiskt relevanta åtgärder mellan kommuner och regioner,

•genomföra longitudinella studier där personer kan följas över långa tidsperioder utan att andra spårningsinsatser än personnummer och heltäckande registeruppgifter finns, och

•simulera effekterna av ekonomiska och socialpolitiska reformer i skilda befolkningsgrupper.

Det har sammantaget ofta framhållits att tillgången till register- uppgifter med personnummer har inneburit en stor potential för framgångsrik svensk forskning som bör utnyttjas bättre.9 Denna värdering återspeglas också i utredningens direktiv. Vi betraktar detta som utgångspunkt för den fortsatta analysen.

Uppgiften är att föreslå en långsiktig lösning på de behov som hittills enbart resulterat i lagstiftning om inrättande av vissa speci- ficerade forskningsdatabaser. Frågan om det utöver myndighets- registren och hälso- och sjukvårdens biobanker behövs särskilda data- baser eller biobanker avsedda huvudsakligen eller enbart för forsk- ning, ägnas uppmärksamhet i Registerforskningsutredningen.10 I det följande redogör vi kortfattat för deras slutsatser.

4.2.1Registerforskningsutredningens bedömning

Ett första preliminärt svar på om det behövs särskilda databaser för forskning går att få fram genom att undersöka den faktiska före- komsten av befintliga databaser som fungerar som underlag för ett

9Se exempelvis regeringens proposition Kunskap i samverkan för samhällets utmaningar och stärkt konkurrenskraft, (prop 2016/17:50) s. 97–98.

10SOU 2014:45, s. 342–362.

Behov av forskningsdatabaser

SOU 2018:36

flertal forskningsprojekt.11 En undersökning av detta slag inom samhällsvetenskap och medicin resulterade i en uppskattning av att det år 2014 förekom minst 50 sådana databaser.12 Uppskattningen var troligen en underskattning av det verkliga antalet. Inventeringen inne- håller exempelvis inte många av de forskningsbiobanker13 som används av flera projekt.14 Ingen förnyad uppskattning av antalet har gjorts efter detta.

Av detta kan man dra slutsatsen att forskningsdatabaser redan används i betydande omfattning inom ett antal centrala forsknings- områden. Registerforskningsutredningen hänvisar också till att det utöver svenska forskningsdatabaser finns utländska initiativ för att bygga upp databaser i Europa och USA. Man pekar på den satsning på forskningsinfrastruktur som gjorts av Vetenskapsrådet och som är en del av det europeiska programmet för utveckling av forskningsinfra- strukturer, ESFRI.15 I den satsningen utgör databaser en viktig kom- ponent. Detta behov framhålls även i den uppdaterade nationella guide till infrastrukturen som Vetenskapsrådet har publicerat efter Registerforskningsutredningens betänkande.16 Det har ofta fram- hållits att tillgången till registeruppgifter med personnummer har inneburit en stor potential för framgångsrik svensk forskning och att denna resurs bör utnyttjas bättre.

Varför är det då inte tillräckligt att bygga upp fokuserade data- mängder som inriktas på enskilda projekt? Registerforskningsutred- ningen anger att forskningsdatabaser kan möjliggöra olika forsknings- insatser inom breda fält17 och citerar Vetenskapsrådet som anger att forskningsdatabaser som infrastruktur handlar om ”material som kräver långsiktighet i planering, finansiering och användande och är för dyr och/eller kräver sådana tekniska och personella resurser att det

11Den nuvarande rättsliga grunden för att använda dessa personuppgifter för fler än ett ändamålsavgränsat projekt berörs inte här, men kan i allmänhet hänföras till det undantag från finalitetsprincipen som finns i 9 § personuppgiftslagen och som gäller vidareutnyttjande av uppgifter för bland annat forskningsändamål.

12Erikson R., Andersson-Rydell L., Nationell samordning av frågeundersökningar och längd- snittsstudier, Vetenskapsrådet 2014.

13En förteckning över drygt 100 sådana provsamlingar återfinns på BBMRI.SE.

14Några studier som kombinerar lagring av prover med andra uppgifter, LifeGene och EpiHealth, finns däremot med.

15European Strategy Forum on Research Infrastructures, http://www.esfri.eu/roadmap-2016

16Vetenskapsrådets guide till infrastrukturen 2014, Vetenskapsrådet 2015, s. 10.

17SOU 2014:45, s. 349.

SOU 2018:36

Behov av forskningsdatabaser

inte kan finansieras lokalt eller inom ramen för ett enskilt forsknings- projekt”.18 Det huvudsakliga generella skäl som anförs för gemen- samma databasresurser synes således vara att de medel som satsas på forskning ska användas på ett rationellt och resursbesparande sätt.

Det finns ytterligare skäl för forskningsdatabaser när det existerar behov av att i forskningen använda uppgifter från befolkningsregister, som har samlats in av centrala och regionala myndigheter för andra ändamål än forskning. Registerforskningsutredningen hade vid kon- takter med omkring femtiotalet forskare19 fått del av följande motiv till varför forskningsdatabaser med uppgifter från myndighetsregister behövs:

•Det tar tid och kostar pengar att få ut uppgifter från exempelvis SCB.

•Uppgifterna från myndighetsregistren går ofta inte att använda direkt utan kräver bearbetning, vilket tar tid, alltifrån några månader till ett år eller mer.

•Mindre fel i underlaget som inte spelar någon roll när myndigheter som SCB tar fram officiell statistik kan vara viktiga i forskningen och måste korrigeras.

•Forskare måste ofta konstruera egna variabler genom att kombinera uppgifter ur olika register.

•Det kräver tid och träning att lära sig vilka styrkor och svagheter en databas har, för att förstå hur den kan användas. Det är viktigt att några har den kompetensen för att kunna bistå forskare i konkreta forskningsprojekt.20

Registerforskningsutredningen tog också ställning till om det skulle vara tillåtet och praktiskt möjligt att i stället för lokalt lagrade forsk- ningsdatabaser bestående av uppgifter som satts samman från olika källor (i det följande kallat sambearbetade forskningsdatabaser) använda sig av fjärranslutning till de datakällor som behövs.

18Vetenskapsrådet utredning 2005 Om forskningens infrastrukturer inom humaniora och samhällsvetenskap, citerad i SOU2014:45 s. 350.

19Registerforskningsutredningen samtalade under tre månaders tid våren 2013 med femtiotalet forskare vid sju särskilda forskarmöten, deltog utöver detta i flera forskarkonferenser och arrangerade våren 2014 ett särskilt seminarium med ledande forskare.

20SOU 2014:45 s. 356–357.

Behov av forskningsdatabaser

SOU 2018:36

Vid SCB finns ett system för fjärråtkomst, Microdata Online Access (MONA). Det gör det möjligt att hos SCB lagra och använda forskningsregister med uppgifter som genererats såväl genom in- samling i forskningsprojekt som insamling och bearbetning av upp- gifter från myndighetsregister.21 Denna resurs fungerar väl när de forskargenererade uppgifterna är av begränsad omfattning och myndighetsuppgifterna tas från register som förs av eller lagras vid SCB och används inom den officiella statistiken vid myndigheten. MONA-systemet kan i viss utsträckning tillhandahålla åtkomst till uppgifter även från andra myndigheter än SCB. Den möjligheten har dock inte kunnat användas i så stor utsträckning. Socialstyrelsen har t.ex. ansett att det finns legala hinder för att lägga fullständiga kopior av hälsodataregistren i MONA. Man har också, i den utvärdering som gjordes av MONA strax efter Registerforskningsutredningens betän- kande, angivit att en rad rättsliga och finansieringsfrågor behöver genomlysas innan myndigheten är beredd att införa ett eget system för fjärråtkomst.22 Registerforskningsutredningens rekommendation att liknande system skulle etableras inom andra myndigheter, inte minst Socialstyrelsen, har således inte efterlevts.23

Det förekommer fall där många databaskällor varit aktuella och där omfattningen av de data som behöver kombineras är för stor för MONA. Det gäller exempelvis när uppgifter från biobanker ska sambearbetas med hälsodataregister och med uppgifter från SCB. Data kan också förändras i en alltför snabb takt för att ett MONA- liknande system ska vara lämpligt. Man har då undersökt möjligheten till s.k. federerade databaser, som innebär att data från olika källor sammankopplas vid analystillfället utan att uppgifterna behöver förflyttas fysiskt till en gemensam databas som lagras vid ett och samma ställe.24 Vid tiden för Registerforskningsutredningens betän- kande fanns ännu inte federerade system av den storleksordning och med den generella inriktning som skulle kunna utgjort ett realistiskt alternativ till fysiskt sambearbetade och lokalt hanterade databaser av det slag som utredningen föreslog. Utredningen konstaterade:

21Microdata Online Access, https://www.scb.se/sv_/Vara-tjanster/Bestalla-mikrodata/MONA/#

22Evaluation of the MONA system (Microdata Online Access). Vetenskapsrådets rapporter 2014, s. 19–20.

23SOU 2014:45, s. 363–364.

24SOU 2014:45, s. 364.

SOU 2018:36Behov av forskningsdatabaser

För att ett federerat system kan vara användbart i stor skala krävs ett omfattande och tekniskt avancerat utvecklingsarbete. (……) Det kan

finnas skäl för regeringen att överväga att inrätta en särskild delegation för att följa detta arbete och ta de ytterligare initiativ som kan behövas. Regeringen har i den senaste forskningspropositionen25 aviserat ett initiativ men ännu har inget sådant tagits.26

4.2.2Har förutsättningarna ändrats sedan 2014?

Vår bedömning är att de ovan angivna motiven för forskningsdata- baser i stora drag alltjämt gäller. Det är dock inte tydligt vilka förut- sättningar det finns för att på ett rättsenligt sätt behandla person- uppgifter i en forskningsdatabas. Forskningsdatautredningen har till uppgift att föreslå en långsiktig lösning på detta problem. I detta avsnitt redogörs för den utveckling som skett på området sedan 2014. När det gäller utbyggnad av de registerresurser som är potentiellt intressanta i samhället har utveckling främst skett inom dessa områden:

•Digitaliseringen har utvecklats allt mer, framför allt med avseende på möjligheterna till distansarbete och på den teknik som medger att användare på ett säkert sätt kan fjärransluta sig till gemensamt tillgängliga resurser.

•Antalet nationella kvalitetsregister inom hälso- och sjukvården har ökat och en gemensam organisation för hantering av uttag för forskningsändamål m.m. har byggts upp.27

•Befintliga resurser inom biobanksområdet har samordnats, sam- arbetet mellan det nationella biobanksrådet och BBMRI28 har förstärkts, och ytterligare en offentlig utredning har rekom- menderat inrättandet av ett nationellt biobanksregister.29

•Den registerbaserade folkbokföring som baseras på lägenhets- registret och Skatteverkets uppgifter ger en mer komplett och

25Regeringens proposition Forskning och innovation (prop. 2012/13:30).

26SOU 2014:45 s 364. Se även s. 337–340.

27Enligt patientdatalagen (2008:355) är kvalitetsregister en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet.

28Biobank and Molecular Resource Infrastructure, en europeisk infrastruktur för forskning med användning av biologiska prover.

29SOU 2018:4.

Behov av forskningsdatabaserSOU 2018:36

rättvisande bild av befolkning, boende och familjebildning i Sverige.

•Viss utveckling av forskaranpassade databaser och registerservice har genomförts vid några myndigheter, exempelvis SCB, Social- styrelsen och Försäkringskassan.

•Särskilt stöd till registerbaserad forskning i Vetenskapsrådets regi har inletts och myndighetens satsning på stöd till infrastrukturer som innehåller forskningsdatabaser har förstärkts.

I följande avsnitt skisseras digitaliseringens utveckling med avseende på hur forskare utvecklat sina arbetssätt när det gäller användning av personuppgifter. Därefter följer en redogörelse för den utveckling vid statliga och kommunala myndigheter som är relevant för person- uppgiftsbehandling för forskningsändamål och som skisserats punkt- vis ovan. Slutligen görs en bedömning av om fysiskt sammanhållna centraliserade forskningsdatabaser fortfarande är ett önskvärt tillväga- gångssätt för att tillgodose behovet av forskning med personuppgifter.

4.2.3Digitaliseringens inverkan på utveckling av forskningsdatabaser

Traditionella personuppgiftssamlingar för forskningsändamål

Användning i större skala av datorer i forskning inleddes på 1950- talet. Den innebar en stegvis genomgripande förändring av forsk- ningens villkor och möjligheter, både vad gäller beräkningsmöjlig- heter och möjligheten att använda stora datamängder. Inom den forskning som har personer som forskningsobjekt innebar datori- seringen till att börja med att registrerades uppgifter överfördes från insamlingskällan (exempelvis ett frågeformulär, ett provtagnings- protokoll eller en ljudinspelning) till hålkort. Vid analystillfället lästes dessa in för datorbearbetning tillsammans med de styrkort som användes för beräkningarna. Sedermera kunde man spara uppgifterna i datafiler i minnet på en dator eller på disketter, som också innehöll de datorprogram som användes för att analysera uppgifterna. In- samling, förvaltning och användning av data sköttes av enskilda forskare, forskargrupper eller programmerare vid lokala lärosäten och

SOU 2018:36

Behov av forskningsdatabaser

med användning av terminaler uppkopplade till en eller flera vid läro- sätet centralt placerade datorer.

För att få tillgång till uppgifter hos myndigheter krävdes vanligen att forskaren gjorde sina analyser på den fysiska plats där uppgifterna förvarades. Dessa principer tillämpades exempelvis av SCB på 1970- talet. Då kunde man som forskare besöka myndigheten för att ta del av uppgifter som ursprungligen hade samlats in för statistikändamål. Utvecklingen ledde efter hand till att det blev möjligt att erhålla kopior av originaluppgifter. De förflyttades då fysiskt till forskarens egna datormiljö. Uppgifter av detta slag levererades ofta i anonymi- serad form.

Efter hand uppstod behov av att analysera uppgifter om samma forskningspersoner från olika källor. Detta krävde tillgång till person- uppgifter med identifierare. Det svenska personnummersystemet, som är gemensamt för alla samhällssektorer och omfattar alla bosatta i landet, erbjöd här unika möjligheter jämfört med andra länder. Det gjorde det möjligt att komplettera egeninsamlade uppgifter med utdrag från administrativa uppgiftssamlingar och andra källor som använder personnumret. Utvecklingen ledde till att unika forsknings- material skapades i varje enskild forskningsmiljö. De bestod ofta av såväl egeninsamlade uppgifter som uppgifter från andra källor.

Överföringen av uppgifter från originalkällan gjordes genom direkta kontakter mellan registerhållaren och användaren. De upp- giftssamlingar som skapades blev därmed avgränsade till de specifika behov som förelåg för det enskilda forskningsprojektet. Sam- bearbetning av register innehållande uppgifter som härrörde från statistikmyndigheterna med andra uppgifter sköttes ofta av myndig- heten. Det var anonymiserade eller pseudonymiserade uppgifter som skickades till forskargruppen.

I Sverige uppstod under 1980-talet en debatt om de integritets- risker bevarandet av personuppgifter för forskningsändamål innebar. Det uppmärksammades särskilt i samband med att intervjusvar från föräldrar i det s.k. ”Metropolitprojektet” insamlade på 1960-talet senare, i enlighet med den lagstiftning som då gällde, kombinerades med registeruppgifter från myndigheter utan de registrerades vetskap eller godkännande.30 Debatten kring Metropolit bidrog sannolikt till att integritetsfrågorna uppmärksammades särskilt under 1980-talets

30Se Stenberg S-Å, (2013) Född 1953: Folkhemsbarn i forskarfokus. Borea.

Behov av forskningsdatabaser

SOU 2018:36

senare hälft.31 Genomgripande förändringar av lagstiftningen kom dock först efter det europeiska dataskyddsdirektivets tillkomst 1995, som 1998 implementerades i Sverige genom personuppgiftslagen (1998:204). De regler som tillkom motsvarade dåtidens behov av koncentrerade uppgiftssamlingar med specifika ändamål.

Utveckling av databibliotek

Under 1960-talet uppstod på olika håll tanken att forskare borde dela med sig av uppgifter till andra forskargrupper. I USA bildades år 1962 ett konsortium för statsvetenskaplig forskning (ICPSR)32 med syftet att utveckla gemensamma dataresurser för forskning. Organisationen omfattar i dag omkring 750 medlemsuniversitet över hela världen och omkring 750 000 uppgiftssamlingar inom ett brett område av akade- miska discipliner. En stor majoritet av samlingarna är anonymiserade och öppet tillgängliga, men cirka 2 procent kräver godkännande och är skyddade, bland annat av integritetsskyddande regler. Stora delar av den samhällsvetenskapliga forskningen har, särskilt i USA, grundats på sekundäranalys av data hämtade från konsortiet. Ett flertal svenska universitet är medlemmar och Svensk Nationell Datatjänst (SND) är nationell nod.33 På europeisk nivå finns samarbetsorganisationen Consortium of European Social Science Data Archives (CESSDA- ERIC) med säte i Bergen, Norge.

Utveckling av gemensamma forskningsdatabaser inom samhällsvetenskap och välfärdsforskning

Under 1960- och 70-talen uppstod parallellt insamling av surveydata, dvs. uppgifter insamlade från de registrerade själva med hjälp av intervjuer eller postenkäter, avsedda för fler forskargrupper. Upp- giftssamlingar av detta slag är fortfarande i dag viktiga källor för den svenska och internationella välfärdsforskningen.

31Integritetsskyddskommitténs delbetänkande Skyddet för den personliga integriteten (SOU 2007:22), s. 510.

32Miller, W E. (1963), The Inter-University Consortium for Political Research, American Behavioral Scientist 7:3, s. 11–12.

33SND är således det nationella databibliotek som ingår som Sveriges del av det internationella samarbetet inom ICPSR och CESSDA-ERIC.

SOU 2018:36

Behov av forskningsdatabaser

I Sverige gav 1968 års Låginkomstutredning upphov till Levnads- nivåundersökningen (LNU), som sedan 1974 har skötts av Stockholms universitet.34 LNU innehåller personuppgifter, men den identifierande nyckelfilen förvaras vid SCB. Uppgifterna identifieras i samband med att de i undersökningen ingående personerna ska återintervjuas, vilket görs med jämna mellanrum. LNU används av flera forskningsprojekt och har kommit att utgöra ett viktigt bidrag till såväl den svenska som internationella socialvetenskapen. Urvals- ramen utgörs av vuxna personer bosatta i Sverige i yrkesaktiv ålder. Uppgifterna har i begränsad omfattning kompletterats med uppgifter från myndigheter, exempelvis med avseende på inkomster från självdeklarationer och dödsfall i urvalet, och har utökats med upp- gifter om samboende, barn och äldre.

I USA finns en motsvarande frågeundersökning, General Social Survey (GSS).35 Den initierades år 1972 och genomförs av National Opinion Research Center (NORC) vid University of Chicago inom ramen för ”The National Data Program for the Social Sciences”. Pro- grammet syftar såväl till att genomföra social forskning som att tillhandahålla anonymiserade data till samhällsvetare och andra intresserade.36 På hemsidan finns möjlighet att söka data och analysera uppgifter online.

Inom SCB skapades år 1975, delvis också med bakgrund i Låg- inkomstutredningen, parallellt med LNU årsvisa undersökningar av levnadsförhållanden (ULF). Intervjuer genomförs som återkom- mande tvärsnittsundersökningar, men en mindre del av urvalet har behållits och återintervjuats med jämna mellanrum. Undersökningen syftar till att ”belysa välfärdens fördelning mellan olika grupper i befolkningen”. Den kan anses ingå i myndighetens statistikuppgift, men har använts mycket flitigt av välfärdsforskare sedan 1970-talet. 37

Från och med 2008 samordnades ULF med den europeiska under- sökningen Survey of Income and Living Conditions (SILC) genomförd av de nationella statistikmyndigheterna inom EU på uppdrag av Eurostat. SILC:s ”mikrodata” är tillgängliga för forskare

34http://www.sofi.su.se/forskning/tre-forskningsavdelningar/lnu

35http://gss.norc.org/

36gss.norc.org/About-The-GSS

37Undersökningarna av levnadsförhållanden (ULF/SILC) 2012, SCB DOK .32 s. 3.

Behov av forskningsdatabaser

SOU 2018:36

och direkt identifierade personuppgifter kan analyseras på plats hos Eurostat i Luxemburg.38

Inom ramen för de europeiska forskningsinfrastrukturerna (ESFRI)39 genomförs en undersökning av åldrande, hälsa och pensione- ring (Survey of Health, Ageing and Retirement, SHARE-ERIC) där personer följs över tid för forskningsändamål. Tillgång till anonymi- serade data från SHARE erbjuds fritt till forskare över hela världen.40

En parallell undersökning till den nordamerikanska GSS är European Social Survey (ESS-ERIC) som genomförs vartannat år sedan 2002. I 2016 års datainsamling deltog 18 länder. Den utgör en europeisk forskningsinfrastruktur med samma policy för forskar- tillgång som SHARE (fri tillgång till anonymiserade uppgifter).41

ESFRI-programmet har medfört utveckling av en europeisk organisationsform reglerad i EU-rätten, så kallade konsortier för europeisk forskningsinfrastruktur (ERIC-konsortier).42 Varje ERIC har en värdmedlemsstat i vilken organisationen erkänns status som internationell organisation. Medlemsländer kan välja att delta och för- binder sig då att stödja och lämna resurser till verksamheten i enlighet med ett avtal. Vetenskapsrådet bereder ärenden för Sveriges del och riksdagen beslutar om svenskt deltagande. I de ovan beskrivna fallen (SHARE-ERIC och ESS-ERIC) innebär stödet att medlemslandet samlar in och tillhandahåller uppgifter i enlighet med ett överens- kommet protokoll. För CESSDA-ERIC innebär samarbetet att man förbinder sig att finansiera och stödja datautbyte genom det euro- peiska databiblioteket i Bergen (se Utveckling av databibliotek ovan).

De ovanstående exemplen illustrerar att datainsamling avsedd för breda forskningsområden och fler forskargrupper har pågått under lång tid. Behoven ökar alltjämt, har internationaliserats, och har givits en fastare gemensam reglering genom tillkomsten av ERIC-systemet. De beskrivna datamängderna samlas in för brett definierade ändamål och uppdateras för samma eller nya intervjupersoner över tid. De kompletteras dock i regel inte, eller i mycket begränsad omfattning, med uppgifter om samma personer från andra undersökningar med olika innehåll, från hälsodataregister eller administrativa register.

38Regulation (EC) No 223/2009, art. 26.

39Strategy Report on Research Infrastructures. Roadmap 2016, European Strategy Forum for Research Infrastructure, s. 85.

40http://www.share-project.org/data-access.html

41http://www.europeansocialsurvey.org

42Rådets förordning (EG) nr 723/2009 av den 25 juni 2009 om gemenskapens rättsliga ram för ett konsortium för europeisk forskningsinfrastruktur (Eric-konsortium).

100

SOU 2018:36

Behov av forskningsdatabaser

Tillgång till informationsdatabaser

Utveckling av samarbete mellan forskargrupper kräver gemensam information.43 Till att börja med dokumenterades gemensamma forskningsdatabaser av den typ som beskrivs i föregående avsnitt i s.k. ”kodböcker” tillsammans med tekniska rapporter som beskrev hur datainsamlingen gått till. Kodböcker innehöll metainformation med vars hjälp detaljerade beställningar av uppgiftssamlingar kunde göras.44 Förteckningar över innehållet i databibliotek publicerades periodiskt i böcker eller rapporter.45 Såväl dokumentation som data överfördes från gemensamma databibliotek, s.k. datarepositorier, till forskare med traditionell postgång.

Den tekniska utvecklingen ökade snabbt möjligheterna till informationsutbyte mellan datorer. Kontakt mellan fysiskt åtskilda datorer utvecklades under 1970-talet genom tillkomsten av kom- munikationsverktyg som TCP/IP, NNTP och Bitnet.46 Från och med 1980-talets början kunde de då nyligen utvecklade persondatorerna sammankopplas i lokala nätverk, s.k. ”Local Area Networks” (LAN). I mitten på 1980-talet utvecklade det amerikanska vetenskapsrådet (National Science Foundation) ett akademiskt kontrollerat internet- system, det s.k. NSFNET, som sedermera kommersialiserades och blev World Wide Web (”www”). Utvecklingen av stationära och sedermera portabla persondatorer innebar således en snabb decentra- lisering av forskares digitaliserade verktyg samtidigt som möjligheten att nå gemensamma informationskällor på distans utvecklades. Detta har lett till att forskare kan nå gemensamma resurser utan att behöva befinna sig på samma fysiska plats. Den fortsatta utvecklingen av datorer och nätverksteknik har medfört att dokumentation av data i dag huvudsakligen erbjuds genom fjärråtkomst.

De tekniska möjligheterna har inneburit ökade möjligheter att utveckla dokumentation enligt gemensamma standarder och på platt- formar som är tillgängliga för många forskare. Dokumentation såsom ”kodböcker” kan göras tillgänglig på nätet via PDF eller andra digitala

43Den information som här avses innefattar beskrivningar av uppgiftssamlingarna och inte själva uppgifterna.

44Se t.ex. The 1972-73 Quality of Employment Survey, Survey Research Center, Institute for Social Research, University of Michigan, Ann Arbor, USA.

45Katalogen Guide to Resources and Service gavs till en början ut årsvis i bokform, men har nu ersatts av online-dokumentation.

46Transmission Control Protocol/Internet Protocol (TCP/IP), Network News Transfer Protocol (NNTP) och ”Because It’s Time”-Net (BITNET).

101

Behov av forskningsdatabaser

SOU 2018:36

format. Dokumentationen kan också samordnas i digitaliserade infor- mationsdatabaser för forskning som använder gemensam semantik och är sökbara. En metadokumentation kan innefatta uppgifter om insamlingskontext, insamlingsmetoder, klassifikationer, årgångar, variabler och värdemängder. Informationsdatabaser som är till- gängliga online omfattar dock vanligen inte personuppgifter. De kan därför skapas utan att begränsas av de regler som har till syfte att skydda personers integritet.

Utvecklingen av gemensam information för fysiskt utspridda användare via centraliserade informationsdatabaser har blivit ett allt viktigare instrument i forskningen. Vid Vetenskapsrådets enhet för registerforskning47 pågår för närvarande uppbyggnad av ett gemen- samt dokumentationsverktyg, Register Utility Tool (RUT) som är avsett att med gemensam semantik dokumentera databaser vid myndigheter och hos forskargrupper. RUT innehåller detaljerad infor- mation om variabler och värdemängder i databaserna och myndigheten rekommenderar att dokumentationsverktyget används av de data- basinfrastrukturer som får stöd av Vetenskapsrådet. Tillsammans med detta utvecklas stöd för att utforma ansökningar om etikprövning och utlämnande av uppgifter från registerhållare. Allt detta underlättar planering av forskning med utnyttjande av befintliga gemensamma databaser.

Mot bakgrund av ovanstående är det utredningens uppfattning att det under senare år har gjorts viktiga framsteg på dokumentations- området. Därmed har möjligheterna till samordning av forskning mellan forskargrupper stärkts. Möjligheterna till uppbyggnad av forskningsdatabaser har också ökat. Det är vår bedömning att önske- målen om att bygga upp sådana strukturer har ökat inom flertalet vetenskapsområden som använder personuppgifter. Detta har vi också erfarit i samband med en rad besök på olika lärosäten.

Forskningsdatabaser

Begreppet forskningsdatabas används i denna utredning såsom det definierats i Registerforskningsutredningen, men med viss modi- fiering (se avsnitt 3.3.3). Forskningsdatabasen är en samordnad upp- giftssamling, som tillhandahåller uppgifter för flera forskningsprojekt

47Se https://registerforskning.se

102

SOU 2018:36

Behov av forskningsdatabaser

och/eller forskargrupper. Forskningsdatabasen innehåller såväl meta- data som personuppgifter. I praktiken utvecklas enhetlig semantik och dokumentation ofta parallellt med att behandling av person- uppgifter från olika källor samordnas i en forskningsdatabas.

En forskningsdatabas kan utgöras av en enskild insamling av uppgifter som från början är samordnad inom ett projekt, men som är avsedd att betjäna flera forskargrupper under en viss tidsperiod. Upp- gifterna uppdateras och kompletteras med ny insamling under forskningsdatabasens livscykel. Beskrivningen i föregående avsnitt av de nationella välfärdsundersökningarna LNU och ULF är exempel på detta.

Forskningsdatabaser kan också bestå av en sammanläggning av observationer som samlats in i flera olika projekt i enlighet med samma eller i stort sett liknande undersökningsprotokoll.

En internationellt samordnad surveyundersökning utförd enligt samma protokoll i flera länder kan utgöra en forskningsdatabas. Den i kapitel 11 behandlade Luxembourg Income Study innebär insamling av inkomstuppgifter från deklarationer för gemensam jämförande analys i en europeisk forskningsdatabas.

Så kallad ”pooling” innebär att man samlar uppgifter från många olika källor i en forskningsdatabas. Detta genomförs ofta för att uppnå tillräckligt antal observationer för forskning. Den forskning som rör sällsynta sjukdomar hos barn baseras på uppgifter från många olika länder som läggs samman i en databas.48

Ett tredje exempel är genomdatabanker där hela eller delar av individers genetiska kod samlas och görs tillgängliga för olika forsk- ningsprojekt.49

Forskningsdatabaser kan således skapas genom att observationer av samma karaktär samlas från olika håll för att åstadkomma en stor- skalig dataresurs för forskningssamarbete. I detta fall sammanförs likadana uppgifter om olika personer i en större uppgiftssamling.

Forskningsdatabaser kan också bestå av sammanläggning av uppgifter som samlats in från olika håll och som rör olika personer. Forskningsdatabasen kommer då att innehålla kopior av uppgifter från olika originalkällor. Källorna kan vara statistikmyndigheter,

48Se t.ex. Adler A. et. al., PhenoDis: a comprehensive database for phenotypic characterization of rare cardiac diseases, Orphanet J Rare Dis 2018 Jan 25:13(1), s. 22.

49Fusi F et. al., Building Global Genomics Initiatives and Enabling Data Sharing: Insights from Multiple Case Studies, OMICS 2018 Mar. doi:10 1089/omi.2017.02.14, (E-publikation innan tryckning).

103

Behov av forskningsdatabaser

SOU 2018:36

andra myndigheter eller organisationer som inte är forskningsorgani- sationer, eller forskningsmaterial som återanvänds och kombineras med andra uppgifter. Resultat av analyser av prover från hälso- och sjukvårdens regionala biobanker sambearbetade med hälsodata- register och/eller uppgifter om de registrerades exponering för risker, upprättade för samarbete kring ett forskningsområde, kan utgöra exempel på en sådan forskningsdatabas.

Biobanksutredningen föreslår att ett nationellt spårbarhetsregister för forskningsändamål upprättas vid Socialstyrelsen som kan använ- das på detta sätt.50 Enligt en debattartikel författad av tre ministrar i samband med presentationen av regeringens Life Science-kontor i februari 201851 är det först när dessa (biobanker och register) sam- utnyttjas som industrin och den akademiska forskningen kan utnyttja sina fulla potentialer.

De forskningsdatabaser som beskrevs av Registerforsknings- utredningen bestod huvudsakligen av sambearbetningar av myndig- hetsuppgifter som i begränsad omfattning är föremål för förändringar. Innehållet behöver dock med jämna mellanrum uppdateras och kompletteras, exempelvis i samband med att nya årgångar av register- material från SCB och Socialstyrelsen blir tillgängliga.

Under 1990- och 2000-talet skapades allt fler uppgiftssamlingar med uppgifter från SCB och Socialstyrelsen som huvudsaklig bas, men där uppgifter från andra registerförande myndigheter också kan ha ingått. Sedan dess har utvecklingen främst inom det medicinska området lett till behov av att samordna alltmer omfattande och snabbt föränderliga dynamiska uppgiftssamlingar från olika håll. Tillgången till biologiskt material kan innebära att forskningsdatabaser löpande behöver tillföras data från förnyade analyser av vävnadsprover. Även uppgifter från vårdregister och läkemedelsregister behöver uppdateras med korta mellanrum. Regeringens satsningar på livsvetenskaperna innebär att det behövs ett ökat samarbete mellan hälso- och sjuk- vården, industrin och forskningen. Uppgiftssamlingarna behöver kunna kombineras med personuppgifter från Socialstyrelsen, SCB och andra myndigheter.

50SOU 2018:4, s. 59.

51Damberg M, Hellmark-Knutsson H, Strandhäll A, Regeringen tar ett helhetsgrepp om life science, Dagens Medicin 5 februari 2018.

104

SOU 2018:36

Behov av forskningsdatabaser

Den tekniska utvecklingen har inneburit att det är möjligt att samköra stora datamängder i centraliserade forskningsdatabaser. De kan med dagens teknik nås med fjärråtkomst av många användare. Säkra tunneluppkopplingar med krypterad information och system för säker behörighetskontroll har utvecklats.52 Den decentralisering av datafiler och programvara som kännetecknade den inledande ut- vecklingen av persondatorer på 1980- och 90-talen har därmed under 2000-talet kompletterats av tjänster som radikalt har förbättrat möjlig- heten att utnyttja centraliserade resurser med hjälp av fjärråtkomst. Vissa resurser har därmed decentraliserats medan andra har centrali- serats. Behoven av samordning har därmed medfört ökad centrali- sering som inbegriper såväl programvara som fjärråtkomst till data.

Det kan konstateras att

•behovet av att samordna och anpassa uppgifter från statliga myndigheter för forskningsändamål kvarstår,

•antalet potentiella användare ökar,

•behovet att använda generellt syftande surveyundersökningar kvarstår,

•forskargrupper verksamma inom samma fält har i ökande utsträck- ning uttryckt behov av att samverka kring gemensamma databaser,

•forskningen använder i högre grad uppgifter från hälso- och sjuk- vård för forskningsändamål, och

•nationell samordning av biobanker möjliggör uppbyggnad av forskningsdatabaser där biologiska uppgifter kan användas tillsam- mans med undersökningar om levnadsvanor och de statliga myndigheternas uppgifter om hälsa och välfärd.

De tekniska möjligheterna att med fjärråtkomst använda centra- liserade tjänster som betjänar många har förbättrats. Detta gäller såväl informationstjänster som uppgiftssamlingar. Det är utredningens bedömning att behovet av att skapa säkra centraliserade forsknings- databaser som verktyg för samarbete mellan forskningsprojekt har ökat.

52Point-to-point tunneling (PPTP) och IPSec är två säkra system för skydd av de uppgifter som skickas.

105

Behov av forskningsdatabaser

SOU 2018:36

Distribuerade databaser

Det traditionella systemet med mindre uppgiftssamlingar avsedda för enskilda projekt har inneburit att ett stort antal kopior på uppgifter från den ursprungliga källan har lämnats ut till olika forsknings- projekt. Varje sådan uppgiftssamling har dock haft begränsad sprid- ning. Detta återspeglas i den tolkning av ändamålsbegränsningen som råder. Ett system med centraliserade53 forskningsdatabaser av det slag som vi föreslår och som kan nås med fjärråtkomst medför att antalet kopior på uppgiftssamlingarna kan reduceras. Detta är i sig en säker- hetshöjande åtgärd. Eftersom uppgifterna kommer att användas för flera ändamål under en längre tidsperiod uppstår dock ett behov av att uppdatera och revidera forskningsdatabaserna med jämna mellanrum som inte förelåg i samma utsträckning i det traditionella systemet där uppgiftssamlingar var fokuserade på mer begränsade användnings- områden.

Ett alternativ till centraliserade databaser är ett system med distri- buerade databaser.54 Som användare kan man i ett distribuerat system nå uppgifter genom samtidig fjärråtkomst till fler källor. Distri- buerade databaser kan vara fysiskt utspridda men organiseras så att deltagandet i systemet kontinuerligt kontrolleras av varje register- hållare. Detta utgör i så fall en s.k. federerad databas55 där fler huvud- män och/eller registerhållare är involverade i ett ömsesidigt sam- arbete. De olika registerhållarna behåller kontrollen över de egna upp- gifterna och deras tillgänglighet eftersom alla uppgifter ligger kvar hos den ursprungliga registerhållaren. En viss vidareutveckling har skett av federerade system för ”pooling” (se föregående avsnitt), dvs. sam- bearbetning av likadana uppgifter för olika personer från olika datakällor.56

Forskningsdatautredningen känner däremot inte till något funge- rande federerat system för den tekniskt mer komplicerade ut- maningen att i realtid samtidigt analysera stora mängder av uppgifter från olika källor för samma personer. I ett sådant system förekommer

53I avsnitt 3.3.10 finns en genomgång av hur begreppen centraliserad och decentraliserad används i detta betänkande.

54Begreppet används här i motsats till centraliserade databaser och avser den fysiska hante- ringen av uppgifter. Se vidare avsnitt 3.3.10 för begreppsdefinitioner.

55En federerad databas har således en utspridd fysisk hantering av uppgifter samtidigt med att också ha en decentraliserad kontroll över hur uppgifterna behandlas.

56Carter KW et al. (2016), ViPAR: a software platform for the Vitual Pooling and Analysis of Research Data, Int J Epidemiolog, 45:2, s. 408–416.

106

SOU 2018:36

Behov av forskningsdatabaser

med nödvändighet kopiering av samma uppgifter från originalkällan till forskningsdatabasen. I en federerad databas existerar dock dessa kopior endast under korta sekvenser när uppgifterna analyseras till- sammans. Utöver det ökade integritetsskydd detta kan innebära har systemet fördelen att de uppgifter som analyseras vid varje tillfälle kommer att vara identiska med originaldata. Det finns således inget behov av uppdatering av uppgifter i den distribuerade databasen utöver de som görs i originalregistren.

Det kan synas tveksamt att personuppgifter från olika källor ska kopieras till centraliserade forskningsdatabaser som fortlever under längre tid och görs tillgängliga för många forskare. SCB anser i sitt remissvar på Registerforskningsutredningens betänkande att det inte finns behov av att bygga upp forskningsdatabaser för befintliga register eftersom uppgifterna redan är tillgängliga för forskning enligt dagens regelverk.57

Det skulle av integritetsskäl kunna vara en fördel om de centra- liserade databaserna kunde ersättas med distribuerade databaser där uppgifterna kan nås direkt från källan. Om källorna är av varandra oberoende huvudmän som ansvarar för sina egna beslut om ut- lämnande av uppgifter till forskning så krävs att databaserna är federerade. Visst försöksarbete med federerade databaser har bedrivits och bedrivs med finansiering av Vetenskapsrådet, bland annat genom ett pågående försöksprojekt vid Umeå universitet58 och ett tidigare projekt vid Karolinska Institutet.59

Registerforskningsutredningen konstaterar i sitt slutbetänkande att omfattande och tekniskt avancerat utvecklingsarbete krävs för att ett federerat system ska kunna bli användbart i stor skala.60 Den tekniska utvecklingen har gått snabbt framåt. Regeringen har ambitioner att satsa på denna utveckling inom ramen för digitali- seringspolitiken (se avsnitt 7.2.3). Forskningsdatautredningens bedömning är att det trots detta inte har tagits några initiativ som möjliggör federerade system av den storleksordning och komplexitet som skulle krävas för att ersätta behovet av att sambearbeta uppgifter och spara dem på samma ställe i centraliserade forskningsdatabaser

57Statistiska Centralbyråns remissvar på betänkandet Unik kunskap genom registerforskning (SOU 2014:45), dnr 2014/1519, s. 6.

58https://infotechumea.se/nyheter/federerade-databaser-ska-ge-sakrare-personuppgifter.

59Fomkin R, Stenbeck M, Litton J. (2009) Federated databases as a basis for infrastructure supporting epidemiological research, Conference Proceedings 20th International Workshop on Database and Expert Systems Application.

60SOU 2014:45 s. 364.

107

Behov av forskningsdatabaser

SOU 2018:36

som innehåller kopior på originaldata. Situationen vad avser möjlig- heter att använda distribuerade databaslösningar som en integritets- höjande åtgärd har således inte förändrats sedan Registerforsknings- utredningens slutbetänkande.

4.3Utveckling av gemensamma resurser vid myndigheter

I de följande fyra avsnitten redogörs för sådan utveckling vid statliga och kommunala myndigheter som har inneburit uppbyggnad av databaser för analysändamål, och som har betydelse för forskningens användning av gemensamma forskningsdatabaser, eller på annat sätt kan underlätta arbetet för forskare som använder personuppgifter.

4.3.1Satsningen på hälso- och sjukvårdens kvalitetsregister

Med ett kvalitetsregister avses, enligt 7 kap. 1 § patientdatalagen (2008:355) en automatiserad och strukturerad samling av person- uppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet.

För att säkra och utveckla kvaliteten i hälso- och sjukvården och därigenom bidra till bättre resultat för patienterna, används i dag omkring 100 nationella kvalitetsregister. Med ett nationellt eller regionalt kvalitetsregister avses ett register i vilket personuppgifter samlas in från flera olika vårdgivare. I ett nationellt eller regionalt kvalitetsregister samlas personuppgifter från kommunal hälso- och sjukvård, sjukhus, vårdcentraler m.fl. för att möjliggöra kvalitets- säkring och jämförelser inom hälso- och sjukvården på nationell eller regional nivå. Kvalitetsregistren används både för systematisk uppföljning och jämförelse på nationell nivå, men även på ett lokalt plan där registrerande enheter med allt tätare intervall följer sina resultat och lägger dem till grund för ett verksamhetsnära för- bättringsarbete. Det gör bl.a. att patienter som i dag deltar i kvalitets- register i större utsträckning än tidigare själva är med och drar nytta av sin egen medverkan.

Uppgifter som behövs och som behandlas för kvalitetssäkring i ett nationellt eller regionalt kvalitetsregister får även behandlas för statistikframställning och forskning. All forskning som har för avsikt

108

SOU 2018:36

Behov av forskningsdatabaser

att utföras med hjälp av känsliga personuppgifter i nationella kvalitets- register måste underställas etikprövningsnämndens bedömning. Utlämnandet av uppgifter måste också alltid föregås av en prövning om uppgifterna får lämnas ut med hänsyn till hälso- och sjukvårds- sekretessen.61 Sekretessprövningen görs av den huvudman som förvaltar uppgifterna.

Varje vårdgivare med ansvar för ett nationellt register har en registerstyrgrupp. Den agerar, utöver det personuppgiftsansvar som ligger på varje vårdgivare, som centralt personuppgiftsansvarig för alla uppgifter i det nationella registret oavsett var uppgifterna förvaras. Det finns en nationell styrgrupp för satsningen som har stöd av ett kansli placerat vid Sveriges kommuner och landsting (SKL). Sats- ningen har också lett till uppbyggnad av ett s.k. registercentrum i var och en av de sex sjukvårdsregionerna. Socialstyrelsen har dessutom byggt upp en enhet för registerservice som har till uppgift att stödja kvalitetsregisterhållare med förbättring av datakvaliteten och forskare med information och dokumentation.

Myndighetens för vårdanalys utvärdering och förslag till fortsatt verksamhet

Myndigheten för vård och omsorgsanalys (Vårdanalys) utvärderade satsningen på kvalitetsregister genom en delrapport och en PM år 201462 och en slutrapport år 201763. Den slutliga utvärderingen är kritisk och anger att satsningen trots att den inneburit förbättringar inte uppnått något av dess effektmål. Utvärderingen visar också att såväl vårdens professioner som forskare, patienter, företag och myndigheter upplever att de inte har tillräcklig tillgång till infor- mation om vårdens kvalitet. En stor mängd data samlas in men informationen är inte tillgänglig för den som behöver den. Myndig- heten rekommenderar därför att man överger de separata nationella kvalitetsregistren till förmån för en mer samlad informationsstruktur, men anser att tills dess dessa förändringar genomförts bör de befintliga registren behållas ”på nuvarande nivå”.64

6125 kap. 1 § offentlighets- och sekretesslagen (2009:400).

62Rapport 2014:38.

63Rapport 2017:39.

64Det vill säga 2017 års i förhållande till 2012–2016 reducerade finansieringsnivå.

109

Behov av forskningsdatabaser

SOU 2018:36

Efter publiceringen av Vårdanalys slutrapport levererade en projektgrupp som tillsatts av den nationella styrgruppen för registren ett förslag till framtida organisation och finansiering av systemet.65 Gruppen föreslår en rad åtgärder i syfte att konsolidera den nuvarande organisationen med kvalitetsregister och regionala kompetenscentra och dess styrning. Den huvudsakliga rollen att stödja kvalitets- registerbaserad forskning bör enligt gruppen ges till staten, medan sjukvårdshuvudmännens ansvar inriktas på utveckling av vårdens kvalitet. En funktion som samordnar forskning och samarbete med livsvetenskapssektorn föreslås inrättas på nationell nivå, men dess närmare organisation beskrivs inte.

Ett långsiktigt beslut om fortsatt finansiering och organisation saknas alltjämt. Den klinikspecifika uppdelning av kvalitetsregistren som motiveras av deras uppföljnings- och kvalitetssäkringsmål behöver inte alltid vara optimal för forskningen, där det ibland finns anledning att inhämta information från olika kliniska register. Den tydligare fördelningen av ansvar mellan staten och huvudmännen som föreslås kan leda till att särskilda statliga satsningar på kliniska forsk- ningsdatabaser kommer att behövas utöver de kvalitetsregister hälso- och sjukvården förvaltar. Det kan mot denna bakgrund ifrågasättas om den organisation som skisseras av styrgruppens projektgrupp kommer att göra kvalitetsregistren till en långsiktig resurs som kan ersätta behovet av särskilda databaser för klinisk och annan forskning som använder uppgifter från hälso- och sjukvården.

Den utveckling av kvalitetsregister som skett under de senaste åren kan inte enligt vår mening ersätta behovet av forskningsdatabaser på den prekliniska och kliniska forskningens områden.

4.3.2Utveckling av ett nationellt biobanksregister och BBMRI

Utvecklingen inom den epigenetiska forskningen har visat på behovet av att kunna koppla samman personers molekylärbiologiska karak- teristika med uppgifter om levnadsvanor och livsvillkor. Det står allt- mer klart att de uttryck medfödda biologiska förutsättningar tar sig inte enbart påverkar, utan också påverkas av, individens livsvillkor.

65Förslag: Framtidens kvalitetsregister, Förslag från projektgrupp tillsatt av Styrgruppen för Nationella Kvalitetsregister, maj 2017.

110

SOU 2018:36

Behov av forskningsdatabaser

Denna insikt har lett till utveckling av långsiktiga forskningsprogram som LifeGene66 och EpiHealth67. I allmänhet står det klart att den framtida kunskapsutvecklingen kräver att genetiska uppgifter på ett effektivt sätt kan kombineras med uppgifter om hälsa och sjukdom och med sociala och ekonomiska uppgifter.

Detta kräver till att börja med samordning och tillgänggörande av den stora mängd provsamlingar som finns i svenska biobanker. Registerforskningsutredningen redogjorde för det samordnings- arbete som intill dess gjorts i det Nationella biobanksrådet (NBR), planer på att utveckla ett nationellt provregister (Svenska Biobanks- registret, SBR), och inrättandet av den europeiska forskningsinfra- strukturen Biobanking and Biomolecular Resources Research Infra- structure (BBMRI)68. Denna utveckling har fortsatt och förstärkts. I Sverige har dessa parallella satsningar på infrastruktur, forskning och hälso- och sjukvård nu slagits samman till den gemensamma resursen Biobank Sverige.69

Registerforskningsutredningen lämnade förslag till reglering av ett nationellt biobanksregister.70 Uppgifterna i registret skulle möjliggöra spårning av prover. Dessutom föreslogs att registret skulle innehålla provsvar. Socialstyrelsen skulle ansvara för registret. Utredningen om regleringen av biobanker har överlämnat sitt slutbetänkande.71 Utred- ningen föreslår att Socialstyrelsen ska föra ett nationellt biobanks- register som ska kunna användas för att spåra prover för bland annat forskningsändamål. Registret föreslås inte innehålla några provsvar.

Vår utredning har också fått i uppdrag att utreda vissa frågor som har med spårbarhet till prover i biobanker att göra. Kapitel 10 inne- håller våra ställningstaganden i denna del.

66https://www.lifegene.se/

67https://www.epihealth.se/vad-ar-epihealth/

68SOU 2017:50, s. 309-11.

69http://biobanksverige.se/

70SOU 2014:45 s. 66–69.

71SOU 2018:4.

111

Behov av forskningsdatabaser

SOU 2018:36

4.3.3Utveckling av stöd till forskning vid statliga myndigheter

Nytt register hos SCB

Ett viktigt tillskott för medicinsk och samhällsvetenskaplig forskning är den registerbaserade folkbokföringen. Det lägenhetsregister som sedan 2006 förs vid Lantmäteriet72 har sedan 2012 kombinerats med uppgifter om vilka personer som är folkbokförda73 på respektive lägenhet.74 Detta görs genom en sambearbetning av registret över totalbefolkningen (RTB) och SCB:s lägenhetsregister. 75 Genom folk- bokföring på lägenhet kan personer som är folkbokförda på samma lägenhet kopplas ihop till bostadshushåll, och hushållens boende kan beskrivas löpande. Detta system ersätter tidigare folkbokföring genom frågeundersökningar, som upphörde i och med 1990 års folk- bokföring. Genom systemet finns nu fullständiga uppgifter över lägenheter och om vem som är bosatt där. Materialet utgör en viktig ny potential för forskningen, förutsatt att det i framtiden på ett effektivt sätt kan tillgängliggöras för forskare med beaktande av integritetsskyddet. Liksom de andra register vid SCB som används för statistikändamål är uppgifterna skyddade genom statistiksekre- tessen.76

Analysdatabaser vid myndigheter

Försäkringskassan har sedan 2003 utvecklat en särskild databas för analysarbete kallad Mikrodata för analys av socialförsäkringen (MiDAS). Enligt Försäkringskassans dokumentation77 syftar denna dels till att minska informationsmängden i myndighetens administra- tiva data, dels till att strukturera data i en enhetlig och lättanvänd form för olika typer av frågeställningar och användare. I myndighetens grunddata finns en mängd administrativa uppgifter som har rensats bort, och uppgifter om försäkringsbeslut som hänför sig till samma

72Lag (2006:378) om lägenhetsregister, https://www.lantmateriet.se/lagenhetsregistret

73Regleras i folkbokföringslagen (SFS 1991:481).

74Se PM Statistiska Centralbyrån Hushållens boende 2016 (SCBDOK 3.2): ” Vidare har folk- bokföringslagen (SFS 1991:481) kompletterats i 6 § med att en person som är bosatt på en fastighet som innehåller flera bostadslägenheter ska folkbokföras även på lägenhet.”

75En bearbetning av Lantmäteriets lägenhetsregister för statistikändamål.

7624 kap. 8 § offentlighets- och sekretesslagen.

77Midas. Sjukpenning och rehabiliteringspenning, PM Försäkringskassan, mars 2011.

112

SOU 2018:36

Behov av forskningsdatabaser

person har länkats samman. Därmed har möjligheten att använda upp- gifter från socialförsäkringen i forskningsverksamhet underlättats.

En motsvarande från grundregister sammanställd databas avsedd för analyser, har sedan tidigare funnits vid SCB. Det är den av forskare flitigt använda Longitudinell integrationsdatabas för sjukförsäkrings- och arbetsmarknadsstudier (LISA)78 och dess föregångare Longitudi- nell databas kring utbildning, inkomst och sysselsättning (LOUISE), som skapades år 2005. Dessa databaser har efter hand intagit en alltmer betydelsefull roll i den registerbaserade forskningen. Forskar- beställningar innebär ofta att utdrag från LISA sambearbetas med uppgifter från andra myndigheter.

Utöver dessa två analysdatabaser finns vid statistikmyndigheterna huvudsakligen databaser som är anpassade för myndigheternas statistikproduktion och som kräver särskild bearbetning för att anpassas för forskningsanvändning.

Registerservice vid Socialstyrelsen

Socialstyrelsen har inom ramen för satsningen på hälso- och sjuk- vårdens kvalitetsregister skapat en särskild verksamhet för att stödja registerbaserad forskning med användning av patientuppgifter. Registerservice betjänar de nationella kvalitetsregistren, statistik- beställare och forskare. Den omfattar såväl information om kvalitets- register som beställningsfunktioner som rör register vid Social- styrelsen. Informationen har härmed förstärkts. Forskare har dock uttryckt att man trots detta ännu inte uppnått tillräcklig snabbhet i handläggningen av ansökningar om forskningsuttag.

Fjärråtkomst till centraliserade databaser

Vid SCB finns, som nämnts ovan (avsnitt 4.2.1), sedan 2004 ett system för fjärråtkomst till registerdata, Microdata Online Access (MONA). Systemet är ett centraliserat system för fjärråtkomst där användaren efter prövning får åtkomst till uppgifter som förvaras vid myndigheten. Det finns också möjligheter att inom systemets ram sambearbeta forskarens egna uppgifter med myndighetens register. Man kan således skicka in egna uppgifter till systemet och få möjlighet

78SOU 2017:50 s. 89.

113

Behov av forskningsdatabaser

SOU 2018:36

att via fjärråtkomst koppla uppgifterna till myndighetsdata. En inter- nationell utvärderingspanel tillsatt av Vetenskapsrådet rekommen- derade år 2014 en rad åtgärder för att stärka systemet, bland annat att inlemma också Socialstyrelsens data i ett fjärråtkomstsystem, att ge MONA en mer självständig ställning i förhållande till värdmyndig- heten SCB, samt att SCB borde etablera en särskild enhet för register- service.79 SCB har sedan dess centraliserat sin forskarservice och viss ytterligare försöksverksamhet har pågått, men forskares tillgänglighet till myndighetsuppgifter på distans har ännu inte på något avgörande sätt underlättats.

Sammanfattning

Den information som finns om uppgifter vid de registerförande statistikmyndigheterna har förbättrats. När det gäller möjligheterna att få ut uppgifter från dessa myndigheters uppgiftssamlingar för forskningsändamål ser situationen i stort sett ut på samma sätt som vid tiden för Registerforskningsutredningens slutbetänkande. Den bild som tecknades av den utredningen när det gäller forskningens behov av centraliserade forskningsdatabaser, som innehåller bearbetade myndig- hetsuppgifter, förefaller därför inte ha påverkats nämnvärt av det utvecklingsarbete som pågått och pågår vid de registerförande statistikmyndigheterna.

4.3.4Vetenskapsrådets satsningar på forskningsdatabaser

Sedan 1 januari 2005 bedriver Vetenskapsrådet en särskild verksamhet med syfte att stödja, utveckla och utvärdera forskningsinfrastruk- turer. Till en början inrättades denna verksamhet som en kommitté vid sidan av de reguljära ämnesråd som finns för olika forsknings- områden.80 Från och med 2009 behandlas bidrag som ges för in- rättande av forskningsinfrastruktur inom ett särskilt Råd för forsk- ningens infrastruktur (RFI).81 Myndighetens satsning på sådan

79Evaluation of the MONA system (Microdata online access), Vetenskapsrådets rapporter 2014, s. 5–6.

80Ämnesråden för humaniora och samhällsvetenskap, medicin och hälsa, samt naturvetenskap och teknikvetenskap. Dessutom finns en kommitté för utbildningsvetenskap.

818 och 14 §§ förordningen (2009:975) med instruktion för Vetenskapsrådet.

114

SOU 2018:36

Behov av forskningsdatabaser

infrastruktur för forskning som innehåller forskningsdatabaser har således ökat. Genom ett regeringsuppdrag år 2013 har en avdelning för forskningsinfrastruktur skapats inom vilken en enhet för register- forskning har inrättats.82 I uppdraget anges följande.

Vetenskapsrådet ska avsätta 25 miljoner kronor inom området infra- struktur för registerbaserad forskning och ska inom myndigheten bygga upp en verksamhet för att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål. Vetenskaps- rådet ska bistå forskare med information om register och om relevant lagstiftning. Vetenskapsrådet ska i samband med årsredovisningen redo- visa till Regeringskansliet (Utbildningsdepartementet) hur uppdraget fortskrider.

Satsningar har vidare gjorts på att i myndighetens regi utveckla informationsstöd,83 på att stödja verksamheten vid Svensk Nationell Datatjänst,84 och på att utlysa infrastrukturbidrag för utveckling av nationella databasinfrastrukturer som samordnar s.k. ”individdata- baser” inom humaniora, medicin och samhällsvetenskap.85

Från och med 200886 har regeringen i varje forskningsproposition identifierat behov av att särskilt stödja utnyttjandet av befolknings- baserade register i forskningen.87 Vetenskapsrådets pågående upp- byggnad av ett system för dokumentation av befolkningsbaserade register och forskningsdatabaser88 förväntas i framtiden underlätta för forskare att utforma ansökningar till anslagsgivare och etikprövnings- nämnder, samt underlätta utlämnandet av uppgifter för forskning från registerförande förvaltningsmyndigheter. Ett registerforskningsråd har inrättats vid Vetenskapsrådet med representanter för forsknings- råd, registerförande myndigheter och forskare. Registerforsknings- rådet innehåller även representanter för den centrala etikprövnings- nämnden, Biobank Sverige och SKL.

82https://www.vr.se/omvetenskapsradet/regeringsuppdrag/regeringsuppdrag/registerbaseradforskning

83Se registerforskning.se

84Se https://snd.gu.se/sv

85Med ”individdatabaser” avses här databaser som innehåller identifierbara eller anony- miserade uppgifter som avser levande eller döda personer.

86Regeringens proposition Ett lyft för forskning och innovation (prop. 2008/09:50), avsnitt 12.2, s. 190–192.

87Prop. 2012/13:30, avsnitt 12.4, s. 147–150 och prop. 2016/17:50, avsnitt 8.2.5 s. 97–98. Anslagen har successivt ökat och når fr.o.m. år 2020 50 mkr per år.

88Register Utility Tool (RUT).

115

Behov av forskningsdatabaser

SOU 2018:36

Vetenskapsrådets bidragsutlysningar år 2012 och 2015 innehöll satsningar på att stödja uppbyggnad av nationella infrastrukturer med fokus på individdatabaser.89 Motiven för detta beskrevs på följande sätt:

Ett stort antal individdatabaser inom medicin och samhällsvetenskap kan bidra till vetenskapliga genombrott inom en rad olika områden, bland annat de områden som behandlar vår tids stora samhällsutmaningar. (……). Longitudinella undersökningar är ofta strategiskt viktiga i detta

avseende. Vidare förhöjs värdet ofta avsevärt av enkätdata/fråge- undersökningar, både longitudinella och andra, genom att lägga till data från olika befintliga befolkningsregister. (………..) Denna typ av kom-

binerade databaser som skapas genom att länka undersökningar till registerdata är värdefulla både från ett nationellt och internationellt perspektiv.

Ett ökat samarbete mellan databaser på det här området förväntas leda till ett antal positiva effekter och chanserna för genombrott i forskningen förväntas öka. Omfattningen av och kvaliteten på framtida under- sökningar kommer att förbättras genom samverkan för datainsamling. Data blir också mer lättillgänglig och nya metoder för parallella analyser av data i olika databaser möjliggörs. Individdatabaser inom samhälls- vetenskap och medicin kommer att täcka områden som är av avgörande betydelse för de närmaste decenniernas forskning, och fortsatt integre- ring av registerdata kommer att ligga till grund för forskning i världsklass. Detta samarbete kommer även att svara mot några av de utmaningar som identifierats när det gäller medicin- och samhällsvetenskapsdatabaser; att undvika dubbelarbete i insamling av data och möjligen avsätta resurser för att garantera tillräckliga svarsfrekvenser (bland annat). Dessutom skapas drivkraft för att åstadkomma olika synergier.90

I det följande ger vi några exempel på infrastruktursatsningar av detta slag.

SwedPoP

SwedPop är en infrastruktur som samordnar de viktigaste historiska befolkningsdatabaserna i Sverige till en gemensam resurs för det nationella och internationella forskarsamhället. Tidsserier som om- fattar hela befolkningen finns tillgängliga från mitten av 1600-talet ända fram till i dag. Data kan användas för att belysa de långsiktiga demografiska, sociala och ekonomiska processer som omformade

89Vetenskapsrådets utlysningar 2012 Bidrag till stora databaser samt 2015 Forsknings- infrastrukturbidrag: Databaser inom samhällsvetenskap och medicin med fokus på individdata (drift), se https://www.vr.se/forskningsfinansiering/sokabidrag/stangdautlysningar

90Områden och infrastrukturer som kan söka Vetenskapsrådets bidrag till infrastruktur av nationellt intresse 2017, Vetenskapsrådet, s. 4–5.

116

SOU 2018:36

Behov av forskningsdatabaser

Sverige, från ett traditionellt bondesamhälle fram till dagens post- industriella välfärdssamhälle. I samordningsprojektet ingår: Demo- grafiska databasen (Umeå universitet), Skånes ekonomiska och demografiska databas (Lunds universitet), SweCens-databasen (Riks- arkivet, Stockholm), Rotemansarkivet (Stadsarkivet i Stockholm), samt Göteborgs Befolkningspanel (avdelningen för ekonomisk historia, Handelshögskolan, GU). Avsikten med samordningen är att skapa en gemensam databasstruktur som förbättrar möjligheten att bedriva jämförande forskning med befolkningsdata.

National Genomics Infrastructure (NGI)

NGI är en gemensam internationellt tillgänglig resurs som används för att sekvensbestämma DNA. Syftet med att sekvensera människors genom är att hitta genvarianter som bär ansvaret för det biologiska arvets orsak till vanliga sjukdomar. NGI Sweden är den svenska delen som sköts av Science for Life Laboratory (SciLifeLab). Den etable- rades år 2013 som en stödresurs och finansieras av Vetenskapsrådet, SciLifeLab, Uppsala universitet, Karolinska Institutet, Kungliga Tekniska högskolan, Stockholms universitet och Uppsala universitet. Inom denna infrastruktur lagras biologiska data som kan hänföras till personer.91

The Swedish Survey Program (SWEEP)

SWEEP är ett nationellt konsortium, dvs. ett formaliserat samarbete mellan flera forskningshuvudmän med gemensamt ansvar, för att tillhandahålla uppgifter från sju av de största samhällsvetenskapliga frågeundersökningarna.92 Syftet med SWEEP är att tillhandahålla data av hög kvalitet som ska hjälpa forskare att förklara dagens stora sam- hällsutmaningar såsom migration, en åldrande befolkning, välfärd och socialt utanförskap.

Det gemensamma för forskningsprogrammen är att de samlar in och distribuerar data om attityder, beteenden, hälsa och livskvalitet över tid baserat på den svenska befolkningen. Tillsammans ska de utgöra

91https://ngisweden.scilifelab.se/

92Dvs. svar från försökspersoner från intervjuer, postenkäter eller digitaliserade formulär.

117

Behov av forskningsdatabaser

SOU 2018:36

grunden för en databasplattform som har kapacitet att vara ett viktigt verktyg för beslutsfattande och den demokratiska diskussionen.93 Uppgifterna i dessa databaser är anonymiserade och utgör därmed inte längre personuppgifter.

National Infrastructure for Ageing Research in Sweden (NEAR)

Under det senaste halvseklet har det skett demografiska förändringar i samhället, vilka utgör långsiktiga utmaningar globalt, och särskilt i utvecklade länder som Sverige som har en växande andel äldre i befolkningen. Detta understryker behovet av att identifiera effektiva och hållbara strategier för en bättre hälsa och vård av äldre personer. NEAR syftar till att

•tillhandahålla högkvalitativa databaser för att utreda folkhälso- relaterade aspekter av åldrandet, såsom den samhälleliga bördan, trender över tid, och bestämningsfaktorer (t.ex. sociala, miljö- mässiga och biologiska/genetiska faktorer) av vanliga sjukdomar (t.ex. hjärt- och kärlsjukdomar, stroke och demens) och hälso- tillstånd (t.ex. multisjuklighet, svaghet, och funktionellt beroende) hos äldre personer;

•erbjuda dataresurser för att bedöma och planera vården för äldre;

•ge information för att identifiera åtgärdsstrategier för att förbättra hälsa, vård och omsorg, och livskvalitet för äldre människor; och

•ge tillförlitliga dataresurser för att ta itu med frågor om social ojämlikhet i åldrande och hälsa.

NEAR innehåller för närvarande 13 enskilda databaser i Sverige.

93I infrastruktursamarbetet ingår studierna: ESS (European Social Survey Programme); ISSP (Inter- national Social Survey Programme); SHARE (The Survey of Health, Aging and Retirement in Europe); LNU (Levnadsnivåundersökningen); SNES (Svensk valundersökning) och SOM-institutet (Samhälle, Opinion, Medier). Där ingår också LORE (Laboratory of Opinion Research), en organisation vid Göteborgs universitet som genomför datainsamlingar via webbenkäter för forsk- ningsändamål.

118

SOU 2018:36

Behov av forskningsdatabaser

Relations, work, and health across the life course (REWHARD)

REWHARD är ett nationellt infrastrukturkonsortium som syftar till att främja forskning om hur aktiviteter (särskilt i betalt och obetalt arbete) och sociala relationer (både i och utanför arbetet) är relaterade till levnadsförhållanden, livsstil och hälsoutveckling över livsför- loppet. Konsortiet arbetar därför för att säkerställa den långsiktiga existensen, utvecklingen och rikstäckande användningen av åtta kom- plementära longitudinella databaser med många upprepade mätningar, både självrapporterade och registerbaserade, av exponeringar och hälsoutfall från barndomen, genom vuxenlivet och in i ålderdomen.94

Swedish Cohort Consortium (COHORTS.SE)

Cohorts.se är ett svenskt samarbete som bildats för att skapa en nationell teknisk och samverkande infrastruktur för kohortstudier, dvs. studier där personer följs över tid. Denna infrastruktur har det långsiktigt vetenskapliga målet att underlätta forskning om risk- faktorer för ovanliga sjukdomar.

Genom ett samutnyttjande av flera kohorter skapas möjligheter för säkrare forskningsresultat. Konsortiet avser att möjliggöra forsk- ning på sällsynta sjukdomar som det i dag är omöjligt eller alltför resurskrävande att genomföra. Målet är att upprätta en gemensam infrastruktur för samtliga svenska prospektiva95 populationsbaserade kohorter, med syfte att stödja alla aspekter av kohortaktiviteter och samarbeten. För tillfället finns ett 40-tal anslutna kohortstudier.96

94I infrastruktursamarbetet ingår studierna: SLOSH (Swedish Longitudinal Occupational Survey of Health), LNU (LevnadsNivåUndersökningen), SWEOLD (The Swedish Panel Study of Living Conditions of the Oldest Old), IMAS (Insurance Medicine – All Sweden), STODS (The Swedish Twin project Of Disability pension and Sickness absence), NOSCO (The Northern Swedish Cohort), SPHC (Scania Public Health Cohort) och UCLS-ES (Uppsala Center for Labor Studies Employer Survey).

95Det vill säga studier där man, till skillnad från retrospektiva studier som blickar bakåt, samlar uppgifter vid studiens början och sedan följer försökspersonerna framåt i tiden., exempelvis med avseende på hur tidig exponering för risk medför sjukdom i ett senare skede eller hur familjebakgrund hänger samman med levnadsvillkor senare i livet.

96http://cohorts.se/

119

Behov av forskningsdatabaser

SOU 2018:36

4.4Vår sammanfattande bedömning

Vår bedömning: Forskare kommer under överskådlig tid att ha behov av att kunna behandla personuppgifter i forskningsdata- baser. Det behövs en reglering som tydliggör det rättsliga stödet för en sådan behandling.

Möjligheterna att använda fjärråtkomst till centraliserade forsk- ningsdatabaser har ökat. Åtkomst genom federerade forsknings- databaser har ännu inte utvecklats till ett realistiskt alternativ.

Det är Forskningsdatautredningens bedömning att digitaliseringen inneburit att behovet av att använda centraliserade forskningsdata- baser har ökat. Inte minst behoven av att samordna stora dynamiska uppgiftssamlingar från hälso- och sjukvården med uppgifter från hälsodataregister och välfärdsregister vid statliga myndigheter medför att forskningsdatabaser med uppgifter från olika registerhållare behöver utvecklas vidare. Den tekniska utvecklingen erbjuder stora möjligheter för forskare att med fjärråtkomst ansluta sig till sådana centraliserade forskningsdatabaser.

Sådana alternativa tekniker för fjärranslutning till federerade system, som erbjuder samtidig fjärråtkomst till uppgifter vid flera olika källor, har ännu inte utvecklats tillräckligt. De klarar ännu inte de tekniska och säkerhetsmässiga krav som måste ställas. Behovet av forskningsdatabaser kan enligt vår bedömning ännu inte ersättas av alternativa tekniker för fjärranslutning. I takt med den tekniska utvecklingen och satsningar på utveckling av sådana system kan behovet av forskningsdatabaser komma att minska i framtiden. Vi bedömer dock att det för överskådlig tid finns ett behov i forskningen av att kunna behandla personuppgifter i särskilda forskningsdatabaser.

120

5Rättsliga förutsättningar för forskningsdatabaser

5.1Inledning

5.1.1Innehåll och disposition

Detta kapitel innehåller en genomgång av de rättsliga förutsätt- ningarna för forskningsdatabaser. Med forskningsdatabas avses i detta sammanhang en databas (uppgiftssamling) med personuppgifter som samlats in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forsk- ningsprojekt. Begreppet diskuteras i kapitel 3.

Vi behandlar i det följande de rättsliga förutsättningarna för registerbaserad forskning för att klargöra vilka möjligheter och problem beträffande forskningsdatabaser som finns enligt gällande rätt. Vi går igenom befintlig internationell och nationell reglering av- seende personlig integritet och behandling av personuppgifter. Genomgången innehåller vidare en analys av relevanta bestämmelser i dataskyddsförordningen1 och lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) samt av aktuella bestämmelser om sekretess och tystnadsplikt.

1Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

121

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

5.1.2Redovisningar av rättsliga förutsättningar i annat offentligt tryck

Vi hänvisar i det följande bl.a. till Registerforskningsutredningens genomgång av rättsliga förutsättningar för registerbaserad forskning i betänkandet Unik kunskap genom registerforskning2. Vidare refererar

vitill dataskyddslagen3 med dess proposition Ny dataskyddslag,4 Dataskyddsutredningens betänkande Ny dataskyddslag – Komplette- rande bestämmelser till EU:s dataskyddsförordning,5 till den genom- gång som finns i vårt delbetänkande Personuppgiftsbehandling för forskningsändamål6 och till utkastet till lagrådsremiss Behandling av personuppgifter för forskningsändamål.7

I betänkandet Unik kunskap genom registerforskning redovisas inledningsvis de rättsliga förutsättningarna för att behandla person- uppgifter inom forskning. Vidare innehåller betänkandet en utförlig redogörelse för rättsliga förutsättningar för registerbaserad forskning. Den centrala rättsliga förändringen sedan Registerforskningsutred- ningens betänkande lämnades är EU:s dataskyddsreform och dataskyddsförordningens tillkomst. Registerforskningsutredningens beskrivning är dock till stor del fortfarande aktuell. Vi kommer därför endast översiktligt redovisa de rättsliga förutsättningarna enligt nu gällande rätt och hänvisar för en mer ingående genomgång till Registerforskningsutredningens betänkande. I kapitel 6 redogör vi för Registerforskningsutredningens uppdrag och förslag samt remiss- instansernas synpunkter på förslagen.

Regeringen har i propositionen Ny dataskyddslag8 redogjort för de allmänna rättsliga konsekvenserna av att dataskyddsförordningen börjar tillämpas. För en generell beskrivning av dataskyddsförord- ningens syfte, tillämpningsområde och de sakliga förändringar tillämpningen av förordningen kommer att innebära hänvisar vi till propositionen och även till Dataskyddsutredningens betänkande.9

2Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45).

3Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

4Regeringens proposition Ny dataskyddslag (prop. 2017/18:105).

5Dataskyddsutredningens betänkande Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39).

6Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål SOU 2017:50).

7Utbildningsdepartementets utkast till lagrådsremiss Behandling av personuppgifter för forsk- ningsändamål (Dnr U2018/01639/F).

8Prop. 2017/18:105.

9SOU 2017:39.

122

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

I vårt delbetänkande (SOU 2017:50) går vi igenom de rättsliga instrument som har särskild betydelse för personuppgiftsbehandling för forskningsändamål. Vidare finns en redogörelse för den reglering av personuppgiftsbehandling för forskningsändamål som gällde före dataskyddsförordningen samt en analys av dataskyddsreformens kon- sekvenser utifrån ett forskningsperspektiv. Vi lämnade i delbetän- kandet ett förslag till en forskningsdatalag. Detta kapitel (avsnitt 5.3) innehåller en översiktlig genomgång av de bestämmelser i dataskydds- förordningen som är särskilt viktiga när det gäller personuppgifts- behandling för forskningsändamål. För fördjupning och detaljer i denna del hänvisar vi till delbetänkandet.

Utöver Dataskyddsutredningens generella översyn som lett fram till propositionen Ny dataskyddslag samt den första delen av vårt uppdrag har flera andra utredningar analyserat konsekvenserna av dataskyddsförordningen för specifika sektorer. I de betänkanden som dessa utredningar har presenterat och i de propositioner som dessa lett till finns också genomgångar av gällande rätt och de delvis nya förutsättningar som kommer att gälla när dataskyddsförordningen ska börja tillämpas, se t.ex. Socialdataskyddsutredningens och Utbild- ningsdatautredningens betänkanden10 samt propositionen Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning11 och propositionen Behandling av personuppgifter på utbildningsområdet12.

5.2Rättsliga förutsättningar för registerbaserad forskning

5.2.1Internationell reglering

Sverige har vissa internationella åtaganden när det gäller att säkerställa respekten för grundläggande fri- och rättigheter, däribland rätten till personlig integritet i samband med automatisk databehandling av

10Socialdataskyddsutredningens betänkande Dataskydd inom Socialdepartementets verksam- hetsområde (SOU 2017:66) och Utbildningsdatautredningens betänkande EU:s dataskydds- förordning och utbildningsområdet (SOU 2017:49).

11Regeringens proposition Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171).

12Regeringens proposition Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218).

123

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

personuppgifter.13 I FN:s allmänna förklaring om de mänskliga rättigheterna och FN:s internationella konvention om medborgerliga och politiska rättigheter stadgas att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem och korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Vidare har FN:s generalförsamling antagit riktlinjer om datoriserade register med personuppgifter. Dessa riktlinjer innehåller principer för person- uppgiftsbehandling.

Enligt artikel 8 Europakonventionen har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikeln innefattar en skyldighet för det offentliga att avhålla sig från ingrepp i den enskildes privat- och familjeliv och en offentlig myndighet får bara begränsa den enskildes rätt med stöd av lag. Sverige är också bundet till Europarådets konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Dataskyddskonven- tionen.14 Till konventionen finns en rad rekommendationer om hur personuppgifter bör behandlas inom olika områden.

Inom OECD har riktlinjer utarbetats avseende integritetsskydd och flödet av personuppgifter över gränserna. Syftet med dessa riktlinjer är att försöka undvika de risker för intrång i den personliga integriteten och individens frihet som behandling av personuppgifter kan utgöra. Sverige har godtagit OECD:s rekommendation att beakta riktlinjerna i nationell lagstiftning.

EU:s stadga om de grundläggande rättigheterna innehåller också bestämmelser om skydd för den personliga integriteten. Enligt stadgan har var och en rätt till fysisk och mental integritet, till respekt för sitt privat och familjeliv, sin bostad och sina kommunikationer samt till skydd för personuppgifter som rör honom eller henne.

När det gäller internationella dokument till skydd för den enskilde inom hälso- och sjukvård samt forskning finns Europarådets konven- tion om mänskliga rättigheter och biomedicin (Konventionen angående skydd av de mänskliga rättigheterna och människans värdig- het med avseende på tillämpningen av biologi och medicin)15 samt de forskningsetiska riktlinjerna i Helsingforsdeklarationen.

13För en mer detaljerad genomgång såväl när det gäller internationell som nationell reglering, se SOU 2014:45 s. 115 ff. Se också avsnitt 3.2 i vårt delbetänkande.

14Konventionstexten har efter flera års arbete uppdaterats i maj 2018. http://www.coe.int/en/web/data-protection/convention108/modernisation.

15Konventionen har fortfarande inte ratificerats av Sverige.

124

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

5.2.2Regeringsformen

I regeringsformen, förkortad RF, finns de grundläggande bestäm- melserna till skydd för den personliga integriteten. I målsättnings- stadgandet i 1 kap. 2 § RF anges att den offentliga makten ska utövas med respekt bland annat för den enskilda människans frihet och att det allmänna ska värna om den enskildes privat- och familjeliv. Vidare finns ett grundlagsskydd mot intrång i den personliga integriteten i 2 kap. 6 § andra stycket RF. Här stadgas att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden.

Bestämmelsen i andra stycket infördes år 2010. Det utökade rättighetsskyddet tar sikte på att skydda den personliga integriteten mot vissa intrång som kan anses vara särskilt känsliga.16 I pro- positionen uttalades att avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervakning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åt- gärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen. Bestämmelsen omfattar endast sådana intrång som på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omständigheter innebär ett betydande ingrepp i den enskildes privata sfär.17

En begränsning av rättigheterna i 2 kap. 6 § andra stycket RF ska för att vara tillåten enligt 2 kap. 20 § RF stadgas i lag. En begränsning enligt 2 kap. 20 § RF får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Enligt 2 kap. 21 § RF ska begränsningsändamålet vara godtagbart, inte gå onödigt långt, inte vara ett hot mot opinionsbildningen och får inte innebära någon diskriminering på grund av åskådning i centrala hän- seenden.

16Regeringens proposition En reformerad grundlag (prop. 2009/10:80) s. 177.

17Prop. 2009/10:80 s. 250.

125

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Det har i många lagstiftningsärenden uttalats att myndighets- register med ett stort antal registrerade och ett särskilt känsligt innehåll ska reglers särskilt genom lag. I kapitel 7, 8 och 13 diskuteras frågorna om integritetsintrång, lagkrav och proportionalitet när det gäller behandling av personuppgifter i databaser.

5.2.3EU:s dataskyddsreglering

Inom EU reglerade dataskyddsdirektivet18 behandling av person- uppgifter på helt eller delvis automatiserad väg fram till dess att data- skyddsförordningen började tillämpas. Det fanns även vissa komplet- terande rättsakter. Dataskyddsdirektivet genomfördes i svensk rätt genom personuppgiftslagen (1998:204) och personuppgiftsförord- ningen (1998:1191).

Personuppgiftslagen var subsidiär i förhållande till andra författ- ningar. Bestämmelser som avvek från personuppgiftslagen skulle således tillämpas i stället.

Dataskyddsdirektivet och personuppgiftslagen har ersatts av data- skyddsförordningen som började tillämpas den 25 maj 2018. I skäl 9 i förordningen konstateras att dataskyddsdirektivet inte har kunnat förhindra bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av unionen. Skillnader i nivån på skyddet av personuppgifter kan enligt detta beaktandeskäl förhindra det fria flödet av personuppgifter och kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, riskera att snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten.

Enligt artikel 1 i dataskyddsförordningen är syftet med förord- ningen att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Vidare anges att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.

Det anges i skäl 159 i dataskyddsförordningen att all reglering av vetenskaplig forskning ska ta hänsyn till unionens målsättning att uppnå ett europeiskt forskningsområde. Denna målsättning har

18Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter. Dataskyddsdirektivet genomfördes i svensk rätt genom personuppgiftslagen.

126

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

formulerats i artikel 179.1 i fördraget om europeiska unionens funk- tionssätt.

Dataskyddsförordningen kompletteras i svensk lagstiftning av den nya dataskyddslagen, lag (2018:218) med kompletterande bestäm- melser till EU:s dataskyddsförordning. Dataskyddslagen innehåller anpassningar och kompletterande bestämmelser på ett generellt plan. Precis som personuppgiftslagen är dataskyddslagen subsidiär i för- hållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i s.k. registerförfattningar.

Registerförfattningarna reglerar inrättandet av och förfarandet för viktigare register på det offentliga området. Som exempel på sådan registerlagstiftning som reglerar register som kan användas i forskning kan nämnas lagen (1998:543) om hälsodataregister, patientdatalagen (2008:355), lagen (2002:297) om biobanker i hälso- och sjukvården

m.m.(biobankslagen) och lagen (1999:353) om rättspsykiatriskt forskningsregister.19

I ett första skede har vår utredning haft i uppdrag att undersöka vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den allmänna reglering som Dataskyddsutredningen skulle föreslå.20 Vi lämnade i delbetänkandet förslag till en lag som ska komplettera dataskyddsförordningen vid personuppgiftsbehandling för forskningsändamål, en forskningsdata- lag. Syftet med den föreslagna forskningsdatalagen var att möjliggöra personuppgiftsbehandling för forskningsändamål samtidigt som den enskildes fri- och rättigheter skyddas. Forskningsdatalagen skulle enligt förslaget vara tillämplig på all personuppgiftsbehandling för forskningsändamål oavsett om den utförs av offentligrättsliga eller privaträttsliga forskningsaktörer. Delbetänkandet har remissbehand- lats. Utbildningsdepartementet har i utkast till lagrådsremiss Person- uppgiftsbehandling för forskningsändamål inte gått vidare med förslaget till forskningsdatalag.

Vi hänvisar när det gäller allmänna rättsliga konsekvenser av data- skyddsförordningen till den redogörelse som Dataskyddsutredningen gör i SOU 2017:39 och till den redogörelse som finns i propositionen Ny dataskyddslag21. När det gäller konsekvenser utifrån ett forsk- ningsperspektiv hänvisar vi till vårt delbetänkande.

19Se kapitel 9 och Registerforskningsutredningens genomgång i avsnitt 5.3.6 i SOU 2014:45.

20Dir. 2016:65.

21Prop. 2017/18:105.

127

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

5.2.4Rätt för forskare att få del av personuppgifter

Forskare har rätt att ta del av uppgifter från myndigheter med stöd av rätten att ta del av allmänna handlingar enligt tryckfrihetsförord- ningen, förkortad TF. Hantering av allmänna handlingar och sekre- tessfrågor regleras i offentlighets- och sekretesslagen (2009:400). Statistikansvariga myndigheter har rättsligt stöd i personuppgifts- lagen och förvaltningslagen (1986:223)22 när det gäller att bistå forsk- ningshuvudmännen med sambearbetning av uppgifter, alltså uppgifter ur olika register som då också kan finnas hos flera olika myndigheter.23 I personuppgiftslagen finns krav på de personuppgiftsansvariga när det gäller skydd och säkerhet för personuppgifter.24

Enligt 12 § etikprövningslagen får personuppgifter lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt. Enligt förarbetena till etikprövningslagen ska paragrafen läsas mot bakgrund av 24 § första och andra styckena personuppgiftslagen. Där framgår att om personuppgifter samlats in från någon annan källa än den registrerade, ska den personuppgifts- ansvarige självmant lämna den registrerade information om behand- lingen av uppgifterna när de registreras. Sådan information behöver dock inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan för- fattning. En sådan bestämmelse om utlämnande av personuppgifter för användning i forskning är 12 § etikprövningslagen. Enligt denna bestämmelse behöver forskaren som hämtar in personuppgifter från något annat håll än den registrerade inte informera den registrerade om sin personuppgiftsbehandling.

Bestämmelsen innebär inte någon skyldighet att lämna ut person- uppgifter. Den tillåter bara att den som innehar uppgifterna lämnar ut dem ifall inte något annat följer av regler om sekretess och tystnads- plikt. I delbetänkandet föreslog vi att 12 § etikprövningslagen ska flyttas till den i betänkandet föreslagna forskningsdatalagen.25

22Förvaltningslagen (2017:900) träder i kraft den 1 juli 2018.

23Se vidare SOU 2014:45 s. 334 ff.

24Se vidare SOU 2014:45 s. 340 ff.

25SOU 2017:50 s. 363 ff.

128

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

5.3Några viktiga bestämmelser i dataskyddsförordningen

5.3.1Inledning

För att behandling av personuppgifter i en forskningsdatabas ska vara laglig måste de grundläggande reglerna för dataskydd i dataskydds- förordningen och dataskyddslagen uppfyllas. I propositionen till dataskyddslagen finns en genomgång av dessa bestämmelser i för- ordningen och av bestämmelserna i dataskyddslagen.

I vårt delbetänkande lämnade vi förslag till en forskningsdatalag som skulle komplettera dataskyddsförordningen och dataskydds- lagen. Utbildningsdepartementet har enligt utkast till lagrådsremissen Behandling av personuppgifter för forskningsändamål inte för avsikt att föreslå en forskningsdatalag. I utkastet finns en genomgång av departementets bedömningar när det gäller våra förslag i delbetän- kandet och möjligheterna till en ändamålsenlig behandling av person- uppgifter för forskningsändamål.

Vi hänvisar till den nämnda propositionen, vårt delbetänkande och det nämnda utkastet till lagrådsremiss och går här endast översiktligt igenom de bestämmelser och de bedömningar som vi anser är av särskilt intresse för vårt uppdrag i denna del.

5.3.2Rättslig grund

Allmänt om rättslig grund enligt dataskyddsförordningen

Vid behandling av personuppgifter krävs att åtminstone ett av villkoren i artikel 6.1 a–f i förordningen är uppfyllt för att behand- lingen ska vara laglig – ha rättslig grund. De rättsliga grunderna för laglig behandling av personuppgifter som räknas upp i artikel 6 är i stort sett desamma som i dataskyddsdirektivet och personuppgifts- lagen. De punkter i artikeln som kan bli aktuella som rättslig grund för personuppgiftsbehandling för forskningsändamål är punkterna a (samtycke), e (uppgift av allmänt intresse) och f (intresseavvägning).

En viktig förändring i dataskyddsförordningen som har betydelse för offentliga forskningshuvudmän är att myndigheter inte längre kan åberopa den rättsliga grunden intresseavvägning som de tidigare kunnat göra enligt 10 § f personuppgiftslagen som grund för sin

129

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

behandling när de fullgör sina uppgifter. Enligt förordningen måste myndigheter i stället kunna ange en annan rättslig grund för sin behandling.

Av skäl 43 framgår vidare att samtycke inte ska kunna utgöra giltig rättslig grund för behandling i de fall där det råder betydande ojäm- likhet mellan den registrerade och den personuppgiftsansvarige, och då särskilt om den personuppgiftsansvarige är en offentlig myndighet. Även om detta inte innebär någon betydande förändring jämfört med dagens rättsläge är det ett förtydligande av vad som gäller för att ett samtycke ska kunna betraktas som frivilligt (se vidare nedan).

En annan viktig förändring är att den rättsliga grunden i artikel 6.1 c (rättslig förpliktelse) och e (uppgift av allmänt intresse) enligt artikel 6.3 måste vara fastställd i unionsrätten eller nationell rätt. Det kravet finns inte uttryckt i dataskyddsdirektivet i dag.

Samtycke

Allmänt om samtycke

Den rättsliga grunden samtycke stadgas i 6.1 a i dataskyddsförord- ningen. Personuppgiftsbehandling för forskningsändamål kan grundas på att den registrerade lämnat sitt samtycke för ett eller flera specifika ändamål. Samtycke kan användas som rättslig grund för alla slags personuppgifter, även känsliga personuppgifter (angående känsliga personuppgifter, se avsnitt 5.3.3). Den rättsliga grunden samtycke behöver inte vara fastställd i unions- eller nationell rätt och någon ytterligare reglering avseende den rättsliga grunden i nationell rätt är inte möjlig.

I delbetänkandet finns en analys av definitionen av samtycke i artikel 4.11 i dataskyddsförordningen och de begrepp som beskriver ett giltigt samtycke: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne, samt för känsliga personuppgifter (artikel 9.2 a) uttrycklig, viljeyttring. Vår bedömning är att dataskyddsförordningen inte innebär några bety- dande förändringar när det gäller de krav som ska vara uppfyllda för att ett samtycke ska anses vara giltigt jämfört med nu gällande rätt.

130

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

Utvidgad möjlighet till breda samtycken

Skäl 33 i dataskyddsförordningen innebär en utvidgning av det möjliga utrymmet för samtycke när syftet inte fullt ut kan identifieras vid insamlingstillfället, såsom när uppgifter samlas in till forsk- ningsdatabaser. I skäl 33 anges nämligen att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Vidare anges att registrerade därför bör kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas.

Skäl 33 måste enligt vår bedömning ses som en tydligt uttryckt ambition att tillåta bredare samtycken för forskningsändamål än vad som hittills varit fallet. Registrerade bör i enlighet med vad som anges i skäl 33 ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. Som vi konstaterat i delbetänkandet är en förutsättning dock att detta kan göras utan avkall på kraven att specificera ändamålen. Forskningsändamålen kan således vid sam- tycke båda vara specifika och någorlunda breda.26

Kravet på frivillighet

Ett samtycke ska vara frivilligt. Det innebär att det ska vara tydligt att ingen form av tvång, påtryckning eller negativa konsekvenser av ett uteblivet samtycke får förekomma. För att säkerställa att samtycket lämnas frivilligt bör det enligt skäl 43 inte utgöra giltig rättslig grund för behandling av personuppgifter i sådana situationer när det råder betydande ojämlikhet mellan den registrerade och den person- uppgiftsansvarige. Det ska särskilt gälla om den personuppgifts- ansvarige är en offentlig myndighet om det därför är osannolikt att samtycket har lämnats frivilligt. Även om detta inte innebär någon betydande förändring jämfört med dagens rättsläge är det ett för- tydligande av vad som gäller för att ett samtycke ska kunna betraktas som frivilligt.

I delbetänkandet analyserade vi vad som gäller för samtycke enligt

6.1 a med hänsyn till vad som anges i skäl 43. Vi gjorde bedömningen

26SOU 2017 :50 s. 171.

131

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

att möjligheten att använda samtycke som rättslig grund för person- uppgiftsbehandling för forskningsändamål behöver prövas i varje enskilt fall, som en del av bedömningen av giltigheten av det in- hämtade samtycket. Vi menar att det för privaträttsliga forsknings- aktörer vanligtvis inte råder betydande ojämlikhet när person- uppgifter behandlas för forskningsändamål, men att det kan vara fallet i det som benämns ”en särskild situation”. I delbetänkandet nämns olika exempel på sådana särskilda situationer.27

Även när det gäller offentliga forskningsutförare kan det förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroende- ställning i förhållande till den personuppgiftsansvarige. För statliga forskningsutförare med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid en sådan inrättning.

Nytt samtycke vid ytterligare behandling

När det gäller ytterligare behandling vid ett senare tillfälle av in- samlade personuppgifter har vi i delbetänkandet konstaterat följande. En forskningsaktör som har samlat in personuppgifter vid ett tillfälle för visst forskningsändamål, får behandla uppgifterna för ytterligare forskningsändamål utan krav på att ange en ny rättslig grund. När det gäller den situationen att personuppgifter utlämnas till annan person- uppgiftsansvarig för behandling för forskningsändamål, är den nya behandlingen alltjämt att anse som förenlig med den ursprungliga så länge det nya ändamålet är forskning. Dock måste den andra person- uppgiftsansvariga i sin tur åberopa en ny rättslig grund för behand- lingen, såsom forskning av allmänt intresse enligt 6.1 e.28

Även när uppgifterna samlats in med stöd av samtycke är ytter- ligare behandling av personuppgifter för forskningsändamål hos samma personuppgiftsansvarig inte oförenlig med de ursprungliga ändamålen enligt artikel 5.1 b i dataskyddsförordningen. I skäl 50 i dataskyddsförordningen anges att detta (5.1 b) ska tolkas så att det inte krävs någon ny rättslig grund för sådan behandling. Enligt Europarådets rekommendation nr R (83) 10 om skydd för person- uppgifter som används vid forskning och statistik bör dock den

27Se SOU 2017:50 s. 163 ff.

28Se SOU 2017:50 s. 146 f och 161 ff.

132

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

personuppgiftsansvarige inte behandla sådana uppgifter för ändamål som på ett avgörande sätt skiljer sig från det ursprungliga ändamålet, utan att ett nytt samtycke inhämtas där detta är lämpligt och praktiskt möjligt.29

Uppgift av allmänt intresse

Enligt artikel 6.1 e är behandlingen laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Genom 6.3 förstärks kopp- lingen mellan den rättsliga grunden och kravet på särskilda, uttryckligt angivna och berättigade ändamål (se avsnitt 5.3.6 om ändamåls- begränsning). I andra stycket anges nämligen att syftet med behand- lingen ska fastställas i den rättsliga grunden eller vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning.

Att grunden enligt artikel 6.3 i dataskyddsförordningen ska vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av innebär inte att det krävs en reglering i den nationella rätten av den personuppgiftsbehandling som ska ske med stöd av artikel 6.1.e utan det som måste ha stöd i rätts- ordningen är i stället uppgiften av allmänt intresse.

I dataskyddslagen finns en bestämmelse som tydliggör att begreppet uppgift av allmänt intresse avser en uppgift av allmänt intresse som utförs med stöd av gällande rätt. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskydds- förordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett stöd i den personuppgiftsansvariges myndig- hetsövning enligt lag eller annan författning.30

I propositionen till dataskyddslagen anges att regeringen gör bedömningen att alla uppgifter som riksdag eller regering gett i upp- drag åt statliga myndigheter att utföra är av allmänt intresse samt att på motsvarande sätt de obligatoriska uppgifter som ålagts kommuner och landsting att utföra är av allmänt intresse.

29Se SOU 2017:50 s. 180.

30Prop. 2017/18:105 och SOU 2017:39 s. 41.

133

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

När det gäller forskning gör Utbildningsdepartementet i utkastet till lagrådsremiss Behandling av personuppgifter för forskningsända- mål31 bedömningen att presumtionen bör vara att uppgiften att forska är en uppgift av allmänt intresse i dataskyddsförordningens mening. Departementet konstaterar bland annat följande. Sådan behandling av personuppgifter för forskningsändamål som har tillåtits med stöd av 10 § d PUL, dvs. på den grunden att den har ansetts nödvändig för att utföra en arbetsuppgift av allmänt intresse, får också anses som nöd- vändig behandling för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. En väsentlig förändring i förhållande till vad som gäller enligt personuppgiftslagen är som fram- kommit ovan emellertid att det inte räcker med att behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande rätt.

I propositionen till dataskyddslagen konstateras att det inte är någon nyhet att en uppgift av allmänt intresse ska vara fastställd i enlighet med gällande rätt när det gäller svenska myndigheters behandling av personuppgifter eftersom legalitetsprincipen är en av de principer som kännetecknar Sverige som rättsstat. Vidare konstateras följande. Legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § RF, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som riksdagen har beslutat, utan även andra författningar och t.ex. sedvanerätt. Legali- tetsprincipen innebär alltså att myndigheternas maktutövning i vid- sträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen.32

Av skäl 41 i dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Euro- peiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Regeringen gör i propositionen till dataskyddslagen bedömningen att vilken grad av tydlighet och precision som krävs i

31 Utbildningsdepartementets utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F).

32Prop. 2017/18 :105 s. 50.

134

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

fråga om den rättsliga grunden för att en viss behandling av person- uppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär.

På forskningsområdet innebär detta att uppgiften att forska måste vara reglerad i den nationella rätten på det sätt som framgår av 2 kap. 2 § 1 dataskyddslagen för att den rättsliga grunden i artikel 6.1 e ska vara tillämplig och kunna åberopas. Det ställs däremot inte något krav enligt dataskyddsförordningen på att uppgiften att forska ska vara fastställd för respektive forskningsutförare i separata författningar.

Utbildningsdepartementet har gjort bedömningen att det inte bör införas en sådan bestämmelse som vi föreslog i delbetänkandet, där det enligt förslaget skulle anges att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare.

Departementet har i utkastet till lagrådsremiss i stället gjort följande bedömning. För universitet och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För de statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen.

När det gäller kommuner och landsting kan forskningsuppgiften vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen.

Vidare konstaterar departementet att en privaträttslig forsknings- utförares forskningsuppgift är fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikpröv- ningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt och när det är fråga om forskningsprojekt som inte involverar känsliga personuppgifter eller personuppgifter som avser lagöverträdelser behöver en privat forskningsutförare åberopa andra rättsliga grunder. Privata forskningsutförare har då möjlighet att bedriva forskning med samtycke eller efter en intresseavvägning.

135

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Intresseavvägning

Enligt artikel 6.1 f är behandlingen laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Av artikel 6.1 andra stycket framgår att detta inte ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta utgör en betydande skillnad mot tidigare lag- stiftning eftersom motsvarande bestämmelse i personuppgiftslagen får tillämpas även av myndigheter.

Bakgrunden till begränsningen beskrivs närmare i skäl 47 i för- ordningen. Där framhålls bland annat att denna rättsliga grund inte bör gälla den behandling offentliga myndigheter utför som ett led i fullgörandet av sina uppgifter med tanke på att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för myndigheternas behandling av personuppgifter. Offentliga forsk- ningsaktörer kan alltså inte tillämpa den rättsliga grunden intresse- avvägning som grund för sin personuppgiftsbehandling.

För privata forskningsaktörer är intresseavvägning en möjlig grund att tillämpa. Som framgått ovan är det bara när det är fråga om forskning som inte involverar känsliga personuppgifter eller person- uppgifter som avser lagöverträdelser som en privat forsknings- utförare behöver åberopa andra rättsliga grunder än grunden uppgift av allmänt intresse. Eftersom presumtionen är att forskning är ett berättigat intresse finns det stora möjligheter att i sådana fall behandla personuppgifter för forskningsändamål efter en intresse- avvägning.33

5.3.3Känsliga personuppgifter

I artikel 9.1 i dataskyddsförordningen anges att behandling av känsliga personuppgifter34 är förbjuden. De personuppgifter som avses är sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska

33Se Utbildningsdepartementets utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F).

34Vi väljer att liksom Dataskyddsutredningen använda termen ”känsliga personuppgifter” för sådana uppgifter som i dataskyddsförordningen benämns ”särskilda kategorier av person- uppgifter”, se SOU 2017:50 s. 186.

136

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv eller sexuell läggning. Från huvudregeln att det är förbjudet att behandla känsliga personuppgifter finns ett antal undantag i artikel 9.2. Vår bedömning är att undantagen i punkterna a, g och j kan bli aktuella i fråga om behandling av personuppgifter i forskningsdatabaser.

Känsliga personuppgifter får enligt 9.2 a behandlas om den regist- rerade uttryckligen har lämnat sitt samtycke. I förordningens artikel 9.2 a finns liksom i dataskyddsdirektivet en möjlighet för med- lemsstaterna att föreskriva att den registrerade inte kan samtycka till behandling av känsliga personuppgifter. Dataskyddsutredningen har gjort bedömningen att det inte har framkommit något som talar för att det nu bör införas ett förbud mot behandling trots den registre- rades samtycke.

Undantag från förbudet avseende viktigt allmänt intresse finns i artikel 9.2 g. Av det undantaget framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätt eller nationell rätt. Sådan rätt måste även innehålla lämpliga och särskilda skyddsåtgärder. Begreppen allmänt intresse och viktigt allmänt intresse är unions- rättsliga och finns även i artiklarna 7 e och 8.4 i dataskyddsdirektivet.

Ett ytterligare undantag från förbudet finns i artikel 9.2 j, om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, med motsvarande krav på lämpliga och särskilda skydds- åtgärder. Av artikel 89.1 följer att all personuppgiftsbehandling för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Undantag från förbudet att behandla känsliga personuppgifter kräver att nationell rätt innehåller bestämmelser om skyddsåtgärder.35

35 Känsliga personuppgifter och personuppgifter om lagöverträdelser får behandlas för forskningsändamål om behandlingen har godkänts enligt etikprövningslagen, se avsnitt 5.4.

137

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

5.3.4Personuppgifter om lagöverträdelser m.m.

I artikel 10 i dataskyddsförordningen regleras behandling av ”person- uppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder”. Det stadgas att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. För att behandling av sådana personuppgifter om lagöverträdelser m.m. ska vara möjlig för forskningsändamål för andra än myndigheter behövs reglering i nationell rätt. Sådan lagstiftning ska även fastställa lämpliga skyddsåtgärder.36

5.3.5Principer för personuppgiftsbehandling

Artiklarna 5–11 i dataskyddsförordningen innehåller principer, såsom grundläggande principer för behandling av personuppgifter, vad som gäller för att behandling av personuppgifter ska vara laglig, villkor för samtycke och behandling av känsliga personuppgifter (särskilda kategorier av personuppgifter). I artikel 5 stadgas allmänna krav som gäller för all personuppgiftsbehandling. Artikel 5 i dataskyddsförord- ningen motsvarar i stora drag artikel 6 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 9 § PUL.

I artikel 5 i dataskyddsförordningen anges följande principer för behandling av personuppgifter:

•laglighet, korrekthet och öppenhet,

•ändamålsbegränsning,

•uppgiftsminimering,

•korrekthet

•lagringsminimering,

•integritet och konfidentialitet samt

36För en genomgång av alla led i artikel 10, se SOU 2017:50 s. 206 ff.

138

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

•ansvarsskyldighet.

5.3.6Ändamålsbegränsning

Artikel 5.1 b

I dataskyddsförordningen stadgas om ändamålsbegränsning i artikel 5.1 b.37 Personuppgifter ska enligt denna bestämmelse samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.

Att uppgifterna inte senare får behandlas på ett sätt som är oförenligt med det ursprungliga ändamålet för vilket uppgifterna samlades in kallas finalitetsprincipen. Från finalitetsprincipen finns det så kallade forskningsundantaget. Ytterligare behandling för bland annat vetenskapliga eller historiska forskningsändamål ska enligt artikel 5.1 b inte anses vara oförenlig med de ursprungliga ändamålen. Skrivningen innebär alltså att ytterligare behandling av person- uppgifter för forskningsändamål, precis som tidigare enligt person- uppgiftslagen, är särskild gynnad. Även om ytterligare behandling av personuppgifter för forskningsändamål inte ska anses stå i strid med de ursprungliga ändamålen gäller kravet på att ändamålet ska vara särskilt, inte allmänt.

Behandling får alltså, i nuläget enligt personuppgiftslagen och även när dataskyddsförordningen börjar tillämpas, bara genomföras för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgif- terna får sedan inte behandlas på ett sätt som är oförenligt med dessa ändamål. De på förhand fastställda ändamålen sätter ramarna för behandlingen.

Syftet är öppenhet, rättssäkerhet och förutsägbarhet så att den registrerade skyddas genom att ramarna blir tydliga för hur upp- gifterna får användas. Det måste därför noga övervägas till vilket ändamål insamlade personuppgifterna ska användas. Att ändamålet ska vara särskilt medför att alltför allmänt hållen ändamålsangivelse inte godtas.

I skäl 39 i dataskyddsförordningen anges bland annat att de speci- fika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna

37Motsvarande reglering finns i 9 § personuppgiftslagen.

139

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

samlades in, att personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Vidare anges att detta i synnerhet kräver att den period under vilken personuppgifterna lagras är begränsade till ett strikt minimum och att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.

Ändamålsbegränsningen som stadgas i artikel 5 har ett nära sam- band med kravet på laglig behandling i artikel 6. Personuppgifts- behandling för forskningsändamål grundat på samtycke bygger enligt

6.1a på att den registrerade lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Ett tydligt angivet ändamål är som regel en förutsättning för att det ska kunna bedömas om en viss behandling är laglig, alltså om ett giltigt samtycke föreligger (6.1 a) eller om den är nödvändig i något av de sammanhang som räknas upp i artikel 6.1 b–f. När det gäller samtycke måste den enskilde, utifrån ändamålet, kunna ge ett samtycke till att uppgifterna om den enskilde används i den aktuella forskningen.

Principen om att ändamålen ska vara berättigade enligt artikel 5.1 b utgör en direkt koppling till de rättsliga grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5. Kravet på att ända- målen ska vara berättigade går dock längre än så och omfattar även ett krav på förenlighet med till exempel konstitutionella och andra rättsliga principer. Vidare kan även det allmänna sammanhanget och omständigheterna i det aktuella ärendet vara av betydelse för bedöm- ningen av om ändamålen är berättigade.38

Ändamålsbegränsningen har också betydelse för att Data- inspektionen39 ska kunna bedöma om behandling av personuppgifter är förenlig med förordningen. Vidare har ändamålsbegränsningen betydelse för att etikprövningsnämnden40 ska kunna göra bedöm- ningen avseende nyttan av forskningen och väga den mot riskerna för de enskilda. Dessutom har ändamålsbegränsningen betydelse för att

38Artikel 29-gruppens yttrande 3/2013 om ändamålsbegränsning (Opinion 03/2013 on purpose limitation), s. 11 f. och 19 f.

39I ett pressmeddelande den 15 december 2017 informerar regeringen att den kommer att tillföra Datainspektionen 30 miljoner kronor för att stärka arbetet med den personliga integriteten. Myndigheten föreslås också att byta namn till Integritetsskyddsmyndigheten. Dessutom ska myndighetens uppdrag ändras så att dess stödjande och rådgivande roll blir tydligare.

40I januari 2019 ändras organisationen på så sätt att Centrala etikprövningsnämnden och de nuvarande sex regionala etikprövningsnämnderna ersätts av Överklagandenämnden för etikprövning och en ny myndighet; Etikprövningsmyndigheten, se vidare avsnitt 5.4.

140

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

statistikansvariga utlämnande myndigheter ska kunna bedöma vilka uppgifter som behövs för forskningen i fråga vid sekretessprövningen enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), för- kortad OSL (se avsnitt 5.5).

Ändamålsbegränsning och forskningsdatabaser

Ändamålsbegränsningen har ansetts vara ett hinder för större forsk- ningsdatabaser med personuppgifter som är avsedda att tillhandahålla uppgifter till fler än ett framtida forskningsprojekt. Vid en forsknings- databas bildande krävs det att ändamålet för personuppgiftsbehand- lingen är tillräckligt tydligt för att kunna godtas. Svårigheter kan därvid uppstå eftersom det vid större forskningsdatabasers tillkomst inte alltid är klart inom vilka forskningsprojekt uppgifterna kan komma att behandlas. När uppgifterna ska kunna användas i olika forskningsprojekt med olika inriktningar behöver ändamålsbeskriv- ningarna anpassas efter detta. Frågan om ändamålet har en stark koppling till frågan om möjligheten till etikprövning, se avsnitt 5.4.

Hur bred en ändamålsbeskrivning, och ett därtill kopplat sam- tycke, lagligen kan vara har diskuterats i olika sammanhang.41 I för- arbetena till bestämmelsen om ändamålsbegränsning i personupp- giftslagen angavs att en alltför allmänt hållen ändamålsangivelse inte kan godtas men hur pass detaljerad den ska vara för att uppfylla lagens krav på att vara ”särskild” förutsattes avgöras i praxis och genom kompletterande föreskrifter.

I kommentaren till 9 § personuppgiftslagen konstateras att om inte ändamålet har en viss grad av precision går det knappast att bedöma om personuppgifterna är adekvata och relevanta eller om för många personuppgifter behandlas. Vidare anförs att en personuppgift torde vara nödvändig för ett visst ändamål, om ändamålet inte kan realiseras för det fall inte personuppgiften får användas. Om man inte kan av- göra vilka personuppgifter som behövs för att ändamålet ska kunna

41Se t.ex. angående Vetenskapsrådets satsningar på databasinfrastrukturer, LifeGene m.m. i SOU 2017:50 s. 169 ff.

141

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

uppfyllas torde ändamålet inte vara särskilt utan allmänt. Det konsta- teras således att ändamålsbestämningen avgör vilka personuppgifter som får behandlas.42 Detta gäller även enligt dataskyddsförordningen.

Artikel 29-gruppen43 har i ett yttrande framhållit att ”framtida forskning” är ett alltför brett ändamål för att kunna vara särskilt. Dock tilläggs att hur detaljerat ändamålet bör vara beror på vilka uppgifter det gäller och i vilket sammanhang dessa samlas in.44 Datainspek- tionen har i olika sammanhang varit kritiska mot ändamålsangivelser såsom ”framtida forskning” som bedömts vara alltför allmänna.45 Angående etikprövning av LifeGene och EpiHealth, se avsnitt 5.4.2.

Ändamålsbestämmelser i befintliga regleringar av forskningsdatabaser

I befintliga registerlagar och registerförordningar där forskning är syftet eller ett av syftena är ändamålen formulerade på bland annat följande sätt. I lagen (1998:543) om hälsodataregister stadgas i ända- målsbestämmelsen att personuppgifter i ett hälsodataregister får användas för bland annat forskning och epidemiologiska under- sökningar. Enligt patientdatalagen (2008:355) inrättas kvalitets- register inom hälso- och sjukvården för att systematiskt och fort- löpande utveckla och säkra vårdens kvalitet, men får också användas för det sekundära ändamålet att bidra till forskning inom hälso- och sjukvårdsområdet. Ändamålet med det rättspsykiatriska forsknings- registret är enligt lagen (1999:353) om rättspsykiatriskt forsknings- register att uppgifterna ska användas för forskning inom rätts- psykiatrin. Enligt lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU-lagen) får personuppgifter endast behandlas om det behövs för att fullgöra institutets uppdrag att främja, stödja och genom forsk-

42Sören Öman, Hans-Olof Lindblom, Personuppgiftslagen (20 december 2016, Zeteo), kom- mentaren till 9 §.

43Article 29 Data Protection Working Party, Guidelines on Consent under Regulation 2016/679 (WP259), s. 27. Artikel 29-gruppen är en oberoende rådgivande EU-instans för skydd av personuppgifter och privatlivet. Genom dataskyddsförordningens ikraftträdande kommer arbetsgruppen byta namn till Europeiska Dataskyddsstyrelsen. http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=615239

44Artikel 29-gruppens yttrande 03/2013 om ändamålsbegränsning, s. 52.

45SOU 2014:45 s. 343. Se även s. 346 fotnot 88 angående formuleringen av ändamålet i ansökan avseende LifeGene.

142

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

ning genomföra studier, uppföljningar och utvärderingar. I myndig- hetens instruktion preciseras ändamålet något. I lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa (den så kallade LifeGene-lagen) sägs ändamålet vara att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt. I lagen (2002:297) om biobanker i hälso- och sjukvården m.m. anges forskning som ett av flera ändamål som en biobank får användas till.

I vårt delbetänkande analyserade vi vilka anpassningar till data- skyddsförordningen som behöver göras i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt i lagen om rättspsykiatriskt forskningsregister när förordningen ska börja tillämpas. Vi gjorde bedömningen att de befintliga ändamåls- bestämmelserna i de båda lagarna kan och bör behållas.46

Tidigare utredningars bedömningar avseende ändamål och forskningsdatabaser

Vetenskapsrådet har i sin rapport Rättsliga förutsättningar för en data- basinfrastruktur för forskning47 från år 2010 identifierat problem- ställningar förknippade med uppbyggnaden av en generell forsknings- databas. Särskilt kravet på ändamålsprecisering konstaterades stå i motsats till uppbyggnad av en generell datasamling. Vetenskapsrådet menade att det krävs ny lagstiftning för att få till stånd en databas- infrastruktur för forskning där generella forskningsändamål är tillåtna. I Vetenskapsrådets rapport anges att en möjlighet skulle kunna vara att det införs en lag om forskningsregister som reglerar de yttre ramarna för hur forskning i register får genomföras och att det införs registerförordningar för respektive register som anger de närmare förutsättningarna. Denna idé tog sedan Registerforsknings- utredningen vidare i sina förslag.

I Registerforskningsutredningens förslag till lag om forsknings- databaser finns en ändamålsbestämmelse enligt vilken en forsknings- databas får innehålla endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt den föreslagna ända- målsbestämmelsen. Personuppgifter får enligt förslaget behandlas för

46SOU 2017:50 s. 387 ff. och 408 ff.

47Vetenskapsrådets rapportserie 11:2010.

143

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

att skapa underlag för olika forskningsprojekt och för att lämna ut uppgifter till forskningsprojekt.

I det betänkandet diskuteras om det ändamål som anges i lag- förslaget är tillräckligt specifikt trots att det måste vara relativt brett för att kunna inrymma alla de forskningsdatabaser som kan bli aktuella att bygga upp. Det poängteras att syftet är att möjliggöra insamling av uppgifter inom olika ämnesområden till en forsknings- databas som ska kunna utgöra grund för framtida forskning.

Enligt utredaren är det inte möjligt att i den då föreslagna lagen om forskningsdatabaser ange vilka uppgifter som ska vara tillåtna i de olika databaser som kan etableras med stöd av lagen. Däremot bör enligt utredaren ändamålet preciseras så långt som möjligt i de särskilda förordningar som förutsätts reglera varje enskild databas.48 Registerforskningsutredningens förlag behandlas i kapitel 6.

5.3.7Begränsningar i registrerades rättigheter

Om personuppgifter behandlas för bl.a. forskningsändamål får det, enligt artikel 89.2 i dataskyddsförordningen, i unionslagstiftning eller i medlemsstaternas nationella lagstiftning föreskrivas om undantag från den registrerades rättigheter i vissa artiklar. Vi föreslog i delbetänkandet vissa sådana undantag från registrerades rättigheter. I utkastet till lagrådsremiss görs bedömningen att inga undantag från de angivna rättigheterna ska införas.

Den registrerade har enligt artikel 16 i dataskyddsförordningen rätt till rättelse av felaktiga personuppgifter som rör honom eller henne. När det gäller arkiverat forskningsmaterial, som bevaras bland annat för att det ska finnas möjlighet att granska handlingar för att verifiera forskningsresultat, skulle rättelse avsevärt försvåra verifiering och därmed strida mot syftet att bevara forskningsmaterialet.

I artikel 18 i dataskyddsförordningen stadgas om rätt för den registrerade att kräva att personuppgiftsbehandlingen begränsas under vissa förutsättningar.

Om den registrerade kan kräva att personuppgifterna är undan- tagna från behandling i forskning under en period kan det leda till skevhet i materialet som används i forskningen.

48SOU 2014:45 s. 433.

144

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

5.3.8Skyddsåtgärder

I dataskyddsförordningen ställs i artikel 89.1 krav på att behandling av personuppgifter för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades fri- och rättigheter. Skydds- åtgärderna ska garantera att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. I artikel 5.1 c i dataskyddsförordningen stadgas om uppgifts- minimering. Vid personuppgiftsbehandling ska enligt stadgandet gälla att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas

Utbildningsdepartementet har i utkastet till lagrådsremiss före- slagit att en bestämmelse, motsvarande den som funnits i person- uppgiftslagen, med följande lydelse förs in i dataskyddslagen. Person- uppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. I vårt delbetänkande föreslog vi en motsvarande bestämmelse i förslaget till forskningsdatalag.

Departementet har vidare gjort följande bedömningar. Att person- uppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder när de behandlas för forskningsändamål framgår direkt av EU:s dataskyddsförordning och bör därför inte föreskrivas i svensk rätt. En skyddsåtgärd som innebär att personuppgifter, med vissa undantag, inte får behandlas för forskningsändamål om den enskilde motsätter sig sådan behandling bör inte föreskrivas i svensk rätt. Att den registrerade kan invända mot behandling följer direkt av EU:s dataskyddsförordning. Etikprövning enligt etikprövningslagen är en sådan i svensk rätt fastställd lämplig och särskild åtgärd som krävs för behandling av känsliga personuppgifter för andra forsk- ningsändamål än klinisk läkemedelsprövning och för behandling av personuppgifter om lagöverträdelser för forskningsändamål enligt dataskyddsförordningen.

145

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

5.4Etikprövning

5.4.1Etikprövningslagens innehåll, syfte och tillämpningsområde

Etikprövningslagen innehåller bestämmelser om forskningsetisk granskning och syftar till att skydda den enskilda människan och respekten för människovärdet vid forskning. För forskning som omfattas av lagen krävs etikgodkännande. Detta gäller oavsett om forskningspersonerna har lämnat sitt samtycke till att delta i forsk- ningen eller inte. Etikprövningslagen gäller enligt 5 § för forskning som ska utföras i Sverige.49

Enligt 3 § ska etikprövningslagen tillämpas på forskning som inne- fattar behandling av känsliga personuppgifter enligt 13 § person- uppgiftslagen, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening eller uppgifter som rör hälsa eller sexualliv. Lagen ska också tillämpas vid behandling av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen.50

Lagen gäller enligt 4 § för forskning som innebär ett fysiskt ingrepp på en person, som utförs enligt en metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt eller som innebär en uppenbar risk att skada forskningspersonen fysiskt eller psykiskt. Lagen är också tillämplig på studier på biologiskt material från en levande person och som kan härledas till denna person. Inom lagens tillämpningsområde faller även forskning som innebär ett fysiskt ingrepp på en avliden människa eller avser studier på biologiskt material som har tagits för medicinskt ändamål från en avliden människa och kan härledas till denna person. Det innebär bland annat

49I kapitel 14 i vårt delbetänkande SOU 2017:50 finns en genomgång av etikprövning av personuppgiftsbehandling för forskningsändamål. Där ingår en analys av personuppgifts- lagens relation till etikprövningslagen. Vi hänvisar även till Registerforskningsutredningens genomgång avseende etikprövningslagen i SOU 2014:45 s. 189 ff.

50Vi föreslog i vårt delbetänkande SOU 2017:50 anpassningar av etikprövningslagen till data- skyddsförordningen. Enligt förslaget skulle 3 § hänvisa till artikel 9.1 i dataskyddsförord- ningen i stället för till 13 § personuppgiftslagen. Även Utbildningsdepartementet har i utkastet till lagrådsremiss Personuppgiftsbehandling för forskningsändamål (Dnr U2018/01639/F) före- slagit detta. Enligt övergångsbestämmelserna till dataskyddslagen gäller personnuppgiftslagen fortfarande i den utsträckning det i annan lag eller förordning finns bestämmelser som inne- håller hänvisningar till den lagen.

146

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

att det behövs etikgodkännande för att använda material från en biobank i ett forskningsprojekt.

Etikprövningsnämndernas organisation har varit föremål för utred- ning.51 I januari 2019 ändras organisationen på så sätt att Centrala etik- prövningsnämnden och de nuvarande sex regionala etikprövnings- nämnderna ersätts av Överklagandenämnden för etikprövning och en ny myndighet; Etikprövningsmyndigheten.52 Etikprövning av forsk- ning som avser människor ska i stället för av nämnderna hanteras av en den nya myndigheten. En särskild utredare har fått i uppdrag att förbereda och genomföra bildandet av Etikprövningsmyndigheten. Uppdraget ska redovisas senast den 31 december 2018.53

En översyn av etikprövningslagen och regleringen för verksamhet i gränsområdet mellan klinisk forskning och hälso- och sjukvård samt en bestämmelse om etisk bedömning av vissa metoder i hälso- och sjukvården har gjorts av Utredningen om översyn av etikprövningen. I betänkandet Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård finns förslag till förändringar i etikprövnings- lagen.54

5.4.2Villkor för etikprövning

Den forskning som etikprövningslagen omfattar enligt 3–5 §§ får utföras bara om den har godkänts vid en etikprövning. Ett god- kännande får förenas med villkor. Ett godkännande ska enligt 6 § avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser

m.m.enligt 13 och 21 §§ personuppgiftslagen får bara utföras om behandlingen av uppgifter har godkänts vid en etikprövning.

Med att forskning utförs avses själva genomförandefasen, dvs. att forskningspersoner rekryteras och inhämtande av underlag påbörjas, försök genomförs samt att inhämtat underlag analyseras och be-

51Regeringens proposition En ny organisation för etikprövning av forskning som avser människor (prop. 2017/18:45).

52Lagen (2018:147) om ändring i lagen (2003:460) om etikprövning av forskning som avser människor.

53Kommittédirektiv (2017:127) Inrättande av etikprövningsmyndigheten.

54Utredningens om översyn av etikprövningslagen betänkande Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård (SOU 2017:104).

147

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

arbetas. Rent inledande planeringsarbete eller ordnande av finan- siering omfattas inte eftersom det är först i samband med forsk- ningens utförande i angiven bemärkelse som risker för skada avseende forskningspersonens hälsa, säkerhet och personliga integritet upp- kommer.55 Ett forskningsprojekt består ofta av flera delar. Etik- prövning ska endast göras av den del av projektet som omfattas av kravet på godkännande vid etikprövning.

Ett projekt är ofta avgränsat med avseende på den vetenskapliga frågeställningen, antalet forskningspersoner, forskningsledningen, finansiering eller på något annat sätt. I propositionen till etikpröv- ningslagen anges att några generella, principiella godkännanden till att under oöverskådlig framtid få utföra forskning på ett visst material inom ett visst område eller dylikt, inte kan medges.56

Centrala etikprövningsnämnden har konstaterat att det inte är möjligt att med stöd av etikprövningslagen behandla och godkänna forskningsdatabaser för framtida forskning. Anledningen till det är att den forskning som ska etikprövas måste vara avgränsad och att generella, principiella godkännanden till att under överskådlig framtid få utföra forskning på ett visst material, inom ett visst område eller liknande, inte kan lämnas. Etikprövningsnämnderna har dock i vissa fall ansett sig oförhindrade att godkänna projekt även med ganska breda ändamålsbeskrivningar. Gränsdragningen kan beskrivas som oklar mellan vad som anses vara ett projekt eller på något liknande sätt bestämd forskning och som därmed kan ges etikgodkännande respektive forskningsdatabaser som i dag inte anses kunna prövas enligt etikprövningslagen.57

Som exempel på den oklara gränsdragningen kan nämnas projekten LifeGene och EpiHealth58 som båda syftar till att samla in data från individer och följa dem under flera år för att få underlag att analysera sambanden mellan arv, miljö och hälsa. Projekten syftar till att skapa forskningsdatabaser som kan användas i framtida projekt. För de konkreta projekt till vilka forskare önskar få ut uppgifter från LifeGene eller EpiHealth krävs etiktillstånd precis som för annan forskning som använder sig av känsliga personuppgifter.

55Prop. 2002/03:50 s. 114.

56Prop. 2002/03:50 s. 114 f.

57Se vidare SOU 2014:45 s. 343 ff.

58LifeGene är ett samarbete mellan flera universitet som leds av Karolinska Institutet. EpiHealth leds av Uppsala universitet och Lunds universitet.

148

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

För att skapa databaserna ansökte såväl LifeGene som EpiHealth om etikprövning och fick båda etiktillstånd. När det gäller LifeGene innehöll beslutet ett förbehåll och överklagades till Centrala etik- prövningsnämnden, som ansåg sig förhindrad att pröva ansökan. Nämnden konstaterade dock att projektet inte behövde etikgod- kännande för att få genomföras och att godkännande av etikpröv- ningsnämnd bara aktualiseras med avseende på sådan konkret forsk- ning som kan komma att planeras i framtiden.59 Datainspektionen beslutade dock, med stöd av personuppgiftslagen, att uppgiftssam- lingen skulle upphöra. Beslutet motiverades med att ändamålet fram- tida forskning var alltför brett och det i sin tur gjorde det omöjligt för forskningspersonerna att ge ett giltigt samtycke. Efter Datainspek- tionens beslut lämnade regeringen förslag till en lag för att möjliggöra LifeGene-projektet. Den tillfälliga lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (den så kallade LifeGene-lagen) trädde i kraft den 1 december 2013. Tiden för lagen har förlängts två gånger och gäller enligt den senaste för- längningen till den 31 december 2020.60

EpiHealth prövades inte av Centrala etikprövningsnämnden och Datainspektionen har inte funnit anledning att pröva behandlingens laglighet. Det kan dock konstateras att ansökan avseende EpiHealth var något mer utförlig när det gäller ändamålsbeskrivningen än den som avsåg LifeGene. 61 Angående ändamålsbestämning, se avsnitt 5.3.6.

5.5Offentlighet, sekretess och tystnadsplikt

5.5.1Inledning

Av dataskyddsförordningens artikel 86 framgår det att person- uppgifter i allmänna handlingar får lämnas ut av myndighet eller ett offentligt organ i enlighet med medlemsstatens nationella rätt. I Sverige kommer detta till uttryck i offentlighetsprincipen.

Offentlighetsprincipen är central i svensk rätt och kommer till uttryck bland annat genom rätten att ta del av allmänna handlingar.

59CEPN beslut 2011-03-04, dnr Ö 28-2010.

60Förslaget till förlängningen lades fram i regeringens proposition Fortsatt giltighet av lagen om vad vissa register för forskning om vad arv och miljö betyder för människors hälsa (prop. 2016/17:204).

61I SOU 2014:45 s. 347 f. finns en översikt som innehåller jämförelse mellan ändamåls- beskrivningarna i de båda ansökningarna.

149

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

När forskningsdata förvaras hos en myndighet (t.ex. ett statligt lärosäte) och vissa andra organ blir bestämmelserna om rätten att ta del av allmänna handlingar i 2 kap. TF tillämpliga. Denna rätt gäller dock inte utan begränsningar. Av 2 kap. 2 § TF framgår nämligen att denna rätt får begränsas om det är påkallat med hänsyn till vissa i paragrafen angivna intressen, bl.a. skyddet av enskildas personliga och ekonomiska förhållanden.

Varje begränsning i rätten att ta del av allmänna handlingar ska enligt 2 kap. 2 § andra stycket TF anges noga i en särskild lag. Det är i huvudsak regleringen i offentlighets- och sekretesslagen (2009:400), OSL, och offentlighets- och sekretessförordningen (2009:641) som styr i vilka fall en myndighet får lämna ut uppgifter för olika ändamål, bl.a. forskning.

Enligt 2 kap. OSL ska vad som föreskrivs i TF om rätt att ta del av allmänna handlingar hos myndigheter i tillämpliga delar gälla också handlingar hos vissa andra organ. Dessa kan vara statliga aktiebolag, ekonomiska föreningar eller stiftelser (2 kap. 3 § OSL), men även andra privaträttsliga organ än statliga företag såsom en del enskilda utbildningsanordnare med examensrätt. I bilagan till OSL finns reglerat vilka övriga juridiska personer som enligt 2 kap. 4 § OSL – s.k. jämställda organ – som omfattas av offentlighetsprincipen om handlingarna hör till den verksamhet som nämns där. Dessa organ ska således vid tillämpningen av OSL jämställas med myndigheter.

Utöver att organ som räknas upp i bilagan till OSL omfattas av offentlighetsprincipen finns en koppling mellan bilagan och arkiv- lagen (1990:782). Enligt 2 § arkivlagen gäller det som enligt lagen gäller för statliga myndigheters arkiv även för arkiv hos sådana organ som avses i 2 kap. 4 § första meningen OSL till den del arkivet härrör från den verksamhet som avses i bilagan till offentlighets- och sekre- tesslagen (se vidare avsnitt 5.6.1). Arkivlagens koppling till bilagan till offentlighets- och sekretesslagen innebär att tillämpningsområdet kan förändras utan att det krävs ändringar i arkivlagen. Bilagan till offent- lighets- och sekretesslagen kan ändras genom att nya organ kommer till eller genom att organ tas bort och på så sätt ändras även arkivlagens tillämpningsområde.

En viktig skillnad mellan OSL och dataskyddsförordningen är att dataskyddsförordningen inte omfattar behandling av uppgifter om avlidna, medan sekretess enligt OSL kan göra det.

150

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

5.5.2Sekretessbestämmelsernas utformning

Föremål, räckvidd och styrka

Sekretessbestämmelserna i OSL består av tre olika rekvisit: föremålet för sekretessen, sekretessens räckvidd och sekretessens styrka.

Med föremålet för sekretessen avses vilken slags uppgift som ska omfattas av sekretessregleringen. Detta ska vara en så uttömmande reglering som möjligt.

Räckvidden för sekretessen är, om inget annat anges, hela den offentliga förvaltningen och därmed jämställda organ och verksam- heter. Det är dock vanligast att sekretessbestämmelserna anger en mer begränsad räckvidd. Detta uttrycks genom att sekretessen gäller inom en viss verksamhet eller i ett ärende av angivet slag. I undantagsfall hänvisas till en viss bestämd myndighet. Sekretess som på detta vis inskränks till information som hör samman med verksamheten, ärendet eller myndigheten brukar kallas för primär sekretess (se vidare nedan).

I nästan alla sekretessregler krävs det en bedömning av hur stor risken för skada är om en viss uppgift lämnas ut. Två olika typer av skaderisker kan förekomma. Begreppet ”skada” avser risk för ekono- misk skada. När det i stället gäller risken för integritetskränkningar används beteckningen ”men”. I vissa bestämmelser förekommer bägge varianterna. Det finns också regler där någon skaderisk inte anges. I de fallen är sekretessen absolut och gäller alltid för den aktuella uppgiften i den angivna verksamheten. Det är dessa rekvisit som anger sekretessens styrka.

Skaderekvisit

Som nämnts ovan omfattas vanligtvis en sekretessbestämmelse av ett skaderekvisit som anger sekretessens styrka. Ett skaderekvisit måste vara uppfyllt för att uppgifterna i en allmän handling ska anses omfattas av sekretess. I det följande redogörs för de olika skade- rekvisiten.

Det raka skaderekvisitet formuleras som att sekretess gäller för en uppgift ”om det kan antas” att ett utlämnande leder till skada. Det krävs särskilda omständigheter i det enskilda fallet som talar för att ett

151

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

utlämnande är skadligt.62 Vid rakt skaderekvisit är offentlighet huvud- regeln. En myndighet ska alltså kunna redovisa konkreta skäl för sekretess om den trots det raka skaderekvisitet vill hemlighålla en uppgift.63

Omvänt skaderekvisit innebär att uppgifterna i en allmän handling som huvudregel är sekretesskyddade, så kallad stark sekretess, och formuleras så ”att det måste stå klart” att utlämnandet inte kan anses leda till skada för att ett utlämnande ska kunna göras.64

Slutligen är den absoluta sekretessen den allra starkaste formen av sekretess där huvudregeln är att uppgifter inte får lämnas ut oavsett om de kan orsaka skada eller inte. Här behöver inte någon skade- prövning göras och inget skaderekvisit vara uppfyllt för att det ska föreligga sekretess.65

De olika skaderekvisiten som anges ovan innebär konkret att sekretessen enligt olika bestämmelser har olika typer av styrkegrad. Ett exempel på uppgifter som omfattas av sekretess med ett rakt kvalificerat skaderekvisit är uppgifter om enskilds hälsa eller sexualliv (21 kap. 1 § OSL).66

Överföring av sekretess

Bestämmelser om överföring av sekretess finns i 11 kap. OSL där överföring av sekretess i forskningsverksamhet regleras särskilt i 3 §. Överföring av sekretess blir aktuellt i de fall det inte finns någon primär sekretessbestämmelse hos den mottagande myndigheten som är tillämplig på uppgifterna som behandlas i ett forskningsprojekt. Det kan i stället finnas sekretess som genom bestämmelsen om över- föring av sekretess har förts över från den myndighet från vilken uppgifterna är hämtad. Sekretessen överförs i det fall uppgifterna lämnas till en myndighets forskningsverksamhet under förutsättning att uppgifterna inte redan omfattas av en annan sekretessbestämmelse till skydd för samma intresse hos den mottagande myndigheten. Detta framgår av 11 kap. 8 § OSL som reglerar konkurrens mellan primära och sekundära sekretessbestämmelser.

62Se bland annat RÅ 1994 ref. 91 och RÅ 1981 2:34 I.

63Regeringens proposition med förslag till sekretesslag m.m. Del A (prop. 1979/80:2) s. 80.

64Prop. 1979/80:2 Del A s. 80.

65Prop. 1979/80:2 Del A s. 82.

66Tansjö, Geijer och Lenberg Lagkommentaren till Offentlighets- och sekretesslagen.

152

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

Regleringen om primär och sekundär sekretess återfinns i 3 kap. 1 § OSL. Med primär sekretessbestämmelse avses en bestämmelse om sekretess som en myndighet ska tillämpa på grund av att bestäm- melsen antingen riktar sig direkt till myndigheten, omfattar en viss verksamhetstyp eller en viss ärendetyp som hanteras hos myndig- heten eller omfattar vissa uppgifter som finns förvarade hos myndig- heten. Primär sekretess kan dock spridas utanför det primära sekre- tessområdet med stöd av bestämmelser om överföring av sekretess, dvs. sekundär sekretess.67

Sekundär sekretess kallas den sekretess som den som begärt ut en uppgift ska tillämpa på uppgiften på grund av att sekretessen över- förts. Om den mottagande myndigheten har en egen sekretess- bestämmelse som gäller för uppgiften, är det i stället den sekretessen som mottagen ska tillämpa.

Vid införandet av den gamla sekretesslagen (1980:100) ansåg lagstiftaren att en allmän bestämmelse om överföring av sekretess inte behövdes tas in i sekretessregleringen. I stället bedömde man att sekretessbehovet som huvudregel kunde tillgodoses genom primära sekretessbestämmelser. Denna inställning har följt med till den nya offentlighets- och sekretesslagen. Det har medfört att de olika primära sekretessbestämmelserna var och en för sig har ett begränsat tillämpningsområde, vilket i sin tur innebär att det finns en del luckor i sekretesskyddet.

Om det finns en primär sekretessbestämmelse som är tillämplig på uppgiften hos den mottagande myndigheten, så gäller den sekretess- bestämmelsen före den sekundära sekretessbestämmelsen. Detta gäller oavsett vad för styrka den primära sekretessens har hos den utlämnande myndigheten. Med andra ord kan detta komma att inne- bära att uppgifterna kommer att omfattas av en sekretessbestämmelse som har ett svagare skydd än om sekretessen överfördes från den utlämnande myndigheten. I de fall som det visat sig att sådana luckor föranleder praktiska olägenheter för utlämnande myndighet ansåg lagstiftaren att man i första hand får åtgärda luckorna genom justeringar i de primära sekretessbestämmelserna.68 Detta har dock inte gjorts i någon större utsträckning inom forskningsområdet.

67Tansjö, Geijer och Lenberg Lagkommentaren till Offentlighets- och sekretesslagen.

68Prop. 1979/80:2 Del A s. 76 ff., SOU 2014:45 s. 206.

153

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Bestämmelsen om överföring av sekretess är central för sekre- tesskyddet för personuppgifter i forskningssammanhang. Den inne- bär att en myndighet som i sin forskningsverksamhet får en sekretess- reglerad uppgift från en annan myndighet ska tillämpa samma sekre- tessbestämmelse på uppgiften som den utlämnande myndigheten gör. Detta under förutsättning att den mottagande myndigheten inte har någon egen sekretessbestämmelse att tillämpa. Det innebär t.ex. att den absoluta sekretess som gäller enligt 24 kap. 8 § OSL eller den sekretess med omvänt skaderekvisit som gäller enligt 25 kap. 1 § OSL, överförs till en mottagande myndighet. I de fall en uppgift för vilken överförd sekretess gäller begärs ut från den mottagande myndigheten, ska den mottagande myndigheten göra en självständig bedömning av om uppgiften omfattas av den överförda sekretessen eller inte (2 kap. 14 § första stycket TF).69

Överföring av sekretess innebär att en sekretessbestämmelse både kan fungera som en primär sekretessbestämmelse hos den utlämnande myndigheten och som en sekundär sekretessbestämmelse hos den mottagande myndigheten. Av bestämmelser om överföring av sekre- tess framgår det att den överförda sekretessen bara kan tillämpas på sådana uppgifter som den mottagande myndigheten har fått från den utlämnande myndigheten.

Eftersom sekretessregleringen bara gäller för det allmänna finns det inte någon sekretess hos en enskild som kan överföras när den enskilde lämnar en uppgift till en myndighet.70 Det finns inte heller någon sekretess som kan överföras från myndighet till en enskild vid ett utlämnande av uppgifter. En myndighet kan dock välja att lämna ut uppgifterna mot ett förbehåll enligt 10 kap. 14 § OSL.

5.5.3Sekretessbestämmelser till skydd för enskild inom forskning

Statistiksekretess

Den sekretess som ofta är aktuell när en forskare begär ut uppgifter från en myndighet är den så kallade statistiksekretessen, vilken regleras i 24 kap. 8 § OSL. När det är en forskare knuten till en myndighet anses det vara myndigheten som begär ut uppgifterna,

69SOU 2014:45 s. 225 ff.

70SOU 2014:45 s. 206, proposition 1979/80 Del A s. 75 ff.

154

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

medan det när det gäller privata forskningshuvudmän anses vara den enskilde forskaren.

Statistik kan framställas för att användas som underlag för ett beslut i ett ärende hos en myndighet, men det är inte sådan verk- samhet som omfattas av den här bestämmelsen. I stället är det fråga om en mera allmänt utredande verksamhet som sekretessen reglerar hos många av de myndigheter som ansvarar för register som är intressanta för registerbaserad forskning (exempelvis de statistik- ansvariga myndigheterna Brå, SCB och Socialstyrelsen).71

Sekretessen gäller för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Alltså skyddas inte bara sådana uppgifter som innehåller identitets- beteckningar som namn och personnummer på en enskild utan även uppgifter som på något sätt kan hänföras till en enskild och gäller oavsett varifrån uppgiften härrör eller hur den kommit till myndig- heten.72 Det är inte ändamålet med uppgiften som är avgörande för om uppgifterna omfattas av statistiksekretess. Avgörande för om uppgifterna omfattas av sådan sekretess hos en myndighet är i stället verksamheten som uppgiften förekommer i. Det kan leda till att en uppgift hos en myndighet är offentlig inom en handläggande avdel- ning, men sekretessbelagd inom en avdelning som framställer statistik eller sysslar med forskning, exempelvis när uppgifter hos en personal- avdelning lämnas över till en enhet för statistik.

Statistiksekretessen i 24 kap. 8 § OSL är omfattande. Det följande fokuserar därför enbart på de delar som är av vikt för området forsk- ning, nämligen första och tredje styckena i bestämmelsen. Bestäm- melsens första stycke innehåller huvudregeln som anger att sekretess gäller i sådan särskild verksamhet hos en myndighet som avser fram- ställning av statistik. Sekretessen är enligt huvudregeln i bestäm- melsen absolut, vilket innebär att inga uppgifter får lämnas ut. Absolut sekretess är den starkaste formen av sekretess. Uppgifter som omfattas av absolut sekretess är alltid hemliga, och får därmed inte lämnas ut oavsett om de kan orsaka skada eller inte. Således behöver inte någon skadeprövning göras och inget s.k. skaderekvisit vara uppfyllt.

71Proposition 1979/80:2 Del A s. 263.

72Statistikutredningens slutbetänkande Vad är officiell statistik? En översyn av statistiksystemet och SCB (SOU 2012:83) s. 138 ff.

155

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

I denna bestämmelse finns fyra undantag från huvudregeln, varav två av undantagen är av intresse i forskningssammanhang. Det undan- tag som är mest väsentligt för forskning är att uppgifter som behövs för forsknings- eller statistikändamål får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Här gäller med andra ord ett omvänt skaderekvisit. Möjligheten till utlämnande för forskningsändamål är avsedd att tillämpas restriktivt.73

Det andra undantag som kan bli aktuellt vid utlämnande av uppgifter för forskningsändamål är att uppgift som inte genom namn, annan identitetsbeteckning eller därmed jämförbart förhållande är direkt hänförlig till den enskilde får lämnas ut. Det får dock endast göras under förutsättning att det står klart att uppgiften kan röjas utan att den enskilde eller denne närstående lider skada eller men. Undan- taget infördes för att tillgodose behovet av detaljerad statistik inom både statistik och forskning. Det avser inte bara utlämnande till forsk- nings- och statistikändamål, utan är generellt tillämpligt.74

Skälen till att statistiksekretessen är så stark har diskuterats i förarbetena både till den tidigare sekretesslagen (1980:100) och i de förarbeten som togs fram i samband med att den nya offentlighets- och sekretesslagen infördes samt i arbetet med att ändra statistik- sekretessen.75 När det är fråga om statistikuppgifter finns det ofta en intressekonflikt mellan önskemålet om allmän insyn i statistiskt primärmaterial76 och hänsynen till den enskildes integritet.77 Ett skäl att ha en långtgående sekretess är att offentlighetsintresset på detta område är förhållandevis svagt medan integritetsintresset däremot väger tyngre. Exempelvis är registeruppgifter från SCB visserligen var för sig relativt harmlösa, men en sammanställning av sådana uppgifter kan vara integritetskänslig. Behovet av ett starkt sekretesskydd beror också på att statistikkvaliteten kan påverkas negativt om inte den enskilde uppgiftslämnaren är säker på att hans eller hennes uppgifter inte kommer ut. Risken finns annars att man då blir mindre benägen att lämna ut sina uppgifter. Det handlar här alltså om allmänhetens

73 Regeringens proposition Lag om vissa personregister för officiell statistik m.m. (prop. 1994/95:200) s. 38.

74Prop. 1994/95 :200 s. 38.

75Prop. 1979/80:2 Del A s. 262–265.

76Med statistiskt primärmaterial avses s.k. grunddata, även kallad rådata, som samlas in för att utgöra underlaget till den statistiska framställningen.

77Prop. 1979/80:2 Del A s. 262.

156

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

tilltro till att uppgifterna hanteras med respekt för den enskildes behov av personlig integritet.78

Dataskyddssekretess

En annan sekretessbestämmelse som aktualiseras oavsett från vilken myndighet en forskare begär ut uppgifter är den sekretess som gäller enligt 21 kap. 7 § OSL. Bestämmelsen anger att sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med dataskyddsförordningen eller data- skyddslagen. Uttrycken personuppgift och behandling i bestäm- melsen har samma innebörd som den i dataskyddsförordningen. I samband med att dataskyddsförordningen ersätter personuppgifts- lagen förändras bestämmelsen i 21 kap. 7 § OSL så att det framgår att sekretess gäller om det kan antas att uppgiften efter ett utlämnande kommer behandlas i strid med dataskyddsförordningen och data- skyddslagen. Skaderekvisitet är därmed detsamma som innan.

Bestämmelsen är tillämplig hos sådana myndigheter som är person- uppgiftsansvariga eller som annars har tillgång till personuppgifter. Den innebär ett förbud att lämna ut personuppgifter om det kan antas att uppgifter efter utlämnandet kommer att behandlas i strid med bestämmelserna i dataskyddsförordningen.79 Bestämmelsen innebär att den utlämnande myndigheten kan behöva undersöka hur uppgif- terna kommer att behandlas hos den som har begärt ut dem, till exem- pel hos den forskningshuvudman som uppgifterna ska lämnas ut till.80

Sekretessbestämmelsen har kritiserats av både JO och olika statliga utredningar.81 Kritiken handlar främst om att bestämmelsen är otydlig och att den utgör ett hot mot öppenheten och därför bör upphävas.82 Inget av kritiken som framförts har emellertid lett till någon åtgärd från lagstiftarens håll.

78Proposition 1979/80:2 Del A s. 262, SOU 2014:45 s. 213.

79Prop. 2017/18:105, förslag till ändrad lydelse av 21 kap. 7 § OSL.

80SOU 2014:45 s. 216 ff.

81Se t.ex. Personuppgiftsutredningens betänkande Översyn av personuppgiftslagen (SOU 2004:6).

82Eva Spira och Ann Dahlin, Stockholm 2000 7:16 och andra hot mot öppenheten. Om offentlig- het och sekretess i Sverige och EU, Ny sekretesslag (SOU 2003:99), SOU 2004:6 och Allmänna handlingar i elektronisk form – offentlighet och integritet (SOU 2010:4).

157

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Sekretessen i 21 kap. 7 § OSL är försedd med ett rakt skaderekvisit, vilket innebär att utgångspunkten är att uppgifterna ifråga är offent- liga och att sekretess endast gäller om det kan antas att viss skada uppstår om uppgiften lämnas ut.

Sekretess för uppgifter om hälsa

Det är inte ovanligt att forskare hämtar personuppgifter ur journaler eller från ett nationellt, regionalt eller lokalt s.k. kvalitetsregister. Kvalitetsregister innehåller personbundna uppgifter inom specifika områden i hälso- och sjukvården och används bl.a. för förbättrings- åtgärder och forskning. I kvalitetsregistren återfinns känsliga person- uppgifter om hälsa. Sådana uppgifter skyddas av sekretess enligt 25 kap. 1 § OSL.

Med uttrycket hälso- och sjukvård avses den öppna eller slutna sjukvården. Grundläggande bestämmelser för sådan verksamhet finns i hälso- och sjukvårdslagen (2017:30), förkortad HSL. Till begreppet hör även bl.a. förebyggande medicinsk hälsovård, till exempel verk- samheten på mödra- och barnavårdscentralerna, inom psykiatrisk barn- och ungdomsvård och tandvården. Utanför bestämmelsens tillämpningsområde faller däremot verksamhet som bedrivs i privat verksamhet för vilken i stället föreskrifterna om tystnadsplikt i patientsäkerhetslagen (2010:659) gäller. Av bestämmelsen framgår att sekretessen även gäller ”i annan medicinsk verksamhet”, för vilket avses verksamhet som inte primärt har vård- eller behandlingssyfte, till exempel verksamhet som bedrivs hos Rättsmedicinalverket eller Rättsliga rådet vid Socialstyrelsen.

Sekretessen omfattar uppgift om enskilds hälsotillstånd eller andra personliga förhållanden och avser uppgifter om den vårdbehövande eller därmed jämställda personer samt uppgifter som en vård- behövande lämnar om andra personer, exempelvis närstående, grannar eller arbetskamrater. Det framgår att sekretessen även gäller om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Även här har vi med andra ord ett omvänt skaderekvisit. Om uppgifter lämnas ut från den allmänna hälso- och sjukvården för forskningsändamål följer det av 11 kap. 3 §

158

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

OSL att hälso- och sjukvårdssekretessen kan föras över till den mot- tagande myndigheten. Om det finns en primär sekretessbestämmelse hos den mottagande myndigheten ska dock den gälla i första hand.

Det finns ytterligare en sekretessbestämmelse som omfattar hälsouppgifter. Bestämmelsen har inte begränsats till någon särskild verksamhet eller myndighet, vilket innebär att den ska användas av alla myndigheter och andra organ som ska tillämpa OSL. Enligt 21 kap. 1 § OSL gäller sekretess för uppgift som rör en enskilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, könskorrigering, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs. Efter att myndigheten beaktat omständigheterna i det enskilda fallet kan även mindre käns- liga uppgifter sekretessbeläggas med stöd av bestämmelsen. Bestäm- melsen innehåller ett skaderekvisit som medför att bestämmelsen ger ett minimiskydd för känsliga uppgifter om enskildas hälsa och sexual- liv inom hela den offentliga sektorn.

Andra sekretessbestämmelser som berör forskningsområdet

I 24 kap. OSL finns det sekretessbestämmelser särskilt till skydd för enskild inom forskning och statistik. Enligt bestämmelsen i 24 kap. 1 § gäller sekretess för uppgift som hänför sig till psykologisk under- sökning som utförs för forskningsändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon närstående till denne lider men. Alla slags uppgifter som hänför sig till sådana undersökningar kan vara föremål för sekretess.

Enligt 10 kap. 23 § OSL får en uppgift som angår misstanke om ett begånget brott och som är sekretessbelagd enligt bl.a. 24 kap. 8 § och 25 kap. 1 §, 2 § andra stycket eller 3–8 §§ samma lag lämnas till en åklagarmyndighet, polismyndighet eller annan myndighet som har till uppgift att ingripa mot brottet. Misstanken måste dock gälla brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år om gärningen innefattat försök till överföring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168). Bestämmelsen innebär en möjlighet att bryta sekretessen

159

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

för vissa allvarliga brott, men inte någon skyldighet att lämna ut upp- gifterna. I bestämmelsen anges också vilka sekretessbestämmelser som omfattas av denna möjlighet att bryta sekretessen. Denna möjlig- het gäller t.ex. avseende sekretess i verksamhet som avser förande av eller uttag ur register enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (24 kap. 2 a § OSL).

Inre sekretess

Förtroendet för integritetsskyddet i samband med uppgiftshante- ringen har relevans inte bara när det gäller den yttre sekretessen gentemot utomstående och i samband med överföring av personupp- gifter. Även inom en sådan verksamhet som hanterar personuppgifter måste det finnas ett integritetsskydd avseende hanteringen av upp- gifter om enskilda dvs. som har med den s.k. inre sekretessen att göra.

Det finns ingen legaldefinition av begreppet inre sekretess. Oftast avser det i vilken utsträckning uppgifter som omfattas av sekretess får lämnas mellan befattningshavarna inom en myndighet.83

I förarbetena till patientdatalagen (2008:355), används begreppet i en vidare bemärkelse. Där menar man att inre sekretess inrymmer ett antal frågeställningar om hur känsliga personuppgifter om enskildas hälsa och andra personliga förhållanden bör hanteras inom en verk- samhet för att motverka obefogade intrång i den personliga integri- teten. Exempel på åtgärder som bedömdes som viktiga för att stärka den inre sekretessen var behörighetstilldelning och kontroll av elek- tronisk åtkomst, s.k. loggning.84

Av betydelse för gällande rätt om inre sekretess är att olovligt intrång och olovligt efterforskande i elektroniska informationssystem kan vara straffbart enligt straffbestämmelser om dataintrång. Den som olovligen bereder sig tillgång till upptagning för automatiserad databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning kan enligt 4 kap. 9 c § brottsbalken dömas för dataintrång till böter eller fängelse i högst två år. Bestämmelsen är tillämplig då någon använder sig av sin behörighet till åtkomst till en

83Manolis Nymark, Patientdatalagen – Informationshantering och journalföring i hälso- och sjukvården m.m., s. 82 ff.

84Regeringens proposition Patientdatalag m.m. (prop. 2007/08:126) s. 141 ff.

160

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

forskningsdatabas för att läsa uppgifter om en enskild utan att detta behövs från arbetssynpunkt, t.ex. på grund av nyfikenhet.

Meddelarfrihet

Den grundläggande bestämmelsen om meddelarfriheten finns i 1 kap.

1§ tredje stycket TF. Där stadgas att det ska stå envar fritt att meddela uppgifter och underrättelser i vad ämne som helst för offentlig- görande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, om det för skriften finns en särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelan- den till periodiska skrifter. Motsvarande rätt återfinns i yttrande- frihetsgrundlagen, förkortad YGL, gällande radio- och tv sändningar. Meddelarfriheten gäller i princip oberoende av om meddelandet publiceras. Det räcker alltså att meddelarens syfte är att offentliggöra uppgiften. Detta innebär konkret att meddelarfriheten tar över tystnadsplikten.85

Meddelarfriheten är dock inte en oinskränkt rättighet. Den gäller inte vid s.k. kvalificerade tystnadsplikter där det i offentlighets- och sekretesslagen finns reglerat att meddelarfriheten inte gäller. Av

24kap. 9 § 1 och 25 kap. 18 § OSL framgår det att statistiksekretessen och hälso- och sjukvårdssekretessen är sådana kvalificerade tystnads- plikter att meddelarfriheten inte gäller.

5.5.4Tystnadsplikt vid privat verksamhet

Privat verksamhet

Även forskare verksamma hos en privat forskningshuvudman behand- lar personuppgifter för forskningsändamål. Inom den privata sfären saknas ofta sekretesskydd för uppgifterna eftersom de flesta privata forskningshuvudmän inte finns omnämnda i bilaga till OSL. Det innebär att en myndighet av det skälet kan vägra att lämna ut upp- gifterna till forskning. En myndighet ska dock alltid ta ställning till om uppgifter som är sekretesskyddade ändå kan lämnas ut med ett s.k. förbehåll enligt 10 kap. 14 § OSL.

85SOU 1990:12 Meddelarrätt s. 12.

161

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Av bestämmelsen följer att om en myndighet finner att sådan risk för skada men eller annan olägenhet som enligt en sekretessbestäm- melse hindrar att en uppgift lämnas ut kan undanröjas genom ett förbehåll, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas ut. Ett förbehåll innebär att myndigheten inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den. Bestäm- melsen ska bara tillämpas vid utlämnande till enskilda, inte till en annan myndighet. Förbehållet kan därmed inte rikta sig till en person som vill ta del av uppgifterna i egenskap av offentlig funktionär eller anställd vid en myndighet. Handlingar eller uppgifter som utlämnas till en myndighet omfattas i sådana fall i stället av den sekretess som gäller hos den myndigheten och i vissa fall av sekundär sekretess.

I forskningssammanhang kan således förbehåll endast användas vid utlämnande av uppgifter till forskning som bedrivs av enskild huvud- man. Ett förbehåll kan också ställas upp om den som uppgiften rör samtycker till att en sekretessbelagd uppgift lämnas ut med förbehåll. Ett förbehåll får ställas upp endast om förbehållet behövs för att undanröja den skaderisk som annars skulle utgöra ett hinder mot utlämnande och om förbehållet, med hänsyn taget till alla om- ständigheter i det enskilda fallet, är tillräckligt för att undanröja risken. Förbehållet innebär att den som tar emot uppgifterna har tystnads- plikt. Om den som förbehållet riktar sig mot inte följer villkoren i förbehållet kan ansvar för brott mot tystnadsplikten bli aktuellt enligt 20 kap. 3 § brottsbalken. Straffskalan innehåller böter och fängelse upp till ett år.

I betänkandet Unik kunskap genom registerforskning lägger utredaren fram slutsatsen att uppgifter som lämnas ut till aktörer som inte omfattas av offentlighets- och sekretesslagen kommer att få samma skydd genom en tillämpning av bestämmelsen om förbehåll i OSL. Någon närmare analys av denna uppfattning har inte gjorts, men den har bland annat kritiserats av Datainspektionen.86

86Datainspektionens remissvar till SOU 2014:45, Datainspektionens dnr 2469-2014.

162

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

5.5.5Prövningen av en forskares begäran av att få ta del av uppgifter från en statistikansvarig myndighet

I detta avsnitt redogör vi kort för hur en sekretessprövning hos utlämnande myndighet kan gå till. Notera dock att det enbart är ramarna för sekretessprövningen som återges och att rutinerna kan skiljas åt något mellan myndigheterna. Den utförligare beskrivningen av vilka regler som gäller framgår av avsnitten ovan.

De statistikansvariga myndigheternas register är, som ovan nämnts, belagda med absolut sekretess enligt 24 kap. 8 § OSL. Den absoluta sekretessen kan brytas för forskningsändamål, om det står klart att den som uppgifterna avser eller någon närstående inte kan lida skada eller men. När en begäran om att få ta del av uppgifter för forskningsändamål, kommit in till berörd myndighet måste en sekre- tessprövning genomföras innan ett formellt beslut om utlämnande kan fattas.

Sekretessprövningen, som syftar till att värna om den personliga integriteten hos forskningspersonerna, tar sitt avstamp i OSL, data- skyddsförordningen samt etikprövningslagen. Såväl nya ärenden som pågående projekt som tidigare fått ut uppgifter måste genomgå en sekretessprövning innan personuppgifterna får lämnas ut.

Ett godkännande av projektet från en etikprövningsnämnd är en förutsättning för att känsliga personuppgifter ska få behandlas, men beslutet innebär dock inte att myndigheten automatiskt kan bryta sekretessen och lämna ut uppgifterna. En godkänd etikprövning är snarare ett underlag för den sekretessprövning som myndigheten är skyldig att utföra inför varje utlämnande. Därför är det viktigt att etikansökan bl.a. innehåller uppgifter om vilka register som är av intresse för forskningsprojektet och vilken typ av personuppgifter som behövs. Myndigheten får inte heller bryta sekretessen om det kan antas att forskningshuvudmannen kommer att behandla person- uppgifter i strid med dataskyddsförordningen eller mot dataskydds- lagen.

163

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

5.6Arkivering och gallring

5.6.1Tryckfrihetsförordningen och arkivlagen

När uppgifter inte längre används i forskning uppstår frågan hur uppgifterna ska hanteras, dvs. om de ska gallras eller arkiveras. Detta avsnitt innehåller en genomgång av de rättsliga förutsättningarna för arkivering och gallring.

Enligt 2 kap. TF har varje svensk medborgare en grundlagsfäst rätt att ta del av myndigheters och andra offentliga och därmed jämställda organs87 allmänna handlingar. Av 2 kap. 1 § TF framgår att syftet är att främja ett fritt meningsutbyte och en allsidig upplysning. Rätten att ta del av allmänna handlingar är ett av de viktigaste inslagen i offentlighetsprincipen. Vad som är en allmän handling definieras i 2 kap. TF. Med handling förstås, enligt 2 kap. 3 § TF, framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. En handling är allmän om den, i enlighet med vad som närmare anges i vissa andra bestäm- melser, förvaras hos en myndighet eller hos vissa andra jämställda organ och är att anse som inkommen till eller upprättad hos myndig- heten. (När det gäller den härtill hörande sekretesslagstiftningen, se avsnitt 5.5.)

För att offentlighetsprincipen i form av handlingsoffentlighet ska få genomslag och kunna utnyttjas i praktiken krävs att allmänna hand- lingar bevaras efter det att deras omedelbara nytta i den löpande verk- samheten har upphört. Myndigheterna och de andra organ som om- fattas har därför grundläggande skyldigheter att bevara sina allmänna handlingar i arkiv.

En myndighets allmänna handlingar ska hållas ordnade och vårdas bland annat för att tillgodose allmänhetens rätt att ta del av allmänna handlingar i ett långsiktigt perspektiv. Arkivsystemets anknytning till handlingsoffentligheten tydliggörs i 2 kap. 18 § TF. Där stadgas att grundläggande bestämmelser om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar med- delas i lag. Varje myndighet är ansvarig för arkivvården av den egna myndighetens handlingar. Arkivvården innefattar även gallring.

87Se 2 kap. OSL.

164

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

I arkivlagen finns bestämmelser om myndigheternas och vissa andra organs, t.ex. kommunala bolag och vissa andra utpekade en- skilda organ, arkiv samt om arkivmyndigheterna. Enligt 1 § arkivlagen finns i lagen bestämmelser om myndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna. Reglerna för statliga och kom- munala kommun skiljer sig något åt. I 2 § anges att det som gäller för statliga myndigheters arkiv ska gälla även för arkiv hos sådana organ som avses i 2 kap. 4 § första meningen OSL till den del arkivet härrör från den verksamhet som avses i bilagan till offentlighets- och sekre- tesslagen (se avsnitt 5.5.1).

Arkivlagens koppling till bilagan till offentlighets- och sekre- tesslagen innebär att tillämpningsområdet för arkivlagen är beroende av vilka organ som är upptagna i bilagan till OSL och kan förändras utan att det krävs ändringar i arkivlagen. När organ läggs till i eller tas bort från bilagan till OSL ändras vilka som har att tillämpa arkivlagen.

I arkivlagen finns grundläggande bestämmelser om bevarande och gallring av allmänna handlingar. Härtill kommer arkivförordningen (1991:446) och de myndighetsspecifika beslut eller generella före- skrifter som arkivmyndigheterna, såsom Riksarkivet, utfärdar. Riks- arkivet är statlig arkivmyndighet, kommunstyrelsen är arkivmyndig- het i en kommun och landstingsstyrelsen i ett landsting, om inte kom- munfullmäktige eller landstingsstyrelsen har utsett någon annan nämnd eller styrelse till arkivmyndighet.

Enligt 3 § arkivlagen bildas en myndighets arkiv av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar, vissa minnesanteckningar, utkast och koncept, som avses i 2 kap. 9 § TF och som myndigheten beslutar ska tas om hand för arkivering. Enligt samma paragraf är myndigheternas arkiv en del av det nationella kulturarvet och de ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov.

Huvudprincipen enligt arkivlagen är bevarande, alltså att allmänna handlingar ska bevaras i myndigheternas arkiv. Från denna princip finns dock undantag. Ett undantag är bestämmelser om gallring. Allmänna handlingar får enligt 10 § arkivlagen gallras. Därvid ska alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår, alltså inte gallras, ska kunna tillgodose

165

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov.

Det kan konstateras att arkivlagen inte föreskriver att bevarande- och gallringsfrågor ska beaktas också utifrån intresset av skydd för den personliga integriteten. Gallring enligt arkivlagen ska göras av praktiska och ekonomiska skäl och syftar till att arkiven inte ska tyngas av handlingar som saknar påtagligt informationsvärde eller som har ett informationsvärde som är markant begränsat i tid. Gallringen ska göra att arkiven blir mer överskådliga och effektiva som informationskällor.88 Värt att notera är att begreppet gallring bara avser allmänna handlingar. Förstöring av handlingar som inte är allmänna kallas rensning.

Allmänna handlingar hos en statlig myndighet får endast gallras i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Regeln gäller även för sådana organ som finns i bilagan till OSL. Särskilda gallringsföre- skrifter finns ofta i s.k. registerförfattningar. Enligt 10 § tredje stycket arkivlagen är denna lag subsidiär till avvikande bestämmelser om gallring av vissa allmänna handlingar i lag eller förordning. Om det finns avvikande bestämmelser om gallring av vissa allmänna hand- lingar i annan lag eller förordning gäller alltså dessa bestämmelser. Bestämmelser om att uppgifter ska gallras ur register med känsliga uppgifter finns i olika registerförfattningar (se vidare avsnitt 5.6.4).

På det kommunala området gäller att beslut om gallring kan meddelas av kommunfullmäktige respektive landstingsfullmäktige.

5.6.2Dataskyddsförordningens bestämmelser om arkivering

När det gäller frågor om arkivering och gallring som rör personupp- gifter finns bestämmelser i dataskyddsregleringen. Lagring av person- uppgifter är enligt dataskyddsförordningens definition i artikel 4.2 en behandling av personuppgifter. I dataskyddsförordningen finns ett antal artiklar som särskilt rör personuppgiftsbehandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål.

88Regeringens proposition om arkiv m.m. (prop. 1989/90:72), s. 40 f.

166

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

Enligt artikel 5.1 b gäller att ytterligare behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses oförenliga med de ursprungliga ändamålen (ändamålsbegränsning). Den behandling av personuppgifter som myndigheter och andra utför när de arkiverar sina handlingar i enlighet med bestämmelser om arkiv utgör en sådan ytterligare behandling, vidarebehandling, som görs för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt

5.1b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta förtydligas i skäl 50.

Det är inte fråga om sådan vidarebehandling när en arkivmyndig- het, t.ex. Riksarkivet, övertar arkivmaterial från en annan myndighet. Då övergår enligt 9 § tredje stycket arkivlagen hela ansvaret för det övertagna materialet till arkivmyndigheten. Arkivmyndigheten bär personuppgiftsansvaret för de behandlingar som görs därefter. Den rättsliga grunden för dessa behandlingar är i enlighet med artikel 6.1 e i dataskyddsförordningen att de görs för att utföra en i arkivlag- stiftningen fastställd uppgift av allmänt intresse.

I artikel 5.1 e stadgas om lagringsminimering. Här framgår arkiv- ändamålens särställning. Det föreskrivs att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån personuppgifterna enbart behandlas för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål i enlighet med artikel 89.1, under förut- sättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering).

Av artikel 9.2 j framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syfte, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter

167

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

och intressen. Enligt 3 kap. 6 § dataskyddslagen får känsliga person- uppgifter behandlas för arkivändamål av allmänt intresse om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv.

I artikel 10 stadgas om behandling av personuppgifter om lagöver- trädelser och även enligt denna bestämmelse ställs krav på skydds- åtgärder. I 3 kap. 8 § dataskyddslagen stadgas att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndig- heter och att även andra än myndigheter får behandla sådana person- uppgifter, om behandlingen är nödvändig för att den personuppgifts- ansvarige ska kunna följa föreskrifter om arkiv.

I 89.1 stadgas om skyddsåtgärder och undantag för behandling för bl.a. arkivändamål av allmänt intresse. Av denna artikel framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder. Skyddsåtgärderna ska säkerställa att tek- niska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får in- begripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dess ändamål uppfyllas på det sättet. Regeringen har inte föreslagit några generella undantag från den registrerades rättigheter vid behandling av personuppgifter för arkivändamål av allmänt intresse.89

5.6.3Reglering i dataskyddslagen

I dataskyddslagen finns kompletterande bestämmelser till data- skyddsförordningen. Av propositionen till lagen framgår att reger- ingen har gjort bedömningen att myndigheter och andra som om- fattas av föreskrifter om arkiv, såsom arkivlagen och anslutande före- skrifter, har rättslig grund i enlighet med 5.1 e för behandling av personuppgifter för arkivändamål av allmänt intresse. Vidare har regeringen gjort bedömningen att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som

89Prop. 2017/18:105 s. 120 f.

168

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

görs för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen.90

I 2 kap. 3 § dataskyddslagen stadgas att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Vidare får den myndighet regeringen bestämmer även i enskilda fall tillåta sådan behandling och ett beslut får förenas med villkor. Skälen för regleringen är att även de som inte omfattas av arkivlagstiftningen i vissa fall kan behandla personuppgifter för arkivändamål av allmänt intresse och att det därför bör finnas en möjlighet att meddela före- skrifter som tillåter detta. Som exempel nämns i propositionen att en föreskrift kan tillåta en förening att behandla personuppgifter för arkivändamål av allmänt intresse och att detta innebär att föreningen erkänns ha befogenhet att driva arkivverksamhet av allmänt intresse. Detta innebär enligt regeringen att en uppgift av allmänt intresse är fastställd på det sätt som krävs enligt 6.3 första stycket i data- skyddsförordningen.91

Enligt 3 kap. 6 och 8 §§ dataskyddslagen får känsliga person- uppgifter och personuppgifter som rör lagöverträdelser behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv.

När det gäller känsliga personuppgifter stadgas i 3 kap. 6 § första stycket dataskyddslagen att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i data- skyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Likt vad som gällt enligt personuppgiftslagen, tydliggörs i denna bestäm- melse att dataskyddslagstiftningen inte hindrar att en myndighet arkiverar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.

I propositionen konstateras att ett undantag från förbudet i artikel 9.1 mot behandling av känsliga uppgifter regleras i 9.2 j, det vill säga vid behandling som är nödvändig för arkivändamål av allmänt intresse. Vidare anges att de lämpliga och särskilda åtgärder som krävs enligt artikel 9.2 g och j motsvarar det krav på skyddsåtgärder som

90Prop. 2017/18:105 s. 109 ff.

91Prop. 2017/18:105 s. 112 f.

169

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

ställs enligt dataskyddsdirektivet och att det därmed inte innebär någon ny begränsning av möjligheten att behandla känsliga person- uppgifter för arkivändamål av allmänt intresse. I propositionen kon- stateras också att den nödvändiga behandlingen av personuppgifter som görs vid arkiv som omfattar allmänna handlingar har rättslig grund i arkivlagen och anslutande föreskrifter samt att svensk rätt innehåller lämpliga och särskilda åtgärder som skyddar enskildas integritet vid hantering av allmänna handlingar, i synnerhet i form av sekretess eftersom dessa har utformats noggrant efter en avvägning mellan behovet av skydd och intresset av insyn, men även genom rätt till partsinsyn och föreskrifter om informationssäkerhet och gallring.92

Enligt 3 kap. 6 § andra stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter som tillåter att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Regeringen har för avsikt att delegera föreskriftsrätten till Riksarkivet.

I propositionen anges att även hos personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv kan det finnas ett allmänt intresse av att känsliga personuppgifter bevaras och att sådant bevarande under vissa förutsättningar bör tillåtas.

Enligt 3 kap. 6 § tredje stycket får den myndighet som regeringen bestämmer även i enskilda fall besluta att personuppgiftsansvariga får behandla sådana personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. I propositionen anges att sådana föreskrifter och förvaltningsbeslut lämpligen bör meddelas i samband med att den rättsliga grunden fastställs för den personuppgifts- ansvariges behandling av personuppgifter för arkivändamål av allmänt intresse.93

I propositionen anges också att det bör ankomma på Riksarkivet att, efter samråd med Datainspektionen, bedöma om beslut som tillåter ett enskilt organ att behandla känsliga personuppgifter ska villkoras av att den personuppgiftsansvarige vidtar särskilda åtgärder och i så fall vilka. Enligt regeringen kan det röra sig om åtkomst- begränsningar, krav på särskilda tekniska säkerhetsåtgärder eller

92Prop. 2017/18:105 s. 116.

93Prop. 2017/18:105 s. 117 f.

170

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

någon annan åtgärd som bedöms lämplig och proportionerlig i det aktuella fallet.94

I 3 kap. 8 § andra stycket dataskyddslagen stadgas, på motsvarande sätt som avseende känsliga personuppgifter, att även andra än myndigheter får behandla personuppgifter som rör lagöverträdelser, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Avseende uppgifter om lag- överträdelser konstaterar regeringen följande i propositionen. Arkiv- lagen och andra föreskrifter om arkiv omfattar inte bara myndigheter utan även t.ex. kommunala bolag och vissa andra utpekade enskilda organ. För dessa skulle det i enstaka fall kunna uppstå en norm- konflikt mellan arkivlagstiftningen och regleringen i artikel 10 i data- skyddsförordningen avseende behandlingen av personuppgifter som rör lagöverträdelser.

När det gäller arkivmaterial som överlämnas från enskilda organ till kommunala arkivmyndigheter konstaterar regeringen i proposi- tionen att det i det enskilda fallet kan vara så att arkiven överlämnas till arkivmyndigheten som deposition, dvs. utan att äganderätten övergår och att parterna i sådana fall kan avtala om att arkivmyndig- heten ska ges ett privaträttsligt uppdrag att i egenskap av person- uppgiftsbiträde förvara och vårda materialet för deponentens räkning.

5.6.4Reglering i registerförfattningar

I registerförfattningar som reglerar register med integritetskänsliga personuppgifter är det vanligt att det föreskrivs att personuppgifter ska gallras när uppgiften inte längre behövs för sitt ändamål. Det rör sig då om bestämmelser som på grund av integritetshänsyn avviker från arkivlagstiftningens huvudregel om bevarande. I sådana författ- ningar gäller normalt en omvänd princip i förhållande till den som gäller enligt arkivlagen. Gallring ska således göras på visst sätt, om inte något annat uttryckligen föreskrivs.

Det förekommer, på grund av bland annat insynsaspekter och rättssäkerhetsaspekter, undantag från gallringsskyldigheten. Det är vanligt att det i förordningar som utfärdats i anslutning till register- lagen överlåtits till Riksarkivet att meddela närmare föreskrifter om undantag för gallring.

94Prop. 2017/18:105 s. 118.

171

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Som exempel på registerförfattningar med bestämmelser om gallring kan nämnas lagen (2012:741) om behandling av person- uppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU-lagen) och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen).

I 14 § IFAU-lagen stadgas att personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska göras senast vid en viss tidpunkt eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Gallring när upp- gifterna inte längre behövs är alltså huvudregeln enligt den lagen men det finns möjlighet till föreskrifter eller beslut om bevarande.

Det anförs i förarbetena att IFAU genom lagen kommer att bygga upp och administrera varaktiga och förhållandevis omfattande sam- lingar av personuppgifter, som även kommer att innehålla känsliga personuppgifter. Merparten av de uppgifter som IFAU behandlar har ursprungligen hämtats från andra myndigheter. Intresset av att uppgifterna bevaras får anses tillgodosett genom att de myndigheter uppgifterna hämtats ifrån i stor utsträckning bevarar och arkiverar uppgifterna i enlighet med arkivlagens bestämmelser. När det gällde IFAU-lagen ansågs integritetsskyddsintresset väga över intresset att av bevara handlingarna.

I LifeGene-lagen stadgas i 12 § att personuppgifter som inte längre behövs för ändamålet att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till sådan forskning gallras, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål. I propositionen konsta- terades att register som kommer att föras med stöd av lagen kommer att innehålla särskilt känsliga personuppgifter, bland annat uppgifter om genetiska undersökningsresultat.95 Behandling av uppgifterna i registren ska göras med stöd av den registrerades uttryckliga samtycke till behandling för vissa bestämda ändamål. De primära ändamålen för behandlingen är att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt samt att lämna ut

95Regeringens proposition Vissa register för forskning om vad arv och miljö betyder för människors hälsa (prop. 2012/13:163), s. 49.

172

SOU 2018:36

Rättsliga förutsättningar för forskningsdatabaser

uppgifter till sådan forskning under de förutsättningar som anges i lagen.

Avsikten med lagen är att personuppgifter ska kunna sparas i registret under lång tid för att göra det möjligt att efter utlämnande genomföra longitudinella studier som exempelvis kan innebära att undersöka vad olika förhållanden i ungdomen har för betydelse för sjukdom senare i livet. Trots att det alltså är troligt att uppgifterna i registret kommer att behöva lagras för de primära ändamålen under mycket lång tid finns en särskild gallringsbestämmelse i lagen. Grunden för den bestämmelsen är att det inte ansetts kunna uteslutas att det kan komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras.

Som ovan angetts finns i lagen ett bemyndigande som möjliggör att uppgifter får bevaras för ”historiska, statistiska eller vetenskapliga ändamål”. Vi föreslog i delbetänkandet att terminologin i denna bestämmelse ska anpassas till dataskyddsförordningen på så sätt att ”historiska, statistiska eller vetenskapliga ändamål” ska ändras. I enlig- het med formuleringen i 5.1 e i dataskyddsförordningen bör uppgifter få bevaras för ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Vi konsta- terade dock att omformuleringen inte torde innebära någon skillnad i sak.96

I likhet med vår bedömning när det gäller LifeGene-lagen har reger- ingen i propositionen Dataskydd inom Socialdepartementets verksam- hetsområde – en anpassning till EU:s dataskyddsförordning gjort bedömningen att bestämmelser i registerförfattningar inom Social- departementetens verksamhetsområde om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande inte behöver ändras i sak. Detta gäller under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning (artikel 6.1 e) i dataskyddsförordningen. Regeringen före- slår att formuleringarna i registerförfattningarna om bevarande av personuppgifter för historiska, statistiska eller vetenskapliga ändamål bör ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.97

96SOU 2017:50 s. 395.

97Regeringens proposition Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171) s. 142 ff.

173

Rättsliga förutsättningar för forskningsdatabaser

SOU 2018:36

Avslutningsvis kan nämnas att en utredning tillsatts med upp- draget att se över arkivlagstiftningen och närliggande lagstiftning och vid behov lämna förslag på hur lagstiftningen kan anpassas till den utvecklingen inom området. Utredaren ska bl.a. analysera om regler- ingen för enskilda arkiv bör förändras för att tillgodose behov inom rättsskipning, förvaltning, forskning och skydd för kulturarvet. Utredaren ska även utreda om de enskilda arkivens hantering av personuppgifter kräver ytterligare författningsstöd samt analysera Riksarkivets och övriga arkivmyndigheters roll och uppgifter i relation till de enskilda arkiven och vid behov lämna förslag på hur dessa kan förändras. Uppdraget ska redovisas senast den 18 november 2019.98

5.7Sammanfattning

I detta kapitel har vi redovisat mycket av den lagstiftning som har betydelse för förutsättningarna att behandla personuppgifter i forsk- ningsdatabaser.

För att sådan behandling ska vara laglig måste den uppfylla de grundläggande reglerna för dataskydd som regleras i dataskydds- förordningen och den föreslagna dataskyddslagen. Det är främst inom detta rättsområde som många av de svårigheter identifierats, som det ingår i vårt uppdrag att lösa. Det handlar t.ex. om att det kan vara svårt att fullt ut specificera syftet med behandlingen av personuppgifterna i samband med att uppgifterna samlas in.

Personuppgifterna måste också hanteras i enligt med de krav som gäller enligt offentlighets- och sekretesslagen och andra bestämmelser som kan finnas om tystnadsplikt. Dessa regler har också betydelse för möjligheten att samla in uppgifter till en forskningsdatabas. Endast om de registerförandemyndigheterna anser att det är förenligt med sekretesskyddet att lämna ut uppgifterna, kan en forskningshuvud- man få del av dessa. Det finns därför anledning att stärka sekre- tesskyddet för uppgifter som hanteras i forskningen. Vi bedömer att en reglering av forskningsdatabaser som innefattar flera olika skydds- åtgärder kommer att göra det lättare att samla in uppgifter.

Forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. får bara utföras om

98Dir. 2017:106.

174

6Registerforskningsutredningens förslag

6.1Inledning

Vi har i uppdrag att föreslå en långsiktig reglering av forskningsdata- baser. En sådan reglering har tidigare föreslagits av Registerforsk- ningsutredningen i betänkandet Unik kunskap genom register- forskning.1 Det betänkandet har remissbehandlats och vi har i uppdrag att göra en vidare beredning av förslagen med beaktande av remiss- instansernas synpunkter.2

I detta kapitel redovisar vi Registerforskningsutredningens upp- drag och förslag. Vi lägger tyngdpunkten i vår redovisning på de för- slag som är mest relevanta för vårt uppdrag, dvs. förslaget på reglering av forskningsdatabaser. I kapitlet redovisar vi också de remissvar som avser dessa delar av Registerforskningsutredningens förslag.

6.2Registerforskningsutredningens uppdrag och förslag

6.2.1Förslag till lag om forskningsdatabaser

Registerforskningsutredningen hade i uppdrag att undersöka förut- sättningarna för att bedriva registerbaserad forskning och lämna förslag bl.a. i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

1Registerforskningsutredningens betänkande Unik kunskap genom registerforskning (SOU 2014:45).

2Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65), s. 15.

177

Registerforskningsutredningens förslag

SOU 2018:36

I betänkandet Unik kunskap genom registerforskning lämnade utredaren ett förslag till lag om forskningsdatabaser. Lagen skulle ge stöd för statliga universitet eller högskolor och andra statliga myndig- heter, som har i uppdrag att bedriva forskning, att utföra behandling av personuppgifter i forskningsdatabaser.3 I den föreslagna lagen angavs vissa generella regler för forskningsdatabaser. Varje databas skulle sedan enligt förslaget regleras i en förordning med bestäm- melser om vad som närmare ska gälla, till exempel ändamål och inne- håll. Förslaget till lag om forskningsdatabaser beskrivs utförligare i avsnitt 6.3.

6.2.2Registerforskningsutredningens övriga uppdrag

Övriga uppdrag

Utöver ett förslag till lag om forskningsdatabaser lämnade Register- forskningsutredningen förslag till en lag om Nationella biobanks- registret, förslag till ett enklare etikprövningsförfarande,4 förslag beträffande tid för bevarande av kodnycklar och förslag angående sekretesskyddet i forskning. I detta avsnitt följer en kort genomgång av dessa frågor.

Nationella biobanksregistret

Registerforskningsutredningen lämnade förslag till en lag om Natio- nella biobanksregistret. Lagförslaget innehåller bland annat bestäm- melser om förhållandet till personuppgiftslagen (1998:204), den registrerades inställning till personuppgiftsbehandling, ändamålet med behandlingen, vilka uppgifter registret får innehålla och vilken information som ska lämnas till den registrerade.

Registerforskningsutredningens förslag innehåller i denna del även en ändring i patientsäkerhetslagen (2010:659) gällande undantag från tystnadsplikt för den som tillhör eller har tillhört hälso- och sjuk- vårdspersonal inom den enskilda hälso- och sjukvården. Den före- slagna bestämmelsen innebär att tystnadsplikt inte hindrar att uppgift

3Angående begreppet forskningsdatabaser, se kapitel 3.

4I vårt delbetänkande analyserade vi de frågor som ingick i vårt uppdrag gällande etikprövning.

178

SOU 2018:36

Registerforskningsutredningens förslag

lämnas till register som förs med stöd av den föreslagna lagen om Nationella biobanksregistret.

Vi har i uppdrag att även i denna del göra en vidare beredning av Registerforskningsutredningens förslag och lämna förslag till en reglering av ett nationellt biobanksregister. Denna fråga behandlar vi i kapitel 10.

Etikprövning

I Registerforskningsutredningens betänkande föreslogs ett enklare förfarande vid etikprövning när det gäller forskning som endast innefattar behandling av personuppgifter som hämtats från myndig- hetsregister och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde. I sådana fall föreslogs att etikprövningsnämnderna skulle kunna dele- gera ärendena till ordföranden.

Vidare föreslog Registerforskningsutredningen att forskare skulle ha rätt att få ett yttrande från etikprövningsnämnden över forsk- ningsprojekt som inte faller under lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen).

Vi hade i utredningens första skede i uppdrag att analysera vilka anpassningar som kan behöva göras i de bestämmelser i etikpröv- ningslagen som reglerar handläggningen av ärendena, överväga om det bör införas ett enklare förfarande vid etikprövning när det är fråga om behandling av personuppgifter som innebär en liten risk för intrång i den enskildes integritet, och lämna de författningsförslag som behövs. Vår bedömning var att ett mer ändamålsenligt etikprövnings- förfarande för sådan personuppgiftsbehandling som typiskt sett kan anses innebära en lägre risk för integritetsintrång bör utredas vidare. Våra överväganden i denna del finns i vårt delbetänkande.

När det gäller forskningsdatabaser föreslog Registerforsknings- utredningen en ändring i etikprövningslagen om att utlämnande från forskningsdatabaser alltid ska kräva etiktillstånd, oavsett om det handlar om känsliga personuppgifter eller inte (se vidare avsnitt 6.3.4). Någon utvidgning av etikprövningslagen till att även gälla etikprövning av forskningsdatabaser föreslogs dock inte (se avsnitt 6.3.7).

179

Registerforskningsutredningens förslag

SOU 2018:36

Kodnyckelförfarande

Gällande kodnycklar föreslog Registerforskningsutredningen ändringar i lagen (2001:99) om den officiella statistiken. Utredaren föreslog att en statistikansvarig myndighet som lämnar ut uppgifter för forskningsändamål som inte direkt kan hänföras till en enskild alltid ska förse uppgifterna med en beteckning som hos den statistik- ansvariga myndigheten kan kopplas till personnummer eller mot- svarande. Detta ska göra det möjligt att senare komplettera upp- gifterna i ett forskningsprojekt eller utföra uppföljning, replikation eller granskning av samma projekt eller att använda uppgifterna i ett delvis förändrat forskningsprojekt.

Vidare föreslogs att en förteckning över vilken beteckning som motsvarar ett visst personnummer, en så kallad kodnyckel, ska bevaras hos den myndighet som upprättat den i 20 år efter utlämnandet av uppgifterna som kodnyckeln avser. Tiden föreslogs kunna förlängas efter beslut av den myndighet som upprättat den eller efter ansökan från den som använder kodnyckeln.

En motsvarande reglering avseende kodnyckelförfarande föreslogs i lagen om forskningsdatabaser (se avsnitt 6.3.9).

Forskningssekretess

Registerforskningsutredningen lämnade förslag om förstärkning av sekretesskyddet i forskning genom ett förslag till bestämmelse om forskningssekretess i offentlighets- och sekretesslagen (2009:400), förkortad OSL. Den föreslagna bestämmelsen innebär att person- uppgifter avseende enskilds personliga och ekonomiska förhållanden som samlas in för forskning alltid ska vara skyddade av absolut sekretess. Sekretess ska alltså alltid gälla, utan att någon risk- bedömning avseende skada eller men behöver göras. För uppgift i allmän handling föreslogs sekretessen gälla i 70 år om uppgiften avser en enskilds personliga förhållanden och annars i högst 20 år. Om en uppgift som omfattas av den nya sekretessbestämmelsen överförs till en annan myndighet ska den enligt förslaget vara tillämplig även hos den mottagande myndigheten.

Vidare föreslogs att det ska finnas en sekretessbrytande bestäm- melse som innebär att uppgifterna, om vissa villkor är uppfyllda, kan lämnas ut till annan forskning samt för utredning av oredlighet i

180

SOU 2018:36

Registerforskningsutredningens förslag

forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning. Förutsättningen för att uppgifterna i sådana fall ska kunna lämnas ut är att det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denna lider men.

Det ska enligt föreslagna ändringar i andra paragrafer i OSL vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott. Forskningssekretessen föreslogs också gälla i verksamhet som avser förande av eller uttag ur databaser enligt den föreslagna lagen om forskningsdatabaser (se avsnitt 6.3.17).

Regleringsbrev

Registerforskningsutredningen föreslog att regeringen i reglerings- brev till statliga universitet och högskolor skulle uppmana dessa att lägga större vikt vid skydd och säkerhet vid behandling av person- uppgifter, bland annat genom att stärka personuppgiftsombudets ställning och att begära återrapportering om hur skyddet hanteras.

6.2.3Remissbehandling

Betänkandet Unik kunskap genom registerforskning skickades på remiss till berörda instanser. Drygt 90 remissvar kom in under början av år 2015 (se vidare avsnitt 6.4). Någon beredning av remiss- yttrandena har inte gjorts.

6.3Förslaget till lag om forskningsdatabaser

6.3.1Reglering genom en lag och kompletterande förordningar

Lag och förordningar

181

Registerforskningsutredningens förslag

SOU 2018:36

ningsdatabaser.5 Syftet med den föreslagna lagen om forsknings- databaser är enligt utredaren bl.a. att möjliggöra många olika typer av databaser: databaser som helt baseras på uppgifter som samlats in direkt från enskilda personer, på uppgifter som hämtas från andra register eller, vilket enligt utredaren torde bli vanligast, på en kombination av registeruppgifter och uppgifter som samlats in direkt från enskilda.6

I den föreslagna lagen anges vissa generella regler för forsknings- databaser. Vidare skulle varje databas regleras i en förordning med bestämmelser om vad som närmare ska gälla, till exempel ändamål och innehåll.7

När det gäller den valda lösningen för regleringen diskuterade utredaren ifall bestämmelser om forskningsdatabaser bör regleras genom lag eller förordning. Utredaren refererade till tidigare lag- stiftningsärenden där det konstaterats att det bör vara en målsättning att i de fall register med ett stort antal registrerade och ett känsligt innehåll inrättas ska bestämmelserna meddelas i form av lag. Utredaren ansåg därför att en reglering som möjliggör person- uppgiftsbehandling i forskningsdatabaser bör ha lagform. 8

Utredaren ansåg dock att forskningsdatabaser inte utgör ett sådant betydande intrång i den personliga integriteten att det på grund av bestämmelsen i 2 kap. 6 § andra stycket regeringsformen skulle krävas en särskild lag för varje forskningsdatabas.9 Utredaren konstaterade att det redan finns registerlagar för existerande forskningsdatabaser som t.ex. lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen), lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU-lagen) och lagen om rättspsykiatriskt forskningsregister. Sådana författningar reglerar ofta i detalj vilken information som får behandlas, vilka som får ha tillgång till uppgifterna och hur det får användas. Utredaren noterade att systemändringar då måste föregås av lagändringar, vilket kan göra ett system med lagreglering av varje enskild forskningsdatabas stelbent.

5Angående begreppet forskningsdatabaser, se kapitel 3 i detta betänkande.

6SOU 2014:45 s. 440.

7Utredaren diskuterar normgivningsmakten och regeringens möjligheter att meddela före- skrifter om forskningsdatabaser, m.m., se SOU 2014:45 s. 455 f.

8SOU 2014:45 s. 422.

9SOU 2014:45 s. 264 ff.

182

SOU 2018:36

Registerforskningsutredningens förslag

Det skulle enligt utredaren kunna innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet hos dem som ska använda uppgifterna för forskning.10

Registerforskningsutredningens förslag till lag om forsknings- databaser innehåller allmänna bestämmelser om bl.a. ändamål, inne- håll, sökbegrepp, direktåtkomst, intern elektronisk tillgång, gallring och villkor för utlämnande av uppgifter från forskningsdatabasen. Utredaren ansåg att det i de kompletterande förordningarna skulle finnas mer detaljerade bestämmelser och specifika regleringar för varje databas.11

Beredning av Vetenskapsrådet och beslut av regeringen

Registerforskningsutredningen föreslog att Vetenskapsrådet ska ges i uppgift att bereda frågan om vilka forskningsdatabaser som kan behövas i Sverige och göra en framställan till regeringen om detta. Regeringen ska då enligt utredaren pröva om införandet av de före- slagna databaserna faller inom ramen för vad som är tillåtet enligt 2 kap. 6 § RF, artikel 8 i Europakonventionen och personuppgifts- lagen. Om så är fallet och regeringen i övrigt anser förslagen vara lämpliga, ska regeringen besluta om de förordningar som närmare ska reglera verksamheten. Enligt utredaren kommer det att krävas att bestämmelserna anpassas till varje enskild forskningsdatabas eftersom behovet av forskningsdatabaser kan uppkomma inom alla forsk- ningsområden med stor spännvidd av ändamål.12

Registerforskningsutredningen gjorde bedömningen att det inte vore lämpligt att utvidga etikprövningslagens tillämpningsområde till att även omfatta uppbyggnad av forskningsdatabaser (se avsnitt 6.3.7). Däremot ansåg utredaren att etiska överväganden av motsvarande slag som vid etikprövning, kommer att göras vid den beredning som Vetenskapsrådet föreslogs göra och den prövning som det sedan är tänkt att regeringen ska göra inför att en ny databasförordning ska införas. Utredaren påtalade att regeringen i processen kommer att ha

10SOU 2014:45 s. 423.

11SOU 2014:45 s. 423.

12SOU 2014 :45 s. 424 f.

183

Registerforskningsutredningens förslag

SOU 2018:36

möjlighet att inhämta yttranden från till exempel Centrala etikpröv- ningsnämnden, SCB och Datainspektionen för att belysa föreslagets etiska aspekter.13

En forskningsdatabas per forskningsfält

Utredaren redovisade vidare bland annat följande tankar när det gäller forskningsdatabaserna. Det ska endast finnas en forskningsdatabas för varje större forskningsfält i Sverige och databasen ska kunna användas av forskare i hela Sverige. Finansieringen av databasen ska för att garantera långsiktighet och kvalitet vara säkerställd för i vart fall åtta år. Den myndighet som ska föra databasen ska ha kompetens och tillräckliga resurser för att behandla ansökningar om uttag ur forskningsdatabasen inom rimlig tid och utlämnande av person- uppgifter till forskningsprojekt ska kunna göras till rimliga kostnader. Ett vetenskapligt råd bör vara knutet till forskningsdatabasen och detta bör vara ansvarigt för uppbyggnad och utveckling samt ha möjlighet att behandla frågor av etisk karaktär som kan uppkomma i samband med databasen. Vetenskapsrådet ska ansvara för en regel- bunden utvärdering av de databaser som etableras med stöd av den föreslagna lagen.

6.3.2Statliga myndigheter ska kunna vara ansvariga för forskningsdatabaser

Statliga universitet och högskolor som omfattas av högskolelagen och andra statliga myndigheter som har i uppdrag att bedriva forskning föreslogs få utföra behandling av personuppgifter i en forskningsdata- bas för att skapa underlag för forskningsprojekt och lämna ut upp- gifter till forskningsprojekt.

Under utredningen av frågan om vem som ska få föra forsknings- databaser var Registerforskningsutredningen i kontakt med statliga universitet och högskolor som omfattas av högskolelagen. Dessa bekräftade då behovet av att bygga upp databaser för olika framtida forskningsprojekt.

13SOU 2014 :45 s. 425.

184

SOU 2018:36

Registerforskningsutredningens förslag

Utredaren gjorde bedömningen att statliga universitet och hög- skolor också är lämpliga för att behandla personuppgifter i forsk- ningsdatabaser i syfte att uppgifterna ska få användas i framtida forskningsprojekt. Utredaren gjorde vidare bedömningen att även andra statliga myndigheter kan ha behov av att bygga upp databaser med uppgifter som kan användas för framtida forskning. Brottsföre- byggande rådet (Brå) och IFAU t.ex., bör kunna vara ansvariga för forskningsdatabaser enligt den föreslagna lagen.14

När det gäller möjlighet för andra än statliga myndigheter att bygga upp forskningsdatabaser för framtida forskning ansåg utredaren att det bör finnas någon form av grundläggande krav på tystnadsplikt inom forskning i privat regi innan det kan bli aktuellt för forsknings- huvudmän inom enskilt bedriven forskning att bygga upp forsk- ningsdatabaser.15

6.3.3Definitioner

I lagförslaget finns en bestämmelse med definitioner av forsknings- databas och forskning.

Forskningsdatabas definierades som en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndig- hetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt.

Forskning angavs vara detsamma som enligt etikprövningslagen.

I2 § etikprövningslagen stadgas att med forskning avses vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

6.3.4Ändamål och utlämnande

Personuppgifter får enligt en föreslagen ändamålsbestämmelse behandlas för att skapa underlag för forskning och att lämna ut upp- gifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt

14Se bl.a. SOU 2014:45 s. 428 f.

15SOU 2014:45 s. 429 f.

185

Registerforskningsutredningens förslag

SOU 2018:36

etikprövningslagen. Ingen begränsning till att etikprövning bara ska göras när det gäller känsliga personuppgifter föreslås. Utredaren gjorde bedömningen att uppgifter bör kunna lämnas ut såväl till forsk- ningsprojekt där en myndighet är forskningshuvudman som till forskningsprojekt som bedrivs i privat regi.

En bestämmelse föreslogs som stadgar att personuppgifter också får lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Dessutom föreslogs att personuppgifter som registrerats enligt lagen skulle få lämnas ut till den registrerade själv, dock inte i fråga om personuppgifter som inte direkt kan hänföras till en person.

Gällande utlämning av personuppgifter föreslogs vidare att upp- gifter skulle få lämnas ut om det finns en skyldighet i lag. Denna bestämmelse föreslogs för att det inte skulle uppstå konflikt mellan bestämmelsen i den föreslagna lagen och exempelvis bestämmelser i annan lag som gäller så kallad uppgiftsskyldighet.16

En hänvisning till 9 § första stycket d och andra stycket person- uppgiftslagen föreslogs i lagen om forskningsdatabaser. Där stadgas att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, den så kallade finalitetsprincipen. I 9 § andra stycket personuppgiftslagen finns det så kallade forskningsundan- taget. Enligt detta gäller i fråga om första stycket d att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ända- mål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Ett alternativ som utredaren nämner hade varit att föreslå en reglering om att uppgifter bara får behandlas för sådana ändamål som anges i lagen. Den typen av bestämmelse finns i LifeGene-lagen. Den föreslagna regleringen innebär jämfört med detta en utvidgning av de ändamål som en uppgift i en forskningsdatabas kan lämnas ut till.

Utredaren ansåg att integritetsskyddet kan upprätthållas även om uppgifter kommer att lämnas ut med stöd av finalitetsprincipen och forskningsundantaget. Som skäl angavs följande.

•Uppgifter får endast lämnas ut för forskningsändamål och för granskning av forskning.

16SOU 2014:45 s. 438.

186

SOU 2018:36

Registerforskningsutredningens förslag

•Samma sekretess kommer gälla hos den mottagande myndigheten vid utlämnande till en annan myndighet.

•Uppgifter till enskild kan lämnas med förbehåll enligt 10 kap. 14 § OSL.

•Ett krav på etikgodkännande kommer att gälla.17

6.3.5Databasens innehåll

I lagförslaget finns en bestämmelse om databasens innehåll som definierar vilka personuppgifter som ska få samlas i en databas. Regleringen av databasens innehåll kopplas till ändamålsbestäm- melsen på så sätt att det är tänkt att vara tydligt att endast de uppgifter som är relevanta för ändamålet får behandlas i databasen. En forsk- ningsdatabas ska således endast få innehålla de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt den föreslagna ändamålsbestämmelsen, alltså för att skapa underlag för olika forskningsprojekt och för att lämna ut uppgifter till forsknings- projekt.

Enligt utredaren är det inte möjligt att i den föreslagna lagen om forskningsdatabaser ange vilka uppgifter som ska vara tillåtna i de olika databaser som kan etableras med stöd av lagen. Utredaren föreslog i stället att regeringen i respektive registerförordning närmare ska bestämma vad som får föras in i databasen och om det ska krävas samtycke från den person som uppgifterna avser.18

6.3.6Insamling av uppgifter

Samtycke när uppgifter samlas in från enskilda

Registerforskningsutredningen föreslår att personuppgifter som samlas in direkt från den enskilde endast får behandlas om han eller hon har lämnat ett vad man betecknar informerat uttryckligt sam- tycke till behandlingen. Med samtycke skulle enligt utredaren avses detsamma som enligt personuppgiftslagen. Det ska alltså vara fråga om en frivillig, särskild, otvetydig viljeyttring genom vilken den

17SOU 2014:45 s. 439.

18SOU 2014:45 s. 441.

187

Registerforskningsutredningens förslag

SOU 2018:36

registrerade, efter att ha fått viss information som framgår av lagen, godtar behandlingen av personuppgifter som rör honom eller henne. Samtycket måste ha kommit till uttryck på något sätt som är möjligt för en utomstående att iaktta. Utredaren poängterade att den enskilde kan samtycka till att kompletterande uppgifter hämtas från olika register.19

Utredaren föreslog att samma rätt till återkallelse av samtycke som enligt personuppgiftslagen ska gälla. Enligt 12 § personuppgiftslagen innebär ett återkallande av samtycke att ytterligare personuppgifter om den registrerade därefter inte får behandlas. Eftersom bestäm- melsen i personuppgiftslagen endast gäller samtycken som lämnats enligt personuppgiftslagens bestämmelser föreslogs att det i lagen om forskningsdatabaser särskilt ska anges att bestämmelsen är tillämplig för samtycken som samlas in direkt från den enskilde. När det gäller behandling av personuppgifter som inhämtas från någon annan källa än den enskilde föreslogs att bestämmelser tas i en förordning anpassad till varje enskild forskningsdatabas.20

Information när uppgifter samlas in från enskilda

Registerforskningsutredningen föreslog bestämmelser om infor- mation vid insamling av personuppgifter. Det föreslogs att innan en person lämnar sitt samtycke ska han eller hon ha informerats om att det är frivilligt att lämna uppgifter, för vilka ändamål personupp- gifterna får behandlas, vilka uppgifter som får registreras, vilka sekre- tess- och säkerhetsbestämmelser som gäller för databasen, vem som är personuppgiftsansvarig, hur länge uppgifterna kan komma att sparas, rätten till rättelse av uppgifterna, rätten till information enligt 26 § personuppgiftslagen, rätten till skadestånd samt rätten att få uppgifter utplånade. Vidare föreslogs att bestämmelserna i 26 § personuppgiftslagen om information efter ansökan inte skulle gälla i fråga om personuppgifter som inte direkt kan hänföras till en person.

Registerforskningsutredningen gjorde bedömningen att det är viktigt att den enskilde får tillräckligt med information för att kunna avgöra om han eller hon vill godkänna behandling av personuppgifter

19SOU 2014 :45 s. 426.

20SOU 2014:45 s. 427.

188

SOU 2018:36

Registerforskningsutredningens förslag

i en forskningsdatabas. Det är enligt utredaren lämpligt med ytter- ligare krav på vilken information som ska lämnas till den enskilde innan samtycke ges utöver bestämmelserna i personuppgiftslagen.

När det gäller kravet på information om hur länge en uppgift i en forskningsdatabas kan komma att sparas kan det enligt Register- forskningsutredningen vara tillräckligt att ange vilka gallringsbestäm- melser som gäller. Skälet för det ställningstagandet är att det kan vara svårt att bedöma hur länge en uppgift i en forskningsdatabas kan komma att behövas för sitt ändamål.

I betänkandet diskuteras 24 § personuppgiftslagen. Enligt denna bestämmelse ska den personuppgiftsansvarige lämna den registrerade information om behandlingen av uppgifterna när de registreras. Ett undantag till detta krav är om det finns bestämmelser om registre- randet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Utredaren menar att undantaget från infor- mationsplikten enligt 24 § personuppgiftslagen kommer att bli tillämpligt enligt den föreslagna lagen om forskningsdatabaser. Lagen om forskningsdatabaser i förening med de särskilda förordningar som ska gälla varje forskningsdatabas kommer enligt förslaget att innehålla mer information om vad en registrering innebär och vilka personer som kan bli registrerade. Enligt Registerforskningsutredningens bedömning motsvarar detta den information som ska ges enligt personuppgiftslagen.

Uppgifter från andra myndighetsregister

Det föreslogs att uppgifter som hämtats från andra myndighets- register för de tillåtna ändamålen skulle få behandlas under förut- sättning att uppgifterna inte direkt kan hänföras till en person. Regeringen eller den myndighet regeringen bestämmer skulle dock få meddela föreskrifter om att identifierbara uppgifter ska få behandlas.

6.3.7Ingen etikprövning av forskningsdatabaser

Registerforskningsutredningen diskuterade om etikprövningslagen borde utvidgas till att gälla även etikprövning av forskningsdatabaser. Det övervägdes således om det vore lämpligt att utvidga etikpröv- ningslagens tillämpningsområde så att etikprövningen inte endast

189

Registerforskningsutredningens förslag

SOU 2018:36

skulle avse ett visst projekt eller del av projekt utan också insamlingen av uppgifter avsedda för att utgöra underlag för framtida forskning. Utredaren drog slutsatsen att det skulle vara möjligt, men att det inte vore en lämplig lösning. Problemet att registerhållande myndigheter inte anser sig kunna lämna ut uppgifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forsknings- projekt skulle ändå kvarstå. I stället förutsatte utredaren att etiska överväganden ska göras vid Vetenskapsrådets beredning och reger- ingens beslut (se avsnitt 6.3.1).21

Inget utlämnande genom direktåtkomst

Registerforskningsutredningen föreslog att utlämnande genom direktåtkomst till personuppgifter i databasen inte skulle få före- komma. Utredaren konstaterade att effektivitetsskäl talade för en direktåtkomst mellan den myndighet som för databasen och den myndighet som ska använda uppgifterna för specifika forsknings- projekt. Av integritetsskäl ansåg utredaren dock att direktåtkomst inte ska tillåtas eftersom direktåtkomst för en myndighet som ska använda personuppgifterna i en databas skulle innebära att myndig- heten får tillgång till personuppgifter, även känsliga personuppgifter, om en stor mängd personer utan att den mottagande myndigheten kommer att ha ett egentligt behov av samtliga uppgifter. Vidare angav utredaren att direktåtkomst skulle innebära att båda myndigheterna skulle göra en sekretessprövning avseende samma material och att risken då ökar för att sekretessbestämmelsen tillämpas på olika sätt.22

6.3.8Förhållandet till personuppgiftslagen och personuppgiftsansvar

När det gäller förhållandet till personuppgiftslagen föreslogs att det i lagen om forskningsdatabaser skulle stadgas att personuppgiftslagen gäller vid behandling av personuppgifter, om inte annat följer av den föreslagna lagen eller föreskrifter som meddelats med stöd av lagen.

21SOU 2014:45 s. 362, 420 och 424 f.

22SOU 2014:45 s. 443.

190

SOU 2018:36

Registerforskningsutredningens förslag

De statliga myndigheter som utför behandlingen av personupp- gifter i forskningsdatabaserna föreslogs vara personuppgiftsansvariga enligt personuppgiftslagen.

6.3.9Kodnyckelförfarande

Utredaren konstaterade att uppgifter från forskningsdatabaser i de flesta fall inte direkt kan hänföras till en enskild, utan kommer att lämnas ut i kodad form. För att möjliggöra senare uppdatering av uppgifterna föreslog Registerforskningsutredningen att den som är ansvarig för forskningsdatabasen vid utlämnande av kodade uppgifter ska förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning.

Eftersom det inte alltid är möjligt för en forskare att förutse när behov av senare uppdatering kan uppkomma föreslogs att det ska vara obligatoriskt för den som är ansvarig för forskningsdatabasen att bevara en förteckning över beteckning och personnummer eller annan identitetsbeteckning (en kodnyckel) i 20 år. Tiden föreslogs därefter kunna förlängas på begäran av den forskningshuvudman som den upprättades för eller av annan forskningshuvudman som använder uppgifter som kodnyckeln avser i sin forskning.

Vidare ska enligt förslaget den myndighet som ansvarar för registret också på eget initiativ, om behov finns, besluta att tiden för bevarande av kodnyckeln ska förlängas.23

6.3.10Rättelse m.m.

Om en uppgift rättats, blockerats eller utplånats i forskningsdata- basen, ska den personuppgiftsansvariga myndigheten enligt förslaget vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnas ut till.

Vidare föreslogs att den som fått kodade personuppgifter inte behöver lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Det föreslogs även att det ska stadgas att den som behandlar uppgifterna

23SOU 2014:45 s. 440 f.

191

Registerforskningsutredningens förslag

SOU 2018:36

inte behöver rätta, blockera eller utlåna dessa på begäran av den registrerade.

6.3.11Sökbegrepp

Utredaren poängterar att regeringen inför inrättandet av en forsk- ningsdatabas noggrant ska pröva för vilka ändamål uppgifterna i databasen ska få behandlas. I förordning ska också specificeras vilka uppgifter och kategorier av uppgifter som får ingå i databasen. Efter- som endast uppgifter som är nödvändiga för databasens ändamål ska få förekomma i denna innebär det att innehållet i databasen och där- med också möjliga sökbegrepp är noga avvägt och begränsat.

Utredaren drar slutsatsen att för att databasen ska vara användbar och ändamålsenlig bör det inte ställas upp några begränsningar av vilka sökbegrepp som får användas.24 I den föreslagna bestämmelsen anges att som sökbegrepp får användas uppgifter som enligt förslaget får ingå i en forskningsdatabas.

6.3.12Förbud mot bakvägsidentifiering

Registerforskningsutredningen föreslog ett förbud mot bakvägs- identifiering. Enligt förslaget får personuppgifter som inte direkt kan hänföras till en person och som behandlas med stöd av den föreslagna lagen om forskningsdatabaser inte behandlas i syfte att röja en persons identitet. Förbudet föreslogs vara straffsanktionerat och kunna leda till böter eller fängelse i högst ett år.

Utgångspunkten är att när personuppgifter i en forskningsdatabas eller en del därav hämtas från ett myndighetsregister är uppgifterna som lämnas ut till databasen kodade. Kodnyckeln bevaras hos den utlämnande myndigheten och är inte tillgänglig för den som är ansvarig för forskningsdatabasen. Dock utesluter detta enligt utredaren inte möjligheten att identifiera en enskild person i det kodade materialet. Sammanförandet av ett antal variabler om en person medför alltid en risk för att personens identitet röjs. Med anledning av detta föreslogs ett förbud mot behandling av kodade personuppgifter i syfte att röja en persons identitet.25

24SOU 2014:45 s. 441.

25SOU 2014:45 s. 443 f.

192

	forskningens behov ................................................		226
7.3 En forskningsdatabas livscykel..............................................			231
7.3.1	Livscykelmodellen..................................................		231
7.3.2	Steg 1.	Skapandet....................................................	232
7.3.3	Steg 2.	Insamlingen ................................................	233
7.3.4	Steg 3.	Förvaltningen .............................................	234
7.3.5	Steg 4. Användningen ............................................		234

	7.3.6	Steg 5. Avvecklingen..............................................	235
7.4	Forskningsdatabaser som bör omfattas av våra förslag .......		235
	7.4.1	Olika typer av forskningsdatabaser.......................	235
	7.4.2	Forskningsdatabaser som vi avser att reglera........	239
8	Förslag till reglering av forskningsdatabaser ................		241
8.1	Inledning ...............................................................................		241
8.2	Personuppgiftsbehandling i forskningsdatabaser.................		241
	8.2.1	Inledning ................................................................	242
	8.2.2	Förenlighet med dataskyddsförordningen............	242
	8.2.3	Rättslig grund ........................................................	243
	8.2.4	Känsliga personuppgifter.......................................	246
	8.2.5	Grundläggande principer för behandling..............	248
8.3	En lag om forskningsdatabaser .............................................		248
8.4	Lagens innehåll och syfte ......................................................		250
8.5	Förhållande till annan lagstiftning ........................................		252
8.6	Regleringens territoriella tillämpningsområde .....................		254

	av en forskningsdatabas.........................................	267
8.8.5	En forskningsdatabas ska etikprövas ....................	271

SOU 2018:36		Innehåll
8.8.6	Etikprövningen av en forskningsdatabas...............	275
8.9 Insamlingen av uppgifter till en forskningsdatabas.................		282
8.9.1	Behov av reglering i detta steg av livscykeln..........	282

	behandlingen ..........................................................	287
8.9.5	Forskningssekretess ...............................................	288

Sammanfattning ................................................................		17
Summary ..........................................................................		27
DEL I
Inledning
1	Författningsförslag.....................................................	39
1.1 Förslag till lag om forskningsdatabaser .................................		39

	människor ................................................................................		57
2	Vårt uppdrag och arbete .............................................		59
2.1	Utredningsuppdraget..............................................................		59
	2.1.1	Uppdraget att föreslå långsiktiga regleringar
		av forskningsdatabaser ............................................	60

	forskningsregister ...................................................	61
2.1.3	Reglering av ett nationellt biobanksregister..........	62

		personuppgiftsbehandling ......................................	63
2.2	Utredningsarbetet ..................................................................		64
	2.2.1	Expertgruppsmöten ................................................	65
	2.2.2	Besök vid lärosäten och myndigheter ....................	65
	2.2.3	Övriga kontakter och framträdanden ....................	65
	2.2.4	Annat underlag i utredningsarbetet .......................	66
2.3	Disposition m.m. ....................................................................		67

3	Bakgrund, utgångspunkter och begrepp........................		71
3.1	Bakgrund .................................................................................		71
3.2	Utgångpunkter........................................................................		72
3.3	Centrala begrepp för slutbetänkandet....................................		73
	3.3.1	Forskning och forskningsändamål..........................	74
	3.3.2	Register och databas ................................................	76
	3.3.3	Forskningsdatabas m.m...........................................	79
	3.3.4	Forskningsinfrastruktur eller
		databasinfrastruktur för forskning..........................	80

	forskning..................................................................	81
3.3.6	Forskningshuvudman..............................................	82
3.3.7	Program och projekt................................................	83
3.3.8	Forskningsperson ....................................................	84

utlämnande från forskningsdatabaser .....................	84
3.3.10 Centraliserad och decentraliserad ..........................	86

4	Behov av forskningsdatabaser .....................................		89
4.1	Inledning..................................................................................		89
4.2	Behövs det särskilda forskningsdatabaser? .............................		90
	4.2.1	Registerforskningsutredningens bedömning ..........	91
	4.2.2	Har förutsättningarna ändrats sedan 2014?.............	95

	av forskningsdatabaser .............................................	96
4.3 Utveckling av gemensamma resurser vid myndigheter ......		108
4.3.1	Satsningen på hälso- och sjukvårdens
	kvalitetsregister......................................................	108

		forskningsdatabaser................................................	114
4.4	Vår sammanfattande bedömning ..........................................		120
5	Rättsliga förutsättningar för forskningsdatabaser .........		121
5.1	Inledning................................................................................		121
	5.1.1	Innehåll och disposition.........................................	121

	i annat offentligt tryck ...........................................	122
5.2 Rättsliga förutsättningar för registerbaserad forskning .......		123
5.2.1	Internationell reglering ..........................................	123
5.2.2	Regeringsformen....................................................	125
5.2.3	EU:s dataskyddsreglering ......................................	126
5.2.4	Rätt för forskare att få del av personuppgifter ......	128
5.3 Några viktiga bestämmelser i dataskyddsförordningen .......		129
5.3.1	Inledning ................................................................	129
5.3.2	Rättslig grund.........................................................	129
5.3.3	Känsliga personuppgifter .......................................	136
5.3.4	Personuppgifter om lagöverträdelser m.m. ...........	138
5.3.5	Principer för personuppgiftsbehandling................	138
5.3.6	Ändamålsbegränsning ............................................	139

	5.3.7	Begränsningar i registrerades rättigheter ..............	144
	5.3.8	Skyddsåtgärder.......................................................	145
5.4	Etikprövning .........................................................................		146
	5.4.1	Etikprövningslagens innehåll, syfte
		och tillämpningsområde ........................................	146
	5.4.2	Villkor för etikprövning ........................................	147
5.5	Offentlighet, sekretess och tystnadsplikt.............................		149
	5.5.1	Inledning ................................................................	149
	5.5.2	Sekretessbestämmelsernas utformning.................	151

	inom forskning.......................................................	154
5.5.4	Tystnadsplikt vid privat verksamhet .....................	161

	del av uppgifter från en statistikansvarig
	myndighet ..............................................................	163
5.6 Arkivering och gallring .........................................................		164
5.6.1	Tryckfrihetsförordningen och arkivlagen.............	164

		arkivering ...............................................................	166
	5.6.3	Reglering i dataskyddslagen ..................................	168
	5.6.4	Reglering i registerförfattningar............................	171
5.7	Sammanfattning ....................................................................		174
6	Registerforskningsutredningens förslag ......................		177
6.1	Inledning ...............................................................................		177
6.2	Registerforskningsutredningens uppdrag och förslag .........		177
	6.2.1	Förslag till lag om forskningsdatabaser.................	177
	6.2.2	Registerforskningsutredningens övriga uppdrag..	178
	6.2.3	Remissbehandling..................................................	181
6.3	Förslaget till lag om forskningsdatabaser.............................		181

	för forskningsdatabaser .........................................	184
6.3.3	Definitioner ...........................................................	185

		tillämpningsområde ...............................................	257
8.7	Definitioner...........................................................................		259
	8.7.1	Forskningsdatabas .................................................	260
	8.7.2	Forskningshuvudman............................................	261
8.8	Skapandet av en forskningsdatabas.......................................		261
	8.8.1	Behov av reglering i detta steg av livscykeln .........	261
	8.8.2	Ansvar för forskningsdatabasen............................	262

	forskningshuvudmän .............................................	294
8.10 Förvaltningen av en forskningsdatabas.................................		295
8.10.1	Behov av reglering i detta steg av livscykeln..........	295
8.10.2	Organisatoriska åtgärder........................................	296

	informationssäkerhet och personlig integritet......	298
8.10.4	Ett riskbaserat informationssäkerhetsarbete.........	301

	forskningsdatabas...................................................	304
8.10.6	Intern uppföljning (revidering) .............................	309
8.10.7 Extern uppföljning och utvärdering ......................		310
8.11 Användningen av en forskningsdatabas................................		312
8.11.1	Behov av reglering i detta steg av livscykeln..........	312

	från en forskningsdatabas ......................................	312
8.11.3	Pseudonymisering och annat likvärdigt skydd......	315
8.11.4	Utlämnande av uppgifter till LIS och andra
	forskningsdatabaser i Europa.................................	319

än de registrerade ...................................................	319
8.11.6 Direktåtkomst för den registrerade själv...............	321
8.11.7 Uppförandekoder som stöd vid behandling
av personuppgifter i forskningsdatabaser..............	324
8.12 Avvecklingen av en forskningsdatabas..................................	326
8.12.1 Behov av reglering i detta steg av livscykeln..........	326

8.12.2 Arkivering ..............................................................	327
8.13 Bemyndiganden.....................................................................	335

9	Rättspsykiatriska forskningsregistret ..........................		341
9.1	Inledning ...............................................................................		341
	9.1.1	Uppdraget..............................................................	341
	9.1.2	Bakgrund................................................................	341
9.2	Gällande rätt ..........................................................................		342

av ett rättspsykiatriskt forskningsregister? ..........................		343
9.3.1	Bakgrund till registerlagen.....................................	343
9.3.2	Forskningsregistret i dag .......................................	347
9.3.3	Rättspsykiatrisk verksamhet vid RMV .................	349

utvecklingsarbete ...................................................	350
9.4 Överväganden och förslag ....................................................	355

		ska upphävas ..........................................................	355
	9.4.2	24 kap. 2 § i OSL ska upphöra att gälla .................	356
	9.4.3	Ikraftträdande ........................................................	356
10	En reglering av ett nationellt biobanksregister.............		359
10.1	Inledning ...............................................................................		359
	10.1.1	Uppdraget ..............................................................	359
	10.1.2	Bakgrund................................................................	359
10.2	Registerforskningsutredningen ............................................		361
	10.2.1	Förslaget i korthet .................................................	361
	10.2.2	Remissinstansernas synpunkter ............................	363
10.3	Utredningen om regleringen av biobanker ..........................		364
	10.3.1	Centrala delar av förslaget .....................................	365

SOU 2018:36	Innehåll
10.4 Överväganden och förslag.....................................................	367

		betänkande .............................................................	370
10.5	Förslag till författningsreglering ...........................................		375
10.6	Sammanfattning.....................................................................		375
11	Utlämnande av uppgifter till europeiska
	forskningsdatabaser .................................................		377
11.1	Vårt uppdrag i denna del .......................................................		377
11.2	Rättsliga förutsättningar........................................................		379
	11.2.1	Offentlighets- och sekretesslagen .........................	379
	11.2.2	Dataskyddsregleringen...........................................	384
	11.2.3 Uppgiftsskyldighet som bryter sekretess..............		387
11.3	Utredningens förslag.............................................................		389
	11.3.1 En ny sekretessbrytande bestämmelse ..................		389

		till LIS .....................................................................	392
12	Skydd för uppgifter om avlidna i forskning .................		393
12.1	Inledning................................................................................		393
	12.1.1	Uppdraget ..............................................................	393
	12.1.2	Avgränsning ...........................................................	393
	12.1.3	Bakgrund ................................................................	394
	12.1.4	Disposition .............................................................	394
12.2	Uppgifter om avlidna som kan komma att användas
	inom forskning ......................................................................		394
	12.2.1 Uppgifter om avlidna hos RMV ............................		395