Långsiktig reglering av forskningsdatabaser

Promemoria

2022-12-23

Utbildningsdepartementet

Långsiktig reglering av forskningsdatabaser

Förord Ds

Förord

Det finns två lagar om registerbaserad forskning, dels lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, dels lagen (1999:353) om rättspsykiatriskt forskningsregister. Den första lagen är tidsbegränsad och den andra lagen är obsolet. Det finns således ett behov av att skapa långsiktiga förutsättningar för forskningsdatabaser av infrastrukturkaraktär som innehåller personuppgifter som kan utgöra underlag för flera olika framtida forskningsprojekt inom ett eller flera forskningsområden. Frågan har utretts av Registerforskningsutredningen som 2014 lämnade förslag på bland annat en lag om forskningsdatabaser ( Unik kunskap genom registerforskning , SOU 2014:45). Förslaget fick viss kritik och sedan EU:s dataskyddsförordning trätt i kraft fanns det också behov av att anpassa framtida förslag till förordningen. Regeringen gav därför 2018 Forskningsdatautredningen i uppdrag att lämna ett nytt förslag med beaktande av EU-förordningen, det tidigare förslaget och remissutfallet. Forskningsdatautredningen lämnade i sitt slutbetänkande ett förslag till lag om forskningsdatabaser ( Rätt att forska – Långsiktig reglering av forskningsdatabaser , SOU 2018:36). Även detta förslag fick motta viss remisskritik.

Regeringskansliet beslutade den 27 mars 2020 att uppdra åt en utredare att biträda Utbildningsdepartementet med att analysera ovan nämnda förslag och remissutfallen och lämna ett förslag på en långsiktig regler för forskningsdatabaser (U2020/01944/F). Uppdraget finns i bilaga 1.

Uppdraget gavs till rådmannen Anna Tansjö som redovisade sitt uppdrag den 30 juni 2021. Sekreterare har varit Rebecka Åman

Ds Förord

Wiberg, som numera är rådman. I promemorian redovisas de förslag och bedömningar som Anna Tansjö gör. Vissa uppdateringar i texten som bl.a. avser ändringar i offentlighets- och sekretesslagen (2009:400) som skett efter redovisningen, men som inte påverkar det lämnade förslaget, har gjorts inför remitteringen och stämts av med Anna Tansjö.

Sammanfattning

Promemorians huvudsakliga innehåll

I denna promemoria lämnas ett förslag om en långsiktig reglering av vissa forskningsdatabaser. Vid framtagandet av förslaget har Registerforskningsutredningens respektive Forskningsdatautredningens förslag till lagar om forskningsdatabaser jämte remissutfallet avseende dessa förslag beaktats.

Bakgrund

I början av 2010-talet kom det att uppmärksammas att det fanns en rättslig problematik när det gäller registerbaserad forskning, nämligen svårigheter att skapa forskningsdatabaser av infrastrukturkaraktär med personuppgifter som kan utgöra underlag för flera olika framtida forskningsprojekt. Sådana kan inte prövas enligt etikprövningslagen, eftersom de inte avser ett avgränsat forskningsprojekt, och flera statistikansvariga myndigheter, däribland Statistiska centralbyrån, anser inte det möjligt att lämna ut uppgifter till sådana databaser. Även Integritetsskyddsmyndigheten (dåvarande Datainspektionen) hade rättsliga invändningar mot skapandet av sådana forskningsdatabaser som man menade inte uppfyllde dataskyddsregleringens krav på specificerade ändamålsbeskrivningar, vilket i sin tur medförde att enskilda inte kunde lämna något giltigt samtycke till att registreras i sådana databaser. Problematiken ställdes på sin spets i samband med Karolinska institutets projekt LifeGene i vilket personuppgifter samlades in från enskilda för att de senare skulle utgöra underlag för kommande, etikgodkända forskningsprojekt om sambanden arv, miljö och hälsa. Det sökta etikgodkännandet av forskningsdatabasen kunde inte fås eftersom det inte handlade om ett konkret forskningsprojekt och

Sammanfattning Ds

Integritetsskyddsmyndigheten förelade Karolinska institutet att upphöra med personuppgiftsbehandlingen för ”framtida forskning” såsom stridande mot då gällande personuppgiftslagens (1998:204) krav på preciserade ändamål. Detta kom så småningom att leda till införandet av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, LifeGene-lagen, med en anslutande förordning. Vidare gavs ett uppdrag till Registerforskningsutredningen att bland annat analysera den nämnda problematiken och lämna förslag. LifeGene-lagen gjordes tidsbegränsad i avvaktan på utredningens förslag. År 2014 lämnade Registerforskningsutredningen förslag på bland annat en lag om forskningsdatabaser ( Unik kunskap genom registerforskning, SOU 2014:45). Vid remissomgången kritiserades förslaget av vissa remissinstanser medan det välkomnades av andra. Förslaget var vidare inte anpassat till EU:s dataskyddsförordning, vilket bedömdes kräva ytterligare analyser. Regeringen gav därför Forskningsdatautredningen i uppdrag att vidarebereda det tidigare utredningsförslaget. Utredningen lämnade genom sitt slutbetänkande år 2018 sitt förslag till lag om forskningsdatabaser ( Rätt att forska – Långsiktig reglering av forskningsdatabaser , SOU 2018:36). Även detta mottogs med dels kritik, dels gillande av remissinstanser varför frågeställningarna blivit föremål för ytterligare beredning. De båda utredningarnas förslag redovisas tämligen ingående i kapitel 2. Under tiden frågan om en långsiktig reglering av forskningsdatabaser har utretts och förslagen har beretts har giltighetstiden för den tillfälliga LifeGene-lagen förlängts. Den gäller nu till den 31 december 2023.

En generell lag om vissa forskningsdatabaser

Utgångspunkter för en långsiktig reglering

Även i denna promemoria används begreppet forskningsdatabas för beskrivning av register eller annan samling av personuppgifter som syftar till att skapa underlag för framtida ännu inte definierade forskningsprojekt. Det är värdefullt för forskningen om sådana forskningsdatabaser kan inrättas och utvecklas. Dessa, liksom en del redan befintliga centrala uppgiftssamlingar behöver dock, i likhet

Ds Sammanfattning

med LifeGene, ett tydligt rättsligt stöd för sin personuppgiftsbehandling. Det föreslås därför en långsiktig generell reglering som syftar till att ge ett sådant rättsligt stöd samtidigt som den tillvaratar intresset av ett gott integritetsskydd i verksamhet med forskningsdatabaser. En långsiktig reglering bör dock inte möjliggöra uppbyggnad av forskningsdatabaser som i huvudsak innehåller personuppgifter som hämtats från statistikansvariga myndigheters register eller andra myndighetsregister. Behovet av en sådan ”reproduktion” är inte så starkt att det överväger de integritetsrisker som uppstår. En långsiktig reglering bör i stället omfatta forskningsdatabaser som baserar sig på de registrerades frivilliga medverkan och som, i huvudsak, består av personuppgifter som samlas in från dem själva eller med deras aktiva medverkan. Vidare bör en reglering vara inriktad på sådana forskningsdatabaser som är centrala i den meningen att de är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv, och då inte bara för forskningsprojekt som forskningshuvudmannen anvarar för utan även för forskningsprojekt som bedrivs av andra inom ramen för det eller de forskningsområden som varje forskningsdatabas skapar underlag för (se vidare nedan). Det är universitet och högskolor vid vilka forskning bedrivs som bedöms ha den kapacitet som krävs för att utveckla och förvalta forskningsdatabaser av det beskrivna slaget och som därför bör ges möjlighet att göra detta genom en ny reglering. I promemorian görs bedömningen att personuppgiftsbehandling i en forskningsdatabas utgör vad som i dataskyddsförordningens mening är personuppgiftsbehandling för vetenskapliga forskningsändamål. Genom den föreslagna lagstiftningen kommer det stå klart att den rättsliga grunden för personuppgiftsbehandling i verksamhet med en forskningsdatabas är utförande av uppgift av allmänt intresse. Registrerades frivilliga medverkan och lämnade samtycke blir därvid, dataskyddsrättsligt, en särskild skyddsåtgärd, dvs. inte en rättslig grund.

Sammanfattning Ds

Den nya regleringens konstruktion

Den föreslagna långsiktiga regleringen för forskningsdatabaser innebär ett förslag till ramlag, lag om vissa forskningsdatabaser , som innehåller en i förhållande till dataskyddsförordningen och dataskyddslagen kompletterande särreglering för personuppgiftsbehandlingen i de forskningsdatabaser som omfattas av lagens tillämpningsområde. I lagen finns generella bestämmelser för forskningsdatabaserna. Ingen forskningsdatabas träffas per automatik av regleringen utan det blir regeringens uppgift att genom föreskrifter i förordning peka ut såväl vilka forskningsdatabaser av det ovan beskrivna slaget som får föras enligt lagen som vilka lärosäten som får föra dem. Dessutom är det regeringen som genom föreskrifter avgränsar vilket eller vilka forskningsområden varje forskningsdatabas skapar underlag för och tillhandahåller uppgifter till. I lagen ges bestämmelser om tillåtet innehåll i en forskningsdatabas av vilka framgår att databasen i allt väsentligt ska byggas upp av personuppgifter som registrerade själva lämnat eller medverkat till att de registreras. I viss utsträckning ska kompletterande insamling från andra källor tillåtas, exempelvis från myndighetsregister eller vårddokumentation. Vidare får genetiska uppgifter och uppgifter om lagöverträdelser behandlas bara om regeringen tillåter det genom föreskrifter i förordning. Regeringen kan i övrigt begränsa vilka slags personuppgifter som får behandlas. I lagen regleras uttömmande för vilka ändamål personuppgifter får behandlas i en forskningsdatabas. De primära ändamålen är att just skapa underlag för olika framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden samt att lämna ut uppgifter till sådana forskningsprojekt. Sekundära ändamål för behandling av redan insamlade ändamål är utlämnande till dels forskningshuvudmän i samband med utredning av oredlighet i forskning eller annan avvikelse från god forskningssed, dels fullgörande av uppgiftsskyldighet enligt lag eller förordning. I det sistnämnda ingår att personuppgifter om den registrerade alltid kan lämnas ut till denne. Dessutom får kodnyckel eller liknande lämnas ut till annan myndighet för att den myndigheten i sin tur ska kunna lämna uppgifter till ett forskningsprojekt om samma personer som projektet redan fått uppgifter om från forskningsdatabasen. Vid utlämnande till annan ska personuppgifter som huvudregel vara pseudonymise-

Ds Sammanfattning

rade eller skyddade på likvärdigt sätt. Regeringen kan föreskriva olika begräsningar gällande utlämnande av personuppgifter. Bara den registrerade själv kan medges direktåtkomst till uppgifter om sig själv i forskningsdatabasen. I lagen föreslås bestämmelser som syftar till att skapa ett integritetsskydd inom verksamheten hos ett lärosäte med en forskningsdatabas. Det handlar om dels bestämmelser som begränsar tillgången till personuppgifter, dels krav på personuppgiftsansvarigt lärosäte att dokumentera elektronisk åtkomst och kontrollera om obehörig åtkomst förekommit.

Den registrerades insyn och kontroll

Genom olika bestämmelser i lagen, som kompletterar eller närmare specificerar bestämmelser i dataskyddsförordningen, garanteras att den registrerade medverkan i forskningsdatabasen bygger på frivillighet och transparens alldeles oavsett att den rättsliga grunden för behandlingen, utförande av en uppgift av allmänt intresse, inte alltid kräver detta. Till en början uppställs krav på att utförlig information till registrerade ska ges innan samtycke till medverkan i forskningsdatabasen lämnas. Om kompletterande insamling från andra källor blir aktuell efter registrering och som registrerade inte på förhand fått information vid rekryteringen till databasen, ska registrerade informeras ånyo och ges tillfälle att motsätta sig kompletteringen. Registrerade ges också rätt att när som helst begära att registrerade personuppgifter om honom eller henne raderas eller få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut. För den som registrerades som underårig i en forskningsdatabas innan han eller hon själv kunde samtycka till registreringen föreslås en ordning som innebär att denne efter att ha fyllt 18 år ska informeras om personuppgiftsbehandlingen. Personuppgifter om denne får fortsätta att behandlas om den nu myndiga registrerade inte aktivt motsätter sig den genom ett meddelande till personuppgiftsansvarigt lärosäte.

Sammanfattning Ds

Reglering i förordning

Till den föreslagna ramlagen lämnas förslag till en anslutande förordning med närmare bestämmelser för forskningsdatabasen LifeGene och forskningsdatabasen Tvillingregistret (som också drivs av Karolinska institutet). Dessa närmare bestämmelser reglerar vilka forskningsområden som gäller för dessa databaser och avgränsar därmed vilka slags forskningsprojekt som kan bli mottagare av personuppgifter från forskningsdatabasen. Vidare regleras bland annat en del begränsningar i fråga om dels vilka personuppgifter som är tillåtna att lämna ut, dels till vilka slags mottagare utlämnande får ske.

Lagen om rättspsykiatriskt forskningsregister upphävs

Rättsmedicinalverket har sedan år 2000 kunnat föra ett register med stöd av lagen (1999:353) om rättspsykiatriskt forskningsregister. Registret har emellertid inte uppdaterats de senaste 15 åren och har nyligen avvecklats helt. Anledningen till detta är att registret visade sig ha ett ringa värde för den rättspsykiatriska verksamheten och forskningen. Då det inte längre finns något behov av den registerföring som lagen tillåter, föreslås att lagen upphävs.

Sekretessfrågor

Sekretessreglering gällande forskningsdatabaser m.m.

Forskningsdatabasers innehåll kommer att vara i hög grad integritetskänsliga. Det handlar om personuppgifter som samlats in på grundval av registrerades förtroende för verksamheten och utan samband med myndighetsutövning. Ett starkt sekretesskydd är därför motiverat. Ett sådant skydd finns redan i 24 kap. 2 a och 2 b §§ OSL för uppgifter om enskilds personliga förhållanden som behandlas enligt LifeGene-lagen. Den regleringen är ändamålsenligt utformad och bör, med vissa förändringar i bestämmelserna, få ett vidare tillämpningsområde så att den omfattar de forskningsdatabaser som kommer att omfattas av den nya ramlagen. Sådana ändringar föreslås i promemorian. Det innebär att bland annat följande sekretessförhållanden kommer att gälla för dessa forskningsdatabaser.

Ds Sammanfattning

Absolut sekretess ska gälla i verksamhet som avser förande av eller uttag ur en forskningsdatabas enligt lagen om vissa forskningsdatabaser för uppgift som avser enskilds personliga förhållanden. Uppgift ska dock få lämnas ut i den utsträckning som framgår av den lagen. Vidare ska uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde få lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. För en uppgift i en allmän handling ska sekretessen gälla i högst 70 år. Den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter. Om en uppgift som omfattas av den nya sekretessbestämmelsen överförs till en annan myndighet, ska sekretessbestämmelsen bli tillämplig även hos den mottagande myndigheten. Det ska vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott enligt vissa bestämmelser i offentlighets- och sekretesslagen. Sekretessen ska vidare undantas från den s.k. generalklausulens (10 kap. 27 § OSL) tillämpningsområde.

Tystnadsplikt hos forskningshuvudmän

För att ge ett motsvarande skydd hos enskilda forskningshuvudmän för forskningsprojekt, som mottar uppgifter men inte omfattas av offentlighets- och sekretesslagen, införs en bestämmelse om tystnadsplikt för den som arbetar eller har arbetat hos en sådan huvudman och därigenom fått kännedom om enskilds personliga förhållanden genom personuppgifter som mottagits från en forskningsdatabas. Även denna tystnadsplikt ska inskränka rätten att meddela och offentliggöra uppgifter.

Ändring i statistiksekretessen

Tillämpningsområdet för bestämmelserna i 24 kap. 8 § tredje stycket OSL om undantag från den absoluta statistiksekretessen föreslås utvidgas till att också omfatta uppgift som behövs i en forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser. Tanken med förslaget är att underlätta för statistikansvariga myndigheter att tillmötesgå ansökningar från forskningsdatabaser om

Sammanfattning Ds

befogade kompletteringar genom utfående av uppgifter från dessa myndigheters register.

Bestämmelsen om sekretess för uppgifter i det rättspsykiatriska forskningsregistret upphävs och en övergångsbestämmelse ger fortsatt sekretessskydd

I 24 kap. 2 § OSL finns en sekretessbestämmelse för det rättspsykiatriska forskningsregistret. Det gäller en presumtion för sekretess för uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden och tystnadsplikten enligt sekretessbestämmelsen inskränker, genom reglering i 24 kap. 9 § andra stycket OSL, som huvudregel rätten att meddela och offentliggöra uppgifter. Det finns ett visst kvarstående behov av att kunna skydda de integritetskänsliga personuppgifter som förekommit i verksamheten med registret även om lagen om registret upphävs och registret har avvecklats. Det handlar främst om tystnadsplikten för dessa uppgifter och överförd sekretess till forskningshuvudmän för forskningsprojekt som fått uppgifter från registret. Då lagen (1999:353) om rättspsykiatriskt forskningsregister föreslås upphävas bör även sekretessbestämmelsen upphävas och det fortsatta sekretessskydd som det finns behov av tillgodoses genom en övergångsbestämmelse.

Ikraftträdande

Förslaget till lag om vissa forskningsdatabaser med anslutande förordning och ändringarna i offentlighets- och sekretesslagen föreslås träda ikraft den 1 januari 2024. En övergångsbestämmelse införs till lagen om vissa forskningsdatabaser som innebär att den nya ramlagens bestämmelser om information till och samtycke från registrerade samt tillåtet innehåll inte ska tillämpas på personuppgifter som registrerats i tiden innan verksamheten som bedrivs i forskningsdatabasen omfattas av lagens tillämpningsområde. Sådana ”gamla” personuppgifter kan alltså fortsätta att behandlas i forskningsdatabasen efter det att databasen omfattas av lagen, trots att behandlingen av personuppgifterna kan ha skett på ett sätt som inte överensstämmer med lagens bestämmelser

Ds Sammanfattning

om samtycke, information och innehåll och utan att några särskilda åtgärder behöver vidtas i det avseendet. LifeGene-lagen och den anslutande förordningen blir överflödiga och föreslås upphävas samtidigt med ikraftträdandet av den nya lagstiftningen. Även lagen om rättspsykiatriskt forskningsregister föreslås upphävas då.

1 Författningsförslag

1.1 Förslag till lag om vissa forskningsdatabaser

1 kap. Inledande bestämmelserLagens syfte

1 § Syftet med denna lag är att 1. ge lärosäten möjlighet att i forskningsdatabaser skapa underlag för flera framtida forskningsprojekt som inte är definierade när databasen byggs upp eller när insamling av personuppgifter till denna annars görs, och 2. säkerställa att registrerades personliga integritet skyddas vid den insamling och övriga behandling av personuppgifter som görs i verksamhet med dessa forskningsdatabaser.

Lagens tillämpningsområde

2 § Lagen gäller behandling av personuppgifter i verksamhet med sådana forskningsdatabaser där insamling och registrering av personuppgifter görs i register eller annan samling med personuppgifter genom registrerades frivilliga medverkan och där forskningsdatabasernas syfte att skapa underlag för flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka forskningsdatabaser som får föras enligt lagen.

3 § Behandling av personuppgifter i en forskningsdatabas får bara utföras i verksamhet som bedrivs vid ett lärosäte som är 1. ett statligt universitet eller en statlig högskola som har rätt att utfärda examen på forskarnivå, eller

Författningsförslag Ds

2. en enskild utbildningsanordnare som har tillstånd att utfärda examen på forskarnivå enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) jämställs med myndighet i sin verksamhet med forskningsdatabasen. Regeringen kan med stöd av 8 kap. 7 § regeringsfomren meddela föreskrifter om vilka lärosäten som får behandla personuppgifter enligt denna lag.

Förhållandet till annan dataskyddsreglering

4 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Termer och uttryck i denna lag har samma betydelse som i EU:s dataskyddsförordning.

5 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

2 kap. Behandling av personuppgifter

Personuppgiftsansvar

1 § Det lärosäte som för en forskningsdatabas är personuppgiftsansvarig för den behandling av personuppgifter som utförs i verksamheten med forskningsdatabasen.

Ändamål

2 § Personuppgifter får samlas in och i övrigt behandlas i verksamhet med en forskningsdatabas för de övergripande ändamålen att

Ds Författningsförslag

1. skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, och 2. lämna ut uppgifter till sådana forskningsprojekt som anges i 1. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter som avgränsar vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till.

3 § Personuppgifter som samlats in och behandlas enligt 2 § första stycket får därefter behandlas bara för utlämnande som anges i 3 kap. 2, 3 och 5 §§ samt bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Samtycke och information vid behandling av personuppgifter

4 § Personuppgifter i en forskningsdatabas får behandlas bara om den regstrerade har samtyckt till det, om inte annat följer av denna lag.

5 § Utan samtycke får sådana personuppgifter samlas in och behandlas som är nödvändiga för att kunna välja ut och kontakta en person i en urvalsgrupp med förfrågan om medverkan i en forskningsdatabas. Sådan behandling får inte pågå under längre tid än vad som är nödvändigt.

6 § Kompletterande insamling av uppgifter från andra källor än de som kunnat definieras redan i samband med att samtycke till behandling i forskningsdatabasen lämnas får göras utan samtycke bara om den registrerade informerats om insamlingen och inte uttryckligen motsätter sig denna.

7 § Personuppgifter som samlats in innan den registrerade uppnått en sådan ålder och mognad att denne själv kan samtycka till behandlingen, och sam-tycke i stället lämnats av den registrerades vårdnadshavare, får efter att den registrerade blivit myndig, fortsätta behandlas bara om den registrerade informerats om behandlingen och inte uttryckligen motsätter sig denna. Sådan information ska lämnas

Författningsförslag Ds

inom ett år från myndighetsdagen. Information behöver dock inte lämnas om den personuppgiftsansvarige inte med rimliga ansträngningar kan nå den registrerade.

8 § Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförord-ning ska den registrerade, innan denne lämnar samtycke enligt 4 § eller i samband med att denne får sådan information som avses i 7 §, även informeras om 1. att all registrering och medverkan i verksamheten vid forskningsdatabasen är frivillig och att den registrerade när som helst kan avbryta sin medverkan helt eller delvis samt begära att registrerade uppgifter raderas, 2. vilka slags uppgifter som får registreras i forskningsdatabasen, 3. de sekretess- och säkerhetsbestämmelser som gäller för forskningsdatabasen, 4. sin rätt att begära att få information om till vilka forskningsprojekt uppgifter om denne lämnats ut, 5. vilken myndighet som har tillsyn över att behandlingen av personuppgifter sker på ett lagenligt sätt, och 6. rätten enligt artikel 82 i EU:s dataskyddsförordning och 7 kap. 1 § dataskyddslagen till skadestånd vid behandling av personuppgifter i strid med denna lag.

Tillåtet innehåll

9 § I en forskningsdatabas får det i fråga om personuppgifter bara finnas 1. uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i forskningsdatabasen, 2. uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen, 3. uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen, 4. kontaktinformation till den registrerade, 5. kompletterande uppgifter som inhämtats från andra källor, 6. kategoriseringar av sådana uppgifter som avses i 1 – 5, 7. identitetsbeteckningar avseende de registrerade (kodnycklar eller motsvarande information för identifiering), och

Ds Författningsförslag

8. uppgifter om utlämnande som har skett till forskning.

10 § Genetiska uppgifter och personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får finnas i en forskningsdatabas bara om regeringen har meddelat föreskrifter om det.

Integritetsskydd inom verksamheten

11 § Den som arbetar i verksamhet med en forskningsdatabas får ta del av personuppgifter i verksamheten bara om denne behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter med forskningsdatabasen.

12 § Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i verksamheten med en forskningsdatabas. Sådan åtkomst ska begränsas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen.

13 § Den personuppgiftsansvarige ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Den personuppgiftsansvarige ska göra systematiska och återkommande kontroller av den i första stycket upprättade dokumentationen i syfte att kontrollera om någon obehörigen kommit åt personuppgifter i forskningsdatabasen.

Radering efter begäran

14 § Den registrerade har rätt att när som helst begära att uppgifter om denne raderas från forskningsdatabasen. Vid en sådan begäran ska den personuppgiftsansvarige vara skyldig att radera personuppgifterna så snart som möjligt.

Författningsförslag Ds

3 kap. Särskilt om utlämnande av personuppgifter

Villkor för utlämnande

1 § En förutsättning för att personuppgifter ska kunna lämnas ut från en forskningsdatabas till forskningsprojekt enligt 2 kap. 2 § första stycket 2 är att både forskningen och behandlingen av personuppgifter i forskningen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, om forskningen omfattas av den lagens krav på etikprövning. Om forskningen ska utföras i annat land men hade krävt ett sådant godkännande som anges i första stycket om den utförts i Sverige, får utlämnande göras bara om forskningen har granskats etiskt och godkänts i ett motsvarande förfarande i det andra landet.

2 § Personuppgifter får också lämnas ut till en forskningshuvudman för forskning som fått uppgifter från en forskningsdatabas, om det behövs för att utreda oredlighet i forskning eller annan avvikelse från god forskningssed.

3 § Personuppgifter får, utöver vad som följer av 2 och 5 §§ samt 2 kap. 2 § första stycket 2, bara lämnas ut om det finns en skyldighet enligt lag eller förordning att göra det.

Pseudonymiserade uppgifter m.m.

4 § Utlämnande enligt 2 § och 2 kap. 2 § första stycket 2 får bara avse personuppgifter som är pseudonymiserade eller skyddade på likvärdigt sätt. Personuppgifter får dock vara direkt identifierbara vid utlämnandet om det är nödvändigt för att uppfylla ändamålet med den forskning eller den utredning som uppgifterna ska lämnas ut till.

5 § Om personuppgifter som lämnats ut enligt 2 kap. 2 § första stycket 2 är pseudonymiserade eller skyddade på likvärdigt sätt, får kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, lämnas ut till en annan myndighet, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter

Ds Författningsförslag

om samma personer till det forskningsprojekt som utlämnande har gjorts till.

6 § En förteckning över kompletterande uppgifter som behövs för att identifiera en registrerad ska bevaras hos den personuppgiftsansvarige under så lång tid som den personuppgiftsansvarige anser nödvändigt.

Tystnadsplikt

7 § Den som arbetar eller har arbetat hos en forskningshuvudman får inte obehörigen röja vad denne har fått veta om enskilds personliga förhållanden genom personuppgifter som mottagits från en forskningsdatabas vid utläm-nande enligt 2 § eller 2 kap. 2 § första stycket 2. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

Information om utlämnande till forskning

8 § Den registrerade har rätt att på begäran få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut.

Direktåtkomst

9 § Personuppgifter får inte lämnas ut genom direktåtkomst annat än till den registrerade själv.

4 kap. Ytterligare föreskrifter

1 § Utöver vad som följer av bestämmelserna ovan kan regeringen med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsningar av vilka personuppgifter som får behandlas i en forskningsdatabas, 2. begränsningar i fråga om utlämnande från en forskningsdatabas, och

Författningsförslag Ds

3. gallring av personuppgifter som inte längre behövs för att kunna lämnas ut enligt 2 kap. 2 § första stycket 2. ___________ 1. Denna lag träder i kraft den 1 januari 2024. 2. Genom lagen upphävs lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. 3. Bestämmelserna i 2 kap. 4 – 10 §§ gäller inte för sådana uppgifter som registrerats i en forskningsdatabas i tiden innan verksamheten med forskningsdatabasen omfattas av denna lags tillämpningsområde. Bestämmelsen i 2 kap. 7 § ska dock tillämpas i fråga om den som blir myndig först därefter.

Ds Författningsförslag

1.2 Förslag till lag om upphävande av lagen (1999:353) om rättspsykiatriskt forskningsregister

Härigenom föreskrivs att lagen (1999:353) om rättspsykiatriskt forskningsregister ska upphöra att gälla vid utgången av 2023. __________

Författningsförslag Ds

1.3 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 24 kap. 2 § ska upphöra att gälla, dels att rubriken närmast före 24 kap. 2 § ska utgå, dels att 24 kap. 2 a, 2 b, 8 och 9 §§ och 44 kap. 5 § samt rubriken närmast före 24 kap. 2 a § ska ha följande lydelse.

24 kap.

2 a §

Sekretessen hindrar inte att uppgift lämnas ut i den utsträckning

som framgår av den lag som avses i första stycket. Vidare får uppgift

som inte genom namn, annan identitetsbeteckning eller liknande

förhållande är direkt hänförlig till den enskilde lämnas ut, om det

står klart att uppgiften kan röjas utan att den enskilde eller någon

Ds Författningsförslag

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

2 b § Får en myndighet en uppgift Får en myndighet en uppgift som är sekretessreglerad i 2 a § som är sekretessreglerad i 2 a § från den som bedriver verksam- från den som bedriver verksamhet enligt lagen (2013:794) om het enligt lagen (2023:000) om vissa register för forskning om vad vissa forskningsdatabaser , blir arv och miljö betyder för männi- 2 a § tillämplig även hos den skors hälsa, blir 2 a § tillämplig mottagande myndigheten. även hos den mottagande myndigheten.

8 § 1 Sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Motsvarande sekretess gäller i annan jämförbar undersökning som utförs av Riksrevisionen, av riksdagsförvaltningen, av Statskontoret eller inom det statliga kommittéväsendet. Detsamma gäller annan jämförbar undersökning som utförs av någon annan myndighet i den utsträckning regeringen meddelar föreskrifter om det. Uppgift som behövs för Uppgift som behövs för forsknings- eller statistik- forsknings- eller statistikändaändamål och uppgift som inte mål eller i en forskningsdatabas genom namn, annan identi- enligt lagen (2023:000) om vissa tetsbeteckning eller liknande forskningsdatabaser och uppgift förhållande är direkt hänför- som inte genom namn, annan lig till den enskilde får dock identitetsbeteckning eller liklämnas ut, om det står klart nande förhållande är direkt hänatt uppgiften kan röjas utan förlig till den enskilde får dock att den enskilde eller någon lämnas ut, om det står klart att närstående till denne lider uppgiften kan röjas utan att den skada eller men. Detsamma enskilde eller någon närstående gäller en uppgift som avser en till denne lider skada eller men. avliden och som rör döds- Detsamma gäller en uppgift som

1 Senaste lydelse 2014:415

Författningsförslag Ds

orsak eller dödsdatum, om avser en avliden och som rör uppgiften behövs i ett natio- dödsorsak eller dödsdatum, om nellt eller regionalt kvalitets- uppgiften behövs i ett nationellt register enligt patientdata- eller regionalt kvalitetsregister lagen (2008:355). enligt patientdatalagen (2008:355). För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

9 §

2

Den tystnadsplikt som följer av 2 a och 8 §§ och den tystnadsplikt som följer av ett förbehåll som gjorts med stöd av 7 § andra meningen inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

44 kap.

5 § 3 Rätten enligt 1 kap. 1 och 7 Rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen yttrandefrihetsgrundlagen att meddela och offentlig- att meddela och offentliggöra uppgifter inskränks av göra uppgifter inskränks av den tystnadsplikt som följer den tystnadsplikt som följer 1. av beslut som har 1. av beslut som har meddelats med stöd av 7 § meddelats med stöd av 7 § lagen (1999:988) om förhör lagen (1999:988) om förhör m.m. hos kommissionen för m.m. hos kommissionen för granskning av de svenska granskning av de svenska säkerhetstjänsternas författ- säkerhetstjänsternas författningsskyddande verksam- ningsskyddande verksamhet, het,

2 Senaste lydelse 2018:1919. Ändringen innebär att andra stycket tas bort. 3 Senaste lydelse 2021:46.

Ds Författningsförslag

2. av 7 kap. 1 § 1 lagen 2. av 7 kap. 1 § 1 lagen (2006:544) om kommuners (2006:544) om kommuners och regioners åtgärder inför och regioners åtgärder inför och vid extraordinära hän- och vid extraordinära händelser i fredstid och höjd delser i fredstid och höjd beredskap, beredskap, 3. av 4 kap. 16 § försäk- 3. av 4 kap. 16 § försäkringsrörelselagen ringsrörelselagen (2010:2043), (2010:2043), 4. av 5 kap. 15 § lagen 4. av 5 kap. 15 § lagen (1998:293) om utländska (1998:293) om utländska försäkringsgivares och försäkringsgivares och tjänstepensionsinstituts tjänstepensionsinstituts verksamhet i Sverige, verksamhet i Sverige, 5. av 32 § lagen 5. av 32 § lagen (2020:62) om hemlig data- (2020:62) om hemlig dataavläsning, avläsning, 6. av 11 a § lagen 6. av 11 a § lagen (1996:701) om Tullverkets (1996:701) om Tullverkets befogenheter vid Sveriges befogenheter vid Sveriges gräns mot ett annat land gräns mot ett annat land inom Europeiska unionen, inom Europeiska unionen, och 7. av 4 kap. 23 a § tulla- 7. av 4 kap. 23 a § tulla- gen (2016:253) , och gen (2016:253). 8. av 3 kap. 7 § lagen (2023:000) om vissa forskningsdatabaser .

1. Denna lag träder i kraft den 1 januari 2024. 2. Den upphävda bestämmelsen i 24 kap. 2 § gäller fortfarande i fråga om uppgifter som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen (1999:353) om rättspsykiatriskt forskningsregister. 3. Bestämmelsen i 24 kap. 2 a § i dess tidigare lydelse ska vara fortsatt tillämplig på sådana uppgifter som före ikraftträdandet av lagen (2023:000) om vissa forskningsdatabaser har lämnats ut med överföring av sekretessen i 2 a § enligt bestämmelsen i 2 b § i dess tidigare lydelse.

Författningsförslag Ds

4. Den inskränkning i rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen som följer av 24 kap. 9 § i sin äldre lydelse gäller fortfarande för uppgift som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen (1999:353) om rättspsykiatriskt forskningsregister.

Ds Författningsförslag

1.4 Förslag till förordning om vissa forskningsdatabaser

1 kap. Allmänna bestämmelser

1 § Denna förordning innehåller bestämmelser som kompletterar lagen (2023:000) om vissa forskningsdatabaser.

2 kap. Forskningsdatabaser vid Karolinska institutet

LifeGene

1 § Karolinska institutet får behandla personuppgifter enligt lagen om vissa forskningsdatabaser i verksamheten med forskningsdatabasen LifeGene.

2 § Ändamålet med LifeGene är att skapa underlag för och lämna ut uppgifter till forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt.

3 § I LifeGene får genetiska uppgifter registreras om de avser undersökningar om individuella variationer i arvsmassan.

4 § LifeGene får innehålla personuppgifter som inhämtas från andra källor än vad som anges i 2 kap. 9 § 1 – 4 lagen (2023:000) om vissa forskningsdatabaser bara om den registrerade uttryckligen samtyckt till registreringen.

5 § Personuppgifter i LifeGene får bara lämnas ut enligt 3 kap. 1 § lagen (2023:000) om vissa forskningsdatabaser till forskning som utförs i Sverige och bedrivs vid en myndighet. Personuppgifter får inte vara direkt identifierbara vid utlämnande enligt 3 kap. 1 eller 2 § i den i första stycket nämnda lagen.

6 § Personuppgifter som inte längre behövs för ändamål som anges i 2 § ska gallras.

Författningsförslag Ds

Tvillingregistret

7 § Karolinska institutet får behandla personuppgifter i verksamheten med forskningsdatabasen Tvillingregistret.

8 § Ändamålet med Tvillingregistret är att skapa underlag för och lämna ut uppgifter till forskning, med tvillingar som forskningspersoner, kring genetiska eller miljömässiga faktorers betydelse för hälsa, livsstil eller beteende.

9 § I Tvillingregistret får genetiska uppgifter registreras om de avser undersökningar om individuella variationer i arvsmassan.

10 § Personuppgifter får vara direkt identifierbara när de lämnas ut enligt 3 kap. 1 § lagen (2023:000) om vissa forskningsdatabaser bara om det i forskningen ingår att kontakt ska tas med den registrerade och forskningen bedrivs vid en forskningshuvudman som är etablerad i Sverige. ____________ 1. Denna förordning träder i kraft den 1 januari 2024. 2. Genom förordningen upphävs förordningen (2013:833) om vissa register för forskning om vad arv och miljö betyder för människors hälsa.

2 Bakgrund

I detta kapitel redovisas översiktligt bakgrunden till och uppkomsten av den frågeställning om en långsiktig reglering av forskningsdatabaser som är huvudfrågan i denna promemoria.

2.1 Problematiken identifieras

I början av år 2004 inledde Vetenskapsrådet en satsning i syfte att förbättra villkoren för forskning med svenska registerdata, det som kommit att benämnas som registerbaserad forskning. Vad som avses med begreppet registerbaserad forskning är inte helt entydigt, men i regel används begreppet för att beskriva såväl forskning som använder uppgiftssamlingar av olika slag hos myndigheter som forskning baserat på uppgifter som forskare själva har samlat in i ett register. En utredning initierad av Vetenskapsrådets styrelse resulterade i en rapport i september 2005, vilken konstaterade att Sverige visserligen hade en framskjuten position internationellt när det gällde såväl epidemiologiska studier som annan forskning baserad på registeruppgifter, men att forskarsamhället ännu inte hade dragit full nytta av den unika nationella resurs som finns i svenska register. Viktiga skäl angavs vara otillräcklig teknisk och institutionell infrastruktur, bristande samordning mellan myndigheter och enskilda forskargrupper samt liten kännedom om de nationella registrens potential. 4 I flera av de forskningspropositioner som lämnats av regeringen i tiden därefter har regeringen berört betydelsen av registerbaserad forskning. I 2012 års forskningsproposition framhölls att det finns ett antal viktiga frågeställningar som kan besvaras genom forskning 5 om man kan kombinera olika register och datamaterial. För att

4 Strategi och infrastruktur för världsledande forskning på svenska register , Vetenskapsrådet 2005- 09-26. 5 Prop. 2012/13:30

Bakgrund Ds

bättre kunna ta till vara denna potential behövs, enligt vad regeringen uttalade i forskningspropositionen från år 2016, strategiska satsningar med långsiktiga perspektiv och stöd till nationella forsknings- 6 infrastrukturer. Vidare betonade regeringen att det finns en stor potential för framgångsrik forskning i Sveriges sjukvårdssystem, biobanker och personuppgiftsregister. Forskning på registerdata angavs vidare vara ett angeläget område som spelar en avgörande roll för att möta samhällsutmaningarna och som kan tjäna som underlag för politiska beslut. Dessutom nämndes vissa satsningar för att stärka registerbaserad forskning. Integritetsskyddsmyndigheten (tidigare Datainspektionen) har haft invändningar mot bland annat ändamålsbeskrivningen i sådana 7 forskningsdatabaser. Nämnda problematik kom sedermera att uppmärksammas ytterligare, i samband med att Integritetsskyddsmyndigheten kom att intressera sig för viss registerverksamhet vid Karolinska institutet.

2.2 Projektet LifeGene särregleras

I början av 2010-talet hade Karolinska institutet respektive Lunds och Uppsala universitet inlett två liknande forskningssamarbeten. LifeGene, vid Karolinska institutet, och EpiHealth, vid Lunds och Uppsala universitet, syftade båda till att samla in data från individer och följa dessa individer under flera år i syfte att få underlag till att analysera sambanden mellan arv, miljö och hälsa. LifeGene avgränsade sig till personer upp till 45 års ålder, medan EpiHealth fokuserade på personer som var 45 år och äldre. Det huvudsakliga syftet i båda projekten var att skapa forskningsdatabaser vars innehåll kunde användas i framtida etikgodkända forskningsprojekt. Såväl EpiHealth som LifeGene ansökte om etikgodkännande för sina verksamheter hos Etikprövningsnämnderna i Uppsala respektive Stockholm. I sin ansökan hade LifeGene preciserat huvudsyftet med sin verksamhet till att det genom projektet skulle byggas en storskalig nationell resurs i form av en prospektiv kohort för framtida forskning med avseende på orsaker och förekomst av vanliga sjukdomar. Det handlade, enligt ansökan, om det komplexa samban-

6 Prop. 2016/17:50 s. 97 f. 7 Rättsliga förutsättningar för en databasinfrastruktur för forskning , Vetenskapsrådets rapportserie 11:2010.

Ds Bakgrund

det mellan arv och miljö och studier av sambandet mellan sjukdomar som uppträder tidigt i livet och senare uppkomst av kroniska sjukdomar. EpiHealths beskrivning innehöll liknande, men något mer detaljerade, frågeställningar. EpiHealth erhöll etikgodkännande. Detsamma gällde LifeGene, men godkännandet var förenat med ett villkor som exkluderade barn under sex år från provtagning. Karolinska institutet överklagade villkoret i beslutet. Efter överklagande konstaterade Överklagandenämnden för etikprövning (tidigare Centrala etikprövningsnämnden) att projektet inte kunde prövas enligt etikprövningslagen, eftersom verksamheten utgjorde inrättande av en forskningsdatabas och inte ett konkret forskningsprojekt. Överklagandenämnden anmärkte att projektet ”i sin nuvarande utformning” inte behövde något etikgodkännande för att få genomföras. 8 Överklagandenämndens beslut innebar alltså inte i sig något hinder för LifeGenes redan påbörjade verksamhet. Sådant hinder uppstod emellertid när Integritetsskyddsmyndigheten i beslut den 16 december 2011, med stöd av den då gällande personuppgiftslagen (1998:204), förelade Karolinska institutet att upphöra med den insamling och övriga personuppgiftsbehandling som skedde i projektet LifeGene. Integritetsskyddsmyndigheten motiverade beslutet med att ändamålet ”framtida forskning” var ett alltför opreciserat ändamål för att uppfylla kraven enligt personuppgiftslagen och att det medförde att de enskilda vars personuppgifter samlades in inte hade lämnat något sådant samtycke till personuppgiftsbehandlingen som uppfyllde kraven på ett giltigt samtycke enligt personuppgiftslagen. Vidare ansåg myndigheten att inrättandet av forskningsdatabaser med känsliga personuppgifter för framtida forskning borde bli 9 föremål för politiskt ställningstagande av riksdagen eller regeringen. Mot denna bakgrund föreslog regeringen i maj 2013 en särskild registerlagstiftning i form av en ny lag om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Lagen var tänkt att omfatta bl.a. LifeGenes verksamhet. I propositionen angavs att det därigenom infördes ett tydligt rättsligt stöd för statliga universitet och högskolor att med den enskildes uttryckliga samtycke behandla personuppgifter i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och ut-

8 Överklagandenämndens för etikprövning beslut 2011-03-04, dnr Ö 28-2010. 9 Integritetsskyddsmyndigheten beslut 2011-12-16, dnr 766-2011.

Bakgrund Ds

vecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Bestämmelserna i den föreslagna lagen angavs innebära ett skydd för enskildas personliga integritet i den verksamheten. 10 Riksdagen antog förslagen och lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen) trädde i kraft den 1 december 2013. Lagen tidsbegränsades. Regeringen hade i januari samma år gett förra statsrådet Bengt Westerberg uppdraget att som särskild utredare undersöka förutsättningarna för att bedriva registerbaserad forskning och lämna förslag bland annat i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter dels till register som förs för uttryckligt angivna forskningsändamål, dels till longitudinella studier som håller sig inom ramen för sådana ändamål. LifeGene-lagen var tänkt att gälla fram till dess att Registerforskningsutredningen hade lämnat förslag på en mer långsiktig lösning, som kunde ersätta LifeGene-lagen.

2.3 Registerforskningsutredningen

2.3.1 Utredningens uppdrag

Den utredning som tillsattes i början av 2013 antog namnet Registerforskningsutredningen. 11 I utredningens uppdrag ingick att undersöka förutsättningarna för att bedriva registerbaserad forskning och analysera hinder för sådan forskning. I utredningsdirektiven utpekades ett antal omständigheter som bedömdes försvåra registerbaserad forskning. Dit hörde, förutom svårigheterna att mot bakgrund av Integritetsskyddsmyndighetens ställningstagande i förhållande till LifeGene skapa dylika forskningsdatabaser, vissa andra hinder i författningar och regelverk för registeransvariga myndigheter att lämna ut uppgifter för forskningsändamål och sambearbetning av registerdata för forskningsändamål. 12 Utredaren skulle mot bakgrund härav analysera problematiken samt lämna förslag i syfte att registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet, att sam-

10 Prop. 2012/13:163 s. 1. 11 U 2013:01 12 Kommittédirektiv 2013:8

Ds Bakgrund

bearbetning av registeruppgifter för forskningsändamål ska underlättas, samt att möjliggöra integritetssäkert insamlande av personuppgifter till register som förs för uttryckligt angivna forskningsändamål och till longitudinella studier som håller sig inom ramen för sådana ändamål. I det följande presenteras flera av Registerforskningsutredningens bedömningar och förslag. Presentationen är översiktlig och sammanfattande.

2.3.2 Förslag till lag om forskningsdatabaser

Behovet av en reglering

Betänkandet Unik kunskap genom registerforskning (SOU 2014:45) redovisades i juni 2014. I detta bedömde Registerforskningsutredningen att forskningsdatabaser kan vara av utomordentligt stort värde genom att möjliggöra olika forskningsinsatser inom breda fält, i synnerhet när de gäller forskardrivna studier med information från flera tidpunkter, med eller utan registerkopplingar, samt registerdata sammanställda i forskningssyfte. Utredningen konstaterade emellertid att det rättsliga läget kring forskningsdatabaser var oklart, i synnerhet när det gällde frågeställningar kopplade till behandlingen av personuppgifter genom dessa. Såsom exempel på rättsliga hinder för verksamheten i forskningsdatabaser identifierade utredningen Integritetsskyddsmyndighetens inställning till forskningsdatabaser med allmänt hållna ändamål, den begränsade möjligheten att få etikgodkännande enligt etikprövningslagen för verksamheten däri, liksom svårigheterna med att få ut registeruppgifter från vissa utlämnande myndigheter i fall där forskningsfrågorna alltjämt var okända. I betänkandet gjordes bedömningen att det inte finns ett tydligt lagligt stöd för denna verksamhet. Det framhölls att sådant tydligt stöd hade getts LifeGene, genom LifeGene-lagen, men att det enligt en inventering som gjorts på uppdrag av Vetenskapsrådet fanns ytterligare ett femtiotal forskningsdatabaser i Sverige, vilka saknade sådan särskild reglering. Mot den bakgrunden lämnade utredaren ett förslag till lag om forskningsdatabaser . Lagen skulle ge stöd för statliga universitet eller högskolor som omfattades av högskolelagen (1992:1434) och andra

Bakgrund Ds

statliga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forskningsdatabaser. Med begreppet forskningsdatabaser avsågs i utredningens förslag en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt.

Regleringens form

I den föreslagna lagen fanns vissa generella bestämmelser för behandling av personuppgifter i forskningsdatabaser. Det handlade om sådana förhållanden som var gemensamma för samtliga av de forskningsdatabaser som skulle omfattas av regleringen, och som syftade till att skydda de enskildas personliga integritet. Det var fråga om en ramlag med regler för övergripande ändamål, sökbegrepp, direktåtkomst, intern elektronisk tillgång, villkor för utlämnande av uppgifter från databaserna m.m. Ramlagen skulle, enligt förslaget, kompletteras med att regeringen, efter beredning och förslag från Vetenskapsrådet, skulle meddela föreskrifter om vilka statliga myndigheter som får föra forskningsdatabaser enligt lagen och vilka forskningsdatabaser som ska få föras enligt lagen. För varje forskningsdatabas skulle det finnas en särskild förordning som reglerade förhållanden som var specifika för varje databas, exempelvis närmare ändamål för och innehåll i den aktuella forskningsdatabasen. 13 Utredningen ansåg inte att det fanns behov av att utvidga etikprövningslagens tillämpningsområde till att också omfatta uppbyggnaden av forskningsdatabaser, utan menade att det inom den beredning som skedde hos Vetenskapsrådet och därefter vid regeringens prövning, kunde förutsättas göras etiska överväganden av motsvarande slag som vid etikprövning, vilket ansågs tillräckligt. 14 Valet av form för regleringen – alltså en ramlag som kompletterades av förordningar – motiverades i huvudsak av svårigheterna att i lagform reglera specifika detaljer kring vilka uppgifter och för vilka ändamål som dessa skulle få behandlas i de olika forskningsdatabaserna. Det konstaterades att en reglering enbart i lag skulle kräva

13 SOU 2014:45 s. 423. 14 SOU 2014:45 s. 424 f.

Ds Bakgrund

lagändringar för olika systemändringar för de olika forskningsdatabaserna, exempelvis på grund av förändringar i verksamheten eller den tekniska utvecklingen. Det sagda bedömdes göra systemet stelbent och ansågs kunna innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet i respektive forskningsdatabas. Det tycktes mot den bakgrunden vara lämpligare med en gemensam övergripande lag som kombinerades med föreskrifter från regeringen i form av en särskild förordning för varje enskild forskningsdatabas. 15 Utredningen menade vidare att behov av forskningsdatabaser som ska fungera som underlag i framtida forskning kan uppkomma inom alla forskningsområden och att spännvidden av de ändamål som behandlingen kan komma att utövas för därför är stor. Även detta ansågs motivera behovet av att i en förordning kunna anpassa bestämmelserna till varje enskild forskningsdatabas. 16 Registerforskningsutredningen bedömde att bestämmelsen i 2 kap. 6 § RF – enligt vilken behandling av information om enskildas personliga förhållanden som sker utan den enskildes samtycke, och som innebär övervakning eller kartläggning av den enskilde och som innebär ett betydande intrång i den personliga integriteten kräver stöd i lag – inte utgjorde ett hinder mot den valda formen för reglering. Enligt utredningen innebar den personuppgiftsbehandling som kunde komma att ske med stöd av den föreslagna regleringen inte ett så betydande intrång i den personliga integriteten att det skulle krävas en särskild lag för varje forskningsdatabas, även om personuppgiftsbehandlingen skedde utan de registrerades samtycke. Det sammanhängde med att personuppgifterna i forskningsdatabasen inte skulle användas i myndighetsutövning eller för att vidta åtgärder mot enskilda samt att uppgifterna bara skulle få användas i forskning eller för att granska forskning. Det var därför möjligt att reglera behandlingen i en ramlag med närmare bestämmelser i kompletterande förordningar. 17

15 SOU 2014:45 s. 421 f. 16 SOU 2014:45 s. 424. 17 SOU 2014:45 s. 421 ff.

Bakgrund Ds

Regleringens omfattning och ändamål samt frågan om samtycke

När det gällde frågan om regleringens omfattning, dvs. vilka forskningsdatabaser som skulle omfattas av regleringen och vad forskningsdatabaserna skulle kunna innehålla, gjordes i huvudsak följande bedömningar och förslag. Som utgångspunkt skulle det endast finnas en forskningsdatabas för varje större forskningsfält i Sverige. Personuppgiftsbehandling i forskningsdatabaser skulle få utföras av statliga universitet och högskolor som omfattas av högskolelagen (1992:1434), liksom andra statliga myndigheter som har i uppdrag att bedriva forskning. Beträffande dessa identifierade utredningen ett behov att få föra forskningsdatabaser. Nämnda aktörer bedömdes också vara lämpliga för sådan behandling. 18 Forskningsdatabaserna skulle kunna innehålla såväl personuppgifter som samlas in direkt från enskilda personer som uppgifter från myndighetsregister eller en kombination av sådana insamlingskällor. De primära ändamålen med insamlingen och den övriga behandlingen av personuppgifter i en forskningsdatabas angavs i den föreslagna lagen vara att skapa underlag för forskning och att lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forskningen som personuppgiftsbehandlingen i projektet hade godkänts enligt etikprövningslagen. Det påpekades att ändamålet måste vara tillräckligt brett för att inrymma alla de forskningsdatabaser som kan bli aktuella att bygga upp med stöd av lagen. Ändamålen föreslogs sedan preciseras i de särskilda förordningar som skulle finnas för varje forskningsdatabas. Enligt utredningen borde regeringen så noggrant och detaljerat som möjligt ange ändamålet med behandlingen för respektive forskningsdatabas. Regeringen kunde precisera vilken typ av forskningsprojekt som uppgifterna fick lämnas ut till, exempelvis genom att specificera ämnesområde, forskning avseende en viss sjukdomsgrupp etc. 19 Insamling av uppgifter direkt från enskilda skulle kräva ett uttryckligt samtycke till behandlingen. Sådant samtycke kunde också, i vissa fall, avse kompletterande insamling av uppgifter från olika register. Samtycket skulle avse behandling dels för de primära ändamål som angavs i lagen, dels för de specificerade ändamål som

18 SOU 2014:45 s. 427 ff. 19 SOU 2014:45 s. 433 f.

Ds Bakgrund

angavs i databasernas förordningar, och alltså vara relativt brett. För insamling och behandling av uppgifter från register i situationer där det inte fanns möjlighet att inhämta samtycke från den enskilde, exempelvis eftersom det rörde sig om väldigt många uppgifter, kunde det, enligt utredningen, ändå finnas skäl för behandling. Sådan behandling skulle få göras under förutsättning att uppgifterna inte direkt kunde hänföras till en person, om inte regeringen eller den myndighet regeringen bestämmer meddelat föreskrifter om att sådana uppgifter ändå fick vara identifierbara. 20 I de fall forskningsdatabasen eller en del av den endast bestod av uppgifter som hämtas från ett myndighetsregister, skulle uppgifterna normalt vara kodade och den utlämnande myndigheten, oftast Statistiska centralbyrån eller Socialstyrelsen, behålla en kodnyckel.

Skyddsåtgärder och effektiviseringsåtgärder

Lagförslaget innehöll vidare ett antal bestämmelser som syftade dels till att ytterligare skydda den enskildes personliga integritet vid behandlingen av dennes personuppgifter, dels till att effektivisera den forskning som skulle ske med hjälp av uppgifterna i forskningsdatabasen. Det handlade bland annat om förbud mot utlämnande genom direktåtkomst mellan den myndighet som för forskningsdatabasen och den forskningshuvudman som skulle använda sig av uppgifterna i ett visst forskningsprojekt, bestämmelser om bevarande av kodnycklar som skulle underlätta senare uppdatering av uppgifter, bestämmelser om begränsning av intern elektronisk åtkomst till personuppgifter i en forskningsdatabas, förbud mot bakvägsidentifiering samt bestämmelser om rätt till rättelse och skadestånd.

2.3.3 Förslag till sekretessreglering

Ny sekretessbestämmelse

Registerforskningsutredningen lämnade även förslag till sekretessreglering som bland annat innebar en ny bestämmelse i Offentlighets- och sekretesslagen (2009:400, OSL) om forskningssekretess. Syftet angavs vara att stärka skyddet för uppgifter om den enskildes

20 SOU 2014:45 s. 426 f och 434 f..

47

Bakgrund Ds

personliga och ekonomiska förhållanden. Enligt förslaget skulle absolut sekretess gälla i forskningsverksamhet för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Utgångspunkten skulle vara att sådana uppgifter inte fick lämnas ut. Undantag skulle få göras för uppgifter som behövs för forskningsändamål liksom för uppgifter som behövdes i en utredning om oredlighet i forskning. Utlämnande för dessa syften skulle dock ske först efter en prövning av om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men, dvs. med ett omvänt skaderekvisit. Samma absoluta sekretess skulle även gälla i verksamhet som avsåg förande av eller uttag ur sådana forskningsdatabaser som fördes enligt den föreslagna lagen om forskningsdatabaser. Utredningen bedömde det nämligen som tveksamt om verksamheten i en forskningsdatabas faller in under begreppet forskningsverksamhet. 21

Uppgiftsskyldighet för vissa myndigheter

Utredningen bedömde att en utlämnande statistikansvarig myndighet vars uppgifter skyddades av statistiksekretessen i 24 kap. 8 § OSL, även med beaktande av den föreslagna sekretessbestämmelsen, kunde förhålla sig tveksamma till att lämna ut uppgifter till en forskningsdatabas. Det framhölls att ett sätt att tillförsäkra en forskningsdatabas tillgång till uppgifter från myndighetsregister vore att ålägga aktuella myndigheter en skyldighet att lämna ut uppgifter till forskningsdatabasen. Utredningen ansåg mot den bakgrunden att regeringen, i de fall det ansågs nödvändigt att en forskningsdatabas innehåller uppgifter från andra myndigheter, kunde i förordningen för den aktuella forskningsdatabasen fastställa vilka myndigheter som ska vara skyldiga att lämna uppgifter och vilka uppgifter som uppgiftsskyldigheten ska omfatta. 22

2.3.4 Remissynpunkter

Utredningens betänkande remissbehandlades under år 2014. Vissa synpunkter framfördes därvid på integritetsaspekterna och utform-

21 SOU 2014 :45 s. 452 f. och 518. 22 SOU 2014:45 s. 452 f.

48

Ds Bakgrund

ningen av ändamålsbestämmelserna. I det här skedet hade också arbetet inom EU påbörjats med att ta fram en dataskyddsförordning och det påpekades från flera håll att utredningen saknade en analys av hur den kommande förordningen skulle komma att påverka förslagen. Forskningsdatautredningen har i avsnitt 6.4 i sitt slutbetänkande 23 sammanfattat remissvaren. Det hänvisas till den sammanfattningen. Följande kan dock nämnas. Flera remissinstanser välkomnade och tillstyrkte utredningens förslag och menade att dessa utgjorde ett angeläget och tydligt lagstöd för personuppgiftsbehandling i forskningsdatabaser. Utredningens förslag ansågs av flera remissinstanser ge forskare goda förutsättningar att bättre utnyttja resurserna i register. Många ansåg att förslagen innebar en rimlig avvägning mellan värdet av att kunna bygga upp forskningsdatabaser och behovet av att skydda enskildas personliga integritet. Integritetsskyddsmyndigheten liksom Justitiekanslern avstyrkte emellertid förslaget om en ny lag om forskningsdatabaser. Sammanfattningsvis menade de nyssnämnda myndigheterna att förslaget saknade integritetsskyddande bestämmelser som stod i proportion till det integritetsintrång den enskilde utsattes för. Det påtalades bland annat att enskilda i vart fall bör tillförsäkras en rätt att få generell information om forskningsdatabasernas existens och den personuppgiftsbehandling som utförs. Vidare framfördes kritik mot förslaget om att enbart statliga universitet och högskolor skulle kunna föra forskningsdatabaser med stöd av den föreslagna lagen. Flera remissinstanser, däribland nästan alla regioner och även ett flertal universitet, menade att även regioner skulle tillåtas bygga upp forskningsdatabaser med stöd av lagen. Det påpekades också att det fanns privata lärosäten, såsom exempelvis Stiftelsen Högskolan i Jönköping, som borde ges samma möjligheter som de statliga universiteten och högskolorna. När det gällde lagens omfattning, och mängden forskningsdatabaser som den föreslagna lagen kunde komma att omfatta, framkom att den föreslagna definitionen av begreppet forskningsdatabas väckte vissa frågetecken och kunde behöva preciseras. Bland annat efterfrågades ett förtydligande av begreppet ”nationell infrastruk tur”. Flera universitet framhöll vidare att det fanns an ledning att ifrå-

23 SOU 2018:36 s. 197 ff.

49

Bakgrund Ds

gasätta förslaget om en forskningsdatabas per forskningsfält. Det kunde vara fråga dels om vissa forskningsfält som kunde rymma flera databaser, dels finnas forskningsdatabaser som var tvärvetenskapliga. Statistiska centralbyrån var positivt inställd till upprättandet av forskningsdatabaser för longitudinella studier där de registrerade har samtyckt till att ingå i en forskningsdatabas, förutsatt att ändamålet för behandlingen av personuppgifterna däri var preciserat i enlighet med de krav som ställdes i dataskyddsdirektivet. Statistiska centralbyrån invände dock mot behovet av forskningsdatabaser baserade på befintliga register. Tillgänglighet till dessa register ansågs redan finnas inom befintligt regelverk. Det framfördes också synpunkter på utredningens bedömning i fråga om förenligheten med 2 kap. 6 § RF. Integritetsskyddsmyndigheten var av uppfattningen att effekten av att samla in och lagra ett stort antal personuppgifter om ett stort antal individer blir att dessa individer utsätts för en sådan närgången kartläggning som träffas av 2 kap. 6 § RF, till följd av vilket formen för den föreslagna regleringen, alltså en ramlag som kompletterades med förordningar, inte ansågs möjlig. Även Statistiska centralbyrån uttryckte tveksamhet i denna fråga, men påpekade att det berodde på hur de enskilda förordningarna skulle komma att utformas. Flera remissinstanser framhöll vikten av att forskningsdatabasernas ändamålsbeskrivningar är tillräckligt preciserade för att säkerställa att de samtycken som enskilda registrerade lämnade kunde anses informerade. Vissa efterfrågade exempel på hur de i förordningarna preciserade ändamålen, mot den angivna bakgrunden, borde se ut. Flera statistikansvariga myndigheter, såsom Socialstyrelsen och Statistiska centralbyrån, gjorde bedömningen att det alltjämt, trots utredningens förslag, kunde vara svårt för myndigheterna att lämna ut registeruppgifter till sådana forskningsdatabaser som skulle föras med stöd av den föreslagna lagen. Statistiska centralbyrån påpekade bland annat att det för den utlämnande myndighetens sekretessprövning krävs kännedom om vad begärda uppgifter ska användas till och av vem. Denna information ansågs inte finnas tillgänglig i fall där uppgifterna skulle kunna användas i, vid tidpunkten för utlämnandet, okända forskningsprojekt.

50

Ds Bakgrund

2.4 Forskningsdatautredningen

2.4.1 Utredningens uppdrag

I juli 2016 fick professor Cecilia Magnusson Sjöberg i uppdrag att som särskild utredare bereda Registerforskningsutredningens förslag vidare, med beaktande av remissinstansernas synpunkter. 24 Utredningen antog namnet Forskningsdatautredningen. Forskningsdatautredningen skulle i ett första skede analysera vilka anpassningar av befintlig lagstiftning, däribland lagen (1999:353) om rättspsykiatriskt forskningsregister och LifeGenelagen, som behövde göras med anledning av att dataskyddsförordningen skulle börja gälla under våren 2018. I ett andra skede skulle utredningen lämna förslag på en långsiktig reglering av forskningsdatabaser. Det skulle därvid också analyseras om det långsiktigt finns ett behov av lagen om rättspsykiatriskt forskningsregister. 25 Utöver ovanstående ingick också ytterligare frågeställningar i utredningens uppdrag vilka det inte finns anledning att närmare redovisa här.

2.4.2 Delbetänkande

Forskningsdatautredningen analyserade inledningsvis, i delbetänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50), som redovisades i maj 2017, vilken reglering av behandling av personuppgifter för forskningsändamål som var möjlig och kunde behövas med anledning av att dataskyddsförordningen skulle börja tillämpas den 25 maj 2018. I samband därmed föreslogs införandet av en forskningsdatalag med det uttalade syftet att möjliggöra personuppgiftsbehandling för forskningsändamål samtidigt som den enskildes fri- och rättigheter skyddas. Den föreslagna lagen skulle vara tillämplig för all personuppgiftsbehandling för forskningsändamål oavsett rättslig grund. I delbetänkandet föreslogs också, som skyddsåtgärd vid sådan personuppgiftsbehandling, prövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen).

24 U 2016:04 25 Kommittédirektiv 2016:65

51

Bakgrund Ds

Baserat på delbetänkandet kom befintlig lagstiftning, bland annat lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, att genomgå vissa ändringar för att anpassas till dataskyddsförordningen. Regeringen bedömde emellertid att det inte fanns behov av någon forskningsdatalag. 26

2.4.3 Förslag till lag om forskningsdatabaser

Behovet av en reglering

Slutbetänkandet Rätt att forska – Långsiktig reglering av forskningsdatabaser (SOU 2018:36) överlämnades i juni 2018. Där konstaterades att regeringen i utredningsdirektiven hade anfört att det behövs bättre förutsättningar för registerbaserad forskning och gett utredningen i uppdrag att föreslå en långsiktig reglering av forskningsdatabaser – detta för att mer effektivt utnyttja befintliga register och databaser i Sverige. Det poängterades också att det finns en politisk vilja ett möjliggöra forskningsdatabaser med uppgifter som samlats in från enskilda individer eller från myndighetsregister som kan delas av flera forskningsprogram eller projekt samt att denna vilja överensstämde med från forskarsamhället belysta behov. 27 Detta kom att tjäna som utgångspunkt för utredningens fortsatta analys. 28 I likhet med Registerforskningsutredningen konstaterade Forskningsdatautredningen att det – även med beaktande av den utveckling som skett sedan år 2014 i fråga om lagstiftning och på det tekniska planet – fanns en otydlighet i fråga om rättsliga förutsättningar 29 för behandling av personuppgifter i en forskningsdatabas. Det diskuterades huruvida utvecklingen av möjligheten till åtkomst till myndighetsregister hade minskat behovet av forskningsdatabaser. Utredningen bedömde emellertid att utvecklingen ännu inte hade kommit tillräckligt långt. Utredningen menade att forskare under överskådlig tid kommer att ha behov av att kunna behandla personuppgifter i forskningsdatabaser samt att det behövdes en reglering som tydliggjorde det rättsliga stödet för en sådan behandling. 30

26 Prop. 2017/18:298 s. 135 ff. 27 SOU 2018 :36 s. 221. 28 SOU 2018:36 s. 91. 29 SOU 2018:36 s. 95. 30 SOU 2018:36 s. 120.

52

Ds Bakgrund

Det gjordes en genomgång av den lagstiftning som hade betydelse för förutsättningarna att behandla personuppgifter i forskningsdatabaser och det konstaterades att sådan behandling, för att vara laglig, dels måste uppfylla de grundläggande reglerna för dataskydd som regleras i dataskyddsförordningen och den då föreslagna dataskyddslagen, dels måste hanteras i enlighet med de krav som gäller enligt bland annat etikprövningslagen, tryckfrihetsförordningen, arkivlagen, offentlighets- och sekretesslagen och andra bestämmelser som kan finnas om tystnadsplikt. De sistnämnda bestämmelserna angavs också ha betydelse för möjligheten att samla in uppgifter till en forskningsdatabas. Utredningen bedömde att en reglering av forskningsdatabaser som specificerar syftet med personuppgiftsbehandlingen däri samt också innefattar flera olika skyddsåtgärder skulle komma att undanröja vissa av de rättsliga hinder som fanns för verksamheten. 31 Mot den bakgrunden föreslogs en ny lag om forskningsdatabaser. Lagens syfte skulle vara att möjliggöra behandling av personuppgifter i en forskningsdatabas samt också säkerställa att de registrerades personliga integritet skyddas vid denna behandling. Lagen skulle innehålla de kompletterande bestämmelser som behövdes för att en behandling av personuppgifter i forskningsdatabaser skulle vara förenlig med dataskyddsförordningen. 32

Regleringens form och omfattning

I lagen föreslogs grundläggande villkor för skapandet av en forskningsdatabas. Till skillnad från Registerforskningsutredningens förslag ansågs det inte finnas behov av kompletterande förordningar med närmare föreskrifter för olika forskningsdatabaser. Begreppet forskningsdatabas justerades något språkligt i förhållande till Registerforskningsutredningens förslag. Definitionen angavs vara en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Enligt förslaget skulle personuppgifter få behandlas i en forskningsdatabas för att skapa underlag för olika forskningspro-

31 SOU 2018:36 s. 174. 32 SOU 2018:36 s. 252 ff.

53

Bakgrund Ds

jekt, och uppgifter få lämnas ut till flera olika forskningsprojekt inom ett angivet forskningsområde. Utredningen påpekade att det redan existerade olika sorters forskningsdatabaser hos flera olika typer av forskningshuvudmän samt att en reglering som bara omfattade ett fåtal centralt utpekade forskningsfält och ett mindre antal forskningshuvudmän inte skulle vara tillräckligt för att tillgodose en säker hantering av personuppgifter i forskningsdatabaser. Utgångspunkten sades därför vara att föreslå en reglering som omfattade så många forskningsdatabaser som möjligt. Definitionen av begreppet forskningsdatabas kom att utgöra en avgränsning av den förslagna lagens tillämpningsområde. Det poängterades att utanför lagens definition av begreppet föll forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller på ett liknande sätt bestämd forskning. 33 Det föreslogs att statliga och kommunala myndigheter, liksom även juridiska personer och enskilda näringsidkare som bedriver högre utbildning och som har examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § OSL ska jämställas med myndigheter, ska få vara personuppgiftsansvariga för personuppgiftsbehandling i en forskningsdatabas. Det bedömdes att forskning främst utförs vid universitet och högskolor, men att behov av att bygga upp forskningsdatabaser kan uppkomma även hos andra myndigheter, liksom hos kommunala myndigheter vid kommuner och regioner (tidigare landsting). Det påpekades i det sammanhanget att forskning även bedrivs vid vissa privata lärosäten och inom exempelvis kommunala myndigheter som är vårdgivare. Bedömningen gjordes mot den bakgrunden att offentliga och privata lärosäten skulle likställas samt att samtliga myndigheter som har i uppdrag att bedriva forskning ska kunna ansvara för forskningsdatabaser. 34 Initiativet till att skapa en forskningsdatabas borde enligt utredningen, för att bäst säkerställa forskningens frihet, komma från forskningshuvudmännen själva och inte från regeringen. Utredningen underströk att det är i forskningsverksamheten som behoven av uppgiftssamlingar bäst kan identifieras och formuleras. 35 Det hänvisades till dataskyddsförordningens princip om ansvarsskyldighet,

33 SOU 2018:36 s. 260. 34 SOU 2018:36 s. 230 och s. 265. 35 SOU 2018:36 s. 239.

54

Ds Bakgrund

enligt vilken den personuppgiftsansvarige ska ansvara för och kunna visa att den följer förordningens principer för personuppgiftsbehandling, och påpekades att utredningens förslag utgick från den principen. Det skulle mot den bakgrunden vara forskningshuvudmännen själva som manifesterade sitt ansvarstagande genom att fatta ett uttryckligt beslut om att skapa en viss forskningsdatabas. I beslutet skulle forskningshuvudmännen fastställa vilka uppgifter som ska behandlas i en viss forskningsdatabas och för vilka ändamål dessa uppgifter är nödvändiga att behandla. Även annan grundläggande information om forskningsdatabasen skulle gå att utläsa av beslutet. 36

Krav på etikgodkännande

Personuppgifter skulle få behandlas i en forskningsdatabas under förutsättning att forskningsdatabasen har godkänts enligt lagen om etikprövning av forskning som avser människor. Detta föranledde förslag om utvidgning av etikprövningslagens tillämpningsområde. Genom kravet på etikgodkännande bedömde utredningen att det etablerades en i nationell rätt fastställd rättslig grund för forskningshuvudmännens behandling av personuppgifter i en forskningsdatabas. Etikprövning ansågs samtidigt också vara en sådan i svensk rätt fastställd lämplig och särskild åtgärd (en slags skyddsåtgärd) som krävs för behandling av känsliga personuppgifter enligt dataskyddsförordningen. Bedömningen gjordes således att uppdraget att forska får anses fastställt i enlighet med nationell rätt i de fall det krävs tillstånd för forskningsdatabasen enligt etikprövningslagen och forskningshuvudmannen har erhållit sådant tillstånd. 37 En forskningsdatabas skulle enligt förslaget bara få godkännas om behandlingen av personuppgifter i forskningsdatabasen kan utföras med respekt för människovärdet. Mänskliga rättigheter och grundläggande friheter skulle alltid beaktas vid etikprövningen samtidigt som hänsyn skulle tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd skulle ges företräde framför samhällets och vetenskapens behov. En forskningsdatabas skulle få godkännas bara om de risker som den kan medföra för

36 SOU 2018:36 s. 267 f. 37 SOU 2018:36 s. 241 ff.

55

Bakgrund Ds

forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Forskningsdatabasen fick, enligt förslaget, inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet. Behandlingen av personuppgifter i forskningsdatabasen fick godkännas bara om den var nödvändig för att forskningen skulle kunna utföras. Vidare krävde godkännande att forskningsdatabasen uppfyllde villkoren för skapandet av en forskningsdatabas och de krav på organisatoriska åtgär- 38 der som ställdes i den föreslagna lagen.

Ändamålet med behandlingen

När det gällde ändamålet med behandlingen av personuppgifter och förenligheten med dataskyddsförordningens princip om ändamålsbegränsning i artikel 5.1 b, som stadgar att uppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål, påtalades att det övergripande ändamålet skulle vara dels att skapa underlag för olika framtida forskningsprojekt, dels att lämna ut uppgifter till sådan forskning, under förutsättning att såväl forskningen som behandlingen av personuppgifter inom denna har godkänts enligt etikprövningslagen. Forskningshuvudmannen skulle emellertid, innan denne börjar samla in uppgifter till en forskningsdatabas, kunna precisera ändamålet och vilka uppgifter som ska samlas in något mer än så. Preciseringen angavs kunna handla om att specificera vilka typer av forskningsprojekt som forskningsdatabasen ska kunna utgöra underlag till, vilka forskningsfrågor som ska besvaras, inom vilka forskningsområden projekten ska genomföras och vilken typ av uppgifter som ska samlas in till en viss närmare angiven typ av forskning. Det påpekades att även om ändamålet måste vara preciserat och alltså inte utgöras av ett generellt ändamål såsom ”stöd till framtida forskning”, bör det ändå kunna vara relativt brett, och kunna utformas på motsvarande sätt som i 1 § LifeGene-lagen, dvs. ”…att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av

38 SOU 2018 :36 s. 275 f.

56

Ds Bakgrund

sjukdomar och för människors hälsa i övrigt”. Ändamålet angav s också kunna avgränsas till en sjukdom eller en sjukdomsgrupp. 39 I samband med preciseringen av ändamålen för en viss forskningsdatabas menade utredningen vidare att forskningshuvudmannen också måste se till att samtliga grundläggande principer som framgår av artikel 5 i dataskyddsförordningen kan uppfyllas. Utöver kraven på ändamålsbegränsning angavs även principen om uppgiftsminimering vara av central betydelse. Av denna följer att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen poängterade att nämnda krav medför att det angivna särskilda ändamålet blir styrande för vilka uppgifter som får samlas in i forskningsdataba- 40 sen. Enligt förslaget skulle regeringen eller den myndighet som regeringen bestämmer få meddela föreskrifter om begränsning av de ändamål för vilka uppgifter får behandlas i en forskningsdatabas, begränsningar av de uppgifter som en forskningsdatabas får innehålla samt begränsningar av behandling av uppgifter i en forsknings- 41 databas.

Säkerställd finansiering

Utredningen föreslog vidare en bestämmelse om att forskningshuvudmannen skulle ha säkerställt finansieringen av forskningsdatabasen som en förutsättning för att personuppgifter skulle få behandlas däri. Det bakomliggande syftet med detta villkor var att möjliggöra ett bevarande av en forskningsdatabas under en längre tid, för att kunna skapa underlag för longitudinella studier eller jämförande studier över tid, dvs. för att garantera långsiktighet och kvalitet i verksamheten. En tryggad finansiering angavs också vara en viktig säkerhetsåtgärd. Det föreslogs att regeringen eller den myndighet som regeringen bestämmer skulle få meddela föreskrifter om finansieringen. 42

39 SOU 2018:36 s. 268. 40 SOU 2018:36 s. 269. 41 SOU 2018:36 s. 271. 42 SOU 2018:36 s. 270.

57

Bakgrund Ds

Insamling av uppgifter och betydelsen av samtycke till behandling

Av den föreslagna definitionen av begreppet forskningsdatabas följde att en forskningsdatabas som omfattades av lagen fick bestå av personuppgifter som samlats in från enskilda individer, myndighetsregister eller från andra källor eller från enbart någon av de upp- 43 räknade källorna. Med ”andra källor” avsågs detsamma som i Registerforskningsutredningens förslag, dvs. i huvudsak myndighetsregister. 44 Det sagda motiverades med att det fanns behov av forskningsdatabaser som innehöll uppgifter från myndighetsregister. Utredningen bedömde att möjligheten att använda samtycke som rättslig grund för personuppgiftsbehandlingen i en forskningsdatabas var begränsad och aktualiserades främst inom områden som inte var offentligrättsligt reglerade. I stället ansågs det, som nämnts ovan, i och med kravet på etikprövning ha etablerats en i nationell rätt fastställd rättslig grund. Samtycke kunde därför i stället, i de fall där det var genomförbart att inhämta ett sådant, anses utgöra en skyddsåtgärd som stärkte forskningsdatabasens legitimitet. 45

Skyddsåtgärder

Utredningen föreslog även att lagen skulle innehålla bestämmelser om vissa skyddsåtgärder. Utöver det grundläggande kravet på godkännande enligt etikprövningslagen, och kravet på finansiering av forskningsdatabasen, var det bland annat fråga om organisatoriska och tekniska åtgärder. Det poängterades att sådana krav också följde direkt av dataskyddsförordningen. I den föreslagna lagen fanns därutöver krav på verksamhetschef som skulle ha det verkställande ansvaret för en forskningsdatabas, krav på en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen, liksom krav på ett riskbaserat informationssäkerhetsarbete. Det fanns vidare förslag på krav på tekniska skyddsåtgärder, såsom exempelvis villkor för elektronisk åtkomst till per-

43 SOU 2018:36 s. 282 44 SOU 2018:36 s. 80. 45 SOU 2018:36 s. 286.

58

Ds Bakgrund

sonuppgifter i en forskningsdatabas och kontroll av denna åtkomst. Det föreslogs också att Vetenskapsrådet skulle få i uppgift att följa upp forskningsdatabaser som skapas med stöd av lagen. 46 Härutöver fanns det bestämmelser som reglerar huruvida personuppgifterna i en forskningsdatabas fick vara direkt identifierbara eller inte. Utredningen menade att personuppgifter i en forskningsdatabas skulle få vara direkt identifierbara om det var nödvändigt för att uppfylla ändamålet med forskningsdatabasen. Forskningshuvudmannen skulle besluta om forskningsdatabasen skulle få bestå av direkt identifierbara uppgifter eller om det var tillräckligt för ändamålet att uppgifter var pseudonymiserade eller skyddade på annat sätt. Det poängterades att, för att göra uppdateringar av data i en forskningsdatabas, uppgifterna som utgångspunkt behöver vara identifierbara. Även för att kunna rätta och radera uppgifter krävdes, i normalfallet, att forskningsdatabasen innehöll identifierbara uppgifter. 47 Däremot skulle uppgifter som lämnas ut från en forskningsdatabas i regel vara pseudonymiserade eller skyddade på likvärdigt sätt, såvida inte utlämnande av identifierbara uppgifter var nödvändiga för att uppfylla ändamålet med den forskning uppgifterna skulle 48 lämnas ut till. En annan viktig skyddsåtgärd som föreslogs var en ny bestämmelse om forskningssekretess i offentlighets- och sekretesslagen. Förslaget därom behandlas i följande avsnitt.

2.4.4 Förslag till sekretessreglering och tystnadsplikt

Utredningens förslag till sekretessreglering innebar, som nämnts ovan, bland annat en ny bestämmelse om forskningssekretess i offentlighets- och sekretesslagen. Enligt bestämmelsen skulle sekretess gälla hos en forskningshuvudman för uppgift om enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, innebärande ett sekretesskydd med ett omvänt skaderekvisit. Bestämmelsen skulle vara tillämplig hos de forskningshuvudmän vars verksamhet omfattades av offentlighets- och sekretesslagen.

46 SOU 2018:36 s. 21 f. 47 SOU 2018:36 s. 283 f. 48 SOU 2018:36 s. 315.

59

Bakgrund Ds

För privata forskningshuvudmän skulle det i stället finnas en kompletterande bestämmelse i den föreslagna lagen om forskningsdatabaser, enligt vilken det skulle råda en tystnadsplikt hos privata forskningshuvudmän. Uppgifterna i en forskningsdatabas, liksom i de forskningsprojekt som skulle komma att använda dessa uppgifter, bedömdes genom den föreslagna lösningen komma att omfattas av 49 antingen forskningssekretess eller tystnadsplikt.

2.4.5 Rättspsykiatriskt forskningsregister

Forskningsdatautredningen föreslog att lagen om rättspsykiatriskt forskningsregister skulle upphävas. Utredningen konstaterade att Rättsmedicinalverket redan under år 2013 till regeringen hade framhållit att den aktuella registerlagen inte ger ett adekvat stöd för den rättspsykiatriska forskningen. Det hade framkommit att Rättsmedicinalverket påbörjade arbetet med att skapa registret år 2001 och att registret fördes till och med år 2005, men att arbetet med registret sedan lades ned. Anledningen till det sistnämnda angavs bland annat vara registrets begränsade kvalitativa egenvärde för den rättspsykiatriska forskningen och Rättsmedicinalverkets utvecklingsarbete. Det poängterades här att registret var behäftat med problem med interoperabilitet och kvalitetsbrister i inlämnade uppgifter. Vidare konstaterades att det i huvudsak var universiteten som svarade för den rättspsykiatriska forskningen. 50 Mot den bakgrunden bedömde utredningen att registerlagen inte hade tillhandahållit de möjligheter som behövs för att bedriva en kvalitativ och över tid föränderlig rättspsykiatrisk forskning. Registret bedömdes inte kunna besvara rättspsykiatrins frågeställningar inom forskning och utvecklingsarbete. Regleringen ansågs inte heller ändamålsenlig. Utredningen ansåg därför att registerlagen skulle upphävas. 51 Till följd därav föreslogs att också bestämmelsen i 24 kap. 2 § OSL skulle upphöra att gälla. Den generella sekretessbestämmelsen om forskningssekretess som föreslogs införas ansågs kunna skydda

49 SOU 2018:36 s. 21 och s. 288 ff. 50 SOU 2018:36 s. 347 ff. 51 SOU 2018:36 s. 355 f.

60

Ds Bakgrund

uppgifterna i det rättspsykiatriska forskningsregistret under avvecklingen av detsamma. 52 Utredningen bedömde även att regeringen borde ge Rättsmedicinalverket i uppdrag att samråda med Riksarkivet om hur det rättspsykiatriska forskningsregistret skulle avvecklas. 53

2.4.6 Remissynpunkter

Allmänna synpunkter

Forskningsdatautredningens förslag remissbehandlades och drygt 90 remissyttranden inkom i början av år 2019. En övervägande del av dessa var i huvudsak positiva till förslaget om en lag om forskningsdatabaser. Dessa välkomnade en lagstiftning som upplevdes ge ett tydligare rättsligt stöd för personuppgiftsbehandling i forskningsdatabaser och menade att detta skulle komma att underlätta för registerbaserad forskning. Många var också särskilt positivt inställda till utredningens förslag om en reglering som skulle omfatta så många forskningsdatabaser som möjligt. Flera regioner påpekade att det var positivt att nu även regioner gavs rätt att skapa forskningsdatabaser som görs nationellt tillgängliga. Vissa centrala remissinstanser, såsom Integritetsskyddsmyndigheten, Justitiekanslern, Etikprövningsmyndigheten och Statistiska centralbyrån var dock, i huvudsak, negativt inställda till förslagen och några av dessa avstyrkte därför desamma. Nedan redogörs, kortfattat, för centrala delar av vissa remissinstansers allmänna synpunkter. Därefter följer några av de särskilda synpunkter som inkom gällande vissa av utredningens bedömningar och förslag. E-hälsomyndigheten ställde sig positiv till förslaget att införa lagstiftning som ger tydligare, legala ramar för personuppgiftsbehandling för forskningsändamål. Myndigheten ansåg dock att enskilda individers inställning till och kunskaper om personuppgiftsbehandlingen borde ha fått genomslag i den föreslagna lagen genom exempelvis särskilda bestämmelser om rätt att förhindra personuppgiftsbehandling (genom så kallad opt-out) eller utökad rätt till information om när uppgifter kommer till användning och nytta i forsk-

52 SOU 2018:36 s. 356. 53 SOU 2018:36 s. 357.

61

Bakgrund Ds

ningen. E-hälsomyndigheten var av uppfattningen att det kan gagna såväl viljan att medverka i forskningsprojekt som integritetsskyddet, om den enskilde ges goda och tydliga möjligheter till medinflytande och kunskap. Folkhälsomyndigheten var positiv till Forskningsdatautredningens förslag om en generell reglering av forskningsdatabaser. Folkhälsomyndigheten påpekade att man regelbundet får begäran om uttag av data från myndighetens databaser från olika forskningshuvudmän samt att en generell reglering med ett heltäckande sekretesskydd skulle komma att underlätta dessa datauttag. Integritetsskyddsmyndigheten var positiv till att det införs en nationell reglering gällande forskningsdatabaser eftersom det ofta rör sig om stora samlingar med integritetskänsliga personuppgifter. Myndigheten ansåg emellertid att den föreslagna lagen hade en del brister och att den därför inte kunde tillstyrkas i den utformning som presenterats i förslaget. Det ansågs bland annat vara oklart hur flera av de föreslagna bestämmelserna förhåller sig till dataskyddsförordningen. Myndigheten menade att det också saknades preciserade ändamål och är inte heller angavs vilka uppgifter som kan komma att behandlas med stöd av de aktuella reglerna. Detta medförde, enligt myndigheten, att det inte var möjligt att genomföra en proportionalitetsbedömning. Justitiekanslern hänvisade till den kritik som riktats mot Registerforskningsutredningens förslag och framhöll att Forskningsdatautredningens nu lämnade förslag innebar att den tidigare kritiken i vissa delar hade beaktats. Bl.a. förslagen om organisatoriska och tekniska skyddsåtgärder ansågs medföra ett stärkt skydd för den personliga integriteten, vilket Justitiekanslern välkomnade. Justitiekanslerns intryck var dock även i fråga om de nu lämnade förslagen till reglering av forskningsdatabaser att integritetsaspekten förefaller ha fått stå tillbaka för ett användarfokus. Kammarrätten i Stockholm ansåg att utredningens förslag framstod delvis som genomarbetat och ändamålsenligt i förhållande till sitt syfte. När det gällde vissa av förslagen menade domstolen emellertid att utredningen inte i tillräcklig utsträckning beaktat förhållandet till det EU-rättsliga regelverket på dataskyddsområdet. Enligt domstolen föreföll några av de föreslagna bestämmelserna om sekretess, vars tillämpningsområden är vittomfattande, ha arbetats fram utan att annan sekretessreglering hade beaktats tillräckligt och utan

62

Ds Bakgrund

att förslagens effekt hade analyserats. Flera av bestämmelserna i lagen om forskningsdatabaser ansågs också ha utformats utan tillräcklig språklig omsorg, vilket man menade hade fått till följd att de inte reglerar det som de syftar till. Kammarrätten angav att dess samlade bild var att förslagen inte var tillräckligt genomarbetade för att kunna leda till lagstiftning. Karlstads universitet tillstyrkte förslaget att forskningsdatabaser ska regleras i en särskild lag, och att forskningsdatabaserna bör omfattas av krav på etikprövning enligt etikprövningslagen. Det ansågs positivt att vidare forskning möjliggörs för flera forskningshuvudmän, samtidigt som forskningspersonernas integritet skyddas. Universitetet hade dock vissa synpunkter vad gäller förslaget om införande av en generell forskningssekretess för enskilds personliga och ekonomiska förhållanden. Behovet och framför allt konsekvenserna av en sådan bestämmelse ansågs behöva utredas vidare innan ett införande, alternativt ansågs sekretessens räckvidd i nuläget kunna begränsas till att enbart gälla för personuppgifter i de föreslagna forskningsdatabaserna. Karolinska institutet såg överlag positivt på utredningens förslag och välkomnade att behandlingen av personuppgifter i en forskningsdatabas ska regleras i en särskild lag. Ökad tydlighet om vad som gäller för forskningsdatabaser ansågs vara mycket viktigt och man menade att betänkandet klart tog ställning för vad som ska gälla efter att dataskyddsförordningen trätt i kraft, vilket ansågs vara ett klart framsteg. Mittuniversitetet sa sig se mycket positivt på att lagreglera forskningsdatabaser för att trygga tillgången till intressanta forskningsdata över tid, men påpekade att innehållet i lagen bör begränsa sig till det som behöver kompletteras jämfört med vad som redan gäller. Några av paragraferna i förslaget upplevdes helt eller delvis innebära en dubbelreglering mot vad som redan är reglerat antingen direkt i dataskyddsförordningen eller via dataskyddslagen och övrig befintlig nationell rätt. Universitetet poängterade att sådan dubbelreglering orsakar merarbete för den som försöker sätta sig in i vad som gäller och risk för oklarheter. Det ansågs bättre att direkt i lagförslaget hänvisa till relevanta artiklar i dataskyddsförordningen eller paragrafer i andra lagstiftningar. Region Stockholm ansåg det vara avgörande hur man i förslaget värnade om och balanserade förutsättningarna kring integritets-

63

Bakgrund Ds

skydd, patientsäkerhet och informationssäkerhet. Regionen sa sig välkomna att det i förslaget tydligt fastställs vem som ansvarar för forskningsdatabasen samt att lagen tydligt anger de skyddsåtgärder som krävs för att en forskningsdatabas ska vara rättsenlig. Särskilt välkomnades den skyddsåtgärd som föreslår att forskningsdatabasen måste godkännas enligt etikprövningslagen. Tydliga krav på integritetsskydd och informationssäkerhet vid insamling och bearbetning av hälsodata angavs vara avgörande för att bibehålla befolkningens förtroende för och vilja att medverka i forskningsprojekt och studier. Riksarkivet ansåg att begreppet forskningsdatabas användes på ett missvisande sätt. Man menade att lagförslaget omfattade särskilda databaser (nationella resurser) med personuppgifter, inte forskningsdatabaser generellt, samt att det därför går att ifrågasätta lämpligheten i att benämna lagen forskningsdatabaslag. Det påtalades att termer som databas och register ofta används synonymt samt att det även praktiskt sällan är möjligt eller relevant att särskilja vad som är en databas och vad som är ett register. Riksarkivet ansåg att lagförslaget i stället för att utgå från begreppet forskningsdatabas borde ta sikte på det som är avsikten att reglera, dvs. behandlingen av personuppgifter i digitala resurser för forskningsändamål. Om uppgifterna finns i databaser, register eller ingår i infrastruktur på andra sätt borde, enligt Riksarkivet, vara sekundärt. Statistiska centralbyrån framhöll vikten av uppgiftslämnarnas förtroende för byrån som dataägare, vilket angavs vara grundläggande för viljan att delta i undersökningar. Statistiska centralbyrån menade att konsekvenserna kan bli allvarliga om frågor rörande databehandling inte hanteras väl. Statistiska centralbyrån ansåg att det är viktigt att hålla isär ambitionen att reglera vissa forskningsdatabaser från ambitionen att öka tillgängligheten till registerdata för forskning. I det första fallet angavs det handla om att öppna upp för en möjlighet att reglera särskilt samhällsviktiga forskningsdatabaser. Byrån önskade att utredningen i stället övervägt särskilda regleringar av sådana ämnesspecifika forskningsdatabaser. I det andra fallet handlade det, enligt byrån, om åtgärder för att höja förmågan hos dataägarna dvs. de utlämnande myndigheterna, men även Vetenskapsrådet har en viktig roll som ansvarig för att samordna den nationella infrastrukturen för registerdataforskning. Vid sidan om att föreslå ny lagstiftning om forskningsdatabaser sa sig Statistiska

64

Ds Bakgrund

centralbyrån gärna ha sett förslag på konkreta åtgärder i syfte att stödja registerförande myndigheters möjlighet att snabbt och till lägre kostnader förse forskare med registerdata. Statistiska centralbyrån var av den uppfattningen att sådana åtgärder borde noga övervägas innan beslut fattas kring inrättandet av forskningsdatabaser. Socialstyrelsen var positiv till en reglering av forskningsdatabaser, men menade att det inte var fullt ut möjligt att ta ställning till alla delar av förslaget då underlaget ansågs vara generellt hållet utan djupare analyser. Myndigheten ville särskilt lyfta problematiken kring utlämnande av uppgifter från myndigheten till olika forskningsdatabaser. Vetenskapsrådet tillstyrkte utredningens förslag att reglera behandling av personuppgifter i forskningsdatabaser i en till dataskyddsförordningen kompletterande lag. Man avstyrkte emellertid förslaget om tystnadsplikt för enskilda, kraven på etikprövning och finansiering, liksom förslag till ändringar i etikprövningslagen, förslagen på organisatoriska åtgärder, regleringen av direktåtkomst samt de förslag som omfattar uppdrag, och bemyndiganden till Vetenskapsrådet. Myndigheten sa sig se behov av modifieringar i förslaget till kompletterande lag för att tydliggöra vad som ska och kan regleras samt för att undvika dubbelreglering. Västra Götalandsregionen välkomnade att LifeGene-lagen permanentades genom en mer generell och utvidgad skrivning och instämde i utredningens slutsats att det är lämpligt att forskningsdatabaser regleras särskilt. Det påpekades att detta medförde en utveckling av skyddsåtgärderna i utredningsförslaget genom organisation och uppföljning som ansågs väl avvägda. Regionen ville dock framhålla att avgränsningen ansågs otydlig för vilken omfattning en forskningsdatabas får ha liksom vilket innehåll. Här handlade det, enligt regionen, om tre frågeställningar där avvägningen dem emellan inte var tillräckligt belysta för att ge en tydlig riktlinje för såväl forskningshuvudmannen som för myndigheter som ger tillstånd; till exempel ansågs det oklart vilka personuppgifter som insamlade data får kompletteras med från andra redan existerande källor.

65

Bakgrund Ds

Lagens tillämpningsområde

Som nämnts ovan var många remissinstanser positivt inställda till lagens tänkta breda tillämpningsområde och ambitionen att omfatta så många forskningsdatabaser som möjligt. Flera remissinstanser sa sig emellertid ha svårt att, utifrån lagförslagets utformning, fullt förstå den tänkta gränsdragningen för lagens tillämpningsområde. Läkemedelsverket ställde sig frågande till betydelsen av begreppet ”nationell resurs” och sa sig önska ett f örtydligande av när en forskningsdatabas kunde anses utgöra en sådan resurs. Det påtalades vidare, däribland av Chalmers Tekniska Högskola och Malmö universitet , att det fanns flera uppgiftssamlingar som i praktiken utgjorde forskningsdatabaser, men som ändå inte träffades av den föreslagna definitionen, varför namnet ”lag om forskningsdatabaser” ansågs vara missvisande. Ett annat namn skulle, enligt flera remissinstanser, undvika missförstånd kring tillämpningsområdet. Vetenskapsrådet påpekade vikten av att det tydligt framgick vad som omfattas av regleringen – detta för att forskningshuvudmän inte ska behöva känna sig osäkra på när lagen är tillämplig. Enligt Vetenskapsrådet behövde det därför tydliggöras att lagen endast omfattar forskningsdatabaser som faller in under lagens tillämpningsområde, i synnerhet eftersom lagen inte innebar något förbud mot personuppgiftsbehandling i andra forskningsdatabaser så länge sådan behandling hade stöd i dataskyddslagstiftningen.

Förhållandet till dataskyddsförordningen

Integritetsskyddsmyndigheten ansåg det oklart hur flera av de föreslagna bestämmelserna förhöll sig till dataskyddsförordningen. Myndigheten framhöll vikten av att det inte skulle råda oklarhet gällande detta förhållande eftersom det kan leda till att regelverken missförstås och tillämpas felaktigt. En del av formuleringarna i den föreslagna lagen angavs ge intryck av att utgöra de primära dataskyddsbestämmelserna, trots att det var fråga om en kompletterande särreglering.

66

Ds Bakgrund

Insaml ing från ”andra källor”

Flera myndigheter tog upp att förslaget möjliggör att det byggs upp ett flertal delvis parallella uppgiftssamlingar i form av forskningsdatabaser med stora mängder grunduppgifter som redan finns i befintliga register hos registerförande myndigheter. Bland annat Statistiska centralbyrån och Etikprövningsmyndigheten ifrågasatte det lämpliga i detta. Frågeställningen kommer att behandlas mer ingående i avsnitt 4.2.3 där remisskritiken, för sammanhangets skull, redovisas mer ingående. Det hänvisas därför till redovisningen i det avsnittet.

Kravet på etikprövning

Etikprövningsmyndigheten såg i och för sig positivt på ett ansvar för myndigheten att pröva inrättande av forskningsdatabaser, men tyckte att det utifrån förslaget var svårt att utläsa hur denna prövning skulle göras, inte minst med hänsyn till att det inte ansågs gå att ställa de insamlade personuppgifterna i relation till värdet av den forskning som i ett senare skede var tänkt att ske med hjälp av dessa uppgifter. Integritetsskyddsmyndigheten ansåg att kravet på etikgodkännande i sig var en bra och lämplig skyddsåtgärd, men påpekade att ett sådant godkännande inte ersatte dataskyddsförordningens krav. Myndigheten konstaterade vidare att en etikprövning inte tar ställning till huruvida det aktuella forskningsprojektet är av allmänt intresse i dataskyddsförordningens mening och än mindre innehåller ett uppdrag av allmänt intresse, varför ett beslut om etikgodkännande inte kunde anses vara ett fastställande av rättslig grund för behandling i nationell rätt på sätt som krävs enligt dataskyddsförordningen. Även V etenskapsrådet var skeptisk till förslaget om etikprövning. Vetenskapsrådet ansåg inte att etikprövning var ett lämpligt förfarande för att besluta om en forskningsdatabas ska få upprättas eller inte. Myndigheten pekade på att den avvägning som var tänkt att ske torde bli tämligen hypotetisk eftersom det var omöjligt att förutse nyttan av de eventuella forskningsprojekt som kan komma att utföras med uppgifter från en viss forskningsdatabas.

67

Bakgrund Ds

Ändamålen med behandlingen och dess betydelse för utlämnande av uppgifter till en forskningsdatabas

Flera remissinstanser sa sig sakna exempel på hur forskningshuvudmännen skulle kunna formulera de särskilda ändamålen med personuppgiftsbehandlingen i en viss forskningsdatabas. Stockholms universitet ifrågasatte om ändamålen med personuppgiftsbehandlingen blev för breda för att registrerade skulle kunna samtycka till behandlingen. Integritetsskyddsmyndigheten menade att avsaknaden av preciserade ändamål i lagförslaget medförde att det inte var möjligt att genomföra en proportionalitetsbedömning. Integritetsskyddsmyndigheten ansåg det inte vara tillräckligt att frågan om begränsning av ändamålen regleras i föreskrifter eller genom beslut av respektive forskningshuvudman. Anledningen angavs vara att utformningen av ändamålsbestämmelserna är avgörande för att bedöma om ändamålen i sig är godtagbara och behandlingen nödvändig samt huruvida integritetsintrånget är proportionerligt i förhållande till de angivna ändamålen. Integritetsskyddsmyndigheten ansåg också att den föreslagna lösningen inte var förenlig med 2 kap. 6 § andra stycket RF, och menade att det inte var tillräckligt att bemyndiga regeringen eller den myndighet regeringen bestämmer att reglera frågan om precisering av ändamål, utan att dessa krävde lagform och alltså måste regleras i den föreslagna lagen om forskningsdatabaser. Integritetsskyddsmyndigheten menade att, även om en ytterligare precisering ska göras för varje enskild forskningsdatabas, behöver ändamålen preciseras mer av lagstiftaren. Socialstyrelsen påpekade svårigheterna för en utlämnande myndighet att vid en begäran om utlämnande av uppgifter göra en prövning av om 21 kap. 7 § OSL, dvs. huruvida den fortsatta behandlingen skulle vara förenlig med dataskyddsförordningens bestämmelser, medger att de begärda uppgifterna kan lämnas ut till den aktuella forskningsdatabasen, om ändamålen inte hade preciserats ytterligare av lagstiftaren. Också Statistiska centralbyrån var skeptiskt inställd till utredningens resonemang i den här delen. Myndigheten sa sig sakna en djupare analys av hur förslaget förhöll sig till de grundläggande principerna för behandling av personuppgifter i artikel 5 i dataskydds-

68

Ds Bakgrund

förordningen. Detta sades särskilt gälla principen om ändamålsbegränsning i artikel 5.1 b i förordningen.

Forskningssekretess

Flera remissinstanser påpekade att förslaget om en ny sekretessbestämmelse i offentlighets- och sekretesslagen i praktiken medförde att uppgifter som lämnas från vissa statistikförande myndigheter skulle få ett svagare sekretesskydd hos mottagaren än vad som blir fallet enligt gällande rätt. Därvid framhölls att den absoluta sekretess hos registerhållaren i dagsläget överförs till mottagaren om någon primär sekretessbestämmelse som gäller för uppgifterna inte finns hos mottagaren. Detta ansågs kunna försvåra den skadeprövning som en utlämnande myndighet skulle göra i samband med begäran om utlämnande. E-hälsomyndigheten var en av de myndigheter som lyfte fram dessa synpunkter. Myndigheten ansåg i stället att forskningssekretessen borde vara absolut med undantag för ändamål relaterade till forskning, genom ett omvänt skaderekvisit, i enlighet med Registerforskningsutredningens förslag. Även Lunds universitet var av uppfattningen att uppgifterna i en forskningsdatabas, som huvudregel, bör skyddas av absolut sekretess.

2.5 Beredning i tiden därefter

Registerforskningsutredningen och Forskningsdatautredningen har alltså lämnat varsitt förslag på en långsiktig reglering för forskningsdatabaser. I avvaktan på beredning av utredningarnas förslag har LifeGene-lagens giltighetstid förlängts i olika omgångar. Sedan det konstaterats att de två tidigare utredningarnas förslag har fått remisskritik på olika punkter har regeringen bedömt att det föreligger ett behov av fortsatt analys och beredning av förslagen. Enligt den senaste förlängningen av LifeGene-lagens giltighetstid gäller den till den 31 december 2023. 54 I denna promemoria lämnas förslag till en långsiktig reglering av vissa forskningsdatabaser. Vid utformningen av förslaget har Registerforskningsutredningens respektive

54 SFS 2020:980.

69

Bakgrund Ds

Forskningsdatautredningens förslag och remissutfallet avseende dessa förslag beaktats.

70

3 Gällande relevant reglering

3.1 Inledning

De grundläggande bestämmelserna om personuppgiftsbehandling i registerbaserad forskning och i det som kommit att benämnas som forskningsdatabaser (begreppet behandlas i avsnitt 4.1) återfinns i dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Till dataskyddsförordningens och dataskyddslagens bestämmelser kommer krav på att hantera personuppgifterna i enlighet med de förutsättningar som offentlighets- och sekretesslagen och andra bestämmelser som kan finnas om informationshantering ställer upp. De sistnämnda bestämmelserna får också betydelse för möjligheten att samla in uppgifter till en forskningsdatabas, och då i fall det gäller insamling av uppgifter från myndighetsregister, där registerförande myndigheter har att bedöma huruvida ett utlämnande är förenligt med den gällande sekretesslagstiftningen. Härutöver kan det finnas bestämmelser i etikprövningslagen som har viss relevans. Såväl Registerforskningsutredningen som Forskningsdatautredningen har redogjort för relevanta rättsliga förutsättningar för registerbaserad forskning och för att behandla personuppgifter inom forskning och då särskilt i forskningsdatabaser. I tiden efter det att Registerforskningsutredningens betänkande redovisades har dataskyddsförordningen tillkommit, och Forskningsdatautredningens slutbetänkande innehåller genomgångar av de centrala bestämmelserna däri. 55 I de sistnämnda betänkandena hänvisas också till regeringens proposition Ny dataskyddslag 56 , liksom till Dataskyddsutredningens betänkande Ny dataskyddslag 57 – Kompletterande bestämmelser till EU:s

55 Se särskilt kapitel 5 i SOU 2018:36. 56 Prop. 2017/18:105. 57 SOU 2017:39.

71

Gällande relevant reglering Ds

dataskyddsförordning för en generell beskrivning av dataskyddsförordningens syfte, tillämpningsområde m.m. Även regeringens proposition Behandling av personuppgifter för forskningsändamål 58 innehåller en i vissa delar detaljerad genomgång av relevant lagstiftning på området. De redovisningar som finns i de ovan nämnda offentliga trycken är fortfarande, i huvudsak, aktuella. Mot den bakgrunden finns det inte anledning att här i detalj redovisa relevant lagstiftning i fråga om sådan personuppgiftsbehandling som kan aktualiseras i forskningsdatabaser. I stället hänvisas till de genomgångar som gjorts i ovan nämnda offentliga tryck, men nedan kommer det att finnas en översiktlig redogörelse för det mest relevanta innehållet i den nämnda lagstiftningen. I den mån det bedöms nödvändigt kommer vissa bestämmelser också att behandlas mer detaljerat i samband med bedömningar och förslag i vissa specifika frågor.

3.2 Dataskyddsförordningen

3.2.1 Förordningens innehåll

I likhet med det föregående dataskyddsdirektivet innehåller förordningen grundläggande principer för behandling av personuppgifter, en reglering av när sådan behandling är tillåten, förbud mot behandling av känsliga personuppgifter och undantag från detta förbud i vissa fall, begränsningar i fråga om behandling av vissa andra slags uppgifter och bestämmelser om information till den registrerade och vissa andra rättigheter. Dataskyddsförordningen har emellertid, i förhållande till dataskyddsdirektivet, inneburit vissa förändringar. Bland dessa förändringar kan nämnas att tillämpningsområdet utvidgats något, att den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter, att utrymmet för myndigheter att behandla personuppgifter baserat på den registrerades samtycke begränsats samt att särskilda bestämmelser med villkor för behandling av personuppgifter för vetenskapliga och historiska forskningsändamål införts. Behandling av personuppgifter för nämnda forskningsändamål har förenklat uttryckt getts ett vidare utrymme enligt dataskyddsförordningen än vad som generellt

58 Prop. 2017/18:298.

72

Ds Gällande relevant reglering

gäller. Detta kommer att framgå nedan. Kort kan dock sägas att förordningen både förutsätter och möjliggör en kompletterande materiell reglering (artiklarna 9.2 j och 89). Det sistnämnda innebär bland annat att om personuppgifter behandlas för sådana ändamål får det i unionsrätten eller medlemsstaternas nationella rätt föreskrivas undantag från några av de artiklar i förordningen som reglerar den registrerades rättigheter i fråga om kontroll över sina uppgifter (artiklarna 15, 16, 18 och 21). Det förutsätts då att undantagen kompletteras av lämpliga skyddsåtgärder för registrerades rättigheter och friheter.

3.2.2 Rättslig grund för behandling av personuppgifter

Enligt dataskyddsförordningen får behandling av personuppgifter göras endast om det finns en tillämplig rättslig grund. Den rättsliga grunden bör, enligt skäl 41, vara tydlig och precis. Dess tillämpning bör också vara förutsägbar för de personer som omfattas av den behandling som stödjer sig på grunden. De rättsliga grunder som är relevanta när det gäller personuppgiftsbehandling i forskningssammanhang är i allmänhet • att det finns ett samtycke från den registrerade till behandling för ett eller flera specifika ändamål (artikel 6.1 a), • att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e), och • att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn, innebärande en intresseavvägning (artikel 6.1 f).

Det kan påpekas att de olika villkoren i dessa rättsliga grunder i viss mån är överlappande och att flera rättsliga grunder kan vara tillämpliga på en och samma personuppgiftsbehandling. Nedan följer en redogörelse för de ovan nämnda rättsliga grunderna.

73

Gällande relevant reglering Ds

Samtycke

Samtycke definieras i artikel 4.11 i dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Enligt skäl 32 bör samtycke lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerade om att denne godkänner den aktuella personuppgiftsbehandlingen, tex. genom en skriftlig eller muntlig förklaring. Det ska vara fråga om en förklaring eller annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda personuppgiftsbehandlingen. Tystnad eller inaktivitet bör därför inte utgöra samtycke. Samtycket bör, enligt samma skäl, gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke därför ges för samtliga av dessa. Det poängteras, i skäl 43, att samtycke inte bör utgöra rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Europeiska dataskyddsstyrelsen 59 är ett unionsorgan enligt dataskyddsförordningen och består av företrädare för medlemsstaternas tillsynsmyndigheter enligt dataskyddsförordningen. Styrelsen har i framtagna riktlinjer för tillämpning av samtycke enligt dataskyddsförordningen uttalat att det är osannolikt att samtycke kan användas som rättslig grund när den personuppgiftsansvarige är en offentlig myndighet eftersom det då ofta är råder en sådan ojämlikhet mellan den personuppgiftsansvarige och den enskilde att den sistnämnda sällan har något realistiskt alternativ till att acceptera behandlingen. I sådana situationer menar därför styrelsen att det finns andra rättsliga grunder för behandlingen som är mer lämpliga än just samtycke. Samtycke utesluts emellertid inte som en möjlig rättslig grund för offentliga myndigheter, utan styrelsen har påpekat att til-

59 European Data Protection Board (EDPB)

74

Ds Gällande relevant reglering

lämpningen av denna grund kan vara lämplig under vissa omständigheter. 60 I samband med anpassningen av etikprövningslagen och LifeGene-lagen till dataskyddsförordningens bestämmelser, bedömde regeringen att det, för offentliga forskningsutövare, kunde förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroendeställning i förhållande till den personuppgiftsansvarige, såvida det inte var fråga om ett anställningsförhållande mellan forskningsutövaren och den enskilde. Regeringen påpekade att en myndighet inte kunde anses utöva påtryckning gentemot en individ enbart därför att det är fråga om en myndighet, om den inte har några verktyg för att direkt eller indirekt utöva påtryckningar. Som exempel jämfördes den situationen att ett statligt universitet eller högskola vill genomföra en undersökning där i det ena fallet deltagare från ett representativt urval ur totalbefolkningen tillfrågas om frivilligt deltagande med, i det andra fallet, den situationen att undersökningen skulle ske med hjälp av personuppgifter om studenter eller anställda vid lärosätet. I den första situationen ansågs samtycke kunna utgöra rättslig grund, medan det kunde ifrågasättas om så var möjligt i det andra fallet. Regeringen bedömde sammantaget att formuleringen i skäl 43 visserligen innebär en begränsning av offentliga forskningsutförares möjlighet att använda samtycke som rättslig 61 grund, men att det inte alltid föreligger ett hinder härför. En annan viktig aspekt när det gäller samtycke som rättslig grund, och som har kommit att aktualiseras i LifeGene-projektet, är svårigheterna med att i förväg, på ett precist sätt, definiera ändamålet med personuppgiftsbehandlingen. Kravet på ändamålsbegränsning behandlas närmare nedan, men innebär sammanfattningsvis att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det handlar om förutsebarhet för den registrerade. Mot den bakgrunden är frågan om det samtycke som en enskild ger när denne lämnar uppgifter till en forskningsdatabas som LifeGene – där det i samband med insamlingen och lämnandet av samtycke inte kan specificeras till vilka exakta forskningsprojekt som uppgifterna senare kommer att lämnas ut – kan anses uppfylla

60 EDPB, Guidelines 05/20 on consent under Regulation 2016/679 , s. 8. 61 Prop. 2017/18:298 s. 41.f.

75

Gällande relevant reglering Ds

kraven i artikel 4.11 i dataskyddsförordningen på en specifik och informerad viljeyttring. I skäl 33 till förordningen anges emellertid att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter; registrerade bör därför kunna ge sitt samtycke till vissa områden för vetenskaplig forskning när vedertagna etiska standarder för sådan forskning iakttas. Forskningsdatautredningen har ansett att skäl 33 måste ses som en tydligt uttryckt ambition att tillåta bredare samtycken för forskningsändamål än vad som varit fallet före dataskyddsförordningen. Enligt Forskningsdatautredningen bör registrerade, i enlighet med vad som anges i skäl 33, ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta; forskningsändamålen bedöms därför kunna, vid samtycke, vara både specifika och någorlunda breda. Frågan har nyligen behandlats av Europeiska dataskyddsstyrelsen i ett yttrande, som har lämnats på begäran av EU-kommissionen och omfattar förtydliganden av hur dataskyddsförordningen bör tillämpas vid personuppgiftsbehandling i hälso- och sjukvårdsforskning. 62 Europeiska dataskyddsstyrelsen anger i yttrandet att man för närvarande utarbetar riktlinjer för tillämpningen av dataskyddsförordningen vid personuppgiftsbehandling för forskningsändamål samt att dessa riktlinjer förväntas presenteras under år 2021. Det påtalas vidare att skäl 33 öppnar upp för en möjlighet att under vissa omständigheter sänka kraven på specifikation vid samtycke som rättslig grund. Det noteras att viss flexibilitet föreligger i situationer där ändamålet för personuppgiftsbehandling i ett forskningsprojekt inte kan specificeras vid tidpunkten för insamling, utan då enbart kan beskrivas som kopplat till vissa frågeställningar eller ett visst forskningsområde. Det är, enligt styrelsen, nödvändigt att forskningsområdena som anges är så avgränsade som möjligt. Europeiska dataskyddsstyrelsen poängterar att det inte kan komma i fråga att, som rättslig grund, förlita sig på så pass breda samtycken att dessa avser vilka sorts ospecificerade ”framtida forskningsändamål” som helst. Vidare påpekas vikten av att en personuppgiftsansvarig, även

62 EDPB, Document on response to the request from European Commission for clarification on the consistent application of the GDPR, focusing on health research , 2021-02-02.

76

Ds Gällande relevant reglering

när ändamålen inte kan specificeras fullt ut, på andra vis försöker säkerställa att förordningens krav på samtycke uppfylls, exempelvis genom att tillse att den registrerade erhåller så mycket information om projektet och behandlingen som kan ges vid tidpunkten. I Europeiska dataskyddsstyrelsens agenda för arbetet under 2021 och 2022 finns framtagandet av riktlinjer för tillämpningen av dataskyddsförordningen vid personuppgiftsbehandling för medicinska och forskningsändamål med men det kan dock konstateras att Europeiska dataskyddsstyrelsen ännu inte (hösten 2022) har presenterat några sådana riktlinjer.

Uppgift av allmänt intresse

När det gäller grunden uppgift av allmänt intresse i artikel 6.1 e, följer det av artikel 6.3 att grunden ska vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det sagda innebär, som också regeringen konstaterat, emellertid inte att det krävs en reglering i den nationella rätten av den personuppgiftsbehandling som ska ske med stöd av den rättsliga grunden i artikel 6.1 e, utan det är uppgiften av allmänt intresse som måste ha stöd i rättsordningen. 63 I 2 kap. 2 § dataskyddslagen förtydligas att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. 64 Det anges i förarbetena till nämnda bestämmelse att med uppgift av allmänt intresse torde avses något som är av intresse för eller berör många människor på ett bredare plan, i motsats till särintresse eller ett enskilt intresse. Det anges vidare att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra får anses vara av allmänt intresse; om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem.

6363 Prop. 2017/18:298 s. 34 ff. 64 Prop. 2017/18:298 s. 55 ff.

77

Gällande relevant reglering Ds

När det gäller kravet på nödvändighet påpekas vidare i förarbetena till dataskyddslagen att det unionsrättsliga begreppet nödvändighet inte har samma strikta innebörd som i Svenska Akademiens ordbok, dvs. att någonting absolut fordras eller inte kan underlåtas. Det poängteras att nödvändighetsrekvisitet i artikel 7 i det tidigare dataskyddsdirektivet exempelvis inte har ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i EU-domstolens dom i målet Huber mot Tyskland, som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet, i vilken EU-domstolen uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Regeringen har i nämnda förarbeten ansett att domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. 65 Det sagda gäller alltjämt.

Intresseavvägning

Ytterligare en grund, som av regeringen har bedömts relevant när det gäller behandling av personuppgifter för forskningsändamål 66 , är den som benämns som intresseavvägning, och som i artikel 6.1 f anges innebära att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd, särskilt när den registrerade är ett barn. I artikel 6.1 andra stycket klargörs att den aktuella grunden inte gäller för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Det sagda motiveras i skäl 47 till dataskyddsförordningen med att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter. Intresseavvägning som rättslig grund inom forskningen kan således bara åberopas när forskningshuvudmannen inte är ett statligt lärosäte eller annan myndighet.

65 Prop. 2017/18:105 s. 46 f. 66 Se prop. 2017/18:298 s. 29 ff.

78

Ds Gällande relevant reglering

3.2.3 Ytterligare principer för behandlingen

Förutom kravet på en tydlig rättslig grund för behandlingen av personuppgifter, finns det ett antal grundläggande principer som ska tillämpas vid all behandling av personuppgifter. Det sagda följer av artikel 5 i dataskyddsförordningen, Enligt bestämmelsen i artikel 5.1 gäller följande principer för behandling av personuppgifter. a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade ( laglighet, korrekthet och öppenhet ). b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen ( ändamålsbegränsning ). c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas ( uppgiftsminimering ). d) De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål ( korrekthet ). e) De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (l agringsminimering ). f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder ( integritet och konfidentialitet ). Det är, enligt artikel 5.2, ytterligare en princip att den personuppgiftsansvarige som ska ansvara för och kunna visa att principerna efterlevs (ansvarsskyldighet).

79

Gällande relevant reglering Ds

Särskilt om ändamålsbegränsning vid behandling för forskningsändamål

Syftet med principen om ändamålsbegränsning är öppenhet, rättssäkerhet och förutsebarhet för den registrerade. Målet är att skydda dennes integritet genom tydliga ramar för hur dennes personuppgifter får användas. Att ändamålet ska vara särskilt innebär att en alltför allmänt hållen ändamålsangivelse inte godtas. Den registrerade ska kunna förstå och förutse att dennes uppgifter kommer att användas på ett visst sätt. I skäl 39 anges bland annat att de särskilda ändamål som personuppgifterna behandlas för bör vara tydliga och legitima. De ska också ha bestämts vid den tidpunkt då personuppgifterna samlades in. Att ändamålet är tydligt angivet får särskild betydelse vid bedömning av om en rättslig grund för behandling föreligger. Det handlar om att kunna pröva antingen huruvida ett lämnat samtycke uppfyller kraven enligt förordningen, framförallt om det rör sig om ett specifikt och informerat sådant, eller om behandlingen är nödvändig i något av de sammanhang som också kan konstituera en rättslig grund för behandling, exempelvis för att utföra en uppgift av allmänt intresse. Principen om ändamålsbegränsning utgör alltså en direkt koppling till de rättsliga grunderna i förordningens artikel 6.1. Av artikel 5.1 b framgår, som framgått ovan, att ytterligare behandling för bland annat vetenskapliga eller historiska forskningsändamål inte ska anses oförenlig med de ursprungliga ändamålen. Skrivningen, det s.k. forskningsundantaget, innebär alltså att ytterligare behandling för forskningsändamål är särskilt gynnad. Undantaget medför emellertid inte att det går att bortse från kravet på särskilda, uttryckligt angivna och berättigade ändamål för insamlingen och den senare behandlingen. De på förhand fastställda ändamålen sätter alltså alltjämt ramarna för behandlingen. Som Forskningsdatautredningen poängterat har ändamålsbegränsningen kommit att få särskild betydelse för Integritetsskyddsmyndighetens bedömning om behandling av personuppgifter är förenlig med dataskyddsförordningen, liksom för statistikansvariga myndigheters bedömningar av ansökningar om utlämnande av uppgifter till sådana aktörer vars verksamhet omfattas av dataskyddsförordningens bestämmelser. 67

67 SOU 2018:39 s. 140 f.

80

Ds Gällande relevant reglering

Principen om ändamålsbegränsning har, vilket framgått i kapitel 2, kommit att anses som ett hinder för forskningsdatabaser som är avsedda att tillhandahålla personuppgifter till flera framtida forskningsprojekt. Problemet har bestått i att det i samband med insamling av uppgifter till forskningsdatabasen inte kunnat definiera till vilka forskningsprojekt databasen är tänkt att lämna ut uppgifter till, i vart fall inte genom att kunna namnge de specifika forskningsprojekten. Det har mot den bakgrunden diskuterats hur bred ändamålsangivelsen i en sådan forskningsdatabas som LifeGene kan vara för att dels kunna tillgodose den registrerades rätt att förstå på vilket sätt dennes uppgifter kommer att användas, dels möjliggöra ett tillhandahållande av uppgifter till framtida forskningsprojekt. Som tidigare nämnts har Europeiska dataskyddsstyrelsen uttalat att behandling för ”framtida forskning” är ett alltför brett ändamål för att uppfylla kravet på att vara särskilt. Även Integritetsskyddsmyndigheten har varit kritisk mot en sådan ändamålsangivelse. Europeiska dataskyddsstyrelsen tycks emellertid, i yttrandet från den 2 februari 2021, öppna upp för ändamål avgränsat till ett visst forskningsområde eller vissa specifika frågeställningar. Det sistnämnda ligger i linje med hur ändamålet preciserats i LifeGenelagen, dvs. till ”…att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt”. Lagstiftaren har dessutom, i förarbetena till LifeGene-lagen, gjort bedömningen att utformningen av ändamålsbestämmelserna är förenlig med data- 68 skyddsförordningens princip om ändamålsbegränsning.

Skyddsåtgärder och registrerades rättigheter

I artikel 89.1 stadgas att behandling för bland annat vetenskapliga eller historiska forskningsändamål ska omfattas av lämpliga skyddsåtgärder. Skyddsåtgärderna ska vara förenliga med dataskyddsförordningen och syfta till att tillgodose den registrerades rättigheter och friheter. De ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas, och de får inbegripa pseudonymisering, under förutsättning att ändamålen med behandlingen kan uppfyllas på det

68 Prop. 2017/18:298 s. 172 f.

81

Gällande relevant reglering Ds

sättet. När ändamålen med behandlingen kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade, ska ändamålen uppfyllas på det sättet. I dataskyddsförordningen finns ett antal bestämmelser om rättigheter för den registrerade som syftar till att ge den registrerade ökad kontroll över sina personuppgifter. De handlar bland annat om ökad rätt till information, rätt till tillgång, rätt till rättelse, rätt till radering, rätt till begränsning av behandling, rätt till dataportabilitet och rätt att göra invändningar (artiklarna 12 – 22). Genom dessa bestämmelser manifesteras den registrerades rätt till kännedom om och kontroll över behandlingen av dennes personuppgifter. Det finns emellertid direkt tillämpliga undantag från vissa av dessa rättigheter, liksom en möjlighet att i nationell rätt göra ytterligare undantag i vissa fall. En sådan möjlighet föreskrivs i artikel 89.2. Om personuppgifter behandlas för forskningsändamål får det, enligt nämnda bestämmelse, i unionsrätten eller medlemsstaternas nationella rätt föreskrivas undantag från rätten till tillgång enligt artikel 15, rätten till rättelse enligt artikel 16, rätten till begränsning av behandling enligt artikel 18 och rätten att göra invändning enligt artikel 21, dock med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1, se ovan.

3.2.4 Känsliga personuppgifter m.m.

Med känsliga personuppgifter i dataskyddssammanhang avses sådana personuppgifter som anges i artikel 9.1 i dataskyddsförordningen, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, liksom genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Dataskyddsförordningen innehåller ett principiellt förbud mot behandling av sådana uppgifter, men också flera undantag från detta förbud. Det sagda följer av artikel 9 i förordningen. Vissa av undantagen innehåller hänvisningar till nationell rätt, innebärande att lagstiftningsåtgärder bör vidtas för att dessa undantag ska vara tillämpliga (artikel 9.2).

82

Ds Gällande relevant reglering

Känsliga personuppgifter får, enligt artikel 9.2 a, behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandling för ett eller flera specifika ändamål. Även utan sådant samtycke ges också en explicit möjlighet till behandling av känsliga personuppgifter för forskningsändamål (artikel 9.2 j), såvida sådan behandling också sker i enlighet med ovannämnda artikel 89.1, dvs. att behandlingen omfattas av lämpliga skyddsåtgärder. Det är också en förutsättning att behandlingen sker på grundval av unionsrätten eller medlemsstaternas nationella rätt, där föreskrifter om skyddsåtgärder ska finnas för att säkerställa den registrerades grundläggande rättigheter och intressen. En annan kategori personuppgifter som i dataskyddsförordningen beläggs med särskilda restriktioner är uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsfrågor (personuppgifter om lagöverträdelser). Sådana uppgifter får bara behandlas under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt och lämpliga skyddsåtgärder har fastställts där (artikel 10).

3.3 Dataskyddslagen

Genom dataskyddslagen har det införts en lag som på generell nivå kompletterar dataskyddsförordningen. Som tidigare nämnts gäller dataskyddsförordningen i Sverige som om den vore en lag antagen av riksdagen. Förordningen innehåller emellertid vissa bestämmelser som tillåter eller förutsätter kompletterande eller avvikande nationell lagstiftning. Dataskyddslagen innehåller de generella bestämmelser som utgör vad som av lagstiftaren bedömts som tillåtna specificeringar och undantag till förordningen. Det rör exempelvis behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser och tillämpning av rättsliga grunder för behandling av personuppgifter. Här ska dock poängteras att dataskyddslagen är subsidiär i förhållande till avvikande bestämmelser i annan lag eller i förordning, exempelvis sådana avvikande bestämmelser som finns i s.k. registerförfattningar, som reglerar behandling av personuppgifter i en viss verksamhet eller hos en viss myndighet.

83

Gällande relevant reglering Ds

I 4 kap. 3 § dataskyddslagen finns en bestämmelse som begränsar hur personuppgifter som behandlas enbart för forskningsändamål får användas. Enligt bestämmelsen får sådana uppgifter användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intresse. Bestämmelsen har sin grund i artiklarna 6.2, 9.2 j och 89.1 i dataskyddsförordningen och är en skyddsåtgärd i förordningens mening.

3.4 Offentlighet och sekretess

3.4.1 Allmänna bestämmelser

Dataskyddsförordningens artikel 86 stadgar att personuppgifter i allmänna handlingar får lämnas ut av myndighet eller ett offentligt organ i enlighet med medlemsstatens nationella rätt. Detta kommer i Sverige till uttryck i offentlighetsprincipen och rätten att i enlighet därmed ta del av allmänna handlingar, vilken regleras i 2 kap. tryckfrihetsförordningen (TF). Rätten får emellertid begränsas under vissa förutsättningar, däribland med hänsyn till skyddet av enskildas personliga och ekonomiska förhållanden. Sådana begränsningar ska anges i en särskild lag, varmed avses offentlighets- och sekretesslagen (2009:400, OSL). Sekretessen i bestämmelserna i OSL har olika styrka. Vid raka skaderekvisit är offentlighet huvudregel, men sekretess gäller exempel vis ”om det kan antas” att ett utläm nande av en viss uppgift leder till skada eller men. Vid ett omvänt skaderekvisit är huvudregeln sekretess, men utlämnande kan ske ”om det står klart” att detta inte le der till skada eller men. Bestämmelser om absolut sekretess saknar skaderekvisit och i sådana fall får uppgifter inte lämnas ut oavsett om detta kan orsaka skada eller men eller inte. I lagens 11 kap. finns också bestämmelser om överföring av sekretess. Av särskild relevans i forskningssammanhang är bestämmelsen i 11 kap. 3 § första stycket, som föreskriver att om en myndighet i sin forskningsverksamhet från en annan myndighet får en sekretessreglerad uppgift, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten (sekundär eller överförd sekretess). Detta gäller dock inte om uppgiften tas in i ett beslut hos den mottagande uppgiften eller om uppgiften redan omfattas av

84

Ds Gällande relevant reglering

en primär sekretessbestämmelse hos den mottagande myndigheten (11 kap. 3 § andra stycket och 8 §).

3.4.2 Bestämmelser om forskning

När det gäller specifika sekretessbestämmelser till skydd för enskild inom forskning, och som kan aktualiseras i den verksamhet som bedrivs i forskningsdatabaser, bör särskilt följande nämnas. I 24 kap. 8 § OSL regleras den s.k. statistiksekretessen. Enligt första stycket, som utgör själva huvudregeln, gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställande av statistik. Sekretessen är absolut. Det finns emellertid vissa undantag från den absoluta sekretessen. Ett av dessa handlar om uppgifter som behövs för forsknings- eller statistikändamål. Ett annat undantag omfattar uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde. Enligt tredje stycket i bestämmelsen får uppgifter i dessa undantagsfall lämnas ut, om det står klart att dessa kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Enligt bestämmelsens andra stycke gäller sekretessen också i annan jämförbar undersökning som utförs av någon annan myndighet i den utsträckning regeringen meddelar föreskrifter om det. I 7 § offentlighets- och sekretessförordningens (2009:641, OSF) finns en uppräkning av de myndigheter och undersökningar som berörs, liksom vilka uppgifter som omfattas av sekretessen. Där framgår bland annat att sekretessen enligt 24 kap. 8 § OSL också gäller uppgifter om enskildas personliga förhållanden i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier samt i sociologiska, psykologiska, pedagogiska eller andra beteendevetenskapliga eller samhällsvetenskapliga studier vid utbildningsanstalter och forskningsinrättningar. Sedan den 1 maj 2022 finns det en sekretessbrytande bestämmelse i 24 kap. 8 b § OSL. Enligt den bestämmelsen hindrar inte statistiksekretessen att en uppgift lämnas till organisationen Luxembourg Income Study (LIS) enligt 18 § lagen (2001:99) om den officiella statistiken. LIS är ett icke vinstdrivande internationellt dataoch forskningscenter med säte i Luxemburg. Organisationen har därutöver en filial vid The City University of New York i USA. LIS

85

Gällande relevant reglering Ds

är registrerad i det luxemburgska handels- och associationsregistret som en förening utan vinstsyfte, vilket i svensk rätt närmast motsvarar en ideell förening. LIS är registrerad i verksamhetskategorin forskning och utveckling inom humaniora och samhällsvetenskap. LIS anses vara en högt respekterad organisation i forskarsamhället. Organisationens verksamhetsmål är att möjliggöra, underlätta, främja och bedriva gränsöverskridande komparativ forskning om socioekonomiska utfall och de institutionella förhållanden som bidrar till att skapa dessa utfall. LIS driver och tillhandahåller två databaser som är avsedda för forskning om inkomstfördelning, fattigdom och förmögenhetsfördelning, Luxembourg Income Study Database (LIS-databasen) och Luxembourg Wealth Study Database (LWS-databasen). För att kunna analysera fördelningen av inkomster på hushålls- eller individnivå behövs uppgifter på individnivå (mikrodata). LIS-databasen innehåller därför uppgifter om individers inkomster, skatteinbetalningar, socialförsäkringar, offentliga bidrag och vissa kostnader från nästan 50 olika länder, bl.a. från Sverige. Forskare från olika länder och vissa internationella organisationer, såsom Världsbanken, OECD och Internationella Valutafonden (IMF), använder i sin tur uppgifterna i databaserna till olika forskningsprojekt. SCB levererar uppgifter till LIS, som samarbetar med i princip samtliga europeiska nationella statistikmyndigheter och med EU:s statistikorgan Eurostat (prop. 2021/22:92 s. 6 f.). Vidare föreskriver 21 kap. 7 § OSL att sekretess gäller för personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen, dataskyddslagen eller 6 § etikprövningslagen. Denna sekretessbestämmelse innebär alltså ett förbud för en myndighet att lämna ut uppgifter om det kan antas att personuppgiftsbehandlingen hos mottagaren inte kommer att vara förenlig med dataskyddsförordningens eller dataskyddslagens bestämmelser eller med bestämmelsen med krav på etikprövning i 6 § etikprövningslagen. Ytterligare en bestämmelse av relevans är 21 kap. 1 §, enligt vilken sekretess gäller för uppgift som rör enskilds hälsa eller sexualliv, med ett rakt kvalificerat skaderekvisit, och som innebär ett skydd för sådana uppgifter inom hela den offentliga sektorn. Sekretess gäller bara ”om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs”.

86

Ds Gällande relevant reglering

I detta sammanhang bör också nämnas vissa ytterligare särskilda bestämmelser i 24 kap. OSL. I 24 kap. 1 § finns en bestämmelse till skydd för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål. 24 kap. 2 § innehåller en bestämmelse om sekretess i verksamhet som avser förande av och uttag ur register som förs med stöd av lagen om rättspsykiatriskt forskningsregister. En liknande bestämmelse finns i 24 kap. 2 a §, avseende förande av och uttag ur register enligt LifeGene-lagen. Enligt den sistnämnda bestämmelsen är sekretessen absolut men hindrar dock inte att uppgift lämnas ut i den utsträckning som framgår av LifeGene-lagen. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, dvs. efter prövning med ett omvänt skaderekvisit. Sekretessbestämmelsen blir tillämplig även hos myndighet som mottar en sekretessreglerad uppgift från register enligt LifeGene-lagen, se överföringsbestämmelsen i 2 b § samma kapitel. Den överförda sekretessen gäller även om det finns en annan primär sekretessbestämmelse som är tillämplig på uppgiften hos den mottagande myndigheten (jfr. det ovan sagda beträffande 11 kap. 3 och 8 §§ OSL). Ytterligare bestämmelser som kan få betydelse i verksamhet med koppling till forskning är sådana om så kallad inre sekretess, meddelarfrihet och tystnadsplikt. Här hänvisas till Forskningsdatautredningens redogörelse i dessa delar. 69

3.5 Viss övrig relevant lagstiftning på området

3.5.1 Etikprövningslagen

I etikprövningslagen (2003:460) finns bestämmelser om etikprövning av forskning som avser människor och biologiskt material från människor. I nu aktuellt hänseende tillämpas lagen på forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden, se 3 §. Med begreppet forskning avses i lagen vetenskapligt

69 SOU 2018:39 s. 160 ff.

87

Gällande relevant reglering Ds

experimentellt eller teoretiskt arbete eller vetenskapliga studier genom observation, om arbetet eller studierna görs för att hämta in ny kunskap, och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete eller sådana studier som utförs endast inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå. Det sagda framgår av 2 §. Forskning som omfattas av lagen får, enligt 6 §, utföras bara om den godkänts vid etikprövning. Med att forskning utförs avses, enligt propositionen, själva genomförandefasen, dvs. att forskningspersoner rekryteras och inhämtande av underlag påbörjas, försök genomförs samt att inhämtat underlag analyseras och bearbetas. Rent inledande planeringsarbete eller ordnande av finansiering exkluderas alltså. Det sagda har motiverats av att det först i samband med forskningens utförande i angiven bemärkelse som risker för skada avseende forskningspersonens hälsa, säkerhet och personliga integritet anses kunna uppkomma. 70 Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning (6 §). I propositionen utvecklas att ett projekt oftast är avgränsat med avseende på den vetenskapliga frågeställningen, antalet forskningspersoner som ska delta, forskningsledningen, antalet forskare och annan personal som ska ingå i projektet, finansiering och budgetering osv. Den forskning som ska etikprövas måste följaktligen vara avgränsad i någon mening, till ett projekt, för att kunna godkännas vid etikprövningen. 71 Som såväl Registerforskningsutredningen som Forskningsdatautredningen konstaterat är det just gränsdragningen kring vad som kan anses utgöra ett avgränsat projekt som har visat sig problematisk för forskningsdatabaser. Den upplevda oklara gränsdragningen har, som tidigare beskrivits i avsnitt 2.1, kommit till uttryck i de olika bedömningar som gjordes för projekten LifeGene och EpiHealth.

3.5.2 Bestämmelser om arkivering och gallring

Frågor kopplade till arkivering och gallring aktualiseras i samband med att uppgifter som använts i forskningssammanhang inte längre

70 Prop. 2002/03:50 s. 114 71 Peop. 2002/03:50 s. 195.

88

Ds Gällande relevant reglering

ska användas, och då behöver hanteras på ett lagenligt sätt. Enligt 2 kap. 23 § TF ska grundläggande bestämmelser om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar meddelas i lag. Den centrala regleringen finns i arkivlagen (1990:782), men även dataskyddsförordningen och dataskyddslagen innehåller viss reglering av relevans. Arkivlagens huvudprincip är bevarande i arkiv, men lagen medger under vissa förutsättningar undantag genom bestämmelser om gallring. När det gäller gallring av forskningsmaterial hos bland annat statliga universitet och högskolor kan nämnas att Riksarkivet, i enlighet med arkivlagens reglering, meddelat föreskrifter och allmänna råd om gallring av handlingar i statliga myndigheters forskningsverksamhet, se RA-FS 1999:1. Föreskrifterna anger under vilka förutsättningar handlingar i forskningsverksamhet får gallras. Arkivlagen är emellertid subsidiär i förhållande till avvikande bestämmelser om gallring av vissa allmänna handlingar i lag eller förordning. Gallringsbestämmelser förekommer ofta i särskilda registerförfattningar, och då för att skydda den registrerades integritet. I exempelvis LifeGene-lagen stadgas, i 12 §, att personuppgifter som inte längre behövs för ändamålet med behandling enligt lagen ska gallras, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om eller i enskilt fall beslutat att uppgifter får bevaras för uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. I propositionen till LifeGene-lagen poängterades att avsikten med lagen var att personuppgifter ska kunna sparas i registret under lång tid för att möjliggöra longitudinella studier, vilket alltså skulle innebära en lagring under mycket lång tid. Det ansågs emellertid inte kunna uteslutas att det kan komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras. Av det skälet menade lagstiftaren att det ändå fanns behov av en särskild gallringsbestämmelse, trots att detta hade ifrågasatts av vissa remissinstanser. 72 I Forskningsdatautredningens slutbetänkande, i avsnitten 5.6.2 och 5.6.3 finns en redogörelse för dataskyddsförordningens och

72 Prop. 2012/13:163 s. 48 f.

89

Gällande relevant reglering Ds

dataskyddslagens bestämmelser om arkivering. Denna redogörelse är alltjämt aktuell och det hänvisas därför till den.

73

73 SOU 2018:39 s. 166 ff.

90

4 En långsiktig reglering av forskningsdatabaser – utgångspunkter och inriktning

I detta avsnitt redovisas de allmänna utgångspunkterna för vad en ny långsiktig reglering bör omfatta och hur den översiktligt bör avgränsas och utformas. Även de för dataskyddet centrala frågorna om rättslig grund för forskningsdatabaser och ändamålsbestämning behandlas i detta avsnitt. Inledningsvis redovisas för hur några förekommande begrepp på området används i promemorian.

4.1 Några begrepp

Förklaring: Med register avses i promemorian detsamma som i dataskyddsförordningen. Inom forskning som innefattar behandling av personuppgifter skapas ofta ett forskningsregister som ingår som en del i ett avgränsat forskningsprojekt. Med forskningsprojekt avses detsamma som i 6 § etikprövningslagen. Begreppet forskningsdatabas används på samma sätt som i Registerforskningsutredningens och Forskningsdatautredningens arbeten för att beskriva en uppgiftssamling som har funktionen att tillhandahålla underlag för tilltänkta men ännu ej definierade forskningsprojekt.

Både Registerforskningsutredningen och Forskningsdatautredningen behandlade i sina betänkanden mer eller mindre ingående begreppen register, registerbaserad forskning, forskningsregister, forskningsinfrastruktur, databas, forskningsdatabas med flera begrepp. I denna promemoria hänvisas till dessa utredningars

91

En långsiktig reglering - utgångspunkter och inriktning Ds

genomgångar som väl beskriver vad som bör förstås med begreppen. 74 I båda betänkandena framhålls att det finns en viss problematik med avsaknaden av entydiga definitioner av en del begrepp som ibland används synonymt, ibland syftar på olika saker. Mot den bakgrunden kan inledningsvis klargöras vad som menas med några begrepp som används återkommande i denna promemoria och delvis även i de förslag som lämnas.

Register

I ljuset av att denna promemoria innebär en vidareberedning av frågan om en till dataskyddsförordningen kompletterande reglering med närmare bestämmelser om en viss typ av personuppgiftsbehandling är det väsentligt att begreppet register används på samma sätt som i dataskyddsförordningen. Dataskyddsförordningen ska, enligt artikel 2.1 tillämpas på sådan personuppgiftsbehandling som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Begreppet register definieras därefter i artikel 4.6 som en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.

Forskningsprojekt, forskning och forskningshuvudman

I frågor rörande forskning och forskningsändamål förekommer ofta begreppet forskningsprojekt. Begreppet forskningsprojekt används i etikprövningslagen. I 6 § nämnda lag anges att ett etikgodkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. I förarbetena till bestämmelsen utvecklas att ett projekt oftast är avgränsat med avseende på den vetenskapliga frågeställningen, antalet forskningspersoner som ska delta, forskningsledningen, antalet forskare och annan personal som ska ingå i projektet, finansiering och budgetering osv. Den forskning som etikprövas måste följaktligen vara avgränsad i någon mening, till ett projekt, för

74 Se SOU 2014:45 s. 77 ff. och SOU 2018:36 s. 73 ff.

92

Ds En långsiktig reglering - utgångspunkter och inriktning

att kunna godkännas vid etikprövningen. 75 Det är med samma innebörd begreppet forskningsprojekt används i denna promemoria och dess förslag. Det kan tilläggas att begreppet forskningshuvudman definieras i 2 § etikprövningslagen som en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs. Med forskning avses enligt samma paragraf vetenskapligt experimentellt eller teoretiskt arbete eller vetenskapliga studier genom observation, om arbetet eller studierna görs för att hämta in ny kunskap, och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete eller sådana studier som utförs endast inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå. Denna promemoria använder dessa begrepp med samma innebörd.

Forskningsdatabas och forskningsregister

Begreppet forskningsdatabas verkar i lagstiftningssammanhang ha introducerats av Registerforskningsutredningen. I regeringens forskningsproposition från 2012 talades det i stället om ”databas infrastrukturer”, som skulle kunna skapas för bestämda, men rel ativt allmänt hållna ändamål. Dessa ”register” skulle inom ramen för det allmänna ändamålet kunna användas av forskare i flera olika forskningsprojekt. Särskilt longitudinella studier skulle, enligt propositionen, vara betjänta av sådana register. 76 Inte heller i direktiven till Registerforskningsutredningen nämndes forskningsdatabaser. I stället talades det däri om ”register”, ”infrastrukturer” eller ”resur ser” för framtida forskning. Begrepp som ”infrastruktur” eller ”forskningsinfrastruktur” är återkommande och används ofta som ett samlingsbegrepp för anläggningar, instrument, kunskapssamlingar och tjänster som syftar till att utnyttjas av forskare eller forskargrupper inom grundforsk- 77 ning eller tillämpad forskning inom alla forskningsområden. ”Databasinfrastrukturer” får alltså ses som ett försök att avgränsa dessa samlingsbegrepp ytterligare. För att Registerforskningsutredningen skulle kunna utreda vilka ”register”, ”infrastrukturer” eller ”resurser” för framtida forskning

75 Prop. 2002/03:50 s. 195. 76 Prop. 2012/13:30 s. 149. 77 Se exempelvis prop. 2016/17:50 s. 46

93

En långsiktig reglering - utgångspunkter och inriktning Ds

som skulle bli föremål för en reglering, behövde en avgränsning ske. Registerforskningsutredningen betonade vikten av att skilja sådana register som skapats för ett specifikt forskningsprojekt från sådana med avsikten att de ska kunna användas för flera framtida forskningsproj ekt som inte är definierade när registret byggs upp, ”som en slags infrastruktur”. De förstnämnda valde Registerforsknings utredningen att benämna som ”forskningsregister”, medan de sist nämnda skulle kallas för ”forskningsdatabaser”. Som exempel på sådana forskningsdatabaser nämndes Tvillingregistret vid Karolinska institutet, IFAU-databasen vid Institutet för arbetsmarknadsoch utbildningspolitisk utvärdering (IFAU) och LifeGene. 78 I den av Registerforskningsutredningen föreslagna regleringen, benämnd lagen om forskningsdatabaser, gjorde utredningen ytterligare en avgränsning. Där föreslogs att det med begreppet forskningsdatabas i lagen skulle avses en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt. Man betonade att utanför lagens tillämpningsområde skulle falla det som man valt att definiera som forskningsregister, dvs. register som skapats för ett visst projekt, del av ett projekt eller en på liknande sätt bestämd forskning som kunde bli föremål för etikgodkännande. Det skulle också, enligt definitionen, vara fråga om forskningsdatabaser som utgjorde en ”nationell infrastruktur”, med vilket avsågs att databasen skulle vara avsedd att utgöra en nationell resurs för forskning och vara utformad så att den kan utgöra en tillgång för forskare i hela landet. 79 Även Forskningsdatautredningen fann begreppet forskningsdatabas användbart för att beskriva de slags uppgiftssamlingar som dess förslag till ny lag skulle omfatta. Utredningen påpekade att begreppet databas visserligen saknade en brett tillämplig legaldefinition i nationell rätt eller unionsrätten, men menade att det ändå var ett användbart begrepp som var väl etablerat i både juridiskt och allmänt språkbruk. Utredningen ansåg sig därför inte behöva definiera själva begreppet databas närmare utan föreslog en definition av begreppet forskningsdatabas som innebar i stort sett samma definition som i Registerforskningsutredningens förslag, men med mindre

78 SOU 2014:45 s. 81 ff. 79 SOU 2014:45 s. 522.

94

Ds En långsiktig reglering - utgångspunkter och inriktning

språkliga justeringar, som inte var tänkta att innebära någon förändring i sak. I stället för begreppet ”nationell infrastruktur” föreslogs ”nationell resurs”. Det förtydliga des att det skulle vara fråga om en nationellt tillgänglig resurs samt att en databas som endast är tillgänglig för en begränsad krets av användare inte utgjorde en forskningsdatabas enligt den föreslagna definitionen. 80 I LifeGene-lagen, som infördes innan Registerforskningsutredningen lämnade sitt förslag, används begreppet ”register” i lagens namn och genomgående i dess bestämmelser. Det råder dock ingen tvekan om att LifeGene-lagen handlar om sådana uppgiftssamlingar som avses med begreppet forskningsdatabaser i enlighet med Registerforskningsutredningens och Forskningsdatautredningens förslag. Även i 2020 års forskningsproposition anges att LifeGenelagen reglerar behandling av personuppgifter i ”forskningsdatabaser för framtida forskning sprojekt inom vissa utpekade områden” samt att lagen är tidsbegränsad i avvaktan på en mer övergripande och långsiktig reglering av forskningsdatabaser. 81 Forskningsdatabas framstår som det mest passande begreppet för de slags uppgiftssamlingar som främst har funktionen att tillhandahålla underlag för tilltänkta men ännu ej definierade forskningsprojekt. Även i denna promemoria används begreppet forskningsdatabas som en lämplig term för att särskilja dessa uppgiftssamlingar från mer regelrätta forskningsregister vilka är knutna till ett eller flera bestämda forskningsprojekt. Längre fram i promemorian kommer också att föreslås en ny lag vari begreppet forskningsdatabas används. Ett problem kan dock vara – vilket lyftes fram av en del remissinstanser vid remissbehandlingen av Registerforskningsutredningens och Forskningsdatautredningens förslag – att användningen av begreppet forskningsdatabas i denna bemärkelse kan skapa oklarhet genom att det finns flera register som anses utgöra forskningsdatabaser enligt en i forskarvärlden utbredd användning av begreppet, men som inte omfattas av den definition som föreslogs av utredningarna och därför inte skulle regleras av de i utredningarna föreslagna lagarna. Utredningsförslagens avgränsning kom alltså, i praktiken, att utelämna uppgiftssamlingar som omfattades av det i vissa kretsar allmänt vedertagna synsättet på begreppet forsknings-

80 SOU 2018:36 s. 79 f. 81 Prop. 2020/21:60 s. 63.

95

En långsiktig reglering - utgångspunkter och inriktning Ds

databaser, trots att lagförslagen sa sig gälla just forskningsdatabaser. Som nämnts i kapitel 2, var det flera remissinstanser som, särskilt när det gällde Forskningsdatautredningens förslag, framhöll att en juridiskt definierad definition av ett sådant begrepp innebar en risk för missförstånd i fråga om lagens tillämpningsområde. Mot den bakgrunden tycktes också namnet ”lag om forskningsdatabaser” 82 vara något missvisande. För att undvika sådana missförstånd kan det inte nog understrykas att det i en kommande reglering måste finnas en tydlig distinktion mellan de forskningsdatabaser som omfattas av förslag till reglering och andra uppgiftssamlingar som används i forskningssammanhang och som avses falla utanför regleringen alldeles oavsett om de kallas för forskningsregister, forskningsinfrastruktur, forskningsdatabas eller något annat. I den reglering som framledes kommer att föreslås i promemorian kommer benämningen forskningsdatabas att kombineras med annan beskrivning som inte ger utrymme för missförstånd kring vad det är för typ av uppgiftssamling som omfattas eller är tänkt att kunna omfattas av föreslagen reglering. Begreppet forskningsdatabas som sådant kommer alltså inte att vara styrande för en ny reglerings tillämpningsområde och därför finns inte anledning att lägga så stor vikt vid begreppet forskningsdatabas ensamt. Det ska vidare framhållas att även begreppen forskningsprojekt och forskningsregister har gränsdragningsproblem i det att ett projekt kan vara mycket stort och i sig inrymma ett flertal delprojekt. Det är inte heller ovanligt, vid stora forskningsprojekt, att projekten varar under många år med longitudinella uppföljningar eller där nya frågeställningar och delprojekt tillkommer efterhand, vilka godkänns efter ändringsansökan hos Etikprövningsmyndigheten. Den mängd personuppgifter som samlas in i sådana stora och efterhand växande forskningsprojekt kan bilda en omfattande uppgiftssamling men är fortfarande att betrakta som forskningsregister och inte forskningsdatabas i de bemärkelser som dessa begrepp används i denna promemoria.

82 Se bland annat remissyttrande från Chalmers Tekniska Högskola, Forskningsrådet för miljö, areella näringar och samhällsbyggande (Formas), Lunds universitet och Malmö universitet.

96

Ds En långsiktig reglering - utgångspunkter och inriktning

4.2 För vad och varför behövs en reglering?

4.2.1 Allmänna motiv till att föreslå en ny reglering

Bedömning: Det finns centrala forskningsdatabaser som liksom LifeGene kan behöva en tydligare reglering för den behandling av personuppgifter som utförs i verksamheten än vad som följer av gällande dataskyddsbestämmelser. Det kan också förutses att det framgent utvecklas nya forskningsdatabaser inom vitt spridda forskningsområden som också kan behöva en särreglering. Det behövs därför en långsiktig och generell reglering som kan omfatta både befintliga och framtida forskningsdatabaser.

Inom ramen för arbetet med denna promemoria har det inte gjorts någon kartläggning av vilka stora uppgiftssamlingar som nu finns hos olika forskningshuvudmän och som är eller har potential att bli centrala forskningsdatabaser för framtida forskningsprojekt. Det står dock klart att det inom främst statliga universitet finns databaser som i mångt och mycket liknar det författningsreglerade LifeGene men som antingen inrättats långt före införandet av personuppgiftslagen och senare dataskyddsförordningen eller som bedrivs inom ramen för större etikgodkända forskningsprojekt snarare än separata uppgiftssamlingar. Svenska tvillingregistret (Tvillingregistret) vid Karolinska institutet är ett exempel som kan nämnas i sammanhanget och som började byggas upp redan under 1960-talet. Genom ett sådant upplägg och med i vissa fall en ”generös” tillämpning av etikprövningslagen har dessa forskningsdatabaser det rättsliga stöd som databasansvariga ansett sig behöva för att kunna bedriva sin verksamhet och de har även i viss utsträckning kunnat få ut och samla in uppgifter från myndighetsregister. Det kan dock nämnas att Socialstyrelsen den 25 maj 2021 avslagit Karolinska institutets begäran om utfående av personuppgifter från ett antal register, däribland hälsodataregister, som avsågs tas in i Tvillingregistret (dnr 31711/2020). Beslutet, som behandlas närmare i avsnitt 8.3, har överklagats till regeringen. Dataskyddsförordningen är, som tidigare nämnts, den primära regleringen av personuppgiftsbehandling inom forskningsområdet och näraliggande verksamheter av intresse för arbetet i förevarande promemoria. All personuppgiftsbehandling som utförs i dessa verk-

97

En långsiktig reglering - utgångspunkter och inriktning Ds

samheter, däribland den i forskningsdatabaser, regleras alltså redan av bestämmelserna i nämnda förordning, liksom kompletterande nationell lagstiftning av betydelse för verksamheten, se kapitel 3. Den personuppgiftsbehandling som nu pågår i andra forskningsdatabaser än LifeGene är alltså inte oreglerad utan görs inom ett rättsligt ramverk som är tämligen omfattande. Emellertid kan det väcka frågor att en del forskningsdatabaser bedrivs utan särreglering medan det setts som nödvändigt att författningsreglera andra liknande forskningsdatabaser. Mot den bakgrunden finns det fog för att skapa en långsiktig reglering som kan inkludera ett antal ytterligare forskningsdatabaser i sitt tillämpningsområde. En ny lag som inkorporerar eller kan inkorporera fler befintliga forskningsdatabaser i sitt tillämpningsområde än bara de som i enlighet LifeGene-lagen handlar om forskningsdatabaser för forskning om vad arv och miljö betyder för människors hälsa är ägnad att åstadkomma både ett tydligare integritetsskydd och klarare rättsligt stöd för den personuppgiftsbehandling som görs i databasen respektive för den forskning som utförs med användning av uppgifter från databasen. En långsiktig reglering av forskningsdatabaser som låser fast sig vid enbart befintliga forskningsdatabaser är dock inte en tillfredsställande lösning, eftersom forskningen ständigt utvecklas med nya inriktningar och nya forskningsfält. En långsiktig reglering av forskningsdatabaser som är mer generell än LifeGene-lagen bör alltså utformas så att även kommande nya forskningsdatabaser kan inkluderas i regleringen. När det gäller de rättsliga områden som behöver analyseras för att nå målet att skapa såväl tydligare möjligheter som ökad transparens och rättssäkerhet i verksamheten med forskningsdatabaser, görs i denna promemoria ingen annan bedömning än den som främst Registerforskningsutredningen lyft fram i sitt betänkande. Till en början behöver oklarheter kring huruvida personuppgiftsbehandlingen i en forskningsdatabas uppfyller det grundläggande kravet i dataskyddsförordningen på att det ska finnas specificerade ändamål med behandlingen (artikel 5.1 b i förordningen) analyseras. Det behöver vidare analyseras i vad mån enskilda registrerade alls kan lämna rättsligt giltigt samtycke till insamling av deras personuppgifter till en forskningsdatabas för syftet att användas i framtida ännu inte preciserad forskning, dvs. ett allmänt hållet forskningsän-

98

Ds En långsiktig reglering - utgångspunkter och inriktning

damål (artikel 6.1 a och 9.2.a i förordningen jämförd med dess skäl 33). Det går alltså inte att redan inför insamlingen specificera till vilka namngivna forskningsprojekt eller för vilka uppställda forskningsfrågor som personuppgifterna senare ska tillhandahållas. I detta avseende behöver det beaktas att ändamålet med behandlingen redan vid insamlingen måste vara så pass tydligt och specifikt att det går att göra en bedömning av den rättsliga grunden, och av lagligheten i ett eventuellt samtycke. Ett ytterligare rättsligt område som behöver analyseras är frågor om prövningar av begäran om utfående av uppgifter som omfattas av sekretessen i 24 kap. 8 § OSL. Förfrågningar om utlämnande till forskningsdatabaser är svårbedömda för registerhållande myndigheter. Vissa statistikansvariga myndigheter anser att undantaget från den absoluta sekretessen för uppgifter som behövs för ”forsknings ändamål” inte omfattar utlämnande för att byg ga upp en databas för allmänt hållet forskningsändamål, särskilt inte om denna uppbyggnad av databasen inte omfattas av ett godkännande från etisk prövning. Verksamheten med att bygga upp en sådan forskningsdatabas ses alltså inte som forskning, vilket i sin tur medför osäkerhet om vilket sekretesskydd uppgifterna får när de lämnas ut till en forskningsdatabas och huruvida statistiksekretessen kan föras över enligt 11 kap. 3 § OSL eller inte. Uppgifterna riskerar alltså att få ett svagare sekretesskydd när de förs in i forskningsdatabasen hos den mottagande myndigheten. Som framgått tidigare har Överklagandenämnden för etikprövning i ett vägledande beslut klargjort att uppbyggnaden av en databas för att tillhandahålla uppgifter till framtida icke preciserad forskning inte kan prövas enligt etikprövningslagen. Något krav på etikprövning finns alltså inte. I detta avseende kan sägas föreligga ett slags moment 22-situation för databasverksamheten där beslut om etiskt godkännande enligt etikprövningslagen inte kan fås medan statistikansvariga myndigheter ställer krav på sådant beslut för att lämna ut uppgifter. Dessutom finns en osäkerhet hos en del registerhållande myndigheter kring forskningsdatabasers förenlighet med dataskyddsförordningens bestämmelser, vilket medför att frågeställningen uppkommer om ett utlämnande står i strid med 21 kap. 7 § OSL, som före-

99

En långsiktig reglering - utgångspunkter och inriktning Ds

skriver sekretess om det kan antas att uppgifter efter utlämnande kommer att behandlas i strid med dataskyddsförordningen. Till den ovan beskrivna problematiken kommer den omständigheten att exempelvis Vetenskapsrådet vid beslut om finansiering tycks premiera register med en tydlig infrastrukturell karaktär, där register som också bedriver etikgodkända forskningsprojekt för bland annat inhämtande av uppgifter från myndighetsregister förutsätts ägna sig åt tillhandahållande av uppgifter till olika framtida forskningsprojekt, medan nämnda karaktär kan leda till att registerhållande myndigheter nekar utlämnanden av registeruppgifter med hänvisning till bestämmelserna i 21 kap. 7 § och 24 kap. 8 § OSL. Även detta kan beskrivas som ett slags moment 22-situation. En långsiktig reglering av forskningsdatabaser kan bara bli ändamålsenlig om den tillhandahåller lösningar på eller klargöranden beträffande de ovan beskrivna frågeställningarna. Den beskrivna sekretessproblematiken kommer att behandlas mer ingående i kapitel 8.

4.2.2 Frågorna om behov av infrastruktursatsningar och behov av en reglering av forskningsdatabaser bör hållas isär

Bedömning: Det är viktigt att hålla isär ambitionen att långsiktigt reglera forskningsdatabaser och ambitionen att öka tillgängligheten till registerdata för forskning. I denna promemoria behandlas frågor gällande behovet av kompletterande dataskyddsreglering för forskningsdatabaser. Den generella ambitionen att stimulera registerbaserad forskning åstadkoms lämpligen genom infrastruktursatsningar snarare än genom reglering.

Uppdragen till Registerforskningsutredningens och Forskningsdatautredningens var tämligen breda och handlade inte enbart om att skapa rättsliga förutsättningar för att bedriva sådana forskningsdatabaser som berörts ovan. I deras uppdrag låg fokus i stor utsträckning på att skapa bättre förutsättningar för registerbaserad forskning i allmänhet. Det var i den kontexten som en långsiktig reglering av forskningsdataser var tänkt att tas fram. Både Registerforskningsutredningen och Forskningsdatautredningen lade därvid stor vikt vid

100

Ds En långsiktig reglering - utgångspunkter och inriktning

behovet av forskningsdatabaser för en effektiv och välfungerande registerbaserad forskning. Registerforskningsutredningen behandlade behoven i avsnitten ”Varför är registeruppgifter bra för forskning” och ”Varför behövs forskningsdatabaser?”. 83 Där bedömdes att det ofta är en förutsättning för forskare att ha tillgång till registeruppgifter, eftersom detta ger möjligheter att få kunskaper som kan vara svåra eller omöjliga att vinna med andra forskningsmetoder. 84 Vidare betonades att forskningsdatabaser, där sambearbetning av insamlade uppgifter sker, kan vara av utomordentligt stort värde genom att möjliggöra olika forskningsinsatser inom breda fält. 85 Forskningsdatautredningen var i sitt betänkande inne på samma spår. Utredningen pekade på digitaliseringen och dess betydelse för ett ökat behov av att använda centraliserade forskningsdatabaser. Som exempel nämndes behoven av att samordna stora dynamiska uppgiftssamlingar från hälso- och sjukvården med uppgifter från hälsodataregister och välfärdsregister vid statliga myndigheter i forskningsdatabaser med uppgifter från olika registerhållande myndigheter. Det framhölls vidare att den tekniska utvecklingen för samtidig fjärråtkomst till uppgifter från flera olika registerhållande myndigheter inte hade utvecklats tillräckligt och att det därför, för överskådlig tid, fanns ett behov inom forskningen av att i stället 86 kunna behandla personuppgifter i särskilda forskningsdatabaser. Statistiska centralbyrån påpekade i sitt remissyttrande i anledning av Forskningsdatautredningens slutbetänkande att myndigheten gärna hade sett att regeringens direktiv till utredningen hade varit mera öppna och gett utredningen möjlighet att även överväga andra åtgärder än den föreslagna lagen om forskningsdatabaser för att väsentligen förbättra forskarnas tillgång till registerdata. En sådan lösning hade, enligt myndigheten, inte behövt vara så ingripande som myndigheten upplevde att utredningens förslag var (i nästa avsnitt berörs närmare vad Statistiska centralbyrån syftade på med att utredningsförslaget var ingripande). Enligt myndigheten fanns det anledning att i stället överväga förslag på konkreta åtgärder i syfte att utöka och stödja registerförande myndigheters möjlighet att snabbare, enklare och till lägre kostnader förse forskarna med

83 SOU 2014:45 s. 93 ff. och s. 349 ff. 84 Ibid. s. 114. 85 Ibid., s. 349. 86 SOU 2018:36, s. 120.

101

En långsiktig reglering - utgångspunkter och inriktning Ds

data. Statistiska centralbyrån poängterade vikten av att hålla isär ambitionen att reglera vissa forskningsdatabaser från ambitionen att öka tillgängligheten till registerdata för forskning. I det första fallet handlade det, enligt myndigheten, om att öppna upp för en möjlighet att reglera särskilt samhällsviktiga forskningsdatabaser. Myndigheten sa sig önska att utredningen i stället övervägt särskilda regleringar av sådana ämnesspecifika forskningsdatabaser. I det andra fallet handlade det om åtgärder för att höja förmågan hos dataägarna, dvs. de utlämnande myndigheterna. Här framhöll Statistiska centralbyrån att även Vetenskapsrådet hade en viktig roll som ansvarig för att samordna den nationella infrastrukturen för registerdataforskning. 87 Registerbaserad forskning har, som tidigare nämnts, varit föremål för flera satsningar och det finns ett från regeringens sida uttalat mål om att öka kvaliteten på svensk forskning genom att bland annat främja en god infrastruktur, senast i 2020 års forskningsproposition. 88 Åtgärder som syftar till att utveckla infrastrukturen kring registerbaserad forskning – däribland infrastruktursatsningar som syftar till att göra såväl forskningsdata som uppgifter i myndighetsregister mer tillgängliga för forskare, exempelvis genom att utveckla de digitala förutsättningarna för tillgängliggörande av sådana uppgifter – är givetvis av största vikt för att utveckla och stimulera den registerbaserade forskningen i Sverige. Möjligheten för sådana infrastruktursatsningar har utretts av Utredningen om organisation, styrning 89 och finansiering av forskningsinfrastruktur (U 2020:04) . Utredningen redovisade i juli 2021 sitt uppdrag i betänkandet Stärkt fokus på framtidens forskningsinfrastruktur (SOU 2021:65). Betänkandet bereds inom Regeringskansliet. Infrastrukturfrågor behandlas därför inte i denna promemoria och inte heller förutsättningarna för registerforskning i allmänhet, eller ens förutsättningarna för forskningsregister. Denna promemoria är i stället inriktad på frågan om en långsiktig reglering för personuppgiftsbehandling i forskningsdatabaser, såsom dessa beskrivits ovan. Ska en ändamålsenlig sådan reglering föreslås är det dock nödvändigt att närmare diskutera vad behovet

87 Remissyttrande från SCB, 2019-02-15, dnr A2018/0914. 88 Prop. 2020/21:60 s. 23 ff. 89 Dir. 2020:52..

102

Ds En långsiktig reglering - utgångspunkter och inriktning

huvudsakligen består i och vad regleringen bör omfatta. Dessa frågor behandlas nedan. Redan här kan dock sägas att man kan förhålla sig tveksam till den slutsats som verkar ha dragits av föregående utredningar, nämligen att en reglering av forskningsdatabaser behövs för att åstadkomma den stimulering av registerbaserad forskning som regeringen och forskarvärlden eftersträvar. Nämnda stimulering kommer lämpligen genom infrastruktursatsningar, och inte genom reglering av forskningsdatabaser. I detta sammanhang kan också understrykas, vilket också Registerforskningsutredningen och Forskningsdatautredningen gjort, att utvecklingen av infrastrukturen på sikt kan förutsättas leda till ett minskat behov av särskilda forskningsdatabaser. Detta förefaller vara en korrekt bedömning. Mot den bakgrunden bör den reglering av forskningsdatabaser som föreslås i denna promemoria inte vara mer omfattande än vad det finns ett tydligt behov av. Fokus i övervägandena om en reglering av forskningsdatabaser bör alltså vara personuppgiftsbehandlingen och det dataskydd som en sådan behandling kräver. I det ligger övergripande frågor angående vilka forskningsdatabaser som är i behov av en särreglering, utöver den som redan finns genom dataskyddsförordningen och till denna kompletterande nationell lagstiftning, samt hur en sådan reglering bäst kan tillgodose det identifierade behovet utan oproportionerliga integritetsintrång. Bedömningen i den delen får betydelse för hur brett tillämpningsområdet för den föreslagna regleringen ska vara, dvs. för frågan om vilka forskningsdatabaser som bör omfattas av en särreglering.

4.2.3 Bör en reglering möjliggöra uppbyggnad av forskningsdatabaser som i allt väsentligt bygger på uppgifter från andra källor än de registrerade?

Bedömning: En långsiktig reglering av forskningsdatabaser bör inte öppna upp för uppbyggnad av forskningsdatabaser som i huvudsak innehåller, bearbetade eller obearbetade, uppgifter från statistikansvariga myndigheters register, administrativa myndighetsregister, hälsodataregister, kvalitetsregister eller liknande.

103

En långsiktig reglering - utgångspunkter och inriktning Ds

Tidigare utredningars förslag

I såväl Registerforskningsutredningens som Forskningsdatautredningens slutbetänkanden föreslogs, som framgått i avsnitt 2.3.2 och 2.4.3, en möjlighet att forskningsdatabaser, som skulle bli föremål för reglering i en ny lag om forskningsdatabaser, skulle kunna omfatta insamlade uppgifter från andra källor än den registrerade själv, och då framförallt myndighetsregister. Några speciella regler om att registrerade skulle tillfrågas om samtycke eller få riktad information om uppbyggnaden av en sådan forskningsdatabas fanns inte i något av utredningarnas förslag. Enligt Registerforskningsutredningens förslag skulle huvudregeln dock vara att personuppgifter som inhämtades från myndighetsregister inte skulle få vara direkt hänförliga till de registrerade. Regeringen skulle dock få föreskriva undantag så att identifierbara uppgifter kunde behandlas. I Forskningsdatautredningens förslag reglerades frågan på det sättet att direkt identifierbara personuppgifter fick behandlas i forskningsdatabasen, om det var nödvändigt för att uppfylla ändamålet med forskningsdatabasen. Det var forskningshuvudmannen (som ansvarade för forskningsdatabasen i fråga) som utifrån det angivna nödvändighetskravet hade att besluta om en forskningsdatabas skulle bestå av direkt identifierbara uppgifter eller inte.

Remissynpunkter

Flera remissinstanser ifrågasatte behovet av att i en forskningsdatabas reproducera uppgifter från myndighetsregister och tillhandahålla dessa till olika forskningsprojekt, när dessa forskningsprojekt i stället på egen hand skulle kunna begära ut uppgifterna direkt från myndigheten i fråga. Ifrågasättandet har skett bland annat med hänvisning till principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen och utifrån hänsyn till de registrerades personliga integritet. Det fanns en oro för att forskningsdatabaser, om sådan insamling tilläts utan några direkta begränsningar, i praktiken skulle komma att innehålla kopior av olika myndighetsregister. 90 I det följande redovisas mer ingående vad några kritiska remissinstanser anförde i denna fråga.

90 Se bland annat Socialstyrelsens remissyttrande 2019-02-05, dnr 3.1-30882/2018.

104

Ds En långsiktig reglering - utgångspunkter och inriktning

Integritetsskyddsmyndigheten avstyrkte Registerforskningsutredningens förslag såsom oförenligt med skyddet i 2 kap. 6 § andra stycket regeringsformen (RF) mot betydande integritetsintrång som sker utan samtycke och som innebär övervakning och kartläggning av den enskildes personliga förhållanden. Härvid anfördes framför allt att ändamålen för personuppgiftsbehandlingen inte var tillräckligt preciserade, men det pekades också på att förslaget uppfattades som att en övervägande del av personuppgifter i en forskningsdatabas kommer att samlas in från olika myndighetsregister utan den enskildes vetskap och utan att denne blev informerad. Socialstyrelsen ställde sig frågande till om Forskningsdatautredningens förslag kunde leda till att myndighetens register i mycket stor utsträckning kopieras till många databaser för forskning och om det i så fall är en önskvärd situation utifrån främst hänsyn till enskildas personliga integritet. Därvid erinrades om att Socialstyrelsens register – hälsodata- och socialtjänstregister samt dödsorsaksregister – är särskilt reglerade och förs utan de registrerades samtycke. Allmänhetens förtroende för hanteringen av personuppgifterna är av mycket stor betydelse för möjligheten att ha sådana register. Enligt myndigheten kunde behovet av data för forskning också framledes tillgodoses genom utlämnande av data direkt från myndigheten. Statistiska centralbyrån yttrade beträffande Registerforskningsutredningens förslag att den inte såg behov av forskningsdatabaser baserade på befintliga register eftersom uppgifter i dessa register redan finns tillgängliga för forskning inom ramen för gällande rätt. Även Statistiska centralbyrån lyfte, liksom Integritetsskyddsmyndigheten, frågan om ramverkets förenlighet med 2 kap. 6 § andra stycket RF på grund av osäkerhet om hur de enskilda förordningarna skulle utformas. I sitt yttrande över Forskningsdatautredningens förslag framhöll SCB ånyo att myndigheten var tveksam till om förslaget var förenligt med 2 kap. 6 § andra stycket RF eftersom det möjliggör att det byggs upp ett flertal delvis parallella forskningsdatabaser med stora mängde grunduppgifter som redan finns i befintliga register hos registerförande myndigheter. Vidare ansåg Statistiska centralbyrån att det kunde ifrågasättas om förslaget i detta avseende var förenligt med principen om uppgiftsminimering i dataskyddsförordningen (artikel 5.1 c). Detta i kombination med förslaget att arkivlagstiftningens princip om bevarande ska vara utgångspunkten för uppgifterna i forskningsdatabaserna kunde, enligt Sta-

105

En långsiktig reglering - utgångspunkter och inriktning Ds

tistiska centralbyrån, innebära att stora mängder integritetskänsliga uppgifter används över mycket lång tid. Även Etikprövningsmyndigheten såg det problematiska med insamling från ”andra källor”. Detta skulle, enligt myndigheten, inne bära att mycket stora mängder känsliga personuppgifter kan samlas in och bearbetas från patientregistret, läkemedelsregistret, kvalitetsregister, Statistiska centralbyrån, landstingens vårddatalager m.m. Det skulle därigenom kunna komma att skapas ett flertal fysiska databaser som till stor del är överlappande. En nationell forskningsdatabas baserad på ”andra källor”, t.ex. centrala hälsodataregister för psykisk sjukdom, hjärtkärlsjukdom, rörelseorganens sjukdomar etc., kan komma innehålla samma eller likartade data som de ursprungliga registren. Det ansågs också uppenbart att de myndigheter, kvalitetsregister, enskilda vårdgivare etc. som lämnar ut data till ett kanske växande antal forskningsdatabaser kan uppleva betänkligheter att sprida känsliga personuppgifter till databaser där användningen inte är avgränsad i tid och där de inte har inflytande över den fortsatta spridningen inom och utom landet. Etikprövningsmyndigheten menade att insamling enbart från andra källor inte skulle möjliggöra någon forskning som inte kan genomföras redan idag. De kapacitetsproblem som idag fanns vid utlämnande från myndighetsregister borde och kunde, enligt Etikprövningsmyndigheten, hanteras på flera andra sätt än genom forskningsdatabaser där myndighetsregister reproducerades. Myndigheten förespråkade i stället en lösning där forskningsdatabaser baseras primärt på insamlade uppgifter från individer. Så föreslogs kunna ske genom att 1 kap. 6 § ges lydelsen ”Med forskningsdatabas avses i denna lag en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer och som kan kompletteras från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt”. En sådan snävare definition skulle, enligt myndigheten, vara tillämplig för ett flertal forskningsdatabaser som angavs finnas redan idag, t.ex. Lifegene, EpiHealth, Svenska tvillingregistret etc. Myndigheten menade också att denna lösning även skulle göra det möjligt för de nationella kvalitetsregistren att skapa forskningsdatabaser som rutinmässigt kompletteras med data från t.ex. Socialstyrelsens patientregister och andra källor. Den dåvarande myndigheten Regionala etikprövningsnämnden i Lund avstyrkte Registerforskningsutredningens förslag att forsk-

106

Ds En långsiktig reglering - utgångspunkter och inriktning

ningsdatabaser skulle få byggas upp av uppgifter från myndighetsregister. Enligt nämnden skulle förslaget i den delen utgöra ett integritetsintrång för den enskilde som var alltför långtgående och inte kunde överblickas. Förslaget kunde komma att innebära att forskningsdatabaser innehåller mycket omfattande kopior av en stor mängd myndighetsregister, vilket medförde ett avsevärt integritetsintrång och även en säkerhetsrisk. Enligt nämnden var det lämpligare att det var det bestämda forskningsprojektet som ordnade med att uppgifter från en forskningsdatabas kunde sammanställas med uppgifter som projektet begärde ut från registerhållande myndighet. Det är vidare så, menade nämnden, att det inte går att förutse vilka samkörningar med myndighetsregister som behövs förrän en specifik forskningsfråga är definierad.

En avvägning mellan integritetsrisker och forskningens behov

Som såväl Registerforskningsutredningen som Forskningsdatautredningen konstaterat, och som också framgår av regeringens tidigare forskningspropositioner, är den politiska utgångspunkten den att forskning är något värdefullt för vårt samhälle och att en reglering av personuppgiftsbehandling för forskningsändamål därför måste vara ändamålsenlig och uppfylla forskningens behov. Samtidigt måste sådan reglering innefatta ett gott skydd för den personliga integriteten. Det sagda innebär att det måste göras en avvägning mellan å ena sidan forskningens behov av tillgång till personuppgifter och, å andra sidan, forskningspersonernas rätt till integritet. Registerforskningsutredningen har ingående belyst problematiken kring integritetsskydd i samband med registerbaserad forskning i avsnitt 6, Integritet och registerbaserad forskning , och då särskilt avsnitt 6.8 Risker vid registerbaserad forskning . I mångt och mycket hänvisas till den redovisningen. Följande aspekter är förtjänar dock att framhållas särskilt. Att upprätthålla integritetsskyddet i samband med forskning, och då i samtliga delar av forskningsprocessen, är viktigt framförallt för de som deltar i processen och vars uppgifter är föremål för behandling. Som Registerforskningsutredningen konstaterade ställs ibland forskares intresse av att samla in och använda sig av personuppgifter mot de berörda individernas intresse av att skydda sin

107

En långsiktig reglering - utgångspunkter och inriktning Ds

integritet. Forskarnas och individernas intressen kan emellertid i hög grad sammanfalla. Så kan bland annat vara fallet vid forskning om sjukdomars uppkomst och utveckling, där hela samhället och därmed också de enskilda individerna kan tjäna på att forskning leder till medel som kan lindra eller bota sådana sjukdomar, men också vid forskning som syftar till ökad förståelse för samhällsutvecklingen i stort och vilka interventioner som eventuellt kan bidra till människors ökade välfärd. Registerforskningsutredningen gjorde bedömningen att det ligger i allas intresse att forskningen underlättas, och att det till och med kan ses som en moralisk plikt att bidra till att så sker, i synnerhet om bidraget ”är förenat med en mycket ringa per sonlig uppoffring eller risk, till exempel när det endast handlar om 91 återanvändning av uppgifter eller prover som redan har samlats in”. I forskningsdatabaser är det fråga om insamling av personuppgifter för att senare kunna tillhandahålla dessa till olika framtida forskningsprojekt. Om insamlingen görs från andra källor än de enskilda individerna och utan inhämtande av samtycke från dessa uppstår frågor om vilka risker som kan vara förknippade med en sådan behandling i forskningsdatabaser. Många av de uppgifter som kan aktualiseras i insamlingen till en forskningsdatabas, och som överhuvudtaget är intressanta för framtida forskning, är sådana som är integritetskänsliga. Följaktligen är de, om de förekommer i myndighetsregister, oftast skyddade av sekretess. Ett exempel på detta finns i 24 kap. 8 § OSL, beträffande uppgifter som samlats in i den särskilda verksamheten med statistikframställning hos vissa myndigheter, den s.k. statistiksekretessen. I stor utsträckning är det myndighetsregister inom denna verksamhet som är användbar för den registerbaserade forskningen. Statistiksekretessen är absolut, dvs. sekretess gäller för uppgift om enskild utan något skaderekvisit som uppgifternas känslighet ska prövas gentemot. Härmed avses främst den statistikframställning som sker enligt lagen (2001:99) om den officiella statistiken och anknytande förordning. Sådan statistik kan samlas in exempelvis genom undersökningar hos allmänheten. Detta är ett vanligt förfarande inom exempelvis Statistiska centralbyrån eller Brottsförebyggande rådet. Ett av skälen till den absoluta sekretessen är att den enskilde uppgiftslämnaren ska vara säker på att dennes uppgifter inte kommer att hamna

91 SOU 2014:45 s. 249.

108

Ds En långsiktig reglering - utgångspunkter och inriktning

i orätta händer. I fall där uppgifter samlas in för statistiska ändamål är de registerhållande myndigheterna beroende av höga svarsfrekvenser för att svaren ska bli tillförlitliga. Det är därför avgörande att de tillfrågade känner förtroende för att deras uppgifter inte kommer att komma ut, för att de överhuvudtaget ska vilja delta. 92 Det finns emellertid ytterligare förhållanden som kan belysa behovet av den stränga dvs. absoluta sekretessen. Inte bara Statistiska centralbyrån och Socialstyrelsen är statistikansvariga myndigheter enligt den lagstiftningen utan många andra myndigheter, även sådana vars kärnverksamhet är att vara administrativa myndigheter med ärendehandläggning som innebär myndighetsutövning mot enskilda. Försäkringskassan, Skatteverket och Centrala studiestödsnämnden kan här nämnas för att ta bara några exempel på sådana statistikansvariga myndigheter. I deras kärnverksamheter har enskilda inget egentligt annat val än att lämna de uppgifter om egna förhållanden som krävs för ärendehandläggningen, vilka i många fall kan vara integritetskänsliga. Myndigheternas statistikframställning baseras på dessa inhämtade uppgifter i kärnverksamheten och myndigheterna inhämtar inte något samtycke från de registrerade till denna vidareanvändning. För en del statistikansvariga myndigheter görs inhämtningen i stället genom andra myndigheters eller näringsidkares författningsreglerade skyldighet att leverera uppgifter från sina kärnverksamheter till den statistikansvariga myndigheten. Så är exempelvis fallet när det gäller Socialstyrelsens hälsodataregister, bland annat cancerregistret, patientregistret och läkemedelsregistret, som offentliga och privata vårdgivare lämnar uppgifter till samt socialtjänstregister. Till de sistnämnda socialtjänstregistren hos Socialstyrelsen har kommunala socialnämnder en omfattande skyldighet att lämna personuppgifter om barn och vuxna från olika delar av sin integritetskänsliga verksamhet. 93 Inte heller i denna verksamhet har enskilda något inflytande över vad som rapporteras vidare till den statistikansvariga myndigheten och kan inte påverka sin eventuella förekomst där på annat sätt än att låta bli att söka hjälp hos socialtjänsten. På samma sätt förhåller det sig för patienter vars uppgifter rapporteras från vårdgivare till Socialstyrelsens hälsodataregister. Det är i ljuset av

92 SOU 2014:45 s. 252. 93 Förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter

109

En långsiktig reglering - utgångspunkter och inriktning Ds

dessa förhållanden som det är centralt för förtroendet både för den verksamhet som statistiken gäller, socialtjänsten och hälso- och sjukvården i de aktuella exemplen, som för den officiella statistikframställningen att sekretesskyddet för de stora uppgiftssamlingar som finns hos de statistikansvariga myndigheterna är så starkt som det kan bli. Personuppgifter som i myndighetsregister omfattas av statistiksekretess kan under vissa förutsättningar ändå lämnas ut för forskningsändamål i enlighet med ett undantag från den absoluta sekretessen enligt 24 kap. 8 § OSL. Detta undantag syftar till att tillgodose forskningens behov. Undantaget torde dock inte omfatta uppbyggnaden av forskningsdatabaser för framtida ännu inte bestämda forskningsfrågor. En långsiktig reglering av forskningsdatabaser som i likhet med vad Registerforskningsutredningen och Forskningsdatabasutredningen föreslog möjliggör uppbyggnad av forskningsdatabaser som enbart eller till väsentlig del består av uppgifter från myndighetsregister som samlas in till databaserna utan registrerades samtycke eller kännedom skulle alltså innebära en betydande förändring i förhållande till vad som i dag anses möjligt enligt gällande dataskyddsoch sekretesslagstiftning. Även om en sådan möjlighet skulle förenas med starkast möjliga sekretesskydd för uppgifter i en forskningsdatabas, för att skydda den enskildes personliga integritet, går det inte att sticka under stol med att en sådan vidarespridning av personuppgifter från myndighetsregistren hos statistikansvariga myndigheter kan innebära en risk för intrång i enskildas integritet eller att enskilda upplever sig kränkta av återanvändningen av deras uppgifter i oöverblickbara led av vidarespridning. Detsamma gäller även i händelse av att en forskningsdatabas samlar in personuppgifter från andra myndigheter än en statistikansvarig, t.ex. patientdata från regionernas vårddokumentation. Ett exempel som ofta förs på tal i dessa sammanhang är vad som kom att ske i det s.k. ”Metropolitprojektet” där intervjusvar från föräldrar insamlade på 1960-talet senare, utan de registrerades vetskap, kompletterades med uppgifter från myndighetsregister. Syftet var att följa de berörda personerna och deras anhöriga under lång tid och då samla in uppgifter direkt från dessa, men också komplettera med uppgifter från myndighetsregister – detta för att

110

Ds En långsiktig reglering - utgångspunkter och inriktning

kunna undersöka hur social och socioekonomisk bakgrund påverkade människors välstånd över tid. Den kompletterande insamlingen uppmärksammades under 1980-talet och ledde till en debatt om integritetsrisker förknippade med bevarande av personuppgifter för forskningsändamål. Kritiken kom att fokusera på den kränkning som det ansågs innebära för enskilda individer att uppgifter om dem samlades in utan deras vetskap. Mindre utrymme fick emellertid den omständigheten att det bakomliggande syftet med projektet kunde sägas vara ”gott”; det handlade i förlängningen om att identifiera vilka interventioner som kunde göras för att stärka individer med ett ”svagt utgångsläge”. Projektet var dessutom v äl förankrat såväl hos myndigheter, däribland Integritetsskyddsmyndigheten, som hos be- 94 rörda intresseorganisationer. Som Registerforskningsutredningen konstaterade är en lärdom från den kritik som riktades mot ”Metropolitprojektet” att det är viktigt att ta de värderingar och den oro som finns hos allmänheten på allvar. 95 Det centrala i den kritik som riktades mot projektet var de enskildas brist på dels kännedom och information om insamlingen av personuppgifter, dels möjlighet att kunna utöva någon form av kontroll över dessa uppgifter. Även om de registrerade kanske skulle ha delat myndigheternas uppfattning om att det bakomliggande syftet med insamlingen var gott, innebar bristen på kännedom och kontroll en så pass allvarlig förtroendeskada att en fortsatt insamling av uppgifter inte var möjlig. Man kan fråga sig huruvida situationen hade sett annorlunda ut om de deltagande föräldrarna, i samband med att de lämnade sina intervjusvar, hade informerats om, och kanske till och med kunnat samtycka till, att kompletterande insamling från myndighetsregister senare skulle komma att ske. I arbetet med denna promemoria har det kommit att stå klart att de tidigare utredningarnas förslag om möjlighet till reproducering av myndighetsregister i forskningsdatabaser skulle innebära en klar förändring jämfört med vad som följer av gällande rätt. Det står också klart att en sådan förändring innebär risk för ett försämrat skydd för registrerades personliga integritet.

94 För en något m er utförlig redogörelse för ”Metropolitprojektet” hänvisas till SOU 2014:45 s. 254 f. 95 SOU 2014:45 s. 255.

111

En långsiktig reglering - utgångspunkter och inriktning Ds

Faran i en reproducering av myndighetsregister, ur ett integritetsperspektiv, ligger framförallt i att en registrerad kan uppleva sig förlora kontrollen över sina personuppgifter och uppfattar detta som ett integritetsintrång. Det blir, genom ett utlämnande av uppgifter i flera olika led, allt svårare för den registrerade att överblicka vad som kan komma att ske med de uppgifter som finns om denne i olika myndighetsregister. Det säger sig självt att allmänhetens förtroende för samtliga led av forskningsprocessen, och för att personuppgiftsbehandlingen inom den processen utförs på ett integritetssäkert sätt, är avgörande för viljan att delta i forskningen. Denna vilja får särskild betydelse på insamlingsstadiet. Finns det inom allmänheten en utbredd misstro mot forskning och personuppgiftsbehandling för forskningsändamål, kommer det att vara mycket svårt att rekrytera deltagare såväl till forskningsprojekt som till forskningsdatabaser. En utbredd reproducering av myndighetsregister i forskningsdatabaser kan i längden också påverka svarsfrekvensen vid registerhållande myndigheters insamling av uppgifter för statistiska ändamål, vilket kan riskera att urholka värdet i sådan statistik. Ju färre insamlade uppgifter såväl i myndighetsregister som i forskningsdatabaser, desto svårare blir arbetet i olika forskningsprojekt som är beroende av sådana uppgifter. En utgångspunkt är därför att även forskarvärlden tjänar på ett starkt integritetsskydd vid personuppgiftsbehandling för forskningsändamål, och därmed också ett bibehållet förtroende för samtliga led i forskningsprocessen. Det kan vidare påpekas att det var bland annat situationer där den enskilde själv inte kan få kännedom om eller påverka en personuppgiftsbehandling, som var tänkta att kunna omfattas av det stärkta grundlagsskyddet i 2 kap. 6 § andra stycket RF. Enligt den bestämmelsen skyddas enskilda mot betydande intrång i den personliga integriteten om intrånget sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Vad som avses med sådan övervakning eller kartläggning ska bedömas med ledning av effekten av en åtgärd, inte syftet. Omfattande behandling av personuppgifter för forskningsändamål utan samtycke kan alltså, i princip, innebära sådan övervakning eller kartläggning som avses i grundlagsbestämmelsen även om detta inte är syftet med behandlingen. Eventuella begränsningar av grundlagsskyddet måste, enligt 2 kap. 20 § första stycket RF, ske genom lag, och då endast för

112

Ds En långsiktig reglering - utgångspunkter och inriktning

att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Därmed gäller således en proportionalitetsprincip som bland annat medför att det behöver göras en avvägning mellan de intressen som talar för och emot införandet av en begränsning i lag. Forskningens behov är inte tillräckligt starkt för att motivera att forskningsdatabaser med reproducerade myndighetsregister möjliggörs i en långsiktig reglering. Av det ovan anförda har framgått att ett gott integritetsskydd för registrerade vars uppgifter behövs i den registerbaserade forskningen inte står i ett enkelt motsatsförhållande till forskningens behov. Den kritik som bland annat Statistiska centralbyrån och Etikprövningsmyndigheten riktat mot Forskningsdatautredningens förslag framstår vidare som välgrundad. I arbetet med denna promemoria har det inte framträtt något tydligt behov av forskningsdatabaser som innehåller kopior av myndighetsregister m.m. för att åstadkomma någon efterfrågad stimulering av registerbaserad forskning. Det kan här erinras om vad som sagts ovan om vikten av att hålla isär behoven av satsningar på infrastruktur och behoven av forskningsdatabaser. Visserligen ventileras ofta önskemål om att upprätta forskningsdatabaser som består av bearbetade eller samkörda och omfattande datamängder från olika register som kan återanvändas och byggas på genom uppgifter som tas fram genom nya forskningsprojekt. Såväl Registerforskningsutredningen som Forskningsdatautredningen har pekat på att det vid registerbaserad forskning på data från myndighetsregister krävs att data bearbetas av forskaren och att det vore av stort värde att kunna bygga forskningsdatabaser med allmänt hållna forskningsändamål där bland annat sådana bearbetade data kan samlas för användning i nya forskningsprojekt. Det kan dock poängteras att återanvändning av arkiverat material från ett forskningsprojekt som innefattat registerbaserad forskning eller annars skapat ett forskningsregister med bearbetade data är en annan sak än att samla in uppgifter för att bygga upp forskningsdatabaser för framtida forskning. För det förra ändamålet finns redan befintliga infrastrukturer, t.ex. i form av Svensk Nationell datatjänst (SND) som drivs som ett samarbete mellan ett flertal svenska universitet och högskolor. Återanvändning i ett forskningsprojekt av bearbetat forskningsmaterial från tidigare forskningsprojekt kan

113

En långsiktig reglering - utgångspunkter och inriktning Ds

alltså göras i en inte obetydlig utsträckning redan inom ramen för gällande rätt, förutsatt att sekretessprövning medger ett utlämnande och återanvändningen godkänns vid etikprövning. Någon särreglering för detta synes inte vara påkallad. Förutom att behovet av forskningsdatabaser som helt eller väsentligen skapas av uppgifter från myndighetsregister är oklart, finns det också betydande svårighet att utan närmare genomlysning databas för databas bedöma i vilken omfattning författningsregleringen av en forskningsdatabas på grund av integritetskänsligheten bör ske på lagnivå. Det går inte heller att utesluta att forskningsdatabaser med potential till omfattande reproducering av myndighetsregister – och där de registrerades frivilliga medverkan inte är en förutsättning – skulle kunna anses falla inom det skydd som 2 kap. 6 § andra stycket RF ger. Även det är en fråga som skulle behöva analyseras särskilt databas för databas och som, i förekommande fall, skulle kräva alldeles särskilda överväganden av riksdagen. Sammantaget medför det anförda att det inte är lämpligt att en långsiktig och samlad reglering av forskningsdatabaser omfattar forskningsdatabaser som byggs upp av uppgifter som i allt väsentligt inhämtas från andra källor än den registrerade. Det är en annan sak att det kan finnas skäl att, utöver insamling direkt från enskilda individer, också tillåta kompletterande insamling från andra källor, och då i första hand myndighetsregister. Den frågan behandlas vidare i avsnitt 5.8.2. Utgångspunkten bör dock härvid vara att sådan insamling ska vara just kompletterande, och som huvudregel inte kunna ske utan den registrerades kännedom om och kontroll över de uppgifter som samlas in på den vägen. En sådan möjlighet måste, för att tillgodose behovet av ett starkt integritetsskydd och dataskyddsförordningens krav på uppgiftsminimering, präglas av återhållsamhet.

4.2.4 En långsiktig reglering av forskningsdatabaser bör omfatta vissa uppgiftssamlingar som baseras på de registrerades frivilliga medverkan

Bedömning: En långsiktig reglering av forskningsdatabaser bör endast vara inriktad på sådana centrala uppgiftssamlingar som, i likhet med LifeGene, bygger på de registrerades frivilliga medver-

114

Ds En långsiktig reglering - utgångspunkter och inriktning

kan och som är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv.

En långsiktig reglering av forskningsdatabaser bör alltså inte ha ett så vidsträckt tillämpningsområde att den möjliggör uppbyggnad av forskningsdatabaser som väsentligen består av kopior av myndighetsregister eller andra källor. I stället bör en långsiktig reglering ta sikte på och möjliggöra uppbyggnaden av forskningsdatabaser med uppgifter som samlas in direkt från enskilda som frivilligt vill bidra med sina uppgifter till framtida forskning. Som framgått ovan är det tveksamt i vad mån det är rättsligt möjligt enligt gällande rätt att alls skapa sådana forskningsdatabaser, i vart fall om det inte görs inom ramen för ett stort men avgränsat forskningsprojekt. En långsiktig reglering skulle innebära att legitimiteten i sådana forskningsdatabaser inte ifrågasätts och att personuppgiftsbehandlingen i verksamhet med sådana forskningsdatabaser kringgärdas av ett tillfredsställande skydd för de registrerades integritet. Det bör därvid vara möjligt att bygga upp forskningsdatabaser som syftar till att skapa underlag för specifika forskningsprojekt även utanför forskningsområdet om vad arv och miljö betyder för människors hälsa som den tillfälliga LifeGene-lagen idag möjliggör. Detta eftersom det finns ytterligare forskningsområden som sådana forskningsdatabaser med långsiktig användning av insamlade personuppgifter skulle kunna vara till stor nytta för. Någon avgränsning till vissa forskningsområden som utesluter andra är dock inte en lämplig lösning för en långsiktig reglering utan den bör till sin uppbyggnad vara mer generellt inriktad för att kunna inkludera alla slags forskningsområden, även sådana som ännu inte utvecklats. Det är emellertid centralt att tillämpningsområdet för en långsiktig reglering är beskrivet så att det framgår av regleringen vilka uppgiftssamlingar som träffas av regleringen. Flera remissinstanser riktade kritik mot Forskningsdatautredningens förslag till lag om forskningsdatabaser just på grund av otydlighet härvidlag. I denna promemoria görs bedömningen att en långsiktig reglering bör ta sikte på sådana klart avgränsade och betydelsefulla uppgiftssamlingar som redan förekommer eller som byggs upp i framtiden och som är av särskilt vetenskapligt värde i ett långsiktigt perspektiv. Regleringen ska vidare handla om uppgiftssamlingar som syftar till

115

En långsiktig reglering - utgångspunkter och inriktning Ds

att vara en allmänt tillgänglig resurs för forskare, dvs. även för forskare utanför den egna forskarmiljön, fakulteten, universitetet osv. Ambitionen i en sådan forskningsdatabas måste, för att vara av särskilt vetenskapligt värde, innebära långsiktighet i att kunna under en överskådlig framtid tillhandahålla värdefull information till olika forskningsprojekt som dessa inte lika gärna kan hämta in på annat sätt. Det ska också finnas ett konkret behov av reglering, vilket är något som bör bedömas för varje databas för sig. Nedan behandlas de övergripande dragen i den föreslagna regleringen.

4.3 En ny lag om vissa forskningsdatabaser föreslås

4.3.1 Tillåtligheten av en kompletterande särreglering

Bedömning: En särreglering för vissa forskningsdatabaser är en tillåten kompletterande nationell reglering till dataskyddsförordningen.

Inför överväganden om införande av särreglering till dataskyddsförordningen är det nödvändigt att ställa frågan om den tilltänkta särregleringen alls är en tillåten kompletterande reglering till förordningen. Kompletterande nationell reglering av personuppgiftsbehandling kan endast ske i den mån dataskyddsförordningen medger det, och då inom de ramar förordningen sätter. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men dessa tillåts att behålla eller införa mer specifika nationella bestämmelser i olika avseenden. Exempelvis framgår av artikel 4 att det i nationell rätt kan föreskrivas vem som är personuppgiftsansvarig för en viss behandling eller särskilda kriterier för hur en personuppgiftsansvarig ska utses. Enligt artikel 6.2 och 6.3 tillåts nationell reglering för att närmare fastställa hur förordningens bestämmelser ska tillämpas när det gäller behandling som utförs med stöd bland annat av den rättsliga grunden utförande av uppgift av allmänt intresse. Det är tillåtet att i sådan nationell reglering ha bestämmelser om bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka

116

Ds En långsiktig reglering - utgångspunkter och inriktning

ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling m.m. Den nationella regleringen ska vidare uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas, enligt artikel 6.3. I förordningens skäl 8 anges att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer de tillämpas på, införliva delar av förordningen i nationell rätt. Det påpekas emellertid, i skäl 9, att en konsekvent och enhetlig tillämpning av bestämmelserna bör säkerställas i hela unionen, men att det vid behandling bland annat för att utföra en uppgift av allmänt intresse bör vara tillåtet med nationell särreglering för att närmare fastställa hur bestämmelserna i förordningen ska tillämpas. I samma skäl anges vidare att förordningen ger medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandling av känsliga personuppgifter, samt att förordningen inte heller utesluter att det i den nationella rätten fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter. Dubbel- eller överreglering ska alltså undvikas, framförallt för att säkerställa en konsekvent och enhetlig tillämpning av förordningen i hela unionen, men också för att inte riskera att det råder oklarhet gällande förhållandet mellan dataskyddsförordningen och eventuell kompletterande nationell reglering. Kompletterande bestämmelser kan emellertid vara motiverat under vissa förutsättningar. Nedan, i avsnitt 4.4, tas ställning i frågan om tillämplig rättslig grund för den behandling av personuppgifter som kan komma att ske i en sådan reglering som nu föreslås. Det bedöms där att det är just grunden utförande av uppgift av allmänt intresse i artikel 6.1 e som aktualiseras. En kompletterande särreglering som syftar till att förtydliga förordningens bestämmelser gällande ändamålet med behandlingen i en forskningsdatabas, vilka typer av uppgifter som får samlas in till och behandlas i forskningsdatabasen samt vilka ytterligare skyddsåtgärder som är nödvändiga för att säkerställa att behandlingen utförs på ett integritetssäkert sätt är, enligt artikel 6.2 och 6.3, följaktligen en tillåten kompletterande nationell reglering.

117

En långsiktig reglering - utgångspunkter och inriktning Ds

4.3.2 Personuppgiftsbehandling i en forskningsdatabas sker för vetenskapliga forskningsändamål enligt dataskyddsförordningen

Bedömning: Personuppgiftsbehandling genom uppbyggnad och förande av en forskningsdatabas utgör behandling för vetenskapliga forskningsändamål i dataskyddsförordningens mening.

I samband med att villkoren för personuppgiftsbehandling inom forskning har reglerats i dataskyddsförordningen förekommer i stort sett genomgående termen ” vetenskapliga eller historiska forskningsändamål ” . I vissa fall talas det enbart om forskningsändamål. Några centrala termer i dataskyddsförordningen har definierats i artikel 4, men den artikeln innehåller inga definitioner av just forskning eller forskningsändamål. Begreppet ”forskning” förekommer överhuvudtaget inte i artiklarna. Dataskyddsförordningens bestämmelser innebär flera möjligheter till kompletterande särreglering. Bland annat kan undantag föreskrivas från vissa bestämmelser, såsom undantag från vissa rättigheter för de registrerade, i situationer där behandlingen görs för just vetenskapliga eller historiska forskningsändamål. Mot den bakgrunden är det viktigt att försöka förstå begreppet forskningsändamål i dataskyddsförordningens mening i syfte att kunna bedöma huruvida personuppgiftsbehandling i forskningsdatabaser faller in under den ändamålsbeskrivningen. Av betydelse här är att begreppet har en gemenskapsrättslig innebörd. Hur begreppet forskning är definierat i 2 § etikprövningslagen eller vilken innebörd begreppet forskningsändamål anses ha i den tidigare nämnda bestämmelsen om statistiksekretess i 24 kap. 8 § OSL har alltså inte någon egentlig relevans i sammanhanget. Forskningsdatautredningen behandlade begreppet forskningsändamål i sitt slutbetänkande. Där konstaterades att frågan om vilka delar av forskningsprocessen som kan räknas in under begreppet forskning blir avgörande för frågan om tillåten behandling av per- 96 sonuppgifter i forskningsdatabaser. Enligt Forskningsdatautredningen kan vägledning för tolkningen av begreppet forskningsändamål hämtas i dataskyddsförordningens

96 SOU 2018:36 s. 74.

118

Ds En långsiktig reglering - utgångspunkter och inriktning

skäl 159, som anger att behandling av personuppgifter för forskningsändamål bör ges en vid tolkning och omfatta t.ex. teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Behandlingen av personuppgifter bör också, enligt nämnda skäl, ta hänsyn till unionens mål enligt artikel 179.1 i EUF-fördraget angående åstadkommandet av ett europeiskt forskningsområde. I nämnda artikel anges bland annat att unionen ska ha som mål att stärka unionens vetenskapliga och tekniska grund genom att åstadkomma ett europeiskt forskningsområde med fri rörlighet för forskare, vetenskapliga rön och teknik samt underlätta alla forskningsinsatser som anses nödvändiga enligt andra kapitel i fördragen. I skäl 157 betonas att forskare kan erhålla ny kunskap av stort värde genom att koppla samman information från olika register. Det anges vidare att för att underlätta vetenskaplig forskning får personuppgifter behandlas för vetenskapliga forskningsändamål, med förbehåll för lämpliga villkor och skyddsåtgärder i unionsrätten eller i medlemsstaternas nationella rätt. Forskningsdatautredningen menade att uppräkningarna i de angivna skälen föreföll ange en viljeinriktning snarare än att vara heltäckande. Enligt Forskningsdatautredningen borde det därför finnas utrymme för att i nationell reglering skapa, alternativt behålla, en avgränsning av forskningsbegreppet som är relevant för den forskning som använder personuppgifter. Det påpekades dock att en sådan avgränsning ska överensstämma med den i skäl 159 uttryckta 97 viljeinriktningen att forskning ska ges en vid tolkning. I detta sammanhang bör också skäl 33 nämnas. Enligt detta är det ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Registrerade bör därför kunna ge sitt samtycke till vissa områden för vetenskaplig forskning när vedertagna etiska standarder för vetenskaplig forskning iakttas. Samtycke till personuppgiftsbehandling för forskningsändamål kan alltså innefatta avgränsade forskningsområden av bredare karaktär än enskilda projekt. Ovan nämnda skäl talar alltså om en vid tolkning av begreppet forskningsändamål, där teknisk utveckling omfattas och nödvändiga forskningsinsatser underlättas. Forskning med hjälp av register be-

97 SOU 2017:50 s. 89.

119

En långsiktig reglering - utgångspunkter och inriktning Ds

tonas som särskilt värdefullt och personuppgiftsbehandling redan på insamlingsstadiet, vilket ofta görs i ett sådant register, omnämns kunna ske för forskningsändamål. Det framstår mot den bakgrunden som en rimlig slutsats att den personuppgiftsbehandling som pågår i forskningsdatabaser, vilken alltså syftar till att samla in uppgifter för att tillhandahålla dessa till olika framtida forskningsprojekt, är en sådan forskningsinsats som bidrar till vetenskaplig forskning, och därmed ingår som en del i själva forskningsprocessen, medförande att insamlingen och den fortsatta behandlingen vid forskningsdatabasen får anses ske för forskningsändamål i den mening som avses med begreppet i dataskyddsförordningen. Detta torde vara fallet även om denna forskningsinsats är frikopplad från de forskningsprojekt som senare inleds och använder sig av uppgifterna i forskningsdatabasen. Det primära syftet med insamlingen och den övriga behandlingen av personuppgifter i en forskningsdatabas är ju att dessa ska komma till användning i olika framtida forskningsprojekt. Kopplingen mellan det ena och det andra får dessutom större tyngd genom promemorians förslag nedan (avsnitt 4.3.4) om att det bara är lärosäten med rätt att utfärda examen på forskarnivå, vid vilka forskning alltså bedrivs som en kärnverksamhet, som ska komma i fråga som ansvariga för en forskningsdatabas enligt den föreslagna regleringen. Forskningsdatautredningen gjorde samma bedömning i sitt delbetänkande. Det var enligt utredningens bedömning rimligt att konstruktionen av forskningsdatabaser, under förutsättning att syftet fastställs som ett väl avgränsat forskningsområde, kan bedömas som personuppgiftsbehandling för forskningsändamål och därmed utgöra en del av själva forskningen. Att tillskapa forskningsinfrastrukturer var enligt utredningens bedömning en integrerad del av forskningsprocessen som i vissa fall är nödvändig och som har bredare formulerade forskningsändamål än de som förekommer i enskilda forskningsprojekt. 98 Mot en sådan vid tolkning talar emellertid den tidigare Artikel 29-gruppens riktlinjer om samtycke enligt dataskyddsförordningen, och då särskilt gällande skäl 33. I dessa riktlinjer anges, angående begreppet forskningsändamål, att begreppet inte bör tolkas vidare än att man med just vetenskaplig forskning i den här kontexten avser ett forskningsprojekt som utövas i enlighet med sektorrelevant me-

98 SOU 2017:50 s. 103 f.

120

Ds En långsiktig reglering - utgångspunkter och inriktning

todiska och etiska riktlinjer. 99 Det ska här påpekas att gruppen – som numera har upphört och i samband med dataskyddsförordningens införande ersatts av Europeiska dataskyddsstyrelsen – var ett rådgivande organ som huvudsakligen bestod av representanter från medlemsstaternas tillsynsmyndigheter, och vars yttranden inte var rättsligt bindande. 100 I denna promemoria görs bedömningen att lydelsen i skäl 33 måste läsas och tolkas i ljuset av den kontext i vilken den infördes. Det aktuella skälet infördes med svenskt stöd och syftar inte till att avgränsa vad som kan innefattas i uttrycket behandling av personuppgifter för vetenskapliga eller historiska forskningsändamål enligt dataskyddsförordningen. Skälet syftar i stället till att säga något om en annan sak, nämligen hur vidsträckt en ändamålsbestämning kan få vara för att enskilda ska kunna lämna ett giltigt samtycke till behandlingen. Detta ska förstås mot bakgrund av att förordningen kräver att, för att samtycke ska kunna åberopas som rättslig grund för en personuppgiftsbehandling, samtycket kan knytas till personuppgiftsbehandling för ett eller flera specifika ändamål (artikel 6.1 a, se vidare avsnitt 4.4.2). Det kan här nämnas något om hur forskningsändamål berördes i lagstiftningsärendet om LifeGene. Lagen anges avse just vissa register för forskning. Syftet anges i 1 § vara att ge universitet och högskolor möjlighet att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder bland annat för människors hälsa. Personuppgifter får, enligt 5 §, behandlas just för detta ändamål liksom för att lämna ut uppgifter till sådan forskning. I propositionen anges att lagen bara ska gälla behandling av personuppgifter som sker ”i ovan nämnt forskningssyfte”. 101 Även Integritetsskyddsmyndigheten benämnde i sitt remissyttrande i anledning av den till propositionen föregående lagrådsremissen den insamling som skedde i LifeGene som ”datainsamling för forskningsändamål”. 102 Det verkar alltså inte ha rått någon oenighet i fråga om att den personuppgiftsbehandling som LifeGene var tänkt att ägna sig åt, i vart fall enligt sedvanligt språkbruk i Sverige, ansågs ske för forskningsändamål.

99 Article 29 Data Protection Working Party, Guidelines on Consent under Regulation 2016/679 (WP259) , s. 27. 100 Detta har tidigare konstaterats i propositionen till LifeGene-lagen, prop. 2012/2013:163 s. 27. 101 Prop. 2012/13:163 s. 23. 102 Prop. 2012/13:163 s. 27.

121

En långsiktig reglering - utgångspunkter och inriktning Ds

Det kan i detta sammanhang nämnas att vid införandet av den sekretessbrytande bestämmelsen i 24 kap. 8 b § OSL - enligt vilken statistiksekretessen inte hindrar att uppgifter lämnas till organisationen Luxembourg Income Study (LIS) enligt 18 § lagen (2001:99) om den officiella statistiken (se avsnitt 3.4.2) - bedömde regeringen att framställningen av de två forskningsdatabaser som LIS tillhandahåller för olika forskningsprojkt om inkomstfördelning, fattigdom och förmögenhetsfördelning, utgör exempel på behandling för forskningsändamål eller statistiska ändamål (prop. 2021/22:92. s. 6 f. och 24). Sammanfattningsvis görs bedömningen att personuppgiftsbehandling som utförs i forskningsdatabaser omfattas av vad som avses med behandling för vetenskapliga eller historiska forskningsändamål enligt dataskyddsförordningen. De undantagsbestämmelser som finns i dataskyddsförordningen eller kan tillåtas enligt förordningen är därför tillämpliga på den behandling som utförs i sådana forskningsdatabaser som behandlas i denna promemoria.

4.3.3 En ramlag om vissa forskningsdatabaser med anslutande föreskrifter i förordning

Förslag: Det ska införas en till dataskyddslagstiftningen kompletterande reglering som anger villkoren för behandling av personuppgifter i vissa forskningsdatabaser. Bestämmelserna ska finnas i en ny lag om vissa forskningsdatabaser. Den nya lagen ska vara en ramlag som kompletteras av föreskrifter i förordning i vilka regeringen föreskriver bland annat vilka forskningsdatabaser som ska få föras med stöd av ramlagen. När den nya regleringen träder i kraft ska lagstiftningen om vissa register för forskning om vad arv och miljö betyder för människors hälsa upphöra att gälla. Bedömning: Bestämmelsen i 2 kap. 6 § andra stycket RF utgör inte ett hinder mot närmare reglering i förordning.

Regleringens omfattning

När det gäller frågan om utformningen av en reglering av forskningsdatabaser och hur brett det materiella tillämpningsområdet bör

122

Ds En långsiktig reglering - utgångspunkter och inriktning

vara, har tidigare utredningar föreslagit två olika modeller, se kapitel 2 där modellerna redovisas mer ingående. I sammanfattning innebar Registerforskningsutredningens förslag en ramlag med vissa generella bestämmelser för forskningsdatabaser samt förordningar, en för varje forskningsdatabas, som närmare reglerade vad som skulle gälla för databasen i fråga. Forskningsdatautredningen föreslog en generell reglering som skulle omfatta så många forskningsdatabaser som möjligt. Forskningshuvudmännen själva, och inte regeringen, skulle kunna besluta om att skapa forskningsdatabaser som kom att omfattas av den föreslagna lagen. Trots att Forskningsdatautredningens breda förslag välkomnades från vissa håll fick förslaget också kritik för sin otydlighet i fråga om vilka forskningsdatabaser som skulle omfattas av den föreslagna lagen. Förslaget innebar i praktiken att det ankom på forskningshuvudmännen själva att avgöra huruvida deras uppgiftssamlingar skulle omfattas av lagen eller inte. Flera remissinstanser ansåg att det kunde leda till stor osäkerhet i fråga om lagens tillämpningsområde. Följden av en sådan bred reglering blir alltså svårbestämd. Remisskritiken bör tas på allvar. Som berörts ovan bör utgångspunkten för en långsiktig reglering av forskningsdatabaser vara att en till den generella dataskyddsregleringen kompletterande särreglering endast ska omfatta sådana forskningsdatabaser som har ett faktiskt behov därav. Det bör vidare vara forskningsdatabaser av en viss dignitet som ska bli föremål för en särreglering i en ny lag om vissa forskningsdatabaser. De forskningsdatabaser som åsyftas är ett begränsat antal för forskningen centrala uppgiftssamlingar, vars uppgift med att skapa underlag för flera olika forskningsprojekt bedöms vara av särskilt vetenskapligt värde för ett eller flera forskningsområden i ett långsiktigt perspektiv. I detta ligger bland annat att databasens tilltänkta användare inte ska vara inriktat på att endast tillgodose en eller ett fåtal forskningshuvudmäns behov. Exempel på sådana forskningsdatabaser är tidigare nämnda LifeGene och Tvillingregistret. Detta kommer att belysas mer i avsnitt 5.2. Samtidigt som promemorians förslag innebär en betydligt snävare reglering än den som Forskningsdatautredningen föreslog, finns inte skäl för att låsa sig fast vid en lösning som innebär att antalet reglerade forskningsdatabaser begränsas till en per forskningsfält, så som Registerforskningsutredningen förordade. Dels kan det vara svårt att tydligt definiera och avgränsa ett visst forsk-

123

En långsiktig reglering - utgångspunkter och inriktning Ds

ningsfält och vissa forskningsdatabaser kan dessutom vara tvärvetenskapliga, dels kan det inom ett forskningsfält finnas fler än en forskningsdatabas inom ett forskningsområde som är så pass centrala att samtliga bör omfattas av regleringen. Ett exempel på det sistnämnda är forskningsdatabaserna LifeGene och EpiHealth, som båda syftar till att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, men med inriktning på olika åldersgrupper.

Regleringens utformning

Artikel 5.1 b i dataskyddsförordningen stadgar, som en av de grundläggande principerna vid behandling av personuppgifter, att uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Med denna princip om ändamålsbegränsning i åtanke kan konstateras att det är svårt att i en generell reglering detaljreglera frågor såsom vilken behandling av personuppgifter som är tänkt att ske i varje enskild forskningsdatabas och för vilka närmare ändamål sådan behandling får ske. En generell reglering av forskningsdatabaser kan endast innehålla bestämmelser som är gemensamma för samtliga forskningsdatabaser som är tänkta att träffas av regleringen, vilket i princip innebär en översiktlig reglering utan närmare specificering av ändamål eller villkor för respektive forskningsdatabas. Det blir av förklarliga skäl också svårt att i en sådan generell reglering, på ett tillräckligt tydligt sätt, specificera vilka forskningsdatabaser som ska träffas av denna. Ett alternativ skulle kunna vara ett system innebärande lagreglering av varje enskild forskningsdatabas, såsom den som redan finns genom LifeGene-lagen. Som Registerforskningsutredningen konstaterade kan ett sådant system lätt bli stelbent och innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet hos de som ska använda uppgifterna för forskning. Här ska framhållas att arbetet med att föra en forskningsdatabas kan förutsättas vara förhållandevis föränderligt. Krav på ändring i lag vid varje ändring i verksamhet, exempelvis till följd av teknisk utveckling eller veten-

124

Ds En långsiktig reglering - utgångspunkter och inriktning

skapliga landvinningar, framstår som onödigt svårhanterligt. Med tanke på att det inte finns någon klar bild av hur många forskningsdatabaser som finns och, än mindre, som kan tänkas vara i behov av en särreglering, blir konsekvenserna av en sådan lösning också något oöverblickbara. Mot denna bakgrund framstår Registerforskningsutredningens modell för författningsreglering som lämpligast, om än med vissa modifikationer. Modellen innebär en gemensam övergripande ramlag som kompletteras av förordningsbestämmelser, i vilka regeringen föreskriver vilka forskningsdatabaser som ska omfattas av regleringen. Därigenom undviks den osäkerhet kring tillämpningsområdet som en generell reglering skulle medföra. En sådan lösning medför också att det görs en ordentlig behovsprövning och integritetsbedömning redan innan en forskningsdatabas kan komma att omfattas av särreglering. Lagen föreslås alltså vara en ramlag med grundläggande bestämmelser som kompletteras med en förordning (eller flera) där det närmare anges vilka forskningsdatabaser som träffas av lagen och där mer specifika bestämmelser för respektive forskningsdatabas kan föreskrivas. Därigenom skapas även ett tydligare rättsligt stöd för sådan behandling av personuppgifter som sker i redan befintliga forskningsdatabaser som efter en analys befinns böra omfattas av den nya ramlagen. Med det rättsliga ramverket följer vidare ett förtydligande bland annat av vilken som är den rättsliga grunden för behandlingen av personuppgifter för de forskningsdatabaser som kommer att omfattas, nämligen utförande av en uppgift av allmänt intresse som dessutom är ett viktigt intresse, se närmare nedan i avsnitt 4.4. Tanken med ramlagen är vidare att den sätter ett slags tak (givetvis tillsammans med övrig dataskyddsreglering) för vilken behandling som kan tillåtas i en forskningsdatabas och att regeringen, genom föreskrifter, i viss utsträckning kan begränsa utrymmet efter en närmare analys av vilka behoven är i olika forskningsdatabaser. I kapitel 5 redovisas de allmänna övervägandena gällande föreslagna bestämmelser i ramlagen m.m. Där behandlas bland annat frågor om vilka slags aktörer som föreslås få ansvara för en forskningsdatabas, hur registrerades frivilliga medverkan ska garanteras, villkor för utlämnande från en databas m.m. I senare avsnitt kommer också lämnas en del förslag gällande sekretess som syftar till att både

125

En långsiktig reglering - utgångspunkter och inriktning Ds

underlätta för såväl reglerade forskningsdatabaser som registerhållande myndigheter och tillse att uppgifterna i forskningsdatabasen kringgärdas av ett starkt sekretesskydd.

Krävs lagform för närmare bestämmelser om forskningsdatabaser enligt grundlagen?

När Registerforskningsutredningen föreslog motsvarande utformning av reglering med en ramlag med närmare bestämmelser i förordning mötte detta stark kritik från bland annat Integritetsskyddsmyndigheten, som menade att en reglering i förordning, i stället för i lag, stred mot bestämmelsen i 2 kap. 6 § andra stycket RF. Enligt nämnda grundlagsbestämmelse är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Detta skydd får enligt 2 kap. 20 § RF endast begränsas genom lag och begränsningen får inte heller, enligt 2 kap. 21 § RF, gå utöver vad som är nödvändigt med hänsyn till det ändamål som föranlett den. Registerforskningsutredningen gjorde emellertid den bedömningen att behandling av personuppgifter i en forskningsdatabas inte kunde anses utgöra ett så betydande intrång i den personliga integriteten att denna träffas av 2 kap. 6 § RF. Integritetsskyddsmyndigheten delade, som nämnts, inte den uppfattningen. I motiven till 2 kap. 6 § andra stycket RF anges att integritetsskyddet i bestämmelsen bör ta sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande; om åtgärderna däremot förutsätter den enskildes godkännande kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att det bör omfattas 103 av ett stärkt grundlagsskydd. Den reglering som föreslås i denna promemoria träffar bara sådana forskningsdatabaser som bygger på frivillig medverkan från de enskilda vars personuppgifter behandlas i respektive forskningsdatabas. När det gäller uppgifter som samlas in från enskilda indivi-

103 Prop. 2009/10:80 s. 178 f.

126

Ds En långsiktig reglering - utgångspunkter och inriktning

der, kommer det att vara fråga om personuppgiftsbehandling med ett uttryckligt samtycke. Den i promemorian föreslagna regleringen möjliggör emellertid också kompletterande insamling av uppgifter från andra källor, och då i första hand myndighetsregister. Skälen för att sådan kompletterande inhämtning av uppgifter bör tillåtas utvecklas närmare i avsnitt 5.8. I korthet kan dock sägas att det föreslås att samtycke som huvudregel ska inhämtas från registrerade till insamling från andra källor än den registrerade och att, i vart fall, ingen insamling från andra källor ska kunna ske utan information till registrerade och möjlighet för dem att sätta stopp för insamlingen. Även när det gäller insamling från andra källor är alltså tanken att inget ska ske – med ett undantag – som registrerade inte känner till eller kan på goda grunder antas ställa sig positiv till. På detta sätt skiljer sig promemorians förslag på ett avgörande sätt från Registerforskningsutredningens och Forskningsdatautredningens förslag vilka, som framgått ovan, även avsågs kunna omfatta forskningsdatabaser som byggs upp utan frivillig och informerad medverkan från de registrerade. Det undantag som nyss aviserades avser att regleringen bör göra det möjligt att, när det behövs, kunna behandla vissa personuppgifter i ett tidigt skede när det är nödvändigt för att kunna välja ut och kontakta enskilda med information och förfrågan om att medverka i en forskningsdatabas. Det ska här också påpekas att grundlagsskyddet i 2 kap. 6 § andra stycket RF endast omfattar sådana åtgärder som avser betydande intrång i den personliga integriteten. Den behandling av eventuella kompletterande uppgifter från i huvudsak myndighetsregister som undantagsvis kan komma att ske i reglerade forskningsdatabaser utan inhämtat specifikt samtycke – men där de registrerade är medvetna om att sådan behandling pågår eller kan pågå och kan avstå från den – medför inte att behandlingen i forskningsdatabaser sammantaget kan anses utgöra ett så betydande intrång i registrerades personliga integritet att det av den anledningen kräver reglering i lag. 104 Bedömningen är alltså att personuppgiftsbehandlingen i forskningsdatabaser helt klart faller utanför grundlagsskyddets tillämpningsområde. Inte heller normgivningsbestämmelserna i 8 kap. RF påkallar att de närmare föreskrifterna för varje forskningsdatabas sker i lagform. Detta innebär att de bestämmelser som regeringen förut-

104 Jfr motsvarande resonemang i SOU 2014:45 s. 235 ff. och 423 f.

127

En långsiktig reglering - utgångspunkter och inriktning Ds

sätts meddela i förordning och som ska komplettera ramlagen kan meddelas med stöd av regeringens s.k. restkompetens enligt 8 kap. 7 § första stycket 2 RF.

4.3.4 Vem ska kunna ansvara för en forskningsdatabas enligt ramlagen?

Förslag: Det är statliga och enskilda lärosäten vilka bedriver forskning och som har rätt att utfärda examen på forskarnivå som ska kunna ansvara för forskningsdatabaser enligt ramlagen.

En fråga av betydelse för den nya lagens tillämpningsområde är vilka aktörer som ska kunna föra en sådan forskningsdatabas som avses i ramlagen. Den reglering som nu föreslås är betydligt snävare än Forskningsdatautredningens förslag, framför allt i fråga om vilka slags forskningsdatabaser som avses omfattas av regleringen och genom att det ska krävas särreglering i förordning för varje forskningsdatabas i stället för att en forskningshuvudman själv beslutar i frågan. Endast forskningsdatabaser av långsiktig betydelse för forskarsamhället inkluderas i promemorians förslag. Det finns därför ingen anledning att inkludera alla potentiella forskningshuvudmän så som Forskningsdatautredningen gjorde. Registerforskningsutredningen föreslog att statliga lärosäten och statliga myndigheter med forskning som uppdrag skulle kunna vara personuppgiftsansvariga för en forskningsdatabas. Förslaget fick en del kritik, bland annat av regioner som menade att även sjukvårdshuvudmännen skulle kunna få skapa och driva sådana forskningsdatabaser som utredningen föreslog skulle regleras. Som nämnts tidigare utgör förandet av en forskningsdatabas en verksamhet som enligt den bedömning som görs i denna promemoria utförs för vetenskapliga forskningsändamål i den mening som avses i dataskyddsförordningen. För den bedömningen har det betydelse om forskningsdatabasen förs i nära anslutning till, om än separat från, verksamhet där forskning faktiskt bedrivs. Forskning kan bedrivas av många aktörer och det finns många statliga myndigheter, utöver lärosäten som universitet och högskolor, där forskning ingår i myndighetsuppdraget. Regionala och primärkommunala sjukvårdshuvudmän ska enligt 18 kap. 2 § hälso- och

128

Ds En långsiktig reglering - utgångspunkter och inriktning

sjukvårdslagen (2017:30) medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete. I den delen ska de bland annat samverka med berörda universitet och högskolor. Forskning kan också bedrivas av enskilda, t.ex. läkemedelsbolag. Det kan antas finnas, eller komma att byggas upp, personuppgiftssamlingar som kan liknas vid forskningsdatabaser men som är forskningsregister och där huvudmannaskapet för registret ligger hos en forskningshuvudman som är en statlig myndighet, men inte är ett lärosäte, eller hos en regional sjukvårdshuvudman. Det kan också finnas situationer där sådana databaser ingår i ett samarbete mellan exempelvis ett statligt eller enskilt lärosäte och en regional sjukvårdshuvudman. Det var bland annat mot den bakgrunden som Forskningsdatautredningen föreslog att alla dessa aktörer skulle kunna vara huvudmän för sådana forskningsdatabaser som den av utredningen föreslagna lagen omfattade. När det gäller de centrala forskningsdatabaser som den nu föreslagna regleringen är inriktad på, och som alltså utgör viktiga resurser för betydelsefull forskning, bör det ställas höga krav på organisationen hos huvudmannen för en forskningsdatabas. Det förefaller därför lämpligt att dessa forskningsdatabaser förs av sådana statliga eller enskilda lärosäten som själva bedriver vetenskaplig forskning på en hög nivå. Det är nämligen i sådana miljöer som det kan antas finnas både den kompetens och långsiktighet som krävs för att bedriva verksamheten med att bygga upp och hålla igång en forskningsdatabas som kan vara av långsiktigt värde för vetenskapen och som kan ge god service till de forskare som vill använda personuppgifter från databasen i sin forskning. Det är också från dessa lärosäten som det i huvudsak påtalats ett behov av utökade rättsliga möjligheter att bygga upp forskningsdatabaser. Den ovan gjorda bedömningen om att behandlingen av personuppgifter utgör vad som i dataskyddsförordningen menas med vetenskapliga forskningsändamål är också i samklang med en reglering som innebär att ansvarig för en forskningsdatabas ska vara en aktör i vilken forskning är en kärnverksamhet. Lärosäten, dvs. universitet och högskolor, vid vilka forskning är en kärnverksamhet, kan antas ha såväl den kunskap som de praktiska förutsättningarna som krävs för att föra en forskningsdatabas i

129

En långsiktig reglering - utgångspunkter och inriktning Ds

enlighet med de krav på kontinuitet och effektivitet i integritetsskyddet som bör uppställas. Som också Registerforskningsutredningen framhöll, bedöms sådana lärosäten dessutom ha starka incitament att bevaka de integritetsfrågor som är förknippade med personuppgiftsbehandling i en forskningsdatabas. De bör därför rimligen uppfylla kraven på kvalitet och säkerhet i integritetsskyddet. Av dessa skäl bör det vara just sådana lärosätena som tillåts behandla personuppgifter i, och alltså vara ansvariga huvudmän för, sådana forskningsdatabaser som ska omfattas av lagen. Andra statliga myndigheter med särskilt uppdrag att forska torde inte samla in personuppgifter i uppgiftssamlingar med syftet att de ska vara allmänt tillgängliga för forskarsamhället, exempelvis externa forskningshuvudmäns forskningsprojekt, och torde därför inte ha samma behov av reglering som lärosätena. Alternativt finns redan registerförfattning som lämpligen inte bör inkorporeras i den nu föreslagna regleringen. Ett sådant exempel är Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, IFAU, och dess registerförfattning. När det gäller regioner har de som framgått ovan ett ansvar för att medverka vid finansiering, planering och genomförande av forskning. Ofta är regionernas verksamhet inom forskning inriktad på klinisk medicinsk forskning och folkhälsostudier eller näraliggande. Spridda över landet finns ett flertal centrumbildningar för viss forskningsverksamhet i samverkan mellan regioner och lärosäten. Många aktiva forskningsledare har kombinationstjänster på universitetssjukhus som innebär att de tjänstgör både på ett universitet och i regionens hälso- och sjukvård. Trots detta är det emellertid tveksamt om regionernas forskningsverksamhet kan beskrivas som en sådan utpräglad och självbärande kärnverksamhet i regionerna som bör vara en förutsättning för att också ansvara för att bygga upp och förvalta uppgiftssamlingar som syftar till att på långsiktig basis vara en resurs för forskare och forskningsprojekt i allmänhet. Den samlade bedömningen blir därmed att det är lärosäten med forskningsverksamhet som ska ansvara för sådana forskningsdatabaser som omfattas av föreslagen ny dataskyddsreglering. Det sagda innebär inget hinder mot att verksamhet med en forskningsdatabas bedrivs inom ramen för ett sådant samarbete mellan ett statligt eller enskilt lärosäte och en regional sjukvårdshuvudman som nämnts ovan. Ansvaret för verksamhet kan därvid ligga hos lärosätet.

130

Ds En långsiktig reglering - utgångspunkter och inriktning

I avsnitt 5.2.2 behandlas hur ansvaret för bedrivandet av verksamheten med en forskningsdatabas närmare ska regleras.

4.3.5 Vad gäller för forskningsdatabaser som inte omfattas av den föreslagna särregleringen?

Bedömning: Personuppgiftsbehandling i andra forskningsdatabaser, som inte omfattas av den föreslagna särregleringen, kan ske under förutsättning att den utförs i enlighet med befintlig dataskyddsreglering.

Som tidigare nämnts var det många av remissinstanser från bland annat forskarsamhället som välkomnade att Forskningsdatautredningens förslag till lag om forskningsdatabaser som omfattade så många forskningsdatabaser som möjligt, och alltså hade ett brett tillämpningsområde. Dessa remissinstanser menade att det var just en sådan omfattande reglering som var nödvändig för att kunna ta tillvara insamlade forskningsdata och ge forskningsaktörer goda förutsättningar för att bedriva en effektiv forskning, samtidigt som den skulle innebära ett integritetsskydd för de registrerade. 105 Behovet av att förtydliga vad som gäller för forskningsdatabaser efter dataskyddsförordningens ikraftträdande ansågs motivera ett sådant brett tillämpningsområde. I detta sammanhang måste upprepas att sådan personuppgiftsbehandling som redan nu pågår i forskningsdatabaser inte är oreglerad utan omfattas av såväl dataskyddsförordningen som dataskyddslagen och annan lagstiftning av betydelse för informationshanteringen. I kapitel 3 finns en översiktlig genomgång av denna reglering. Införandet av en kompletterande särreglering för vissa forskningsdatabaser kommer alltså inte att innebära något förbud mot personuppgiftsbehandling i andra forskningsdatabaser, så länge denna behandling utförs i enlighet med den nyss nämnda befintliga lagstiftningen. Det sagda innebär också att forskningsdatabaser, i förekommande fall, kan bedrivas med stöd av ett etikgodkännande därför att databasen alltjämt kan anses föras inom ramen för ett större forskningsprojekt.

105 Se exempelvis Linköpings universitets remissyttrande, 2019-02-04, dnr LIU-2018-03372.

131

En långsiktig reglering - utgångspunkter och inriktning Ds

4.3.6 Vem ska ta initiativet till att utvidga antalet reglerade forskningsdatabaser?

Ovan har bedömts att dataskyddsförordningens bestämmelser inte utgör en tillräcklig lösning på den problematik som vissa forskningsdatabaser upplever samt att det därför finns behov av kompletterande särreglering i nationell rätt. Det är för dessa forskningsdatabaser den nya ramlagen syftar till att tillhandahålla en regleringsmodell. Ramlagen föreslås däremot inte bli omedelbart tillämplig för en mängd forskningsdatabaser vid ett bestämt ikraftträdande. Det som föreslås är en generellt inriktad ramlag och en förordning som bland annat gör den tillfälliga LifeGene-lagen med anknytande förordning överflödig. Vidare föreslås i kapitel 6 föreskrifter i förordning för Tvillingregistret som inkorporerar den databasen i den nya lagens tillämpningsområde. Det sistnämnda är i praktiken den enda föreslagna nyregleringen avseende en viss uppgiftssamling. Vilka ytterligare forskningsdatabaser som bör inlemmas i ramverket genom bestämmelser förordning får bedömas efter hand. Registerforskningsutredningen menade att Vetenskapsrådet borde få i uppgift att föreslå för regeringen vilka forskningsdatabaser som ska få finnas. I denna promemoria görs emellertid bedömningen att det inte finns någon självklar myndighet som bör ges i uppdrag att kartlägga behovet av inkorporering i ramverket av befintliga forskningsdatabaser genom nya förordningar. Det ter sig naturligast att de som får det huvudsakliga ansvaret för att driva fram en inkorporering av en befintlig forskningsdatabas är de lärosäten som idag ansvarar för databaserna. Likaså bör initiativet för att skapa en ny forskningsdatabas som syftar till att vara en tillgänglig resurs för framtida forskning även utanför den egna forskarmiljön ligga hos de som närmast kan bedöma det potentiella vetenskapliga värdet för forskningen med en sådan långsiktig lagring av personuppgifter, dvs. hos de lärosäten som bedriver den slags forskning som databasen syftar till att vara till nytta för. Sådana initiativ kan då kommuniceras med Utbildningsdepartementet varefter en genomlysning görs för att se om en inkorporering är lämplig och hur den i så fall bör utformas efter en noggrann avvägning mellan nyttan för det aktuella forskningsområdet och, å andra sidan, förmågan att långsiktigt skydda registrerades integritet, bland annat genom att tillse att det inte sker någon alltför omfattande

132

Ds En långsiktig reglering - utgångspunkter och inriktning

reproducering av myndighetsregister i forskningsdatabasen i fråga. Beredningen av sådana initiativ behandlas vidare i avsnitt 5.2.3.

4.4 Den rättsliga grunden för personuppgiftsbehandlingen vid en forskningsdatabas enligt lagen

4.4.1 Tänkbara rättsliga grunder enligt dataskyddsförordningen

Enligt dataskyddsförordningen får behandling av personuppgifter göras endast om det finns en tillämplig rättslig grund. Den rättsliga grunden bör, enligt skäl 41, vara tydlig och precis. Dess tillämpning bör också vara förutsägbar för de personer som omfattas av den behandling som stödjer sig på grunden. De rättsliga grunder som i nuläget kan vara relevanta när det gäller personuppgiftsbehandling i sådana forskningsdatabaser som kommer att regleras genom den nya ramlagen med anknytande förordningar är främst att det finns ett samtycke från den registrerade till behandling för ett eller flera specifika ändamål (artikel 6.1 a), att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c), eller att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e).

Nedan följer överväganden angående lämplig rättslig grund för personuppgiftsbehandlingen vid en forskningsdatabas som kommer att omfattas av den föreslagna ramlagen. Det ska sägas att det inte finns något hinder mot att fler än en rättslig grund kan åberopas för en behandling eller att olika rättsliga grunder gäller för olika delar i en viss verksamhet som innebär personuppgiftsbehandling. Huvudsaken är att det inte råder någon oklarhet angående vilken rättslig grund varje enskild behandling har. Det kan hänvisas till redovisningen i avsnitt 3.2.2 för relevanta bestämmelser om rättsliga grunder i dataskyddsförordningen och i viss utsträckning vilken innebörd dessa bestämmelser anses ha inom forskningen och för forskningsdatabaser. Vissa upprepningar kan dock inte helt undvikas i det följande.

133

En långsiktig reglering - utgångspunkter och inriktning Ds

4.4.2 Samtycke

Bedömning: Personuppgiftsbehandlingen vid en forskningsdatabas ska basera sig på de registrerades frivilliga medverkan. Samtycke ska dock inte vara den rättsliga grund som åberopas för personuppgiftsbehandlingen.

Som framgått i avsnitt 3.2.2 finns distinkta krav på hur ett samtycke ska vara och hur det ska lämnas för att leva upp till dataskyddsförordningen (se artikel 4.11 och skäl 32). Där har också angetts att det finns begräsningar för utrymmet att åberopa samtycke som rättslig grund när offentliga myndigheter är personuppgiftsansvariga. Anledningen är den betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige som då ofta kan råda. Av skäl 43 följer att det då är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som den särskilda situationen omfattar. Ramlagen kommer att gälla för vissa forskningsdatabaser som finns vid lärosäten, dvs. universitet och högskolor, företrädesvis statliga sådana. Det är i huvudsak dessa aktörer som har forskning som uppgift, till vilken uppgift, i övergripande mening, förandet av en forskningsdatabas utförs som en förberedande del av forskningsprocessen. Normalt borde inte ett sådant beroendeförhållande mellan ett lärosäte och en rekryterad registrerad anses föreligga att formuleringen i skäl 43 skulle anses utgöra ett hinder för att använda samtycke som rättslig grund för behandlingen i en forskningsdatabas. Ett sådant lärosäte bör i regel inte kunna utöva påtryckning på en registrerad individ, även om det i och för sig kan tänkas förekomma undantagssituationer. Det kan alltså som regel inte anses osannolikt att ett samtycke har lämnats frivilligt. I samband med anpassningen av etikprövningslagen och LifeGene-lagen till dataskyddsförordningens bestämmelser, uttalades i förarbetena att det borde ankomma på den personuppgiftsansvarige att för varje personuppgiftsbehandling i ett forskningsprojekt pröva huruvida det föreligger en sådan ojämlik situation att inhämtade samtycken inte kan sägas ha lämnats frivilligt och en annan rättslig grund därför borde väljas. 106 Samma bedömning borde

106 Se resonemanget i prop. 2017/18:298 s. 40 ff.

134

Ds En långsiktig reglering - utgångspunkter och inriktning

rimligen kunna göras i fråga om forskningsdatabaser enligt ramlagen. I lagstiftningsärendet avseende LifeGene-lagen har frågan uppkommit om de i den lagen angivna ändamålen uppfyller kravet på ändamålsbegränsning, vilket har bäring på frågan om giltiga samtycken kan lämnas. Kravet på ändamålsbegränsning innebär att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Enligt 5 § i LifeGene-lagen får personupgifter behandlas för ändamålen dels att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, dels att lämna ut uppgifter för sådan forskning i den utsträckning och på det sätt som anges i 6 § samma lag. Dåvarande Datainspektionen ansåg att det i lagen angivna ändamålet inte var tillräckligt preciserat och att det samtycke som en enskild ger när denne lämnar uppgifter till en forskningsdatabas, där det i samband med insamlingen och lämnandet av samtycke inte kan specificeras till vilka exakta forskningsprojekt som uppgifterna senare kommer att lämnas ut, inte kan anses uppfylla kraven på en specifik och informerad viljeyttring. Denna uppfattning delades dock inte av regeringen (prop. 2012/13:163 s. 36). Lagrådet hade inte någon invändring mot regeringens resonemang i detta avseende och riksdagen beslutade i enlighet med förslagen i propositionen. Lagen, som är tidsbegränsad har förlängts flera gånger och också uppdaterats med anledning av EU:s dataskyddsförordning. I sistnämnda lagstiftnings-ärende anförde regeringen att regeringen, till skillnad från Datainspektionen, ansåg att ändamålsbestämmelserna var förenliga såväl med dataskyddsdirektivet som med dataskyddsförordningen samt att Datainspektionens invändningar hade bemötts i tre lagstiftningsärenden, dels i den ursprungliga propositionen, dels vid de två tillfällen då lagen hade förlängts (prop. 2012/13:163 s. 23 f., prop. 2014/15:121 s. 11 f. och prop. 2016/17:204 s. 10 f.). Regeringen anförde vidare att det inte tillkommit någon praxis från EU-domstolen som ger anledning till någon annan bedömning än tidigare. Lagrådet lämnade förslagen utan erinran och riksdagen beslutade i enlighet med förslagen i propositionen. I det sista lagstiftningsärendet, när lagens gitlighetstid förlängdes en tredje gång, till och med den 31 december 2023, upprepade Data-

135

En långsiktig reglering - utgångspunkter och inriktning Ds

inspektionen sin invändning och regeringen gav samma svar. Riksdagen beslutade i enlighet med förslaget i propositionen. I skäl 33 anges vidare, som påpekats tidigare, att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter; registrerade bör därför kunna ge sitt samtycke till vissa områden för vetenskaplig forskning när vedertagna etiska standarder för sådan forskning iakttas. Ovan har bedömningen gjorts att den behandling av personuppgifter som sker i forskningsdatabaser får anses ske för vetenskapliga forskningsändamål. Som bland annat Forskningsdatautredningen påpekat måste skäl 33 ses som en tydligt uttryckt ambition att tillåta bredare samtycken för forskningsändamål än vad som hittills varit fallet. 107 . Europeiska dataskyddsstyrelsen har aviserat att den avser att komma ut med riktlinjer om behandling av personuppgifter för vetenskapliga ändamål där bland annat styrelsens synsätt i fråga om frågan om breda ändamål kommer att utvecklas mer ingående och där det kommer att framgå att ett brett samtycke kan läggas till grund för flera olika forskningsprojekt förutsatt att sådana skyddsåtgärder som styrelsen kommer att utarbeta i riktlinjerna uppfylls. 108 Till dess har styrelsen i en skrift med svar på ett antal frågor från Kommissionen uttryckt sig försiktigt angående vilka slutsatser som kan dras av skäl 33. Några av dessa svar har redogjorts för i avsnitt 3.2.2. Som framgår av avsnitt 3.2.2 har dock varken några riktlinjer från Europeiska dataskyddsstyrelsen eller något vägledande avgörande kommit angående användningen av breda samtycken vid insamling av personuppgifter till en forskningsdatabas för framtida och obestämda forskningsprojekt. I avvaktan på detta framstår samtycke som mindre lämplig att åberopa som rättslig grund för behandlingen av personuppgifter i verksamhet med en forskningsdatabas enligt det föreslagna ramverket, i vart fall som en helhetslösning. Som närmare utvceklas i avsnitt 4.4.4 ska den rättsliga grunden i stället vara uppgift av allmänt intresse.

107 SOU 2018:36 s. 131. 108 EDPB Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research , 2021-02-02.

136

Ds En långsiktig reglering - utgångspunkter och inriktning

4.4.3 Rättslig förpliktelse

Bedömning: Ramlagen eller bestämmelser i anslutande förordning bör inte utformas som ett åliggande att föra forskningsdatabasen. Den rättsliga grunden fullgörande av en rättslig förpliktelse kommer därmed inte att bli aktuell för en forskningsdatabas enligt lagen

Av artikel 6.1 c följer att en behandling som är nödvändig för att en personuppgiftsansvarig ska kunna fullgöra en rättslig förpliktelse utgör en tillåten rättslig grund för personuppgiftsbehandling. Enligt artikel 6.3 ska den rättsliga förpliktelsen vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. För Sveriges del innebär detta, enligt 2 kap. 1 § dataskyddslagen, att behandlingen ska vara nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Som framgått i kapitel 3 är den rättsliga grunden fullgörande av en rättslig förpliktelse normalt inte aktuell inom forskningsområdet. Man skulle dock kunna laborera med tanken att forskningsdatabaser som inkorporeras i tillämpningsområdet för den föreslagna ramlagen lutar sig mot en rättslig grund i form av fullgörande av en rättslig förpliktelse. Det skulle dock förutsätta att ramlagen utformas så att det blir en skyldighet för lärosäten att skapa och driva forskningsdatabaser. En sådan lösning är dock inte lämplig eller önskvärd. Ett viktigt skäl för detta är att en forskningsdatabas kan antas komma att få störst vetenskaplig nytta om initiativet till och inriktningen på databasen vilar på kunskapen och drivkraften hos forskarmiljöer vid sådana stora forskningshuvudmän som lärosätena är istället för att vara författningsreglerade åligganden. Det ligger också i linje med principen om forskningens frihet att regleringen utformas mer som en möjliggörare, inom vissa ramar, än som ett åliggande för att främja projekt inom vissa forskningsområden. Den föreslagna regleringen bör alltså inte utformas på så sätt att den skapar en rättslig grund för verksamheten genom att det skulle handla om fullgörande av en rättslig förpliktelse. Det är en annan sak att en rättslig förpliktelse i och för sig kan ligga till grund för enskilda behandlingar av personuppgifter i en

137

En långsiktig reglering - utgångspunkter och inriktning Ds

forskningsdatabas, exempelvis med anledning av en begäran från tillsynsmyndighet.

4.4.4 Uppgift av allmänt intresse

Bedömning: Ramlagen bör gälla för forskningsdatabaser som är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Med det uppställda kriteriet står det klart att personuppgiftsbehandlingen i verksamhet med en forskningsdatabas är nödvändig för att utföra en uppgift av allmänt intresse. Ramlagen med förordningar, där ansvarig för en databas utses, innebär att uppgiften att föra en forskningsdatabas är fastställd i nationell rätt. Den behandling av personuppgifter som är nödvändig vid förandet av en forskningsdatabas kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1.e i dataskyddsförordningen.

När det gäller den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen följer det av artikel 6.3 att uppgiften ska vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I 2 kap. 2 § dataskyddslagen förtydligas att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett stöd i den personuppgiftsansvariges myndighetsutövning enligt lag eller 109 annan författning. Lagstiftaren har sedan tidigare gjort bedömningen att universitet och högskolor med staten som huvudman, vars uppgift att forska är fastställd i svensk rätt genom bestämmelser i högskolelagen, kan tillämpa den rättsliga grunden allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen. Samma bedömning har gjorts i fråga om lärosätena Chalmers tekniska högskola och Högskolan i Jönköping, som båda bedrivs i stiftelseform. 110 Samma bedömning torde emel-

109 Prop. 2017/18:105 s. 55 ff. 110 Prop. 2017/18:105 s. 43 ff.

138

Ds En långsiktig reglering - utgångspunkter och inriktning

lertid även kunna göras för samtliga av de lärosäten med enskild huvudman som omfattas av lagen (1993:792) om tillstånd att utfärda vissa examina och som har tillstånd att utfärda doktorsexamen. Sådana tillstånd kan inte ges annat än till ett lärosäte som anordnar forskarutbildning, vilket i sin tur förutsätter att forskning bedrivs som en del av lärosätets kärnverksamhet. Man kan argumentera för att lärosätet genom tillståndet får forskningsverksamhet en manifestation avseende att verksamheten innebär en uppgift av allmänt intresse vid lärosätet som grundar sig på beslut meddelat med stöd av lag. Även för dessa är det sannolikt så att uppgiften att forska får anses fastställd i svensk rätt. Frågan är då om förande av en forskningsdatabas kan anses som jämförligt med forskning, och mot den bakgrunden anses likvärdigt med att utföra en uppgift av allmänt intresse. Redan i förarbetena till LifeGene-lagen bedömdes att ett uppbyggande på frivillig grund av databaser hos statliga universitet och högskolor med basmaterial som kan lämnas ut till specifika och etikgodkända forskningsprojekt är ett sådant viktigt allmänt intresse 111 som avsågs i artikel 8.4 i dåvarande dataskyddsdirektivet. Som tidigare framgått föreslås att det är lärosäten, statliga eller enskilda, med rätt att utfärda examen på forskarnivå, som genom förordning ska utses att ansvara för en forskningsdatabas. För dessa lärosäten är uppgiften att bedriva forskning en uppgift av allmänt intresse. Förandet av en forskningsdatabas sker, som konstaterats ovan, för vetenskapligt forskningsändamål i dataskyddsförordningens mening och får mot den bakgrunden anses som en så pass integrerad del av forskningsprocessen att även denna får anses vara nödvändig för att utföra en uppgift av allmänt intresse. Denna rättsliga grund bör därför kunna åberopas till stöd för den behandling av personuppgifter som görs i en forskningsdatabas vid ett sådant lärosäte. Denna bedömning ligger också i linje med den bedömning som tidigare gjorts i fråga om LifeGene. Det förhåller sig till och med så att själva ramlagens utformning motiverar slutsatsen att den rättsliga grunden utförande av en uppgift av allmänt intresse är tillämplig i alla delar av personuppgiftsbehandlingen vid en forskningsdatabas när det väl omfattas av regleringen i ramlagen. Härmed åsyftas att redan den i ramlagen föreslagna beskrivning av vad för slags forskningsdatabaser som

111 Prop. 2012/13:163 s. 40 f.

139

En långsiktig reglering - utgångspunkter och inriktning Ds

lagen kan gälla för – forskningsdatabaser som är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv – anger att det är fråga om en uppgift av allmänt intresse. Själva regleringen som sådan med utpekande av ansvariga lärosäten ger vidare besked om att uppgiften att bedriva verksamheten med forskningsdatabasen är fastställd genom författning. Sammanfattningsvis kommer det alltså att stå klart att lärosätenas för sin personuppgiftsbehandling i verksamhet med en forskningsdatabas enligt den nya ramlagen under alla förhållanden kan åberopa den rättslig grunden utförande av en uppgift av allmänt intresse som laga grund för personuppgiftsbehandlingen.

4.4.5 Samtycke blir en slags skyddsåtgärd

Bedömning: De registrerades samtycke och i övrigt frivilliga medverkan i en forskningsdatabas får funktion som skyddsåtgärd i stället för rättslig grund för personuppgiftsbehandlingen vid en forskningsdatabas.

I föregående avsnitt har bedömts att den personuppgiftsbehandling som utförs i forskningsdatabaser utgör en uppgift av allmänt intresse och att detta således ska vara den rättsliga grunden för behandlingen. Som rättslig grund är den tillräcklig i den meningen att det därmed inte uppställs krav på att den registrerade går med på personuppgiftsbehandlingen genom någon viljeyttring. Den huvudsakliga insamlingen av personuppgifter ska emellertid vara sådan som den registrerade medverkar och samtycker till. Det sagda skulle kunna se ut som att den behandling av personuppgifter som kan komma att ske i de forskningsdatabaser som omfattas av den föreslagna regleringen i praktiken står på två ben, utifrån att det finns samtycke som tillgänglig alternativ rättslig grund utöver utförande av uppgift av allmänt intresse. Så är emellertid inte tanken med förslaget i promemorian (jfr med vad som sagts ovan om samtycke som rättslig grund). Tanken med den föreslagna regleringen bygger istället på att huvudregeln om de registrerades samtycken ses som en särskild skyddsåtgärd i regleringen. Att allt deltagande bygger på frivillig medverkan och baseras på tillräcklig information till de registrerade

140

Ds En långsiktig reglering - utgångspunkter och inriktning

i olika skeden samt transparens i fråga om vilka personuppgifter som samlas in och varifrån liksom till vilka mottagare uppgifter lämnas ut, får då funktion som skyddsåtgärder i den föreslagna regleringen. Skyddsåtgärderna är ägnade att balansera det förhållandet att ändamålen inte kan specificeras lika snävt som vid insamling i ett regelrätt forskningsprojekt som innefattar registerbaserad forskning.

4.5 Ändamålsbestämning

Bedömning: Promemorians förslag med en modell om att i ramlagen ange de övergripande ändamålen med personuppgiftsbehandlingen till att skapa underlag för och lämna ut uppgifter till flera framtida forskningsprojekt i förening med att det i respektive bestämmelser i förordning närmare anges inom vilka forskningsområden underlag och utlämnande ska hålla sig, uppfyller dataskyddsförordningens krav på ändamålsbegränsning.

Som angetts ovan är en av de frågor som föranlett en diskussion om särreglering av personuppgiftsbehandling i forskningsdatabaser olika uppfattningar i frågan om personuppgiftsbehandlingen i en forskningsdatabas uppfyller det grundläggande kravet i dataskyddsförordningen på att det ska finnas specificerade ändamål med behandlingen (artikel 5.1 b i dataskydds-förordningen). Enligt artikel 5.1. b i dataskyddsförordningen gäller att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I avsnitt 3.2.3 har redogjorts för det generella syftet med den grundläggande principen om ändamålsbegränsning. Det som särskilt kan lyftas fram här är den så kallade finalitetsprincipen . Den innebär att insamlade personuppgifter inte senare får behandlas på ett sätt som är oförenligt med de ändamål som fanns angivna vid insamlingen. Senare behandling av personuppgifterna behöver alltså inte direkt motsvaras av ett från början angivet ändamål. I artikel 6.4 finns det exempel på vad som kan beaktas när man bedömer om en behandling av personuppgifter för nya ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Innan den personuppgiftsansvarige får behandla personuppgifter för annat syfte än det för vilket de samlades in, måste den personupp-

141

En långsiktig reglering - utgångspunkter och inriktning Ds

giftsansvarige emellertid, som huvudregel, ge de registrerade information om bland annat det nya syftet (artikel 13.3 och 14.4). I en del så kallade registerförfattningar, som särreglerar myndigheters personuppgiftsbehandling inom en viss verksamhet, förekommer ändamålsbegränsningar som är uttömmande beskrivna på det viset att finalitetsprincipen inte är tillämplig. Särregleringen i registerförfattningen begränsar alltså tillåtligheten av nya ändamål i förhållande till vad som följer av dataskyddsförordningen 112 . Ett exempel härpå är LifeGene-lagen där det i 8 § andra stycket explicit framgår att personuppgifterna i ett register bara får användas för de ändamål som framgår av lagen. 113 Av artikel 5.1 b framgår vidare att ytterligare behandling för bland annat vetenskapliga eller historiska forskningsändamål inte ska anses oförenlig med de ursprungliga ändamålen. Skrivningen, det s.k. forskningsundantaget, innebär alltså att ytterligare behandling för forskningsändamål är särskilt gynnad när den ytterligare behandlingen sker av samma personuppgiftsansvarige. Undantaget medför emellertid inte att det går att bortse från kravet på särskilda, uttryckligt angivna och berättigade ändamål för insamlingen och den senare behandlingen. De på förhand fastställda ändamålen sätter alltså fortsatt ramarna för behandlingen. Att en ändamålsbestämning är tillräckligt särskild och uttryckligt angiven har som framgått ovan en avgörande betydelse för att det ska kunna gå att bedöma om en senare behandling för nya ändamål är förenlig eller oförenlig med ett ursprungligt ändamål. Ändamålen ska också vara så formulerade att det framgår att de är berättigade. Det är i viss mån omtvistat vad som avses härmed men det står klart att det åtminstone innebär att det ska kunna gå att koppla samman ändamålen med en rättslig grund för behandlingen enligt artikel 6.1. 114 Som Forskningsdatautredningen poängterat har ändamåls-

112 Högsta förvaltningsdomstolen bedömde i ett rättsfall ändamålsbegränsningar i en registerförfattning som inte var uttömmande utan där finalitetsprincipen gällde. Domstolen fann att uppgiftslämnande enligt 6 kap. 5 § OSL till en annan myndighet kunde ske trots att utlämnandet inte omfattades av någon ändamålsbestämmelse i registerförfattningen. Till saken hörde att uppgifterna inte omfattades av sekretess. Genom sekretessbestämmelser hindras myndigheterna från att lämna bl.a. integritetskänsliga uppgifter till andra myndigheter. Härigenom får lagstiftaren anses ha tagit ställning till när ett uppgiftslämnande är oförenligt med det eller de ändamål för vilka uppgifterna samlades in. Utöver sekretessprövningen ska den personuppgiftsansvariga myndigheten således inte göra någon kontroll av förenligheten med finalitetsprincipen i samband med lämnande av uppgifter enligt 6 kap. 5 § OSL (dom den 19 februari 2021, mål nr 433-20). 113 Prop. 2012/13:163 s. 80. 114 Prop. 2017/18:105 s. 47 f.

142

Ds En långsiktig reglering - utgångspunkter och inriktning

begränsningen också betydelse för Integritetsskyddsmyndighetens bedömning av om behandling av personuppgifter är förenlig med dataskyddsförordningen, liksom för statistikansvariga myndigheters bedömningar i samband med begäranden om utlämnande av uppgifter. Ändamålsbestämmelser har vidare betydelse för tillämpningen av de övriga grundläggande principerna för personuppgiftsbehandling i artikel 5. Otillräckligt specifika ändamålsbeskrivningar leder exempelvis till att principen om uppgiftsminimering i artikel 5.1. c inte kan iakttas. Den principen föreskriver att behandlade personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Frågan är då vad som krävs i fråga om ändamål för den behandling av personuppgifter som är tänkt att ske i en forskningsdatabas. Som tidigare nämnts har Europeiska dataskyddsstyrelsen ansett att behandling för ”framtida forskning” är ett alltför brett ändamål för att uppfylla kravet på att vara särskilt. Även Integritetsskyddsmyndigheten har varit kritisk mot en sådan ändamålsangivelse. I denna promemoria föreslås en modell för ändamålsbestämningen som bygger på den av Registerforskningsutredningen föreslagna lösningen med ett övergripande ändamål i lagen och mer preciserade ändamål i förordning. I praktiken innebär modellen att det utöver det övergripande ändamålet med personuppgiftsbehandlingen att skapa underlag för och lämna ut uppgifter till flera forskningsprojekt som anges i ramlagen, närmare anges i förordningen för forskningsdatabaser inom vilka närmare angivna forskningsområden de olika forskningsdatabaserna ska skapa underlag för forskningsprojekt. Sådana närmare ändamål är inte alls så breda att de inte skulle kunna anses uppfylla kraven på att vara särskilda, och de ligger också i linje med den lösning som lagstiftaren redan bedömt vara acceptabel och förenlig med dataskyddsförordningen, nämligen den nuvarande regleringen i LifeGene-lagen. Det kan också tilläggas att det i denna promemoria görs bedömningen att mer allmänt beskrivna ändamål rent generellt framstår som avsevärt mer acceptabelt i en särreglering för viss verksamhet i lag eller förordning i jämförelse med den icke särreglerade situationen där ändamålen ska bestämmas av den personuppgiftsansvarige själv. Sådan mer brett formulerad ändamålsbestämning har ansetts tillåten i enlighet med en lång tradition i svensk dataskydds-

143

En långsiktig reglering - utgångspunkter och inriktning Ds

reglering genom en stor mängd registerförfattningar med ganska breda ändamålsbeskrivningar. Det finns inte anledning att se dataskyddsförordningen som en total omkastning av denna väl etablerade nationella ordning. Den ordningen torde bland annat bygga på att det inte behövs lika specificerade ändamål som på icke särreglerade områden för att kunna bedöma om behandlingen har en rättslig grund och annars är laglig enligt direkt tillämpliga artiklar i dataskyddsförordningen. I det nu aktuella sammanhanget kommer den rättsliga grunden och de närmare förutsättningarna för personuppgiftshanteringen i verksamheten med en forskningsdatabas att vara avsevärt mer reglerad med tydligare ramar än vad som annars hade varit fallet vid en tillämpning bara av den allmänna dataskyddsregleringen. Att kraven på specificerade ändamål i en särreglerad verksamhet som denna inte nödvändigtvis måste ställas lika högt som annars följer vidare av att finalitetsprincipen föreslås i kapitel 5 inte gälla i verksamhet med forskningsdatabaser. De förslag som lämnas om hur ändamål ska bestämmas i ramverket innebär alltså en uttömmande ändamålsbestämning, även om viss del av denna bestämning kan komma att variera mellan förordningarna. Vilken senare behandling av personuppgifter i en forskningsdatabas som är tillåten kommer alltså att framgå av lagen och bestämmelser i förordning för respektive forskningsdatabas. Detta kommer att medföra ett förhållandevis snävt begränsat användningsutrymme för personuppgifter i forskningsdatabasen jämfört med vad som torde ha blivit fallet vid en bedömning gentemot finalitetsprincipen. I promemorian behandlas ändamålsbestämning mer ingående i avsnitt 5.6.

144

5 En ny lag om vissa forskningsdatabaser

5.1 Lagens syfte och namn

Förslag: Syftet med lagen ska anges i lagens inledande paragraf. Syftet är tudelat. Det ska handla om dels att ge lärosäten möjlighet att i forskningsdatabaser skapa underlag för flera framtida forskningsprojekt som inte är definierade när databasen byggs upp eller insamling av personuppgifter till denna annars görs, dels att säkerställa att registrerades personliga integritet skyddas vid den insamling och övriga behandling av personuppgifter som görs i verksamhet med dessa forskningsdatabaser. Lagens namn ska vara lagen om vissa forskningsdatabaser .

I kapitel 4 har bedömningen gjorts att det bör vara möjligt att bygga upp forskningsdatabaser som syftar till att skapa underlag för specifika forskningsprojekt även utanför forskningsområdet om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Vidare har påpekats det angelägna i att dels legitimiteten i sådana forskningsdatabaser inte ifrågasätts, dels personuppgiftsbehandlingen i verksamhet med sådana forskningsdatabaser kringgärdas av ett tillfredsställande skydd för de registrerades integritet. Det behövs därför en generellt inriktad lag. Lagen ska, i enlighet med vad som angetts i avsnitt 4.3.3, vara en ramlag med grundläggande bestämmelser som kompletteras med en eller flera förordningar där det närmare anges vilka forskningsdatabaser som träffas av lagen och där mer specifika bestämmelser för respektive forskningsdatabas kan föreskrivas. Därigenom skapas ett tydligare rättsligt stöd för sådan behandling av personuppgifter som sker i redan befintliga forskningsdatabaser som efter en

145

En ny lag om vissa forskningsdatabaser Ds

analys befinns böra omfattas av den nya ramlagen. Med det rättsliga ramverket följer vidare ett förtydligande av vilken som är den rättsliga grunden för behandlingen av personuppgifter i verksamhet med forskningsdatabaser som omfattas av ramlagen, nämligen att behandlingen görs för att utföra en uppgift av allmänt intresse, se avsnitt 4.4.4. Syftet med ramlagen och anslutande förordning är tudelat. För det första är syftet att skapa möjlighet för vissa lärosäten att i forskningsdatabaser samla underlag för olika kommande, framtida forskningsprojekt, dvs, projekt som inte är definierade när databasen byggs upp eller när insamling av personuppgifter annars görs. För det andra är syftet att säkerställa att de registrerades personliga integritet skyddas vid den insamling och övriga behandling av personuppgifter som görs i verksamhet med dessa forskningsdatabaser. Även detta tudelade syfte bör framgå i en av lagens inledande bestämmelser. Som angetts i avsnitt 4.3.5 är avsikten att endast vissa forskningsdatabaser ska omfattas av det föreslagna ramverket. Det är lämpligt att detta framgår redan av lagens namn som därför bör vara lagen om vissa forskningsdatabaser .

5.2 Lagens tillämpningsområde

5.2.1 Forskningsdatabaser som omfattas

Förslag: Lagen ska, för att tydliggöra tillämpningsområdet, innehålla en avgränsning av vilka slags forskningsdatabaser som omfattas av lagen. Det ska därvid framgå att lagen gäller behandling av personuppgifter i verksamhet med sådana forskningsdatabaser där insamling och registrering av personuppgifter görs i register eller annan samling med personuppgifter genom frivillig medverkan av de registrerade. Forskningsdatabasernas syfte att skapa underlag för flera framtida forskningsprojekt ska vidare vara av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv.

Det bör tydligt framgå av lagen vilket dess tillämpningsområde är. Så sker lämpligast genom att det anges dels för vilken typ av forsk-

146

Ds En ny lag om vissa forskningsdatabaser

ningsdatabaser som lagen ska gälla, dels vilka som får föra sådana forskningsdatabaser. Som angetts i avsnitt 4.1, är ordet forskningsdatabas en lämplig benämning på sådana register eller liknande elektroniska samlingar med personuppgifter där insamling av uppgifter görs för att skapa underlag som kan tillhandahållas för flera olika forskningsprojekt som inte är definierade när databasen byggs upp eller när insamling annars görs. Inriktningen på en forskningsdatabas är alltså att vara en resurs som framtida forskningsprojekt kan komma att använda sig av. Det kan möjligen vara så att det i en databas finns eller har funnits ett annat syfte med att samla in uppgifter än att enbart utgöra en sådan resurs, men det huvudsakliga syftet ska vara att tillhandahålla uppgifterna för flera olika forskningsprojekt. Det kan exempelvis ha varit så att den ursprungliga insamlingen har skett inom ramen för ett visst redan definierat forskningsprojekt. För att en sådan verksamhet senare ska kunna falla in under definitionen av forskningsdatabas bör det vara fråga om fortsatt uppbyggnad av databasen med det då uttalade ändamålet att tillhandahålla insamlade uppgifter för flera olika forskningsprojekt som ännu inte är definierade. Ett exempel på en sådan forskningsdatabas är Tvillingregistret, vars verksamhet närmare beskrivs i avsnitt 6.3, och som erhållit etikgodkännande för och bedrivit ett flertal olika forskningsprojekt i egen regi, men där ambitionen med tiden har kommit att bli att bygga en databas där insamlade uppgifter, som huvudsakligt syfte, tillhandahålls till flera framtida forskningsprojekt. Regleringen är inte tänkt att träffa sådana forskningsdatabaser som helt eller huvudsakligen innehåller uppgifter från andra källor än den registrerade själv. I enlighet med vad som anges i avsnitt 4.2.3 bör regleringen inte öppna upp för uppbyggnad av forskningsdatabaser som i huvudsak innehåller uppgifter från olika myndigheters register. I stället ska det, som tidigare påpekats, primärt vara fråga om en personuppgiftsbehandling som bygger på frivilligt deltagande från den registrerade, där det är fråga om insamling av uppgifter direkt från den enskilde eller annars insamling med dennes medverkan. Det ska emellertid också finnas möjlighet att komplettera insamlingen med uppgifter från andra källor. Den frågan behandlas närmare i avsnitt 5.8.2.

147

En ny lag om vissa forskningsdatabaser Ds

I enlighet med vad som anges i avsnitt 4.3.3 bör regleringen endast omfatta sådana forskningsdatabaser som har ett faktiskt behov av reglering. Det bör också, enligt samma avsnitt, vara fråga om forskningsdatabaser av en viss dignitet. Det har där angetts att det handlar om ett begränsat antal för forskningen centrala uppgiftssamlingar, vars uppgift att skapa underlag för flera framtida forskningsprojekt, utan begräsning till viss eller vissa forskningshuvudmän, är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Detta bör framgå som en del i bestämningen av lagens tillämpningsområde. Tanken är således att uppgifter i en forskningsdatabas ska ha potential att komma till användning i betydelsefull forskning. När det gäller frågan om själva behovet av reglering torde önskemål om att stimulera viss registerbaserad forskning givetvis vara drivande när inrättandet av en ny forskningsdatabas övervägs. Fokus ska emellertid också ligga på personuppgiftsbehandling och det dataskydd som en sådan behandling kräver. Personuppgiftsbehandling i forskningsdatabaser kan innebära risk för integritetsintrång och i bedömningen av om en viss forskningsdatabas ska omfattas av den nu föreslagna särregleringen bör inte bara behovet av ett tydligt rättsligt stöd för den aktuella forskningsdatabasen beaktas utan även bedömas vilket integritetsskydd som behövs och hur ett tillfredsställande skydd ska kunna garanteras. En proportionalitetsbedömning ska alltid göras. Exempel på sådana forskningsdatabaser är tidigare nämnda LifeGene, som i dag regleras genom tillfällig lag och förordning, och Tvillingregistret, som inte är särreglerat i nuläget. Dessa är etablerade forskningsdatabaser som redan idag bedrivs eller, för Tvillingregistrets del, har ambitionen att bedrivas som renodlade forskningsdatabaser, alltså där insamling av uppgifter görs för det huvudsakliga syftet att tillhandahållas för flera olika fristående eller kommande forskningsprojekt. Båda registren har redan samlat in stora mängder uppgifter och tillhandahåller regelbundet uppgifter till olika forskningsprojekt. De utgör båda viktiga resurser för, på ett nationellt plan, betydelsefull forskning och deras uppgift att tillhandahålla uppgifter till flera olika forskningsprojekt måste mot den bakgrunden anses vara av särskilt vetenskapligt värde. Båda har också ett långsiktigt perspektiv i sina respektive verksamheter som talar för att de har för avsikt och kommer att kunna tillhandahålla uppgifter

148

Ds En ny lag om vissa forskningsdatabaser

under en längre period, och därigenom kunna utgöra en resurs för longitudinella studier. Såväl LifeGene som Tvillingregistret utgör sådana forskningsdatabaser som avses med den föreslagna beskrivningen av forskningsdatabaser.

5.2.2 Det är lärosäten vid vilka forskning bedrivs som ska kunna ansvara för forskningsdatabaser

Förslag: Behandling av personuppgifter i en forskningsdatabas ska bara få utföras i verksamhet som bedrivs vid ett lärosäte som är 1. ett statligt universitet eller en statlig högskola som har rätt att utfärda examen på forskarnivå, eller 2. en enskild utbildningsanordnare som har tillstånd att utfärda examen på forskarnivå enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) jämställs med myndighet i sin verksamhet med forskningsdatabasen.

Den reglering som nu föreslås är betydligt snävare än Forskningsdatautredningens förslag, framför allt i fråga om vilka slags forskningsdatabaser som avses omfattas av regleringen, men också genom att det ska krävas särreglering i förordning för varje forskningsdatabas i stället för att en forskningshuvudman själv beslutar i frågan. Som nämnts tidigare utgör förandet av en forskningsdatabas en verksamhet som får anses ske för vetenskapliga forskningsändamål i den mening som avses i dataskyddsförordningen. I avsnitt 4.3.4 har föreslagits att särregleringen ska omfatta forskningsdatabaser som finns vid statliga och enskilda lärosäten vilka bedriver forskning. I nämnda avsnitt påtalas bland annat att det är i miljöer där vetenskaplig forskning redan bedrivs på en hög nivå som det kan antas finnas den kompetens och den långsiktighet som krävs för att bedriva verksamheten med att bygga upp och hålla igång en forskningsdatabas som kan vara av långsiktigt värde för vetenskapen och som kan ge god service till de forskare som vill använda personuppgifter från databasen i sin forskning. Med tanke på att det ska handla om forskningsdatabaser av en viss dignitet, och som är av särskilt vetenskapligt värde för forsk-

149

En ny lag om vissa forskningsdatabaser Ds

ningen, bör det inte vara samtliga högskolor som omfattas av den föreslagna regleringen. För att markera att det ska vara fråga om lärosäten där forskning redan bedrivs, och då på en sådan hög nivå att en forskningsdatabas som har sin verksamhet där också kan tänkas ha nått en sådan kvalificerad nivå att den har ett högt vetenskapligt värde för forskningen, behöver lagen innehålla en bestämmelse som differentierar den här typen av lärosäten från andra. Så sker lämpligen genom att förtydliga att lagen ska gälla endast under förutsättning att behandlingen av personuppgifter i forskningsdatabasen utförs inom ramen för en verksamhet som bedrivs för det första vid ett statligt universitet. Även en högskola under statligt huvudmannaskap som har rätt att utfärda examen på forskarnivå eller en juridisk person eller annan enskild näringsidkare som bedriver högre utbildning (enskild utbildningsanordnare) och fått tillstånd av regeringen att utfärda examen på forskarnivå, enligt lagen om tillstånd att utfärda vissa examina, och som dessutom enligt 2 kap. 4 § OSL jämställs med myndighet i sin verksamhet med forskningsdatabasen ska kunna komma i fråga som ansvariga för en forskningsdatabas och alltså omfattas av lagen. Vilka enskilda utbildningsanordnare som är jämställda med myndighet enligt 2 kap. 4 § OSL och vilken del av dessas verksamhet framgår av bilagan till den lagen. Enligt den omfattas exempelvis all verksamhet vid Stiftelsen Chalmers tekniska högskola och Stiftelsen Högskolan i Jönköping Aktiebolag av offentlighetsprincipen. Båda har examenstillstånd för forskarnivån. En enskild utbildningsanordnare som har examensrätt för forskarnivå är Handelshögskolan i Stockholm. För att reglera en forskningsdatabas enligt lagen hos det sistnämnda lärosätet skulle det krävas en komplettering i bilagan till offentlighets- och sekretesslagen.

5.2.3 Regeringen reglerar det faktiska tillämpningsområdet

Förslag: Det ska tydligt framgå i lagen att det är regeringen som med stöd av den s.k. restkompetensen enligt regeringsformen meddelar föreskrifter om vilka forskningsdatabaser som får föras enligt lagen. Regeringen meddelar också föreskrifter om vilka lärosäten som får behandla personuppgifter enligt den föreslagna lagen.

150

Ds En ny lag om vissa forskningsdatabaser

Frågan om regleringens utformning har behandlats i avsnitt 4.3.3. Däri föreslås att regleringen ska bestå av en ramlag, benämnd lag om vissa forskningsdatabaser, som kompletteras av en eller flera förordningar i vilka regeringen föreskriver bland annat vilka forskningsdatabaser som ska få föras med stöd av lagen och vilka lärosäten som ska få föra dessa. Sådana förordningar kan regeringen besluta med stöd av den sk. Restkompetensen enligt 8 kap. 7 § första stycket 2 RF. Detta bör framgå genom en tydlig bestämmelse i lagen. Det finns inte tillräckliga skäl för att, såsom Registerforskningsutredningen föreslog, ge Vetenskapsrådet i uppdrag att bereda frågan och föreslå till regeringen vilka forskningsdatabaser som kan behöva regleras. I remissomgången framförde Umeå universitet viss kritik mot en sådan ordning med anledning av den risk för sammanblandning av Vetenskapsrådets huvuduppgift, att finansiera forskning, som därmed riskerade uppkomma. Enligt Umeå universitet var det viktigt att lärosätena själva kunde ha inflytande över och delaktighet i processen att föreslå reglering av en viss forskningsdatabas. En bättre ordning är att lärosäten direkt hos regeringen, via Regeringskansliet, väcker frågan om en reglering. Frågan kan därefter bli föremål för beredning i Regeringskansliet. Initiativet till att reglera en viss forskningsdatabas bör alltså komma från lärosätena, och inte från Vetenskapsrådet. Regeringskansliet har emellertid, i den mån det bedöms finnas behov därav, möjlighet att samråda med eller på annat sätt inhämta synpunkter från berörda myndigheter med flera, såsom exempelvis Vetenskapsrådet, men också andra aktörer med värdefull insikt i och information om exempelvis ett aktuellt forskningsområde. I samband med beredningen i Regeringskansliet kommer det att ske en prövning av om de grundläggande förutsättningarna för reglering av en viss forskningsdatabas är uppfyllda. Det handlar då om att pröva huruvida den aktuella databasen är en sådan forskningsdatabas som avses i lagens beskrivning av vad en forskningsdatabas är. Däri ingår den centrala frågan om forskningsdatabasens uppgift att skapa underlag för flera framtida forskningsprojekt, som sedan tillhandahålls sådana projekt, kan sägas vara av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Det bör i detta sammanhang något beröras frågan om det finns risk för politisering av forskningen när det ankommer på regeringen

151

En ny lag om vissa forskningsdatabaser Ds

att bedöma behovet av reglering av vissa forskningsdatabaser. Regleringen av vissa forskningsdatabaser kommer emellertid endast att utgöra en kompletterande särreglering av en form av infrastruktur för forskning. Den kommer inte att påverka möjligheten att initiera forskningsstudier. Den kommer inte heller att utgöra något hinder mot att bygga upp ett register för forskningsändamål, så länge detta görs i enlighet med annan befintlig dataskyddsreglering. Forskningen kommer alltså fortfarande att vara fri. I regeringens prövning ligger att väga nyttan av att en viss forskningsdatabas tillhandahåller uppgifter till forskningsprojekt inom ett specificerat forskningsområde, dvs. forskningsdatabasens vetenskapliga värde, mot de integritetsrisker som personuppgiftsbehandlingen i en sådan forskningsdatabas kan komma att innebära för de registrerade. Integritetsrisken måste vara proportionerlig i förhållande till databasens nyttopotential. I bedömningen bör det vägas in om det vid ett annat lärosäte redan finns en reglerad forskningsdatabas som tillhandahåller uppgifter till det specificerade forskningsområdet. Även frågan om hur efterfrågad och aktuell forskning på ett visst område är, för att möta identifierade nutida och framtida samhällsutmaningar, bör tillmätas vikt, även om det, som det påpekas i 2020 års forskningsproposition, är viktigt att möjliggöra forskning inom en bredd av discipliner och områden. 115 Det kan inskjutas att ett aktuellt forskningsområde för en forskningsdatabas ingalunda behöver vara ämnesmässigt avgränsat utan också kan beskrivas tvärvetenskapligt. I prövningen ligger även frågan om ett visst lärosäte uppfyller kraven på kvalitet och säkerhet i integritetsskyddet. Det bör vara fråga om ett lärosäte med tillräckliga finansiella och organisatoriska förutsättningar för att kunna tillgodose ett kvalitativt och långsiktigt integritetsskydd för den personuppgiftsbehandling som kommer att äga rum i verksamheten med en viss forskningsdatabas. Prövningen ska fokusera på lärosätets förutsättningar för att kunna utföra personuppgiftsbehandlingen på ett sätt som är förenligt med dataskyddsförordningens och den kompletterande nationella lagstiftningens bestämmelser. Även om det är regeringen som ska göra den ovannämnda prövningen, kan inte nog understrykas att det är det aktuella lärosätet som ska förse regeringen med det underlag som behövs för ändamå-

115 Prop. 2020/21:60 s. 18.

152

Ds En ny lag om vissa forskningsdatabaser

let. Det ligger rimligen i lärosätets intresse att argumentera för varför den aktuella forskningsdatabasen bör omfattas av regleringen och visa att förutsättningarna härför är uppfyllda. Det får exempelvis förutsättas att lärosätet bifogar adekvat utredning som styrker påståendet om den tilltänkta databasens vetenskapliga värde för forskningen i ett längre perspektiv likväl som att ett gott skydd för personuppgifterna kommer att prägla verksamheten med databasen. När det gäller det vetenskapliga värdet kan exempelvis bifogas yttrande från etablerat expertorgan eller liknande som anses ha kompetens inom det aktuella forskningsområdet att uttala sig om det förväntade vetenskapliga värdet. Regeringen bör vid behov samråda med sådana myndigheter som kan tänkas ha information om eller synpunkter av betydelse för en viss ansökan. Det ligger nära till hands att Vetenskapsrådet och Integritetsskyddsmyndigheten lämnar synpunkter, men det kan också finnas andra aktörer som kan beröras av en ansökan eller annars kan antas kunna komma med relevanta synpunkter. Sådant samråd kan förväntas bidra med det kompletterande underlag som behövs bland annat för den proportionalitetsavvägning som regeringen ska göra.

5.3 Etikprövningsnämnden bör inte pröva inrättandet av en forskningsdatabas

Bedömning: Inrättande av sådana forskningsdatabaser som förs enligt lagen bör inte bli föremål för etikprövning enligt etikprövningslagen. Den beredning och prövning regeringen kommer att göra inför regleringen av en viss forskningsdatabas i förordning kan förutsättas innefatta sådana proportionalitetsbedömningar, med överväganden angående integritetsrisker och avvägningar gentemot den långsiktiga nyttopotentialen, som behövs i sammanhanget.

Som tidigare nämnts menade Forskningsdatautredningen att de forskningsdatabaser som omfattades av den av utredningen föreslagna regleringen skulle bli föremål för etikprövning enligt etikprövningslagen – detta som en grundläggande skyddsåtgärd för de registrerades personliga integritet. Vid prövningen skulle bland

153

En ny lag om vissa forskningsdatabaser Ds

annat forskningsdatabasens vetenskapliga värde vägas mot de risker den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet. Etikprövning ansågs vara en etablerad skyddsåtgärd och Forskningsdatautredningen menade att det var lämpligt att utvidga denna möjlighet till att också omfatta en forskningsdatabas och den verksamhet som skulle bedrivas i denna. 116 Möjligheten övervägdes även av Registerforskningsutredningen. Där hänvisades till Datainspektionens framförda synpunkter i samband med beredningen av LifeGene-lagen. Datainspektionen hade då anfört att den insamling av känsliga personuppgifter som var tänkt att ske i LifeGene inte skulle bli föremål för etikprövning förrän först inför användning i ett visst forskningsprojekt. Lagstiftaren 117 bedömde emellertid inte detta som särskilt problematiskt. Registerforskningsutredningen ansåg inte att etikprövningslagens tillämpningsområde skulle utvidgas till att också omfatta forskningsdatabaser. Det bedömdes i stället att den beredning som Vetenskapsrådet förutsattes göra, liksom den prövning som regeringen sedan skulle komma att göra inför en ny reglering av databas i förordning, kunde förutsättas innehålla etiska överväganden av det slag som utförs vid etikprövning. Det påpekades också att regeringen i denna process hade möjlighet att inhämta åsikter från exempelvis Centrala etikprövningsnämnden (numera Överklagandenämnden för etikprövning) för att på detta sätt belysa förslagets etiska aspekter. 118 Det saknas anledning att nu göra en annan bedömning än den som Registerforskningsutredningen gjorde. Den ovan beskrivna beredningen inom Regeringskansliet kommer att innebära en prövning som i någon mån motsvarar den etikprövning som Forskningsdatautredningen föreslog, dvs. en avvägning mellan å ena sidan forskningsdatabasens vetenskapliga värde för framtida forskningsprojekt och, å andra sidan, de risker hanteringen i databasen och vidareföring av uppgifter efter utlämning till forskare kan medföra för registrerades personliga integritet. Behandlingen kommer dessutom att vara omgärdad av ytterligare skyddsåtgärder för att säkerställa de registrerades rätt till skydd för sin personliga integritet. Något behov av en ytterligare skyddsåtgärd i form av ett särskilt krav

116 SOU 2018:36 s. 271 ff. 117 Prop. 2012/13:163 s. 27. 118 SOU 2014:45 s. 425.

154

Ds En ny lag om vissa forskningsdatabaser

på etikprövning av själva forskningsdatabaserna föreligger därför inte. Det kan för övrigt tilläggas att de avvägningar mellan olika intressen som krävs vid överväganden om en forskningsdatabas ska inrättas är av annan karaktär än vad som sker vid etikprövning när forskningspersoners säkerhet och integritet ställs mot en specificerad beskrivning av vetenskapliga frågeställningar och procedurer i en avgränsad forskningsstudie. Ett krav på etikprövning inför inrättandet av en forskningsdatabas skulle därför inte passa in i den verksamhet som Etikprövningsmyndigheten hittills haft.

5.4 Förhållandet till annan lagstiftning

Förslag: Lagen ska innehålla till dataskyddsförordningen kompletterande bestämmelser om behandling av personuppgifter i verksamhet med vissa forskningsdatabaser. Termer och uttryck i lagen ska ha samma betydelse som i dataskyddsförordningen. Om inte annat följer av lagen om vissa forskningsdatabaser eller föreskrifter som meddelats i anslutning till den föreslagna lagen, ska dataskyddslagen och föreskrifter som meddelats i anslutning till dataskyddslagen gälla.

Lagen kommer att utgöra en kompletterande sektorspecifik särreglering till redan befintlig dataskyddslagstiftning kring behandling av personuppgifter för forskningsändamål. Grundläggande bestämmelser finns, som påtalats i tidigare kapitel, i dataskyddsförordningen och dataskyddslagen. Det är alltså dessa bestämmelser som utgör den huvudsakliga dataskyddsrättsliga regleringen vid behandling av personuppgifter i forskningsdatabaser. Lagen ska därför innehålla endast sådana kompletterande bestämmelser som dataskyddsförordningen ger utrymme för och som behövs för att utgöra ett tydligt rättsligt stöd för behandling av personuppgifter i verksamhet med sådana forskningsdatabaser som ska omfattas av ramlagen. Det bör finnas en uttrycklig bestämmelse bland lagens inledande bestämmelser som förtydligar att lagen, och anslutande bestämmelser i förordning, utgör komplement till dataskyddsförordningen och alltså inte ska tillämpas fristående. Därmed belyses den inbördes relationen mellan regleringarna.

155

En ny lag om vissa forskningsdatabaser Ds

För att ytterligare förtydliga relationen mellan dessa regleringar, och minska risken för att de separata regelverken missförstås och tillämpas felaktigt bör det i en bestämmelse i lagen framgå att termer och uttryck i lagen ska ha samma betydelse som i förordningen. Vidare bör det poängteras att en redan befintlig, och central, reglering som kompletterar bestämmelserna i dataskyddsförordningen är dataskyddslagen. I förarbetena till dataskyddslagen betonades att det i vissa fall behövdes kompletterande bestämmelser av generell karaktär, i betydelsen att de skulle röra hela samhället eller flertalet myndigheter och inte bara en viss sektor. Det var denna typ av generella bestämmelser som skulle samlas i den övergripande dataskyddslagen. 119 Dataskyddslagen utgör följaktligen en till dataskyddsförordningen kompletterande central reglering med generella bestämmelser gällande personuppgiftsbehandling. Bestämmelserna i den nu föreslagna lagen kommer, till skillnad från dataskyddslagens bestämmelser, att vara specifikt avgränsad till vissa uppgiftssamlingar inom forskningssektorn. Regleringarna är alltså olika till sin karaktär. Mot den bakgrunden är det naturligt att dataskyddslagen blir subsidiär i förhållande till den nu föreslagna lagen. En bestämmelse i dataskyddslagen av särskilt intresse inom forskningssektorn är 4 kap. 3 § som anger att personuppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Den bestämmelsen kommer även att gälla personuppgifter i en forskningsdatabas. När det gäller eventuella konflikter med annan reglering i lag eller förordning finns ingen anledning att föreslå en bestämmelse om vad som då gäller. Sådana situationer bör i stället lösas i rättstillämpningen i enlighet med vedertagna principer för regelkonflikter.

5.5 Personuppgiftsansvar

Förslag: Det lärosäte som för en forskningsdatabas ska vara personuppgiftsansvarig för den behandling av personuppgifter som utförs i verksamheten med forskningsdatabasen.

119 Prop. 2017/18:105 s. 21 f.

156

Ds En ny lag om vissa forskningsdatabaser

I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Samma bestämmelse stadgar emellertid att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Av artikel 6 följer att det finns möjlighet att i vissa fall nationellt reglera vem som är personuppgiftsansvarig för viss behandling. Det är alltså tillåtet att i nationell lagstiftning peka ut vem som är personuppgiftsansvarig, vilket också är vanligt förekommande i registerförfattningar. Det framstår som lämpligt att i lagen om vissa forskningsdatabaser precisera vem som är personuppgiftsansvarig för sådan behandling av personuppgifter som utförs i de forskningsdatabaser som förs med stöd av lagen. Därigenom blir det tydligt för de individer vars personuppgifter behandlas i en viss forskningsdatabas vem som är skyldig att tillvarata deras rättigheter enligt dataskyddsförordningen och övrig kompletterande reglering och som alltså ska hållas ansvarig för behandlingen. Det nu sagda ligger i linje med dataskyddsförordningens principer om laglighet, korrekthet och öppenhet i artikel 5.1 a. Lagen bör alltså innehålla en bestämmelse om att det är det lärosäte som för en forskningsdatabas, och alltså utför behandlingen av personuppgifter, som är personuppgiftsansvarig för personuppgiftsbehandlingen i verksamheten med forskningsdatabasen. Det är den personuppgiftsansvarige, dvs. det aktuella lärosätet, som i varje enskild situation ska ta ställning till vilken behandling av uppgifter som ska och kan ske i verksamheten med en viss forskningsdatabas. Som framgått ovan i avsnitt 5.2.3 kommer regeringen att i förordning ange vilket lärosäte som får föra en viss forskningsdatabas. I praktiken blir det därmed regeringen som utser den personuppgiftsansvarige. Det är önskvärt, särskilt eftersom det är tydligare för den enskilde registrerade, att verksamheten med en forskningsdatabas och därmed personuppgiftsansvaret för personuppgiftsbehandlingen ligger hos bara ett lärosäte. Därmed undviks att frågor och ansvar sammanblandas eller faller mellan stolarna. Att personuppgiftsansvaret och

157

En ny lag om vissa forskningsdatabaser Ds

verksamheten är knuten till endast ett lärosäte är också något som medför att exempelvis arkivbildning och sekretesskydd hanteras inom ett och samma lärosäte, vilket underlättar upprätthållandet av dessa intressen. Visserligen kan en forskningsdatabas vara ett resultat av ett samarbete mellan två olika lärosäten där båda deltar i den faktiska verksamheten och till följd därav behandlar personuppgifter. De skäl som talar mot ett delat ansvar väger dock tyngre. Därför bör det i lagen framgå att det bara är ett lärosäte som ska kunna utses som ansvarig för en databas.

5.6 Ändamålen med behandlingen av personuppgifter

Förslag: Personuppgifter ska få samlas in och i övrigt behandlas i verksamhet med en sådan forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser för de övergripande ändamålen att dels skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, dels lämna ut uppgifter till sådana forskningsprojekt. Regeringen meddelar föreskrifter om vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till. Ändamålsbestämningen i lagen ska vara uttömmande i så måtto att finalitetsprincipen i artikel 5.1 b i dataskyddsförordningen inte ska vara tillämplig. Inte heller ska regeringen ha utrymme att tillåta ytterligare ändamål. Det ska därför föreskrivas i lagen att personuppgifter som samlats in och behandlas för de övergripande ändamålen enligt ovan bara får behandlas för ändamålen att lämnas ut enligt bestämmelserna om utlämnande i ramlagen samt för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Bedömning : Ändamålsbestämningen gäller enbart för personuppgiftsbehandlingen i verksamhet med forskningsdatabaser. När uppgifter har lämnats ut från en forskningsdatabas till ett forskningsprojekt blir de ändamål och övrig dataskyddsreglering som gäller hos mottagaren styrande för den fortsatta personuppgiftsbehandlingen hos mottagaren.

158

Ds En ny lag om vissa forskningsdatabaser

Primära ändamål

Ändamålsbestämmelserna i en registerförfattning är av central betydelse för skyddet av den personliga integriteteten. Dessa definierar vilka uppgifter som får samlas in i och hur uppgifterna därefter får behandlas. Ändamålsbestämmelserna utgör alltså den yttre ramen för personuppgiftsbehandlingen, och syftar till att garantera att en personuppgift endast behandlas om det är motiverat och nödvändigt. Som tidigare framgått gäller enligt artikel 5.1 b i dataskyddsförordningen, att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Såväl den tidigare Artikel 29-gruppen som den Europeiska dataskyddsstyrelsen har uttalat att behandling för ”framtida forskning” är ett alltför brett ändamål för att uppfylla kravet på att vara särskilt. Europeiska dataskyddsstyrelsen tycks emellertid, i ett yttrande från den 2 februari 2021, ha öppnat upp för ändamål avgränsat till ett visst forskningsområde eller vissa specifika frågeställningar. Det sistnämnda ligger i linje med hur ändamålet preciserats i LifeGenelagen, dvs. till att 1. skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt, och 2. lämna ut uppgifter för sådan forskning. Även formuleringen i skäl 33, om att registrerade bör kunna ge sitt samtycke till vissa områden för vetenskaplig forskning när vedertagna etiska standarder för vetenskaplig forskning iakttas, talar för att en sådan ändamålsbegränsning är förenlig med dataskyddsförordningens bestämmelser. I propositionen Behandling av personuppgifter för forskningsändamål konstaterade regeringen att Integritetsskyddsmyndigheten hade ifrågasatt ändamålsbestämmelsen i LifeGene-lagen och ansett att denna inte var förenlig med dataskyddsförordningen. Regeringen delade inte den uppfattningen. Det noterades att Integritetsskyddsmyndighetens invändningar hade bemötts dels i den ursprungliga propositionen till LifeGene-lagen, dels vid de två tillfällen då lagens giltighetstid hade förlängts. Regeringen menade att det sedan dess inte hade tillkommit någon praxis från EU-domstolen som gav an-

159

En ny lag om vissa forskningsdatabaser Ds

ledning till någon annan bedömning än tidigare. 120 Vid lagrådsgranskningen och riksdagsbehandlingen av propositionen framkom ingen annan uppfattning än regeringens. De övergripande ändamål för vilka en sådan forskningsdatabas som förs med stöd av lagen får behandla personuppgifter kan och bör, till följd av lagens karaktär av en ramlag, vara relativt generella och breda. Varje enskild forskningsdatabas bör sedan ha särskilt angivna ändamål som närmare specificeras i en förordning, se nedan. När det gäller de övergripande ändamålen bör dessa vara så pass generella att de blir tillämpliga för samtliga av de forskningsdatabaser som kan komma att omfattas av regleringen. De bör mot den bakgrunden utformas på ett sätt som anknyter till och uppfyller ett av syftena med den föreslagna lagen, dvs. att ge lärosäten möjlighet att i en forskningsdatabas skapa underlag för olika forskningsprojekt. Det nu sagda bör betonas genom att ändamålen med behandlingen preciseras i en grundläggande primär ändamålsbestämmelse om att insamling och övrig behandling i verksamhet med en forskningsdatabas får ske för de övergripande ändamålen att dels skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, dels lämna ut uppgifter till sådana forskningsprojekt. Med sådana forskningsprojekt avses alltså flera olika forskningsprojekt inom för forskningsdatabasen angivna forskningsområden. På så vis tydliggörs att det handlar om en framåtsyftande insamling och behandling, dvs. inte om att samla in uppgifter för ett visst, redan definierat projekt, utan, som tidigare poängterats, om att bygga en forskningsdatabas som utgör en resurs för flera olika framtida forskningsprojekt som inte är definierade när databasen byggs upp eller när insamling till databasen annars görs. Med begreppet ”skapa underlag” avses olika former av beh andlingar som krävs för att kunna föra en fungerande forskningsdatabas, såsom att samla in, registrera, bevara och uppdatera personuppgifter i databasen. Dessa steg är grundläggande för att forskningsdatabaserna ska kunna få det vetenskapliga värdet för forskningen som är grunden för lärosätenas verksamhet med databaserna. Det är genom att kunna tillhandahålla innehållet i forskningsdatabaserna till olika

120 Prop. 2017/18:298 s. 172 f.

160

Ds En ny lag om vissa forskningsdatabaser

forskningsprojekt som databaserna blir en viktig resurs för forskningen. I avsnitt 5.2.3 ovan föreslås att regeringen ska meddela föreskrifter om vilka forskningsdatabaser som får föras enligt lagen. Varje forskningsdatabas som är tänkt att omfattas av den föreslagna regleringen kommer alltså, enligt det förslaget, att regleras i en särskild förordning, i vilken det finns möjlighet till ytterligare specificerad särreglering för just den forskningsdatabasen. Som också Registerforskningsutredningen föreslog, bör regeringen i dessa förordningar så noggrant och detaljerat som möjligt ange ändamålet med behandlingen för respektive forskningsdatabas. Regeringen bör genom föreskrifter i förordning precisera vilket eller vilka forskningsområden som varje enskild forskningsdatabas ska skapa underlag för och lämna ut uppgifter till. Ett sådant preciserat ändamål bör kunna utformas på motsvarande sätt som i LifeGenelagen, dvs. ”…att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt”. Detta preci serade ändamål kommer att utgöra ramen för vilka uppgifter som alls får behandlas i verksamhet med forskningsdatabasen. Regeringens föreskrifter kommer alltså att innehålla motsvarande ändamålsbestämning som i dag finns i den så kallade LifeGene-lagen. Någon anledning att se annorlunda på frågan huruvida en sådan ändamålsbestämning är förenlig med dataskyddsförordningen än vad regeringen gjorde i den ovan nämnda propositionen finns inte bara därför att regleringen görs i förordning i stället för i lag. Genom en sådan lösning bedöms alltså kravet på särskilda, uttryckligt angivna och berättigade ändamål i artikel 5.1 b i dataskyddsförordningen vara uppfyllt, se vidare resonemangen i avsnitt 4.5. Genom utformningen av den primära ändamålsbestämmelsen sammantagen med de närmare föreskrifterna i förordning om angivna forskningsområden för respektive forskningsdatabas följer att utlämnande av personuppgifter i en forskningsdatabas för forskningsändamål endast är tillåten i fråga om sådan forskning som omfattas av de för databasen angivna forskningsområdena. I avsnitt 5.12 föreslås ytterligare villkor, bland annat att både forskningen och behandlingen av personuppgifter i forskningsprojektet har godkänts enligt etikprövningslagen, när etikprövning krävs enligt den lagen vilket torde vara fallet så gott som alltid. Genom en bestämmelse

161

En ny lag om vissa forskningsdatabaser Ds

med det innehållet säkerställs att personuppgiftsbehandlingen i forskningsdatabasen och utlämnandet av uppgifter från denna inte går utöver ramen för ändamålsbegränsningen. Att skapa underlag för olika framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, och lämna ut uppgifter till sådana forskningsprojekt är alltså sammanfattningsvis en forskningsdatabas primära ändamål.

Sekundära ändamål

Det kan emellertid också finnas sekundära ändamål för behandlade personuppgifter. Härmed avses att redan insamlade personuppgifter behandlas för att tillgodose andra eller andras behov än de som ligger till grund för insamlingen och den planerade fortsatta behandling med att skapa underlag för och lämna ut till forskningsprojekt inom berörda områden. I praktiken handlar detta normalt om att lämna ut personuppgifter, i detta fall för annat syfte än mottagarens forskning. Ett sådant sekundärt ändamål bör vara granskning av den forskning som skett med hjälp av uppgifter som lämnats ut från forskningsdatabasen. Detta avhandlas närmare i avsnitt 5.12.3. Ett annat tillåtet sekundärt ändamål är utlämnande som inte sker direkt till forskningsprojektet utan när kodnyckel eller motsvarande lämnas till en annan myndighet för att denne i sin tur ska kunna sambearbeta och sedan lämna ut personuppgifter till forskningsprojektet i fråga, se närmare om detta i avsnitt 5.13.2. I avsnitt 5.12.4 föreslås också att utlämnande därutöver endast får ske om det föreligger en skyldighet därtill enligt lag eller förordning. En sådan skyldighet finns exempelvis när det gäller utlämnande till den registrerade själv. I avsnitt 5.17. framgår slutligen att personuppgifter i en forskningsdatabas även ska kunna bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål även efter det att de av någon anledning inte längre behövs som underlag för framtida forskningsprojekt. Att dessa utlämnandesituationer är tillåtna sekundära ändamål för behandlingen av personuppgifter i verksamhet med en forskningsdatabas bör framgå genom en uttrycklig bestämmelse i ramlagen.

162

Ds En ny lag om vissa forskningsdatabaser

Det är ett slags skyddsåtgärd för att ge personuppgifterna i verksamhet med en forskningsdatabas ett starkt integritetsskydd att ändamålsbestämningen görs uttömmande, dvs. att det inte finns utrymme för några andra eller nya sekundära ändamål för personuppgiftsbehandlingen än de som framgår av ramlagen. Som angetts i avsnitt 4.5 bör ändamålsbestämningen i ramlagen utformas på det sättet, vilket bedöms vara en tillåten nationell särreglering enligt artikel 6.2 och 6.3 i förordningen. Det kan nämnas att detta är i enlighet med vad som redan nu gäller enligt 8 § andra stycket LifeGene-lagen. Det nu sagda innebär alltså en begränsning av finalitetsprincipen enligt artikel 5.1 b i dataskyddsförordningen, enligt vilken personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa. Lagen bör således innehålla en bestämmelse enligt vilken personuppgifter i en forskningsdatabas som förs enligt lagen bara får behandlas för sådana primära och sekundära ändamål som anges i lagen. Ett personuppgiftsansvarigt lärosäte kan alltså inte behandla personuppgifter i verksamhet med forskningsdatabaser för ett nytt ändamål och regeringen har inte heller möjlighet att utvidga den uttömmande ändamålsbestämningen som följer av lagen utan kan enbart snäva in ändamålsbestämningen genom att precisera till vilket eller vilka forskningsområden forskningsdatabasen ska ge underlag till. I och med att ändamålsbestämningen i lagen utformas som uttömmande med avvikelse från artikel 5.1 b i dataskyddsförordningen kommer inte heller det så kallade forskningsundantaget i den bestämmelsen att bli tillämplig. Det kan för övrigt påpekas att regleringen av personuppgiftsbehandlingen i verksamhet med forskningsdatabaser enbart gäller den behandling som utförs av aktuella lärosäten i dessa verksamheter. För personuppgifter som lämnas ut till mottagare, normalt sett forskare i ett forskningsprojekt, regleras den fortsatta behandlingen inte av ramlagen med anslutande förordning utan av den dataskyddsreglering som gäller hos mottagaren. Oftast torde detta innebära dataskyddsförordningen och dataskyddslagen utan närmare särreglering.

163

En ny lag om vissa forskningsdatabaser Ds

5.7 Samtycke och information vid behandling av personuppgifter

Förslag: Det ska vara en grundläggande förutsättning för behandling av personuppgifter i en forskningsdatabas att behandlingen inte kommer att ske utan de registrerades kännedom och frivilliga medverkan. Detta ska manifesteras genom särskilda bestämmelser i lagen.

Som angetts i kapitel 4 föreslås det i promemorian en reglering där den rättsliga grunden för behandling av personuppgifter är att den verksamhet som bedrivs i de aktuella forskningsdatabaserna utgör en uppgift av allmänt intresse, som även är ett viktigt allmänt intresse. Som komplement härtill, framförallt som en slags skyddsåtgärd, kommer den omständigheten att allt deltagande i en sådan forskningsdatabas som omfattas av regleringen ska bygga på de registrerades frivilliga deltagande. Det nu sagda innebär att behandling av personuppgifter inte kommer att ske utan de registrerades kännedom. Detta är viktigt dels för att säkerställa ett skydd för den registrerades integritet, dels för att stärka allmänhetens förtroende för den verksamhet och behandling av personuppgifter som pågår i de forskningsdatabaser som omfattas av regleringen. Att den registrerade har rätt till insyn följer, som tidigare nämnts, av dataskyddsförordningens artiklar 12 – 15. Bestämmelserna anger bland annat att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla information om ändamålen och den rättsliga grunden för personuppgiftsbehandlingen, de kategorier av personuppgifter som behandlingen gäller samt mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna i förekommande fall. När det gäller personuppgiftsbehandling för forskningsändamål förefaller det vara de registrerades rättigheter och friheter som framhålls som det främsta skyddsintresset och anledningen till skyddsåtgärder i dataskyddsförordningen. Regeringen har tidigare bedömt att det utifrån dataskyddsförordningens krav på lämpliga skyddsåtgärder för personuppgiftsbehandling för forskningsändamål i artikel 89.1, som är direkt tillämplig, inte är självklart att skyddsåtgärder ska

164

Ds En ny lag om vissa forskningsdatabaser

föreskrivas i nationell rätt. Alternativ till författningsreglering av sådana skyddsåtgärder har angetts vara möjligheterna att antingen bemyndiga en tillsynsmyndighet att utfärda föreskrifter eller i enskilda fall fatta beslut om villkor, eller att en viss verksamhet självregleras genom uppförandekoder enligt förordningens artikel 40. Regeringen har emellertid framhållit att en författningsreglering kan ge större tydlighet vid tillämpningen och säkerställa att lämpliga åtgärder vidtas i sådana situationer där det bedöms som särskilt viktigt. 121 Det sistnämnda talar starkt för att det i lagen om vissa forskningsdatabaser, som skyddsåtgärder för att tillgodose den registrerades rättigheter och friheter, bör införas bestämmelser som innebär att det som en grundläggande förutsättning för behandling av personuppgifter i en forskningsdatabas krävs att behandlingen inte kommer att ske utan de registrerades kännedom och frivilliga medverkan. Detta bör säkerställas genom ett krav på i första hand samtycke till behandlingen och, i andra hand, information om och möjlighet att motsätta sig behandlingen. Därigenom kommer kravet på frivillig medverkan och kännedom om behandling av personuppgifter att manifesteras i lagen även om samtycke inte utgör den rättsliga grunden för behandlingen. Hur detta kan se ut i specifika situationer, och hur regleringen därför bör anpassas därefter, behandlas nedan.

5.7.1 Samtycke som huvudregel

Förslag: Personuppgifter i en forskningsdatabas ska som huvudregel få behandlas endast om den registrerade har samtyckt till det. Detta gäller oaktat om uppgifterna inhämtats direkt från den enskilde eller genom kompletterande insamling från andra källor. Undantag från huvudregeln ska uttömmande anges i lagen. Utan samtycke får dock sådana personuppgifter samlas in och behandlas som är nödvändiga för att kunna välja ut och kontakta en person i en urvalsgrupp med förfrågan om medverkan i en forskningsdatabas. Sådan behandling får inte pågå under längre tid än vad som är nödvändigt.

121 Prop. 2017/18:298 s. 65.

165

En ny lag om vissa forskningsdatabaser Ds

Den primära insamlingen av personuppgifter till de forskningsdatabaser som regleras genom lagen är tänkt att ske direkt från de registrerade. Som utgångspunkt går det till på det viset att den personuppgiftsansvarige kontaktar en enskild, som ingår i en för forskningsdatabasen bestämd urvalsgrupp, och tillfrågar denne om deltagande i databasen. Om den enskilde förklarar sig villig att delta kommer det först därefter att ske en insamling av uppgifter från denne. En annan slags insamling som också kräver den enskildes aktiva medverkan kan också vara aktuell, nämligen undersökningar eller tester som den enskilde frivilligt medverkar i för syftet att resultaten ska registreras i forskningsdatabasen. Som nämnts ovan bör det också finnas en möjlighet till kompletterande insamling från andra källor än den registrerade själv (se även avsnitt 5.8.2). Den kompletterande insamling som i första hand bör komma i fråga i de reglerade forskningsdatabaserna är s.k. registerlänkning. Med detta avses att det till forskningsdatabasen hämtas in kompletterande uppgifter om den registrerade från olika myndighetsregister. Man kan också tänka sig att uppgifter inhämtas från exempelvis patientjournaler. Den personuppgiftsansvarige bör, för det fall sådan kompletterande insamling är tänkt att ske, redan i samband med den inledande kontakten med den enskilde kunna definiera vilka dessa källor är. Därigenom blir det också möjligt för den personuppgiftsansvarige att förse den registrerade med den information som följer av artikel 14 i dataskyddsförordningen. Ett sådant förfarande tillämpas redan nu av Tvillingregistret, som i de inledande kontakterna med och inhämtandet av samtycke från de registrerade informerar om och erhåller samtycke till framtida kompletterande insamling från bland andra Socialstyrelsens cancerregister och dödsorsaksregister. Det förefaller naturligt att i samband med den här inledande kontakten ställa krav på ett uttryckligt samtycke från den vars uppgifter ska registreras i forskningsdatabasen, dels till de uppgifter som denne själv lämnar eller annars medverkar till att de registreras, dels till den eventuella kompletterande insamling från de andra källor som den personuppgiftsansvarige redan i detta skede kan definiera. Samtycket i detta avseende kan alltså lämnas i samband med den kontakt mellan den personuppgiftsansvarige och den enskilde som äger rum inför och vid insamlingen. Ett sådant förfarande förefaller både praktiskt görbart och lämpligt.

166

Ds En ny lag om vissa forskningsdatabaser

Samtycket bör, utöver att utgöra en frivillig och otvetydig viljeyttring, också vara specifikt och informerat. Den registrerade bör alltså, i enlighet med dataskyddsförordningens artikel 13.1 c, erhålla klar och tydlig information om såväl de övergripande som de särskilt angivna ändamålen för behandlingen. Därigenom kommer samtycket endast att omfatta skapande av underlag för och utlämning av uppgifter till de forskningsprojekt vars forskningsområden omfattas av de för forskningsdatabasen särskilt angivna ändamålen, dvs. de som framgår av den förordning som reglerar den aktuella forskningsdatabasen. En sådan lösning är förenlig med principerna om ändamålsbegränsning i artikel 5.1 b, och kommer också säkerställa att samtycket är frivilligt, otvetydigt, specifikt och informerat. Det kan i detta sammanhang påpekas att ett uttryckligt samtycke, också till insamling och behandling av uppgifter från andra källor än den registrerade själv, såsom myndighetsregister, torde underlätta för forskningsdatabasen att få ut uppgifterna. Den frågan behandlas närmare i kapitel 8. För att det i verksamheten med en forskningsdatabas överhuvudtaget ska kunna göra ett urval av vilka personer som ska kontaktas och tillfrågas om medverkan, måste vissa personuppgifter, som är nödvändiga för att upprätta sådan kontakt, få behandlas också i tiden innan varken information eller samtycke kan lämnas. Det bör därför finnas en ventil härför i lagen. Kravet på att dessa uppgifter ska vara nödvändiga markerar att principen om uppgiftsminimering ska iakttas. Av samma skäl bör bestämmelsen innehålla ett krav på att behandlingen inte få pågå under längre tid än vad som är nödvändigt.

5.7.2 Information om och möjlighet till opt-out vid kompletterande insamling från andra källor

Förslag : Kompletterande insamling av uppgifter från andra källor än de som kunnat definieras redan i samband med att samtycke till behandling i forskningsdatabasen lämnas, får göras utan samtycke bara om den registrerade informerats om insamlingen och inte uttryckligen motsätter sig denna

Det kan uppstå situationer där det finns ett behov av att komplettera insamlingen med uppgifter från andra källor än de som kunnat anges

167

En ny lag om vissa forskningsdatabaser Ds

redan i samband med att samtycke till behandlingen lämnas. Ett sådant exempel är att det årtionden efter att samtycke lämnats tillkommer ett nytt myndighetsregister som bedöms ha relevans för de särskilt angivna ändamålen för behandlingen i en viss forskningsdatabas. De reglerade forskningsdatabaserna är tänkta att utgöra en resurs för forskningsprojekt som ägnar sig åt longitudinella studier och det är mot den bakgrunden viktigt att ha ett något mer långsiktigt perspektiv när det gäller kompletterande insamling av uppgifter. Det kan alltså finnas intresse och behov av att i viss utsträckning komplettera de redan insamlade uppgifterna i forskningsdatabasen med uppgifter från nytillkomna källor. Att i en sådan situation ha en reglering som kräver förnyade kontakter med varje person som är registrerad i forskningsdatabasen är knappast praktiskt görbart från den personuppgiftsansvariges synpunkt, och kanske inte heller önskvärt för registrerade personer. I stället för att kräva samtycke för samtliga kompletterande insamlingar av uppgifter som kan komma att ske i en forskningsdatabas, bör det därför, i situationer som dessa, finnas ett undantag från kravet på samtycke, enligt vilket det i stället är tillräckligt med att den registrerade får information om insamlingen och ges möjlighet att motsätta sig densamma. För att förtydliga att så ska ske bör en bestämmelse därom föras in i den föreslagna lagen. Att den registrerade har rätt att invända mot sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse följer av dataskyddsförordningens artikel 21.1. Är det på det viset att personuppgifterna behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen, är den registrerades rätt att göra sådana invändningar emellertid begränsad till fall där behandlingen inte anses nödvändig för att utföra en uppgift av allmänt intresse. Detta framgår av artikel 21.6. Den behandling som nu regleras kommer att vila på den rättsliga grunden att de personuppgiftsansvarigas uppgift att bedriva verksamhet i en viss forskningsdatabas utgör en uppgift av allmänt intresse. Den behandling som görs i dessa forskningsdatabaser kommer dessutom att ske för vetenskapliga forskningsändamål. Undantagsbestämmelsen i artikel 21.6 – som innebär att huvudregeln om den registrerades rätt att göra invändning mot en personuppgiftsbehandling inte gäller då behandlingen utförs för forskningsändamål

168

Ds En ny lag om vissa forskningsdatabaser

och den rättsliga grunden är uppgift av allmänt intresse – är alltså tillämplig här. Denna undantagsbestämmelse till trots bör det, eftersom det ligger i den nu föreslagna lagens anda att den registrerade ska ha kännedom om och inflytande över att dennes personuppgifter behandlas i en forskningsdatabas, som en skyddsåtgärd alltjämt finnas en möjlighet för den registrerade att invända mot behandlingen genom att kunna motsätta sig densamma. Eftersom medlemsstaterna, enligt artikel 6.2 och 6.3 i dataskyddsförordningen tillåts införa mer specifika bestämmelser, och enligt artikel 9.2 j kan föreskriva lämpliga och särskilda åtgärder för att säkerställa registrerades grundläggande rättigheter och intressen, kan och bör det därför införas en bestämmelse som säkerställer den registrerades rätt att invända mot sådan behandling som inte kräver samtycke, trots att den rättsliga grunden för behandlingen är uppgift av allmänt intresse. Frivilligheten och samtycke som en särskild skyddsåtgärd skulle annars bli ett slag i luften. Det bör emellertid inte krävas att den personuppgiftsansvarige återupprättar en faktisk kontakt med varje registrerad. I stället bör information om kompletterande insamling kunna lämnas genom att den personuppgiftsansvarige på sin hemsida redovisar vilka uppgifter som planeras att läggas till och ger den registrerade tydlig möjlighet att motsätta sig åtgärden, exempelvis genom att uppmanas att inom viss tid höra av sig och meddela detta, dvs. ges möjlighet till så kallad ”opt - out”. E n hänvisning till hemsidan och information om att det där kan komma att publiceras uppgifter om framtida ännu ej förutsebar kompletterande insamling bör dessutom lämnas i samband med den inledande kontakten mellan den personuppgiftsansvarige och den registrerade när information om och samtycke till medverkan i forskningsdatabasen inhämtas. Det finns inget som hindrar att den registrerade redan då, vid den tidigare kontakten när det ursprungliga samtycket inhämtas, får tillfälle att ange om denne mot-sätter sig att komplettering kan få göras från nu okända källor eller inte. (En sådan preliminär negativ eller positiv inställning kan underlätta exempelvis statistikansvarig myndighets kommande sekretessprövning, se avsnitt 8.4) Om den registrerade motsätter sig den kompletterande insamlingen sedan den har påbörjats, blir följden att uppgifterna ska raderas, se avsnitt 5.11.

169

En ny lag om vissa forskningsdatabaser Ds

5.7.3 Personuppgifter från underåriga

Förslag: Personuppgifter som samlats in innan den registrerade uppnått en sådan ålder och mognad att denne själv kan samtycka till behandlingen, och samtycke i stället lämnats av den registrerades vårdnadshavare, får efter att den registrerade blivit myndig, fortsätta behandlas bara om den registrerade informerats om behandlingen och inte uttryckligen motsätter sig denna. Sådan information ska lämnas inom ett år från myndighetsdagen. Information behöver dock inte lämnas om den personuppgiftsansvarige inte med rimliga ansträngningar kan nå den registrerade. Bedömning: Det behövs inte någon bestämmelse om vem som ska företräda den registrerade om denne är underårig.

Den föreslagna regleringen kommer att omfatta även sådana forskningsdatabaser som har underåriga i sin urvalsgrupp. Ett exempel är Tvillingregistret, som påbörjar sin insamling från tvillingar i urvalsgruppen redan vid nio års ålder. Frågan är därför hur den personuppgiftsansvarige bör förhålla sig till registrerade vars personuppgifter lämnats när de har varit underåriga.

Vem företräder en underårig registrerad?

Även när uppgifter samlas in från underåriga ska huvudregeln om samtycke gälla – oaktat om det rör sig om uppgifter som lämnas direkt från den enskilde eller uppgifter som härrör från andra källor. Detsamma gäller i fråga om den registrerades rätt till information om och möjlighet att invända mot behandling av uppgifter som samlats in utan uttryckligt samtycke. Också denna rätt ska alltså tillkomma underåriga. Frågan är dock vem som företräder den underårige i förhållande till den personuppgiftsansvarige innan denne är så pass gammal att den själv bedöms kunna agera gentemot den personuppgiftsansvarige. Dataskyddsförordningens artikel 8 innehåller villkor som gäller barns samtycke avseende informationssamhällets tjänster, dvs. kommersiella internettjänster. Enligt artikeln ska då, när samtycke utgör den rättsliga grunden för behandling av personuppgifter, sådan vara

170

Ds En ny lag om vissa forskningsdatabaser

tillåten om barnet är minst 16 år. Vid en lägre ålder är behandling tillåten endast om och i den mån samtycke ges av den person som har föräldraansvar för barnet. Medlemsstaterna ges emellertid möjlighet att i sin nationella rätt föreskriva en lägre ålder i detta syfte, under förutsättning att denna lägre ålder inte är under 13 år. I Sverige gäller just 13-årsgränsen för denna typ av behandling. Det sagda följer av 2 kap. 4 § dataskyddslagen. I andra sammanhang än då barn erbjuds informationssamhällets tjänster, såsom vid behandling i forskningsdatabaser, saknas uttrycklig reglering om just barns samtycke. Det framgår emellertid av dataskyddsförordningens skäl 38 att barns personuppgifter anses förtjäna särskilt skydd, eftersom barn kan vara mindre medvetna dels om berörda risker, följder och skyddsåtgärder, dels om sina rättigheter när det gäller behandling av personuppgifter. Lagstiftningen rörande barns autonomi i Sverige bygger på tanken om denna autonomi såsom gradvis växande. Det anses viktigt att barn ges en ökad autonomi för att kunna utvecklas till den självständiga vuxna person som samhället vill att hen ska bli. Enligt 6 kap. 11 § föräldrabalken har vårdnadshavaren rätt och skyldighet att bestämma i frågor som rör barnets personliga angelägenheter. Nämnda rätt och skyldighet förutsätter emellertid att vårdnadshavaren därvid, i takt med barnets stigande ålder och utveckling, ska ta allt större hänsyn till barnets synpunkter och önskemål. Frågan om behovet av en bestämmelse om vem som ska företräda en registrerad om denne är underårig behandlades i förarbetena till LifeGene-lagen. I den promemoria som föregick propositionen till lagen hade det föreslagits en bestämmelse om att den registrerades vårdnadshavare, i de fall där den registrerade inte hade uppnått en sådan ålder och mognad att denne själv kunde ta ställning till frågor om personuppgiftsbehandling i det aktuella sammanhanget, skulle företräda den underårige. 122 Lagstiftaren var emellertid av en annan uppfattning. Regeringen framhöll att frågan om bestämmanderätten i frågor som rör barn redan var reglerad i 6 kap. 11 § föräldrabalken. Det konstaterades vidare att dåvarande personuppgiftslagen visserligen inte innehöll någon särskild reglering som tar sikte på underåriga, men att Integritetsskyddsmyndigheten, i förhållande till frågan om samtycke enligt personuppgiftslagen, hade uttalat att den som fyllt 15 år normalt är

122 U2012/3414/F

171

En ny lag om vissa forskningsdatabaser Ds

kapabel att själv ta ställning till samtyckesfrågan. Viss lagstiftning, påpekade regeringen, innehöll i och för sig bestämmelser om just samtycke från underåriga. Så var fallet dels i lagen (2002:297) om biobanker i hälso- och sjukvården m.m., vid lämnande av vävnadsprover eller registrering i PKU-registret, dels i etikprövningslagen. Regeringen menade ändå att promemorians förslag i sak motsvarade det som redan gällde enligt den dåvarande personuppgiftslagen i fråga om samtycke när den registrerade är underårig och att den föreslagna bestämmelsen, som också påpekats i remissomgången, 123 därför var så självklar att det inte fanns något behov av den. Det finns ingen anledning att nu göra en annan bedömning än regeringens i fråga om LifeGene-lagen. Det säger sig självt, baserat på redan befintliga bestämmelser i föräldrabalken, att det i de fall då den registrerade är underårig, är dennes vårdnadshavare som företräder denne, men att hänsyn ska tas till barnets synpunkter och önskemål i takt med dess stigande ålder och utveckling. Någon viss ålder då en underårig får anses kapabel att tillgodogöra sig informationen som lämnas i samband med att denne lämnar uppgifter till en forskningsdatabas och därför kan lämna ett sådant frivilligt, otvetydigt, specifikt och informerat samtycke som krävs för att dennes uppgifter ska kunna samlas in bör inte föreslås. Det framstår dock som lämpligt att i den praktiska tillämpningen beakta att 15-årsgränsen är en av nyckelövergångarna i svensk rätt och anses vara en viktig hållpunkt i ett barns utveckling och mognad. 124 Vid 15-årsåldern inträder dessutom ett flertal rättigheter för barnet att samtycka till åtgärder rörande denne, föra sin egen talan o. dyl., däribland i mål enligt lag (1990:52) med särskilda bestämmelser om vård av unga, men också, vilket är av särskild relevans i förevarande fall, att samtycka till att forskning får utföras avseende denne enligt etikprövningslagen. Det måste emellertid göras en individuell bedömning för varje enskild forskningsdatabas, i samband med vilket det bör beaktas vad den underåriges deltagande faktiskt innebär, hur känsliga uppgifterna är och vilka integritetsrisker som registreringen kan tänkas innebära på lång sikt. I många fall kan det därför vara lämpligt med ett samtyckes- och informationsförfarande som inkluderar både den underårige och vårdnadshavarna när det är fråga om tonåringar.

123 Prop. 2012/13:163 s. 53 ff. 124 Jfr Åldersgränsutredningens resonemang i SOU 1996:111.

172

Ds En ny lag om vissa forskningsdatabaser

Sammanfattningsvis görs bedömningen att det inte behövs någon uttrycklig bestämmelse om vem som kan avge informerat samtycke i den nu föreslagna lagen i fråga om registrerade som är underåriga när de rekryteras till forskningsdatabasen.

Information till en registrerad om sådan behandling som dennes tidigare vårdnadshavare samtyckt till

Det kommer i de forskningsdatabaser som blir föremål för reglering att vara fråga om en långsiktig insamling av uppgifter. Mot den bakgrunden kommer det att uppstå situationer där personuppgifter från registrerade som vid tidpunkten för insamlingen varit underåriga, fortfarande behandlas i forskningsdatabasen efter att de registrerade blivit myndiga. Det kan i sådana situationer visserligen finnas fall där insamlingen skett efter att den underårige uppnått en sådan ålder och mognad och varit så pass delaktig att denne redan lämnat samtycke och tagit del av erforderlig information att tillräcklig kännedom om personuppgiftsbehandlingen redan får anses föreligga. Det kan dock också vara fråga om fall i vilka den initiala insamlingen av den underåriges personuppgifter gjorts direkt från vårdnadshavaren, och även om den underårige kan ha deltagit i viss mån vid denna insamling kan det vara så att denne inte har haft full insikt om vad insamlingen inneburit, eller kanske inte ens minns sitt eventuella deltagande. Det kan alltså uppstå situationer där fortsatt behandling av en underårig registrerads personuppgifter utförs efter att denne blivit myndig, dvs. fyllt 18 år och det inte kan tas för givet att denne känner till och accepterar behandlingen. I förarbetena till LifeGene-lagen behandlades frågan om förnyat samtycke och/eller information till en underårig registrerad efter att denne blivit myndig. I promemorian som föregick propositionen föreslogs att om en registrerad, som var underårig när uppgifter lämnades, inte själv hade fått information om registreringen före 18 års ålder, skulle sådan information lämnas inom två år från det att denne har fyllt 18 år. Information behövde emellertid, enligt förslaget, inte lämnas om myndigheten inte med rimliga ansträngningar kan nå den registrerade. 125

125 U2012/3414/F

173

En ny lag om vissa forskningsdatabaser Ds

I remissomgången anmärkte Integritetsskyddsmyndigheten att det var tveksamt om uppgifter som samlats in med stöd av vårdnadshavares samtycke kunde fortsätta behandlas med stöd av detta samtycke efter att den registrerade var myndig och vårdnadshavare alltså inte längre var behöriga att samtycka för den registrerades räkning. Myndigheten menade att det borde krävas ett samtycke av den registrerade själv för att personuppgiftsbehandling skulle få fortsätta efter att den registrerade blir myndig. Även Statens medicinsk-etiska råd hade synpunkter på möjligheten till fortsatt behandling efter den registrerades myndighetsdag. Rådet ansåg att det inte bör gå att behandla uppgifter om enskilda som registrerats med stöd av vårdnadshavares samtycke om den personuppgiftsansvariga inte kan nå den registrerade efter att denne blivit myndig och lämna information om registreringen. Det anmärktes att sådan utebliven information skulle leda till att den registrerade inte kan utnyttja sina rättigheter, t.ex. rätten till rättelse, rätten till registerutdrag och rätten till utplånande av uppgifter, som enligt förslaget var en förutsättning för att registrering överhuvudtaget skulle få ske. 126 Regeringen ansåg emellertid inte att en sådan bestämmelse som föreslogs var nödvändig. Det påpekades att en underårig som fyllt 15 år normalt är kapabel att själv ta ställning till samtyckesfrågan och att en person som fyllt 18 år därför i regel bör ha fått information och själv samtyckt till personuppgiftsbehandlingen i de aktuella registren före sin 18-årsdag. Mot den bakgrunden gjorde regeringen bedömningen att ett uttryckligt samtycke från vårdnadshavarna för en underårigs medverkan i registren, och som inte har återkallats av vårdnadshavarna eller den underårige själv, är giltigt även efter det att den registrerade har fyllt 18 år. 127 Regeringen hänvisade här till att det i kommentaren till personuppgiftslagen uttalats att huvudregeln är att varje registrerad som faktiskt kan vidta en åtgärd och förstå vad den innebär får göra det, även om han eller hon är t.ex. omyndig; bara om den registrerade, t.ex. ett barn, faktiskt inte kan vidta åtgärden, får föräldrar eller andra ställföreträdare vidta åtgärden för den registrerades räkning. Enligt kommentaren kunde det som regel utan vidare godtas att vårdnads-

126 Prop. 2012/13:163 s. 55 f. 127 Prop. 2012/13:163 s. 56.

174

Ds En ny lag om vissa forskningsdatabaser

havare för barn och ungdomar under 15 år vidtar åtgärder för dessa. 128 Vidare poängterade regeringen att efter den registrerades 18-årsdag får det inte samlas in ytterligare uppgifter om den registrerade utan att den enskilde såväl informerats om som uttryckligen samtyckt till behandling av sådana uppgifter samt att den registrerade, även utan förnyat samtycke eller information, alltjämt kunde utnyttja alla sina rättigheter beträffande de tidigare insamlade uppgifterna, t.ex. rätten att begära att dessa utplånas. Några särskilda bestämmelser om det behövde dock, enligt regeringen, inte införas i LifeGene-lagen, utan det ansågs följa av övrig reglering. 129 Det saknas anledning att nu göra en annan bedömning i fråga om behovet av förnyat samtycke från en underårig som uppnår en sådan ålder och mognad att denne själv kan samtycka till fortsatt behandling av personuppgifter i en forskningsdatabas. Samtycke har, i samband med den initiala kontakten och insamlingen av uppgifter, lämnats antingen av en underårig som uppnått en sådan ålder och mognad att denne själv kunnat ta ställning, eller, om så inte är fallet, av den underåriges vårdnadshavare, som alltså varit i sin fulla rätt att företräda den underårige. I de fall där det enbart är vårdnadshavaren som lämnat samtycke måste det emellertid säkerställas att den underårige, när denne uppnår en sådan ålder och mognad att denne själv kan ta ställning till den fortsatta behandlingen av personuppgifter faktiskt får kännedom om denna. Utan sådan kännedom kommer den registrerade, som också Statens medicinsk-etiska råd påpekade, inte att kunna utnyttja det integritetsskydd som tillförsäkras denne genom dataskyddsförordningen och kompletterande dataskyddsrättslig reglering. Det sistnämnda kommer till uttryck också i skäl 65 till dataskyddsförordningen. Häri anges att rätten att invända mot behandlingen av dennes personuppgifter är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter särskilt på internet. Den registrerade bör, enligt skälet, kunna utöva denna rätt även när denne inte längre är barn. Vikten av att den registrerade får ordentlig kännedom om sådan personuppgiftsbehandling som påbörjats när denne var barn bör

128 Se Öman och Lindblom, Personuppgiftslagen – en kommentar, 4:e uppl., s. 109. 129 Prop. 2012/13:163 s. 55 f.

175

En ny lag om vissa forskningsdatabaser Ds

manifesteras genom en bestämmelse därom i lagen. Enligt denna bestämmelse ska, när personuppgifter samlats in innan den registrerade själv uppnått en sådan ålder och mognad att denne själv uttryckligen kan samtycka till behandlingen, och samtycke i stället lämnats av den registrerades vårdnadshavare, en fortsatt behandling efter att den registrerade uppnått myndig ålder få ske endast om denne själv informerats om behandlingen och inte uttryckligen motsätter sig denna. Det kan visserligen diskuteras huruvida en sådan rätt till information borde tillkomma den underårige redan tidigare än när denne uppnått myndighetsåldern. Det ter sig emellertid som ogörligt för den personuppgiftsansvariga att utan närmare kontakter med de registrerade – och med den stora mängd registrerade som det kommer att röra sig om – kunna göra individuella bedömningar av huruvida en viss underårig innan myndighetsåldern har uppnått en sådan ålder och mognad att denne kan göra de avvägningar som informationen kan tänkas föranleda. Det är därför lämpligare att låta myndighetsåldern bli avgörande. Informationen till de tidigare underåriga bör skickas elektroniskt eller med post till den registrerade själv. Det bör alltså, i den här situationen, inte anses tillräckligt att informationen läggs ut på den personuppgiftsansvariges hemsida, utan informationen bör i stället riktas direkt till den enskilde registrerade. Kravet på att upprätta en kontakt med den registrerade bör emellertid inte vara så långtgående att det ska krävas en bekräftelse på att den registrerade faktiskt tagit emot informationen. Det bör även finnas en ventil som tydliggör att informationen inte behöver lämnas om den personuppgiftsansvarige inte med rimliga ansträngningar kan nå den registrerade, exempelvis om information som skickats ut till den e-postadress eller postadress som den personuppgiftsansvarige kommer i retur och någon ny kontaktinformation inte med rimliga ansträngningar går att finna (jämför artikel 14.5 b dataskyddsförordningen). Vidare är det rimligt att den personuppgiftsansvarige kan samordna sitt arbete med att informera nyblivna 18-åringar. Det bör därför finnas en frist på ett år innan information måste ges.

176

Ds En ny lag om vissa forskningsdatabaser

5.7.4 Övrig information till den registrerade

Förslag: Den registrerade ska, utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen, innan denne lämnar samtycke eller i samband med att denne får information efter myndighetsdagen enligt ovan, även informeras om vilka slags uppgifter som får registreras i forskningsdatabasen, de sekretessoch säkerhetsbestämmelser som gäller för denna, rätten till information om till vilken forskning dennes personuppgifter lämnats ut, vilken som är tillsynsmyndighet samt rätten till skadestånd. Dessutom ska den registrerade informeras om att all registrering och medverkan i verksamheten vid forskningsdatabasen är frivillig och att den registrerade när som helst kan avbryta sin medverkan helt eller delvis och begära att uppgifter raderas.

Det är viktigt att den registrerade får så mycket information om behandlingen att denne kan avgöra vilka integritetsrisker som är förknippade med att lämna personuppgifter till en viss forskningsdatabas. Denne ska också informeras om sina rättigheter och friheter i förhållande till den personuppgiftsansvarige. Dataskyddsförordningen innehåller, som tidigare nämnts, bestämmelser som syftar till att säkerställa den registrerades rätt till information om och tillgång till de personuppgifter som samlats in och behandlas. I artikel 13 anges vilken information som den personuppgiftsansvarige är skyldig att tillhandahålla den registrerade. Här framgår bl.a. att den registrerade ska förses med information om kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombudet, ändamålen med och den rättsliga grunden för behandlingen, de kategorier av personuppgifter som behandlingen gäller, mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, förekomsten av rätten att begära tillgång till och rättelse eller radering av personuppgifterna, rätten att invända mot behandlingen samt rätten att inge klagomål till en tillsynsmyndighet. Det är härvid av stor vikt att personuppgiftsansvariga i linje med vad som följer av artikel 13,1 e) särskilt informerar om huruvida och i så fall under vilka villkor utlämnande kan komma i fråga till forskning hos enskilda eller utländska forskningshuvudmän, se nedan avsnitt 5.12.

177

En ny lag om vissa forskningsdatabaser Ds

Vidare reglerar artikel 14 den information som ska tillhandahållas om personuppgifterna samlats in från någon annan än den registrerade, dvs. den situationen som föreligger vid sådan kompletterande insamling från andra källor som möjliggörs genom den föreslagna lagen. Även i de fallen ska den registrerade förses med information om ovanstående detaljer. Artikeln innehåller emellertid en undantagsbestämmelse, enligt vilken denna skyldighet inte föreligger i den mån tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för bland annat vetenskapliga eller historiska forskningsändamål i enlighet med artikel 89.1. I sådana fall ska dock den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen. Även om det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är möjligt att i nationell rätt införa bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, ska dubbelreglering undvikas. Viss precisering bör dock kunna ske, för att säkerställa att den registrerade får sådan information om behandlingen som denne behöver för att kunna tillvarata sina rättigheter i förhållande till den personuppgiftsansvarige. Den registrerade bör därför, utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen, innan denne lämnar samtycke eller erhåller information om behandling av personuppgifter inhämtade från andra källor, även ha informerats om vilka uppgifter som får registreras i forskningsdatabasen, de sekretess- och säkerhetsbestämmelser som gäller för denna, rätten till information om till vilken forskning dennes personuppgifter lämnats ut, vilken som är tillsynsmyndighet samt rätten till skadestånd. Givetvis bör tydlig information också ges om att all medverkan i forskningsdatabasen är frivillig och att den registrerade när som helst kan avbryta sin medverkan helt eller delvis. I artikel 13.2 c och 14.2 d dataskyddsförordningen föreskrivs visserligen att registrerad ska informeras om sin rätt att återkalla ett lämnat samtycke. Det informationskravet gäller dock bara när den rättsliga grunden för personuppgiftsbehandlingen är samtycke. Som framgått i avsnitt 4.4.4 är den rättsliga grunden för personuppgiftsbehandlingen i forskningsdatabaser enligt ramlagen inte samtycke utan att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Det behövs därför en särbestämmelse i ramlagen i frågan. I avsnitt 5.11 föreslås att den registrerade ges rätten att begära att registrerade

178

Ds En ny lag om vissa forskningsdatabaser

uppgifter raderas. Även den rätten ska den registrerade informeras om redan vid rekryteringen.

5.8 Tillåtet innehåll i en forskningsdatabas

5.8.1 Känsliga personuppgifter, m.m.

Förslag: Genetiska uppgifter och personuppgifter om lagöverträdelser får finnas i en forskningsdatabas bara om regeringen har meddelat föreskrifter om det. Bedömning : Behandlingen av personuppgifter i de forskningsdatabaser som omfattas av ramlagen kan ske med stöd av undantagen i artikel 9.2 g och j i dataskyddsförordningen (undantagen för viktigt allmänt intresse respektive vetenskapliga ändamål). Det finns därför inte skäl att utöver begränsningen i fråga om genetiska uppgifter särreglera behandling av känsliga personuppgifter för att det ska vara tillåtet att sådana uppgifter finns i en forskningsdatabas.

Känsliga personuppgifter

Den föreslagna ramlagen är tänkt att kunna gälla för forskningsdatabaser inom hela spektrumet av den vetenskapliga forskningen som kan tänkas vara i behov av en sådan databas. Vad för slags personuppgifter som är av särskilt vetenskapligt värde att samla systematiskt på lång sikt kan inte enkelt sammanfattas. Däremot förefaller det högst sannolikt att värdefull information ofta kan vara sådan som utgör känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen (se avsnitt 3.2.4 angående vad som avses i förordningen med känsliga personuppgifter). Enligt dataskyddsförordningen gäller ett principiellt förbud mot behandling av känsliga personuppgifter, liksom flera undantag från detta förbud. Känsliga personuppgifter får, enligt artikel 9.2 a, behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandling för ett eller flera specifika ändamål. Även utan sådant samtycke ges också en explicit möjlighet till behandling av känsliga personuppgifter för vetenskapliga eller histo-

179

En ny lag om vissa forskningsdatabaser Ds

riska forskningsändamål (artikel 9.2 j) i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I avsnitt 4.3.2 har redovisats uppfattningen att behandling i sådana forskningsdatabaser som är aktuella här innefattas i det som avses med det unionsrättsliga begreppet behandling för vetenskapliga eller historiska forskningsändamål i dataskyddsförordningen. Undantaget i artikel 9.2 j är alltså tillämpligt vid behandling av känsliga personuppgifter i verksamhet med forskningsdatabaser som kommer att omfattas av den nya ramlagen. Den föreslagna regleringen i sig kommer att innebära att behandlingen sker på grundval av nationell rätt. Lagen med anslutande förordningar kommer vidare att innehålla sådana åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs enligt artikel 9.2 j. En väsentlig sådan åtgärd är att behandlingen i huvudsak kommer att ske med de registrerades uttryckliga samtycke, se ovan. Ett ytterligare undantag från förbudet är behandling av känsliga personuppgifter som är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel 9.2 g). Det viktiga allmänna intresset ska vara på grundval av unionsrätten eller en medlemsstats nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga skyddsåtgärder och säkerställa den registrerades grundläggande rättigheter och intressen. I avsnitt 4.4.4 har utvecklats att det bör vara den rättsliga grunden enligt artikel 6.1 e i dataskyddsförordningen om utförande av uppgift av allmänt intresse som personuppgiftsbehandling vid forskningsdatabaser ska och kan vila på. Där har också angetts att det av själva beskrivningen av vad för slags forskningsdatabaser som det föreslagna rättsliga ramverket kan vara tillämpligt på – forskningsdatabaser vars uppgift att skapa underlag för flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv – framgår att det är fråga om personuppgiftsbehandling för en uppgift av allmänt intresse. I fråga om känsliga personuppgifter kan anges att lagstiftaren i förarbetena till LifeGene-lagen har anfört att verksamheten i

180

Ds En ny lag om vissa forskningsdatabaser

LifeGene är ett sådant viktigt allmänt intresse som avsågs i artikel 8.4 i dåvarande dataskyddsdirektivet. När det rör sig om sådana forskningsdatabaser som den nu föreslagna ramlagen kommer att gälla för är det på samma sätt fråga om ett viktigt allmänt intresse alldeles oavsett hur ett eller flera aktuella forskningsområden för en databas närmare beskrivs i en förordning. Även denna behandling av personuppgifter bör därför ses som undantagen från förbudet i artikel 9.1 i dataskyddsförordningen mot behandling av känsliga personuppgifter. I denna del görs vidare bedömningen att det genom själva beskrivningen av forskningsdatabaser direkt framgår att behandlingen är nödvändig med hänsyn till ett viktig allmänt intresse på grundval av nationell rätt. Härmed menas att om en databas reglerats genom en av regeringen beslutad föreskrift i förordning i anslutning till ramlagen, så innebär det ett tillkännagivande av att den personuppgiftsansvarige för databasen har en uppgift som är av särskilt vetenskapligt värde för forskningen. Innebörden av detta är, i sin tur, att uppgiften är ett viktigt allmänt intresse. Det kan förutsättas att det ofta kommer att bli aktuellt att samla in känsliga personuppgifter till en forskningsdatabas. Som framgått är flera alternativa undantagsbestämmelser i dataskyddsförordningen från förbudet mot behandling av känsliga personuppgifter tillämpliga vid behandling av känsliga personuppgifter i verksamhet med forskningsdatabas enligt den nya ramlagen. Det finns därför inte skäl att särreglera behandling av känsliga personuppgifter för att tillåta att sådana uppgifter behandlas i en forskningsdatabas. Det finns inte heller anledning att – med ett undantag – i ramlagen införa generella begränsningar eller villkor för behandlingen av sådana uppgifter jämfört med andra slags personuppgifter. I det följande föreslås dock särskilda begränsningar i fråga om genetiska uppgifter.

Genetiska uppgifter

Genetiska uppgifter ingår i kategorin känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen. I artikel 4.13 definieras genetiska uppgifter som alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilken ger unik information om denna fysiska persons fysiologi eller hälsa och vilka fram-

181

En ny lag om vissa forskningsdatabaser Ds

för allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. I fråga om uppgifter om genetiska undersökningar och genetisk information finns det särskilda användningsrestriktioner i lagen (2006:351) om genetisk integritet m.m. Med genetisk undersökning avses i lagen en undersökning inom hälso- och sjukvården eller medicinsk forskning som syftar till att ge upplysning om en människas arvsmassa genom molekylärgenetisk, mikrobiologisk, immunologisk, biokemisk, cytogenetisk eller därmed jämförlig analysmetod eller genom inhämtande av upplysningar om hans eller hennes biologiska släktingar. Genetisk information syftar på information om resultatet av en genetisk undersökning, dock inte till den del informationen endast innefattar upplysning om den undersöktes aktuella hälsotillstånd (1 kap. 5 § lagen om genetisk integritet m.m.). Genetiska uppgifter är alltså såväl i dataskyddsreglering som i andra sammanhang sedd som mycket känslig och skyddsvärd information. I likhet med vad som nu gäller enligt 9 § andra stycket LifeGene-lagen bör därför uppgifter om genetiska undersökningar endast få registreras och fortsatt behandlas i en forskningsdatabas under förutsättning att regeringen har meddelat föreskrifter om det. I ramlagen bör dock användas samma uttryck som i dataskyddsförordningen, dvs. genetiska uppgifter. Genom ramlagen införs således en begränsande huvudregel i fråga om möjligheten att behandla genetiska uppgifter. En sådan begränsning är tillåten enligt artikel 9.4 i dataskyddsförordningen. Det kan finnas behov av att i samband med beredningen inför regeringens ställningstagande till behovet av att tillåta genetiska uppgifter i en forskningsdatabas inhämta yttrande från berörda myndigheter. När tillstånd ges, kan regeringen vid behov föreskriva villkor för användningen.

Lagöverträdelser

Enligt dataskyddsförordningen artikel 10 får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av en myndighet

182

Ds En ny lag om vissa forskningsdatabaser

eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Innebörden av artikeln är att sådana personuppgifter får behandlas bara av myndigheter, men att det i nationell rätt kan, med fastställande av lämpliga skyddsåtgärder, föreskrivas att också enskilda får behandla sådana personuppgifter förutsatt att det inte handlar om ett fullständigt register över fällande domar. Enligt 3 kap. 9 § dataskyddslagen får regeringen, eller den myndighet som regeringen bestämmer, meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10. Den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor. I 6 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning har regeringen bemyndigat Integritetsskyddsmyndigheten att meddela sådana föreskrifter respektive beslut. Normalt sett torde det inte finnas behov av att samla in uppgifter om lagöverträdelser i forskningsdatabaser. Det kan dock finnas forskningsområden där sådana uppgifter är värdefull för framtida forskningsprojekt. Att samla uppgifter om lagöverträdelser i en strukturerad uppgiftssamling som en forskningsdatabas utgör är dock typiskt sett mycket integritetskänsligt alldeles oavsett om det sker hos ett statligt eller enskilt lärosäte. Sådana uppgifter bör därför som utgångspunkt inte få finnas i en forskningsdatabas. Det ska dock vara tillåtet om regeringen i förordning har meddelat föreskrifter om det för den aktuella forskningsdatabasen. Med en sådan ordning säkerställs att det görs en prövning av om registreringen är nödvändig, berättigad och proportionerlig vid en avvägning i förhållande till integritetsintresset samt om de skyddsåtgärder som har fastställts är tillräckliga för att sådan behandling ska vara motiverad. I likhet med vad som nyss föreslagits i fråga om genetiska uppgifter föreslås således att uppgifter om lagöverträdelser får finnas i en forskningsdatabas bara under förutsättning att regeringen har meddelat föreskrifter om det. Tillåtelse kan, precis som i fråga om genetiska uppgifter, förenas med villkor.

183

En ny lag om vissa forskningsdatabaser Ds

5.8.2 Uppgifter som bör få registreras

Förslag: I en forskningsdatabas ska det i fråga om personuppgifter bara få finnas 1. uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i forskningsdatabasen, 2. uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen, 3. uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen, 4. kontaktinformation till den registrerade, 5. kompletterande uppgifter som inhämtats från andra källor, 6. kategoriseringar av sådana uppgifter som avses i 1 – 5, 7. identitetsbeteckningar avseende de registrerade (kodnycklar eller motsvarande information för identifiering), och 8. uppgifter om utlämnande som har skett till forskning.

Regeringen kan med stöd av den s.k. restkompetensen enligt regeringsformen meddela föreskrifter som begränsar vilka personuppgifter som får behandlas i en forskningsdatabas.

I 9 § LifeGene-lagen finns en bestämmelse som anger vilka personuppgifter som får finnas i ett register som förs med stöd av lagen. Bestämmelsen är emellertid närmast formulerad så att den på ett heltäckande sätt anger från vilket underlag uppgifter får hämtas. Det förefaller lämpligt att en motsvarande bestämmelse tas in i den föreslagna ramlagen för forskningsdatabaser. De uppgifter som bör få registreras är till att börja med uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i forskningsdatabasen. Som understrukits tidigare ska forskningsdatabaserna primärt bygga på den registrerades frivilliga deltagande och uppgifter som denne frivilligt lämnar. Det kan t.ex. vara svar på enkäter eller intervjuer med den registrerade.

184

Ds En ny lag om vissa forskningsdatabaser

I en forskningsdatabas bör även uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen få registreras. Detsamma gäller uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen. Sådana uppgifter kan behövas för enklare framsökning av personer med vissa egenskaper. Med upptagningar avses röntgenbilder eller annan bild- eller ljudinformation som avser en person. Undersökningar kan bl.a. syfta på mätningar av de registrerades fysiologiska egenskaper, liksom analysresultat av prover som lämnats av den registrerade. Som framgått ovan ska dock gälla särskilda begränsningar i fråga om genetiska uppgifter. Vidare bör det vara tillåtet att, som nämnts tidigare, i en forskningsdatabas registrera sådana kompletterande uppgifter angående den registrerade som inhämtats från andra källor. Med sådana andra källor avses i första hand myndighetsregister, men det kan också komma i fråga om kompletterande med uppgifter från andra källor, exempelvis patientjournaler. Skälen härför är framförallt att viss kompletterande insamling kan tänkas höja kvaliteten och det vetenskapliga värdet av och bredda användningsområdet för en viss forskningsdatabas inom ramen för det angivna forskningsområdet. Den effektivitetsvinst som nämnda möjlighet kan innebära för forskningen på vissa områden bör inte underskattas. Forskningsdatabaser som också innehåller sådana kompletterande, och i viss mån bearbetade, uppgifter kan alltså utgöra en viktigare resurs för viss forskning än om databasen endast innehåller de personuppgifter som den registrerade bidrar med. Inte sällan torde det handla om uppföljande kontroller gentemot myndighetsregister. En kompletterande insamling och bearbetning av uppgifter från andra källor än den registrerade kan alltså ibland vara till gagn för den registerforskning som bedrivs med hjälp av forskningsdatabaserna. Ett behov av att i viss utsträckning kunna samla in uppgifter från myndighetsregister i de forskningsdatabaser som omfattas av den föreslagna regleringen är ett intresse som bör kunna få genomslag i den föreslagna ramlagen. Det bör dock, som påpekats såväl i kapitel 4 som ovan, vara fråga om en personuppgiftsbehandling som den registrerade ska ha kännedom om och som bygger på frivilligt deltagande. För att säkerställa att så sker ska den registrerade vara informerad också om den

185

En ny lag om vissa forskningsdatabaser Ds

eventuella kompletterande insamlingen. Den registrerade ska alltså tillförsäkras möjlighet till insyn och kontroll i fråga om vilka av dennes personuppgifter som behandlas i forskningsdatabasen. Hur detta ska säkerställas har belysts i avsnitt 5.7. Nämnda insyn- och kontrollfunktion kan förväntas ha en något hämmande effekt, och minska risken för att forskningsdatabaser regelmässigt och ogenomtänkt samlar in och reproducerar uppgifter från myndighetsregister utan att något starkt behov av det finns. Risken för att den möjlighet till kompletterande insamling som nu föreslås kommer att leda till en omfattande reproducering av myndighetsregister får därför bedömas som liten. Den komplettering som tillåts ska alltså handla om ett behov som är kopplat till att öka kvaliteten i och det vetenskapliga värdet av forskningsdatabasen. Komplettering som enbart syftar till att reproducera registerdata från myndighetsregister vilka forskare själva kan få ut från registerhållande myndigheter åsyftas alltså inte med den här föreslagna möjligheten till komplettering. Av avsnitt 8.4 kommer att framgå att behovet kommer att behöva klargöras vid ansökningar om utlämnande av personuppgifter från statistikansvariga myndigheter. Förslaget om att tillåta kompletterande insamling från andra källor bedöms därmed uppfylla dataskyddsförordningens krav på uppgiftsminimering. Utöver det sagda bör kategoriseringar av uppgifterna, kontaktinformation till den registrerade, identitetsbeteckningar avseende de registrerade (s.k. kodnycklar) samt uppgifter om till vilka forskningsprojekt uppgifter om den registrerade har lämnats ut få registreras. I likhet med vad som angavs i motiven till LifeGene-lagen bör inte uppgifter som den registrerade lämnat om biologiska släktingar få registreras. 130 Därigenom skulle personuppgifter avseende dessa släktingar komma att registreras utan deras kännedom och möjlighet till kontroll över uppgifternas behandling, och detta skulle inte vara förenligt med regleringens grundtanke och dataskyddsförordningens bestämmelser. Det som föreslagits ovan är alltså den generella reglering som föreslås. Beskrivningen av vilka kategorier av personuppgifter som får registreras i en forskningsdatabas, eller närmare bestämt från vilka källor de får hämtas in, är brett utformad för att den föreslagna

130 Jfr prop. 2012/13:163 s. 42.

186

Ds En ny lag om vissa forskningsdatabaser

lagen ska kunna uppfylla sitt syfte att vara en ramlag som är flexibel nog att kunna gälla för forskningsdatabaser med sinsemellan olika behov och uppbyggnad. Beskrivningen utgör ett ”tak” för vilka slags uppgifter som får samlas in. Under detta ”tak” föreslås att det ska vara regeringens uppgift att med stöd av den s.k. restkompetensen enligt regeringsformen vid behov meddela föreskrifter som begränsar utrymmet för specifika forskningsdatabaser. Detta bör framgå i lagen. Föreskrifter kan exempelvis gälla begränsningar av olika tillåtna kategorier av personuppgifter som får samlas in och behandlas eller krav på pseudonymisering redan vid registrering i forskningsdatabasen. För flera forskningsdatabaser torde det sällan finnas anledning att exempelvis samla in kompletterande personuppgifter från myndighetsregister eller från undersökningar av den registrerade och det kan beträffande en viss forskningsdatabas finnas skäl att reglera det genom en föreskrift i förordning. Det är dock viktigt att poängtera att den grundläggande principen om uppgiftsminimering i dataskyddsförordningens artikel 5.1 c alltid måste följas av den personuppgiftsansvariga för en forskningsdatabas alldeles oavsett den här föreslagna regleringen eller andra föreskrifter. Det sagda gäller inte minst eftersom det är fråga om behandling för personuppgifter för vetenskapliga forskningsändamål (se avsnitt 4.3.2) vid vilken uppgiftsminimering pekas ut som särskilt viktigt, se artikel 89.1. Uppgiftsminimering är alltså något som ska prägla verksamheten vid varje forskningsdatabas med att samla in personuppgifter. Det följer redan av dataskyddsförordningen och bör inte anges särskilt i den föreslagna lagen. Nära förknippat med principen om uppgiftsminimering är pseudonymisering av personuppgifter som en skyddsåtgärd som är ägnad att minska integritetsriskerna med en personuppgiftsbehandling, se dataskyddsförordningens skäl 28 och nyssnämnda artikel 89.1. Begreppet och bestämmelserna om pseudonymisering kommer att beröras mer nedan. Av allt att döma torde det emellertid inte vara aktuellt att i verksamhet med en forskningsdatabas samla in personuppgifter som är pseudonymiserade redan vid insamlingen.

187

En ny lag om vissa forskningsdatabaser Ds

5.9 Integritetsskydd inom verksamheten

5.9.1 Begränsning av tillgång till personuppgifter

Förslag: Den som arbetar i en verksamhet som för en forskningsdatabas får ta del av personuppgifter i verksamhet bara om denne behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen.

Det är, som tidigare poängterats, avgörande för en forskningsdatabas som bygger på frivilligt deltagande att allmänheten, och i synnerhet personer som ingår i en urvalsgrupp och vars uppgifter forskningsdatabasen är tänkt att innehålla, har stort förtroende för den personuppgiftsansvariges hantering av personuppgifter i forskningsdatabasen. Förtroendet har relevans inte bara när det gäller den yttre sekretessen, dvs. i förhållande till utomstående, utan det måste också inom en sådan verksamhet som hanterar personuppgifter finnas ett integritetsskydd avseende hanteringen av uppgifter om enskilda. Detta skydd inom en verksamhet kallas ibland, något oegentligt, för den inre sekretessen. Härmed avses vanligen frågan om i vilken omfattning personal får ta del av uppgifter som omfattas av sekretess och i vilken mån sådana uppgifter får lämnas mellan arbetskamrater. 131 Syftet med bestämmelser är att skapa ett integritetsskydd inom en organisation där det exempelvis inte finns sekretessgränser mellan verksamheter. Ett sätt att åstadkomma skydd är därför att reglera hur den interna åtkomsten till personuppgifter får se ut i en viss verksamhet och hur obehörig åtkomst ska kunna förebyggas och, i förekommande fall, upptäckas. Syftet är alltså att skydda enskilda från att uppgifter om dem sprids på ett obehörigt sätt. Ett sådant skydd finns inom vården, där det i 4 kap. 1 § patientdatalagen (2008:355) stadgas att den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Nu kan ju inte verksamheten med att föra en forskningsdatabas jämföras med den verksamhet som bedrivs inom vården – framförallt eftersom det rör sig om få personer inom ett lärosäte som arbetar inom verksamheten med en forskningsdatabas jämfört med hur

131 Se bl.a. prop. 2007/08:126 s. 141.

188

Ds En ny lag om vissa forskningsdatabaser

situationen är inom patientvården. Likafullt behövs ett skydd, inte minst med tanke på att lärosätet som sådant kan vara en stor arbetsplats och innehållet i en forskningsdatabas är integritetskänsligt. För förtroendet för integritetsskyddet är det särskilt viktigt att den interna gränsen upprätthålls mellan verksamheten med forskningsdatabasen och samma lärosätes forskningsverksamhet inom ett forskningsområde som forskningsdatabasen syftar till att skapa underlag för. Det sagda gäller särskilt för det fall lärosätet underlåter att organisera verksamheterna på det sätt som krävs för att en sekretessgräns ska uppstå mellan dem, se avsnitt 8.1.2 angående övervägandena om inre sekretessgränser i samband med LifeGene-lagens införande). Lagen bör därför innehålla en uttrycklig bestämmelse om att den som arbetar i en verksamhet som för en forskningsdatabas får ta del av personuppgifter i verksamheten med forskningsdatabasen endast om denne behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter i fråga om forskningsdatabasen. Bestämmelsen är utformad så att den riktar sig omedelbart till den som arbetar i verksamheten. Att obehörigen skaffa sig tillgång till uppgifter kan beivras exempelvis som dataintrång enligt 4 kap. 9 c § brottsbalken. Motsvarande gäller om befattningshavaren använder sin elektroniska åtkomst till forskningsdatabasen för annat syfte än att sköta sina arbetsuppgifter i verksamheten med forskningsdatabasen. Genom bestämmelsen stärks integritetsskyddet i en reglerad forskningsdatabas, vilket i sin tur kan tänkas bidra till att öka allmänhetens förtroende för och benägenhet att vilja delta i forskningsdatabasen. Den föreslagna bestämmelsen bedöms utgöra en sådan specifik eller särskild bestämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att reglera i nationell rätt för att närmare fastställa villkoren för den personuppgiftsansvariges behandling som grundar sig på bl.a. en uppgift av allmänt intresse enligt artikel 6.1 i dataskyddsförordningen. Bestämmelsen syftar till att skydda bl.a. sådana uppgifter som räknas som känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen och bestämmelsen utgör en sådan lämplig och särskild åtgärd som säkerställer den registrerades grundläggande rättigheter och intressen vid behandling för vetenskapliga forskningsändamål. Den får därmed anses förenlig med dataskyddsförordningen.

189

En ny lag om vissa forskningsdatabaser Ds

5.9.2 Intern elektronisk åtkomst

Förslag: Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i verksamheten med en forskningsdatabas. Sådan åtkomst ska begränsas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen.

För att försäkra sig om att den så kallade inre sekretessen efterlevs eller stärks bör det vara ett krav att den personuppgiftsansvarige vidtar åtgärder för att skydda de registrerades integritet. En sådan åtgärd är möjligheten att begränsa de anställdas och eventuella uppdragstagares elektroniska åtkomst till personuppgifter i en forskningsdatabas. Med elektronisk åtkomst menas möjligheten att elektroniskt bereda sig tillgång till personuppgifter som finns elektroniskt tillgängliga i en verksamhet. Även reglering av denna åtkomst kan bidra till att skapa ett faktiskt skydd och samtidigt öka förtroendet för att integritetsskyddet är gott i en forskningsdatabas. Det föreslås mot den bakgrunden att det i lagen också införs en bestämmelse enligt vilken det åligger den personuppgiftsansvarige att bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i en forskningsdatabas, samt att begränsa åtkomsten till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter i fråga om forskningsdatabasen. Det är alltså bara de anställda och uppdragstagare hos det personuppgiftsansvariga lärosätet som ska sköta den verksamhet som avser själva hanteringen av registret, t.ex. arbetsuppgifter som innebär ett införande av uppgifter i registret eller utlämnande av uppgifter från registret, som ska få ha elektronisk åtkomst till personuppgifterna. Med uppdragstagare kan avses personuppgiftsbiträde. En motsvarande bestämmelse finns i 4 kap. 2 § patientdatalagen och anges i förarbetena ställa tydliga krav på vårdgivaren i fråga om behörighetssystem. Det poängteras att syftet med bestämmelsen är att inpränta skyldigheten för den ansvariga vårdgivaren att göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare information olika personalkategorier och olika slags

190

Ds En ny lag om vissa forskningsdatabaser

verksamheter behöver. 132 Som nämnts ovan kan inte verksamheten med att föra en forskningsdatabas jämföras med den verksamhet som bedrivs inom vården. Verksamheten med att föra en forskningsdatabas kommer rimligen bara att omfatta en snävare krets av befattningshavare, anställda och uppdragstagare. Även i arbetet med att föra en forskningsdatabas kan det emellertid anses finnas behov av ett tydligt regelverk när det gäller frågan om behörighetssystem. Ett krav på aktiva och tydliga behörighetstilldelningar underlättar exempelvis för den personuppgiftsansvarige att hålla verksamheten skild från eventuell forskning baserad på uppgifter i forskningsdatabasen som bedrivs inom samma lärosäte. I avsnitt 5.14.2 nedan behandlas frågan om forskare i ett forskningsprojekt ska kunna ha elektronisk åtkomst till personuppgifter i en forskningsdatabas genom direktåtkomst. Där kommer också den situationen att beröras att det kan vara fråga om ett forskningsprojekt som finns vid samma lärosäte som det forskningsdatabasen hör till. Även i arbetet med att föra en forskningsdatabas finns det behov av ett tydligt regelverk när det gäller frågan om behörighetssystem. I praktiken kommer det att handla om en skyldighet för den personuppgiftsansvarige att ta ställning till vilken närmare information varje befattningshavare faktiskt behöver för att kunna utföra sina arbetsuppgifter och begränsa tillgången utifrån detta. Exempelvis kan den personuppgiftsansvariga ta ställning till om tillgången till kodnycklar eller vissa särskilt känsliga delar av databasen ska kräva en särskild behörighetsnivå. Bestämmelsen får, mot bakgrund av vad som angetts i föregående avsnitt, anses förenlig med och tillåten enligt dataskyddsförordningen.

5.9.3 Kontroll av elektronisk åtkomst

Förslag: Den personuppgiftsansvarige ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Vidare ska den personuppgiftsansvarige göra systematiska och återkommande kontroller av dokumentationen i syfte att

132 Prop. 2007/08:126 s. 148 f.

191

En ny lag om vissa forskningsdatabaser Ds

kontrollera om någon obehörigen kommit åt personuppgifter i forskningsdatabasen.

Ytterligare en åtgärd som kan stärka integritetsskyddet inom organisationen där verksamheten med forskningsdatabasen sker är att den elektroniska åtkomsten till personuppgifterna i forskningsdatabasen dokumenteras och kan kontrolleras. En bestämmelse om det bör finnas i ramlagen. Genom dokumentationen, så kallad loggning, skapas den behandlingshistorik som behövs för att kunna ta ställning till om en otillåten åtkomst har ägt rum. Det måste därför, av denna, gå att utläsa den information som behövs för att historiken ska kunna ligga till grund för den systematiska och återkommande kontrollen av obehörig åtkomst. För att loggningen ska ha avsedd integritetsskyddande effekt bör det även åligga den personuppgiftsansvarige att göra systematiska och återkommande kontroller av om någon obehörigen kommit åt personuppgifter i forskningsdatabasen. Det ska alltså inte vara tillräckligt att göra kontroller endast när obehörig åtkomst misstänks. Vetskapen om att det genomförs sådana systematiska och återkommande kontroller kan tänkas tjäna som en påminnelse till anställda och uppdragstagare vid forskningsdatabasen om vikten av att endast ta del av sådana personuppgifter som behövs för att fullgöra sina arbetsuppgifter och då utgöra ett slags incitament att följa det som åligger dem i fråga om dataskydd. Bestämmelsen får, mot bakgrund av vad som angetts i föregående avsnitt, anses förenlig med och tillåten enligt dataskyddsförordningen.

5.10 Rättelse

Bedömning: Att den registrerade har rätt att få sina personuppgifter rättade framgår av dataskyddsförordningens bestämmelser. Den nu föreslagna lagen behöver därför inte innehålla någon bestämmelse därom. Inte heller finns det behov av att i lagen införa något undantag från rätten till rättelse.

192

Ds En ny lag om vissa forskningsdatabaser

Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige, utan onödigt dröjsmål, få felaktiga personuppgifter som rör denne rättade. Den registrerade ska därutöver, med beaktande av ändamålet med behandlingen, ha rätt att komplettera ofullständiga personuppgifter. En motsvarande bestämmelse i den nu föreslagna lagen skulle innebära en dubbelreglering i förhållande till dataskyddsförordningen och bedöms därför inte nödvändig. Lagen ska därför inte innehålla någon bestämmelse om rätt till rättelse. Om personuppgifter behandlas för forskningsändamål får det enligt artikel 89.2 i dataskyddsförordningen föreskrivas undantag från rätten till rättelse. Så får emellertid ske bara i den utsträckning som en sådan rättighet sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet och sådana undantag krävs för att uppnå forskningsändamålet. Regeringen har i propositionen Behandling av personuppgifter för forskningsändamål gjort bedömningen att något generellt undantag från rätten till rättelse vid personuppgiftsbehandling för forskningsändamål i enlighet med den möjlighet till nationell reglering som finns i artikel 89.2 i dataskyddförordningen inte heller ska införas i svensk rätt. 133 Något undantag har följaktligen inte införts. Enligt artikel 5.1 d i dataskyddsförordningen gäller som en grundläggande princip vid personuppgiftsbehandling att uppgifterna ska vara riktiga och om nödvändigt uppdaterade. Det åligger därför den personuppgiftsansvarige att självmant vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Som regeringen anförde i den ovan nämnda propositionen ligger det i forskningens intresse att den baseras på uppgifter som är riktiga för att de resultat som den resulterar i ska bli rättvisande och rätt slutsatser kunna dras. 134 Det övergripande ändamålet med personuppgiftsbehandlingen i en sådan forskningsdatabas som regleras genom den föreslagna lagen är att skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, och lämna ut uppgifter till flera olika forskningsprojekt inom för forskningsdatabasen angivna forskningsområden. De insamlade personuppgifterna kom-

133 Prop. 2017/18:298 s. 121 ff. 134 Prop. 2017/18:298 s. 123.

193

En ny lag om vissa forskningsdatabaser Ds

mer alltså att användas i forskning. Det bör därför, även när det gäller personuppgiftsbehandling i en forskningsdatabas, ligga i såväl den personuppgiftsansvariges som de forskares, till vilka uppgifter så småningom lämnas ut, intresse att uppgifterna är riktiga och i slutändan genererar rättvisande resultat i forskningen. Rätten till rättelse får dessutom anses vara av vikt för att de registrerade ska kunna tillvarata sina intressen. Att de registrerade har en rätt till rättelse och utnyttjar denna kan inte sägas göra det omöjligt eller mycket svårare att uppfylla ändamålen med personuppgiftsbehandlingen i en forskningsdatabas. Undantag från denna rätt bedöms därför inte nödvändiga för att uppnå ändamålet med behandlingen. Något undantag från rätten till rättelse bör därför inte införas i lagen.

5.11 Radering

Förslag : I lagen införs en bestämmelse om att den registrerade har rätt att när som helst begära att uppgifter om denne raderas från forskningsdatabasen. Vid en sådan begäran ska den personuppgiftsansvarige vara skyldig att radera personuppgifterna så snart som möjligt.

Den registrerades rätt till radering (rätt att bli bortglömd) framgår av artikel 17 i dataskyddsförordningen. Enligt denna bestämmelse har den registrerade rätt att få sina personuppgifter raderade om någon av ett antal uppräknade situationer föreligger. Situationer av intresse här är enligt artikel 17.1 dels a) personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats, dels b) den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det inte finns någon annan rättslig grund för behandlingen. I LifeGene-lagen fanns tidigare en bestämmelse om den registrerades rätt att när som helst begära att personuppgifter om denne utplånades, vilket skulle ske enligt ett visst förfarande. Vid revideringen i samband med dataskyddsförordningens införande bedömdes emellertid den bestämmelsen innehålla otillåtna avvikelser från

194

Ds En ny lag om vissa forskningsdatabaser

artikel 17 i det att rätten till utplåning var ovillkorlig till skillnad från rätten till radering enligt artikel 17. Enligt artikel 17.3 gäller inte rätten till radering om behandlingen är nödvändig för bland annat d) vetenskapliga eller historiska forskningsändamål i den utsträckning som rätten till radering sannolikt omöjliggör eller avsevärt försvårar att syftet med behandlingen uppnås. I avsnitt 4.4. har bedömts att samtycke inte bör vara den rättsliga grunden för verksamheten med forskningsdatabasen utan att personuppgiftsbehandlingen i verksamheten ska åberopa den rättsliga grunden uppgift av allmänt intresse och att den registrerades frivilliga medverkan och samtycke i stället ska ha funktionen av en integritetshöjande skyddsåtgärd. Som framgått ovan gäller inte rätten till radering vid återkallande av samtycke i en sådan situation. Det förefaller därmed tveksamt vilken rätt till radering av uppgifter som dataskyddsförordningen egentligen ger registrerade i forskningsdatabaser enligt lagen. Under alla förhållanden är rätten inte uttryckligen ovillkorlig utan förutsätter att det görs en bedömning som utmynnar i att en radering sannolikt inte omöjliggör eller avsevärt försvårar uppnående av syftet med behandlingen i en viss forskningsdatabas, dvs. syftet att skapa underlag för flera framtida forskningsprojekt inom ett bestämt forskningsområde och kunna tillhandahålla detta för sådana projekt. Som framgått ovan är det en central utgångspunkt i den föreslagna lagen att registreringen i en forskningsdatabas ska göras med de registrerades frivilliga medverkan. Den frivilligheten riskerar att uppfattas som illusorisk om rätten till radering framstår som osäker; i all synnerhet när det gäller registrerade underåriga som när de blivit vuxna ålder vill få sina uppgifter borttagna från registret är det en otillfredsställande ordning. Något starkt skäl till att en ovillkorlig rätt till radering inte skulle fungera för verksamheter med forskningsdatabaser har inte framkommit. Det bedöms osannolikt att registrerades individuella rätt till radering skulle kunna få sådana proportioner att syftet med forskningsdatabasen omöjliggörs eller avsevärt försvåras. Som sagts ovan innebär dataskyddsförordningen emellertid att det i det enskilda fallet, när en registrerad kräver radering, ska göras bedömningar utifrån artikel 17 i dataskyddsförordningen. Ett tydliggörande i ramlagen av att rätten till radering är ovillkorlig i den

195

En ny lag om vissa forskningsdatabaser Ds

meningen att lagstiftaren på förhand bedömt att det inte är sannolikt att rätten till radering kan få sådana effekter som anges i artikel 17.3 bedöms inte innebära någon egentlig avvikelse från dataskyddsförordningen. I vart fall bedöms det vara en sådan särreglering för att åstadkomma tillräckliga skyddsåtgärder som är tillåten enligt artiklarna 6.2 och 9.2 j i dataskyddsförordningen. Det kan för övrigt nämnas att en liknande bestämmelsen kunnat behållas i patientdatalagen (2008:355) såsom förenlig med dataskyddsförordningen när det gäller nationella och regionala kvalitetsregister inom hälso- och sjukvården, se 7 kap. 2 och 3 §§ patientdatalagen. Mot denna bakgrund föreslås att det i lagen tas in en bestämmelse, som i likhet med vad som tidigare fanns i LifeGene-lagen, anger att den registrerade har rätt att när som helst begära att uppgifter om denne i forskningsdatabasen raderas. Därmed menas att uppgifter tas bort från uppgiftssamlingen och inte längre kan återskapas däri. Den personuppgiftsansvarige ska vara skyldig att radera uppgiften så snart som möjligt.

5.12 Villkor för utlämnande av personuppgifter

5.12.1 Utlämnande till forskningsprojekt

Bedömning: När personuppgifter lämnas ut från en forskningsdatabas till forskning, dvs. forskningsprojekt, inom det eller de forskningsområden som regeringen har föreskrivit att forskningsdatabasen ska skapa underlag för och lämna ut uppgifter till bör det inte föreskrivas begränsningar i ramlagen som innebär förbud mot att lämna ut personuppgifter till andra än forskningshuvudmän som är svenska myndigheter. Förslag: Regeringen kan med stöd av den s.k. restkompetensen enligt regeringsformen meddela föreskrifter om begränsningar vid behandling av personuppgifter för utlämnande. Sådana begränsningar kan avse utlämnande till vissa slags mottagare.

De övergripande ändamålen för behandling av personuppgifter i en forskningsdatabas är, som tidigare angetts, att skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, och lämna ut uppgifter till flera sådana

196

Ds En ny lag om vissa forskningsdatabaser

forskningsprojekt. I avsnitt 5.6 ovan har det utvecklats hur de närmare primära ändamålen för personuppgiftsbehandlingen i en forskningsdatabas ska preciseras. Där har föreslagits att det ska vara regeringens uppgift att med stöd av den s.k. restkompetensen enligt regeringsformen genom föreskrifter i förordning precisera vilket eller vilka forskningsområden som varje enskild forskningsdatabas ska skapa underlag för och lämna ut uppgifter till. Det kommer alltså att vara de för forskningsdatabasen angivna forskningsområdena som utgör ramen för vad som får lämnas ut till forskare. Enligt 6 § första stycket LifeGene-lagen får utlämnande bara ske till forskningsprojekt som bedrivs av myndigheter. Det innebär att forskning vid enskilda forskningshuvudmän inte kan komma ifråga för att bedriva registerforskning baserat på uppgifter från LifeGene. I motiven till begränsningen anfördes att huruvida det i framtiden bör finnas möjlighet att även lämna ut uppgifter till forskning som bedrivs av privata rättssubjekt lämpligen borde utredas av Registerforskningsutredningen. Registerforskningsutredningens förslag innebar att ingen åtskillnad gjordes ifråga om utlämnande till forskning hos myndigheter eller hos privata forskningshuvudmän. Någon 135 närmare motivering till detta lämnades dock inte. Enligt LifeGene-lagen kan inte heller en utländsk forskningshuvudman komma ifråga som mottagare alldeles oavsett om det är ett statligt universitet i det andra landet eller inte. En ytterligare begränsning för forskning som bedrivs utomlands är vidare kravet i LifeGene-lagen på att utlämnande bara får göras till forskning som har godkänts enligt etikprövningslagen, vilken enbart kan omfatta forskning som utförs i Sverige. I denna promemoria görs emellertid bedömningen att lagen inte bör särbehandla forskning som bedrivs hos offentliga eller privata forskningshuvudmän eller svenska och utländska dito. Det är en annan sak att det kan behöva göras särskilda överväganden hos den personuppgiftsansvariga för databasen när det kommer framställningar från forskare vid privata forskningshuvudmän eller forskningshuvudmän som inte är svenska. Den begärande forskningshuvudmannen måste kunna visa vid sin ansökan till forskningsdatabasen att utlämnade personuppgifter får ett fortsatt fullgott integritetsskydd efter mottagandet, i all synnerhet om denne inte är myndighet eller är en utländsk aktör.

135 SOU 2014:45 s. 435 f. och 523 f.

197

En ny lag om vissa forskningsdatabaser Ds

När det gäller forskningshuvudmän som är svenska myndigheter kommer sekretessregleringen för personuppgifterna i forskningsdatabasen att överföras till forskningshuvudmannen enligt promemorians förslag i avsnitt 8.1. Vidare föreslås i avsnitt 8.2. en bestämmelse om tystnadsplikt för forskningshuvudmän som inte är myndigheter och inte heller annars har att tillämpa offentlighets- och sekretesslagen enligt föreskrifter meddelade enligt 2 kap. 4 § OSL. När det gäller förfrågningar från forskare vid utländska forskningshuvudmän, måste den personuppgiftsansvariga för forskningsdatabasen noggrant skaffa sig sådan information som kan motivera slutsatsen att uppgifterna får ett motsvarande gott skydd hos mottagaren (se vidare nästa avsnitt). Härutöver föreslås att regeringen, med stöd av den s.k. restkompetensen enligt regeringsformen, ska kunna begränsa personuppgiftsbehandlingen som görs för att lämna ut personuppgifter, exempelvis genom att meddela föreskrifter om restriktioner ifråga om utlämnande till forskare vid privata eller utländska forskningshuvudmän.

5.12.2 Etikgodkännande

Förslag: Om forskningen omfattas av etikprövningslagens krav på etikprövning, får utlämnande bara göras om både forskningen och behandlingen av personuppgifter i forskningen först har godkänts enligt nämnda lag. Om forskningen ska utföras i annat land men hade omfattats av etikprövningslagens krav på etikprövning om den skett i Sverige, får utlämnande bara göras om forskningen har granskats etiskt och godkänts i ett motsvarande förfarande i det andra landet. Bedömning: Utlämnande av personuppgifter till sådan forskning som inte omfattas av etikprövningslagens tillämpningsområde kan inte anses innefatta sådana risker för de registrerades integritet att krav på etikgodkännande är nödvändigt trots att behandlingen av personuppgifter som sådan inte hade krävt etikprövning enligt gällande rätt. Etikprövningslagens tillämpningsområde bör därför inte utvidgas till att också omfatta forskning som innefattar all behandling av uppgifter som samlas in från en forskningsdatabas.

198

Ds En ny lag om vissa forskningsdatabaser

Även om de uppgifter som lämnas ut från forskningsdatabasen, som huvudregel, kommer att vara pseudonymiserade (se vidare i avsnitt 5.13) kan utlämnandet till ett forskningsprojekt komma att innefatta risker för de registrerades personliga integritet. Den risken är särskilt stor i fall då utlämnandet avser känsliga personuppgifter, vilket ofta kommer att vara fallet såvitt nu kan bedömas. För att de registrerade ska kunna känna sig trygga med att deras känsliga personuppgifter omgärdas av ett starkt integritetsskydd även när uppgifterna lämnar forskningsdatabasen och lämnas ut till olika forskningsprojekt bör det därför ställas höga krav på skyddet i dessa forskningsprojekt. Ett naturligt och i sammanhanget lämpligt sätt att säkerställa att de registrerades känsliga personuppgifter hanteras säkert även vid den fortsatta behandlingen i sådana forskningsprojekt som får ut sådana uppgifter är att kräva att dessa forskningsprojekt har godkänts vid etikprövning enligt etikprövningslagen. Etikprövningslagen ska, enligt 3 §, tillämpas på forskning som innefattar behandling av känsliga personuppgifter enligt definitionen i artikel 9.1 i dataskyddsförordningen, liksom av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Vad gäller uppgifter om lagöverträdelser m.m. är dessa beskrivna på sådant sätt att de omfattar något fler uppgiftsslag än vad som följer av artikel 10 i dataskyddsförordningen. Enligt 4 § gäller lagen även forskning som involverar ett fysiskt ingrepp på forskningspersonen eller använder en metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt, eller forskning som utförs på biologiskt material som har tagits från en fysisk person och kan härledas till denna person. Enligt etikprövningslagen får forskning bara godkännas om den kan utföras med respekt för människovärdet. Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför samhällets och vetenskapens behov. Vidare gäller för godkännande att de risker som forskningen kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Forskning får inte heller godkännas om det för-

199

En ny lag om vissa forskningsdatabaser Ds

väntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet. Behandling av sådana personuppgifter som avses i 3 § får dessutom godkännas bara om den är nödvändig för att forskningen ska kunna utföras. Det ställs också krav på vetenskaplig kompetens hos forskaren. Det nu sagda framgår av 7 – 11 § etikprövningslagen. Etikprövningen innefattar alltså en prövning som får anses uppfylla dataskyddsförordningens krav på en objektiv bedömning av de risker som den fortsatta personuppgiftsbehandlingen i forskningsprojekt som får ut känsliga personuppgifter från en forskningsdatabas kan medföra för den registrerades rättigheter och friheter enligt förordningen. Att uppställa krav på etikgodkännande enligt etikprövningslagen för sådana forskningsprojekt som begär och får ut känsliga personuppgifter från en forskningsdatabas bedöms följaktligen vara en sådan i nationell rätt fastställd och lämplig åtgärd som artikel 9.2 j i dataskyddsförordningen kräver vid nödvändig behandling av känsliga personuppgifter för forskningsändamål. Etikprövningslagens krav på etisk granskning och godkännande gäller emellertid bara forskning som ska utföras i Sverige (5 §). Det kan inträffa att forskningshuvudmän från andra länder, exempelvis universitet i andra medlemsstater i Europeiska unionen, kan komma att ansöka om att få tillgång till uppgifter i en forskningsdatabas. En av tankarna med dataskyddsförordningen är att det enhetliga regelverket ska skapa möjlighet till ett fritt flöde av personuppgifter inom unionen. Lagen bör inte särbehandla andra medlemsstaters lärosäten negativt och inte heller tredje länders lärosäten utan skäl. Det är centralt att det i dessa fall av internationella förfrågningar finns en motsvarande etisk granskning av forskningen och godkännande till personuppgiftsbehandlingen i forskningsprojektet som hade krävts om forskningen utfördes i Sverige. En sådan bestämmelse bör därför införas i lagen. Det ska dock här erinras om de särskilda bestämmelser i dataskyddsförordningen som gäller i fråga om överföring av personuppgifter till tredje länder (artiklarna 44 – 50). Dessa bestämmelser gäller givetvis även för personuppgifter i en forskningsdatabas. Se även det i föregående avsnitt sagda om sekretess för personuppgifter i verksamheten med forskningsdatabaser och den bedömning som måste göras av det personuppgiftsansvariga lärosätet vid varje utlämnande till ett forskningsprojekt.

200

Ds En ny lag om vissa forskningsdatabaser

Motsvarande krav på etisk granskning bedöms dock inte nödvändigt som en ytterligare skyddsåtgärd för sådana personuppgifter som lämnas ut från en forskningsdatabas till forskningsprojekt som inte innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser. Det sagda gäller oavsett om forskningen ska ske i Sverige eller inte. För dessa får i stället en bestämmelse om att utlämnade uppgifter som huvudregel ska vara pseudonymiserade samt den föreslagna sekretessregleringen (se avsnitt 5.13 och avsnitt 8.1 samt 8.2) utgöra tillräckliga åtgärder för att tillgodose behovet av fortsatt integritetsskydd för dessa uppgifter efter utlämnande. Det behövs därför inte – såsom Forskningsdatautredningen föreslog – någon utvidgning av etikprövningslagen till att också omfatta forskning som innefattar all behandling av uppgifter som samlas in från en forskningsdatabas. I praktiken torde det dock så gott som aldrig förekomma att den planerade behandlingen av personuppgifter som ett forskningsprojekt mottagit från en forskningsdatabas inte skulle vara av det slag som kräver etikprövning. Det kan i detta sammanhang nämnas att förordningen (2003:615) om etikprövning av forskning som avser människor innehåller en möjlighet för forskning som inte omfattas av etikprövningslagen att begära och få ett rådgivande yttrande från Etikprövningsnämnden (4 a och 4 b §§). Detta är en helt frivillig åtgärd som ökar möjligheten att få en studie publicerad i vetenskaplig skrift. Även ett forskningsprojekt som erhållit ett sådant rådgivande yttrande bör kunna få ut personuppgifter från en forskningsdatabas. Det bör emellertid inte vara något krav för att kunna begära och få ut uppgifter från en forskningsdatabas.

5.12.3 Utredning om oredlighet i forskning m.m.

Förslag: Personuppgifter ska också få lämnas ut till forskningshuvudmannen för ett forskningsprojekt som fått uppgifter från forskningsdatabasen, om det behövs för att utreda oredlighet i forskning eller annan avvikelse från god forskningssed.

Lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning innehåller bestämmelser om forskares och forskningshuvudmäns ansvar för att forskning utförs i enlighet med

201

En ny lag om vissa forskningsdatabaser Ds

god forskningssed. Någon definition av begreppet god forskningssed finns inte i lag eller annan författning, utan vad som avses med detta kan variera mellan olika forskningsområden och fastställs vanligen genom kodexar eller policydokument. Vanligen anges i dessa hur forskaren ska agera för att handla etiskt riktigt, såväl innan forskningen genomförs som under och efter genomförandet. Frågor om oredlighet i forskning, dvs. en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering, prövas enligt 7 § i lagen av en särskild nämnd. Det ligger därvid såväl i forskningshuvudmannens som i nämndens intresse att uppgifter i en forskningsdatabas, som legat till grund för och använts i det forskningsprojekt som är föremål för utredning, kan åtkommas för kontroll och granskning av forskningen. Enligt 12 § åligger det forskningshuvudmannen att lämna de upplysningar och handlingar om forskningen som nämnden begär. Det är alltså forskningshuvudmannen för det forskningsprojektet som utreds av nämnden som är skyldig att lämna upplysningar m.m. Denna forskningshuvudman kan också vara den som initierar ett ärende hos nämnden efter det att misstanke om oredlighet uppkommit hos forskningshuvudmannen och viss utredning skett. Vid utredningar om oredlighet i forskning kan forskningsmaterial granskas och däri ingående personuppgifter behandlas. I den ovannämnda lagen finns bestämmelser om personuppgiftsbehandling hos nämnden och forskningshuvudmän för de aktuella forskningsprojekt som utreds. Det torde kunna inträffa att en forskningshuvudman som ska yttra sig till nämnden kan behöva få uppgifter från forskningsdatabasen om utlämnade personuppgifter, exempelvis för att kunna rekonstruera åtgärder i projektet. Det kan inte heller uteslutas att nämnden i sin utredning efterfrågar uppgifter från forskningshuvudmannen som i sin tur leder till förfrågningar till forskningsdatabasen som tidigare har lämnat ut uppgifter till ett för oredlighet misstänkt projekt. Vidare har forskningshuvudmän enligt 1 kap. 3 a § högskolelagen (1992:1434) och 1 kap. 17 § högskoleförordningen (1993:100) ansvar för att pröva andra avvikelser från god forskningssed än de som ska prövas av nämnden för oredlighet i forskning. Även detta kan föranleda utredning som leder till behov av att kunna få tillgång till samma uppgifter som tidigare lämnats ut till ett forskningsprojekt som utreds.

202

Ds En ny lag om vissa forskningsdatabaser

Intresset av att misstankar om oredlighet vid forskning och andra avvikelser från god forskningssed kan utredas grundligt är så pass starkt att det bör vara möjligt för ansvariga för forskningsdatabasen att tillmötesgå sådana framställningar från forskningshuvudmannen för det ifrågasatta forskningsprojektet. Det ligger i de registrerades intressen att deras uppgifter bara används i forskning som är seriös och lever upp till den vetenskapliga trovärdighet och goda forskningssed som de registrerade likväl som allmänheten helt rimligt förväntar sig. Den föreslagna lagen om vissa forskningsdatabaser bör därför innehålla en bestämmelse som möjliggör utlämnande till en forskningshuvudman för att uppgifterna ska kunna granskas i en utredning av oredlighet i forskningen eller annan avvikelse från god forskningssed. Bestämmelsen bör inte begränsas till bara offentliga forskningshuvudmän som omfattas av högskolelagstiftningen och den ovan nämna regleringen kring den särskilda prövningen av oredlighet vid forskning. Även om privata forskningshuvudmän står utanför nämnda system har de ett starkt intresse av att kunna utreda och gå till botten med likartade misstankar om forskningsfusk m.m. i den egna forskningsverksamheten.

5.12.4 Uppgiftsskyldighet

Förslag: Personuppgifter ska utöver de fall som anges i lagen få lämnas ut bara om det finns en skyldighet enligt lag eller förordning att göra det. Bedömning: Både tryckfrihetsförordningen och dataskyddsförordningen medför en skyldighet att på begäran lämna ut personuppgifter till den registrerade själv. Detta behöver inte särskilt anges i lagen.

För att undvika konflikter med eventuell annan lagstiftning som innebär en uppgiftsskyldighet bör uppgifter också få lämnas ut om det finns en skyldighet enligt lag eller förordning att göra det. Ett exempel på sådan uppgiftsskyldighet är offentlighetsprincipen i tryckfrihetsförordningen, men också särskilt föreskriven uppgiftsskyldighet mellan myndigheter. Lagen bör därför innehålla en

203

En ny lag om vissa forskningsdatabaser Ds

bestämmelse om möjligheten att lämna ut uppgifter också om sådan uppgiftsskyldighet föreligger. Enligt artikel 15.1 i dataskyddsförordningen har den registrerade rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör denne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss ytterligare information. I artikel 15.3 anges vidare att den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. Det finns alltså redan en reglering i dataskyddsförordningen som ger den registrerades rätt att från en forskningsdatabas få ut registrerade personuppgifter om denne själv. Även offentlighets- och sekretesslagen innehåller en bestämmelse om att sekretess till skydd för en enskild inte gäller i förhållande till den enskilde själv (12 kap. 1 § OSL). I sin tur medför det att tryckfrihetsförordningen ger registrerade rätt att få ut allmänna handlingar med personuppgifter. Personuppgifterna i verksamhet med en forskningsdatabas kommer att finnas i sådana handlingar. Frågan är, mot den nu angivna bakgrunden, om det i den nu föreslagna lagen finns behov av en bestämmelse om den registrerades rätt att utfå uppgifter om denne själv eller om detta skulle innebära en onödig dubbelreglering. I 7 § tredje stycket LifeGene-lagen stadgas att personuppgifter som har registrerats enligt lagen alltid får lämnas ut till den registrerade själv. I samband med att LifeGene-lagen anpassades till dataskyddsförordningens bestämmelser bedömde lagstiftaren att 7 § utgjorde en tillåten nationell bestämmelse enligt artikel 6.2 och 6.3 i dataskyddsförordningen och därför kunde kvarstå oförändrad. 136 Som tidigare nämnts bör ändamålsbestämningen i den föreslagna lagen utformas så att den är uttömmande på så sätt att finalitetsprincipen inte gäller. Det behöver därför framgå uttryckligen av lagen i vilka situationer, dvs. för vilka ändamål, utlämnande av personuppgifter får ske. Även visavi den registrerade själv är det fråga om ett utlämnande. Som framgått ovan finns redan två centrala och generella regelverk som innebär en skyldighet, en uppgiftsskyldighet, för det personuppgiftsansvariga läroverket att lämna ut personuppgifter till den registrerade själv. Till det kommer vad som i avsnitt 5.14 föreslås om

136 Prop. 2017/18:298 s. 173.

204

Ds En ny lag om vissa forskningsdatabaser

att det i lagen ska införas en bestämmelse som tillåter att lärosätet ger registrerade direktåtkomst till sina personuppgifter. Mot denna bakgrund bedöms möjligheten att lämna ut personuppgifter till den registrerade själv vara tillräckligt reglerad. En särskild bestämmelse skulle alltså framstå som en onödig dubbelreglering.

5.13 Pseudonymiserade uppgifter m.m.

5.13.1 Pseudonymisering och likvärdigt skydd

Förslag: Utlämnande till forskningsprojekt och till forskningshuvudmän i samband med utredning om oredlighet vid forskning m.m. får som huvudregel bara avse personuppgifter som är pseudonymiserade eller skyddade på likvärdigt sätt. Personuppgifter får dock vara direkt identifierbara vid utlämnandet, om det är nödvändigt för att uppfylla ändamålet med den forskning eller den utredning som uppgifterna ska lämnas ut till. Regeringen kan med stöd av den s.k. restkompetensen meddela föreskrifter om begränsningar vid behandling av personuppgifter för utlämnande. Sådana begränsningar kan avse utrymmet att lämna ut identifierbara personuppgifter.

Med begreppet pseudonymisering avses enligt artikel 4.5 i dataskyddsförordningen att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. Dessa kompletterande uppgifter ska, enligt nyss nämnda bestämmelse, förvaras separat och vara föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Av artikel 89.1 framgår att skyddsåtgärder vid personuppgiftsbehandling får inbegripa pseudonymisering under förutsättning att ändamålen kan uppfyllas på det viset. I artikel 32.1 anges vidare att den personuppgiftsansvarige, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet bl.a. pseudonymisering.

205

En ny lag om vissa forskningsdatabaser Ds

I praktiken fungerar pseudonymisering på det vis som beskrivs i dataskyddsförordningen, nämligen att det i stället för identifierbara personuppgifter lämnas ut en beteckning som hos den personuppgiftsansvarige kan kopplas till den registrerades personnummer eller motsvarande identitetsbeteckning. Uppgifter som möjliggör identifiering ska alltså förvaras separat hos den personuppgiftsansvarige, och en s.k. kodnyckel kan användas för att ersätta direkta identifierare såsom personnummer eller namn. Som alternativ till pseudonymisering med kodnyckel kan det finnas andra skyddsåtgärder som uppfyller samma syfte, dvs. att tillse att det i det forskningsprojekt som får ut personuppgifter inte går att sammankoppla uppgifterna med de registrerades identiteter. Därmed kan ett likvärdigt eller t.o.m. bättre skydd ges än vid pseudonymisering med kodnyckel. Exempel på sådana åtgärder är olika typer av randomisering eller generalisering. 137 Med att ett alternativ till pseudonymisering ska vara likvärdigt menas att det bör åligga den personuppgiftsansvarige att välja en skyddsåtgärd som, i samma utsträckning som pseudonymisering, uppfyller kravet på att förhindra att den registrerade sammankopplas med sina identifierbara personuppgifter. Vetskapen hos en registrerad om att de personuppgifter angående denne som samlas in i en forskningsdatabas, vid utlämnande till forskningsprojekt, som huvudregel inte kommer att kunna enkelt kopplas ihop med denne, kan förväntas bidra till en ökad känsla av trygghet kring den behandling av personuppgifter som sker i forskningsdatabasen och efter vidareföring. Nämnda trygghet kan dessutom tänkas öka benägenheten hos enskilda att vilja delta i verksamheten med en forskningsdatabas. Kravet på att personuppgifter som lämnas ut från en forskningsdatabas, som huvudregel, ska vara pseudonymiserade får därför sägas ägnade att dels minska oro för integritetsriskerna hos de registrerade, dels hjälpa de personuppgiftsansvariga att bedriva verksamheten med forskningsdatabaserna och fullgöra sina skyldigheter i fråga om dataskydd. I merparten av de forskningsprojekt som kan tänkas vilja få ut personuppgifter från en forskningsdatabas kommer direkt identifikation att vara ointressant. Det är dessutom, i redan nu befintliga forskningsdatabaser, såsom LifeGene och Tvillingregistret, vanligt att personuppgifter lämnas ut från registren i kodad eller pseudony-

137 En närmare utveckling av dessa åtgärder finns i avsnitt 12.3.3 i SOU 2017:50.

206

Ds En ny lag om vissa forskningsdatabaser

miserad form. Ett krav på pseudonymisering av eller likvärdigt skydd för de personuppgifter som lämnas ut från en forskningsdatabas kan mot den bakgrunden inte sägas inverka menligt på de forskningsprojekt som forskningsdatabaserna är tänkta att skapa resurser för. Pseudonymisering vid utlämnanden är alltså en ytterligare skyddsåtgärd för att värna de registrerades integritet. Anledningen är den risk för onödigt intrång i de registrerades integritet som skulle kunna uppstå om deras identiteter i forskningsprojekten till vilka uppgifterna lämnas ut kan sammankopplas med deras utlämnade personuppgifter Mot denna bakgrund förefaller det vara en lämplig huvudregel att personuppgifter som lämnas ut från en forskningsdatabas till forskningsprojekt eller i samband med utredning om oredlighet vid forskning inte får vara direkt identifierbara. I stället bör dessa kunna vara pseudonymiserade eller skyddade på ett annat likvärdigt sätt. I det arbete med att överväga anpassningar på forskningsområdet som dataskyddsförordningens införande föranledde gjordes bedömningen att ett generellt krav på pseudonymisering på forskningsområdet skulle innebära en dubbelreglering i förhållande till dataskyddsförordningen, främst artikel 89, som var olämplig. Däremot behölls bestämmelsen i LifeGene-lagen om att utlämnade uppgifter ska vara pseudonymiserade och som i allt väsentligt motsvarar de bestämmelser som föreslås här, se 6 § andra stycket. Dessa bestämmelser ansågs inte oförenliga med dataskyddsförordningen. 138 I likhet med vad som framgår av nyssnämnda förarbeten görs i denna promemoria den bedömningen att införandet av en specifik särreglering ifråga om pseudonymisering vid utlämnanden från forskningsdatabaser till forskningsprojekt och till forskningshuvudmän i samband med utredning om misstänkt oredlighet vid forskning är en tillåten nationell särreglering i förhållande till dataskyddsförordningen enligt artiklarna 6.2, 9.1 j och 89.1. Det bör därför införas en bestämmelse i lagen om pseudonymisering som huvudregel i dessa situationer. Den ska även omfatta annat likvärdigt skydd.

138 Prop. 2017/18 :298 s. 172 f.

207

En ny lag om vissa forskningsdatabaser Ds

Undantag från kravet på pseudonymisering eller likvärdigt skydd

Som nämnts i föregående avsnitt finns det utrymme att vid behandling för bl.a. vetenskapliga eller historiska forskningsändamål välja att inte tillämpa pseudonymisering. Det kan, som också Forskningsdatautredningen påpekat 139 , finnas vissa forskningsmetoder där identifierande personuppgifter, såsom personnummer, måste bevaras och/eller behandlas i själva forskningen. Forskningsmetoden kan i dessa fall utgöra det minst ingripande sättet att uppnå det förväntade resultatet. Det kan också förhålla sig på det viset att forskningens vetenskapliga värde väger upp integritetsrisken för den enskilde. Praktiskt vanligt exempel på när ett forskningsprojekt kan ha önskemål om namn eller personnummer är när det i forskningsplanen ingår att kontakt ska tas med de registrerade eller ett urval av dem. Ett annat kan vara att vissa uppgifter ska kontrolleras mot uppgifter från de registrerades patientjournal Det bör därför finnas en möjlighet att frångå den nyss föreslagna huvudregeln. Möjligheten innebär att personuppgifter som lämnas ut från en forskningsdatabas får vara direkt identifierbara personuppgifter, om det är nödvändigt för att uppfylla ändamålet med den forskning uppgifterna ska lämnas ut till. Även när det gäller utredningar om oredlighet i forskning kan det, för utredningens skull, finnas behov av tillgång till sådana personuppgifter även om det inte torde vara det vanliga. 140 Lagen bör därför innehålla en bestämmelse om dessa möjligheter. För tolkning av vad som här avses med kravet på nödvändighet bör ledning sökas i dataskyddsförordningens skäl 39, där det anges att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Detsamma bör följaktligen gälla för möjligheten att från en forskningsdatabas lämna ut uppgifter som inte är pseudonymiserade eller skyddade på likvärdigt sätt, nämligen att detta endast får ske om ändamålet med den aktuella forskningen inte rimligen kan uppnås på annat sätt. Det ankommer på den personuppgiftsansvarige att, vid en ansökan om utlämnande av icke pseudonymiserade eller likvärdigt skyddade personuppgifter, pröva om det föreligger en sådan nödvändig-

139 Se SOU 2017:50 s. 288 och SOU 2018:36 s. 318 f. 140 Prop. 2019/20:7 s 25.

208

Ds En ny lag om vissa forskningsdatabaser

het. För det fall det aktuella forskningsprojektet omfattas av etikprövningslagen, och även behandlingen av personuppgifter i forskningsprojektet blir föremål för etikprövning kommer nämnda prövning att innefatta en sådan intresseavvägning mellan å ena sidan forskningens vetenskapliga värde och, å andra sidan, integritetsrisken för den enskilde (jfr 10 § etikprövningslagen). Etikprövningsnämndens bedömning kan då tjäna som utgångspunkt för den personuppgiftsansvariges bedömning. Vidare föreslås att det ska tydliggöras att regeringen med stöd av den s.k. restkompetensen enligt regeringsformen kan meddela föreskrifter i förordning för forskningsdatabaser som begränsar utrymmet att lämna ut identifierbara personuppgifter.

5.13.2 Sambearbetning

Förslag: Om personuppgifter som lämnats ut är pseudonymiserade eller skyddade på likvärdigt sätt, får kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, lämnas ut till en annan myndighet, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till det forskningsprojekt som utlämnande har gjorts till.

I de forskningsdatabaser som nu föreslås bli föremål för reglering kommer det att vara tillåtet att, utöver personuppgifter som samlas in direkt från enskilda, också samla in uppgifter från andra källor, såsom myndighetsregister, för att i viss utsträckning komplettera de primärt insamlade uppgifterna. Det kommer emellertid ofta finnas intresse från de forskningshuvudmän som får personuppgifter utlämnade från en forskningsdatabas att själva komplettera insamlingen av uppgifter till sina forskningsprojekt med uppgifter från ett myndighetsregister, exempelvis från Socialstyrelsens hälsodataregister. Möjligheten att sambearbeta – dvs. att direkt överföra uppgifter från en forskningsdatabas till ett myndighetsregister ger möjlighet att lägga samman uppgifter från dessa olika uppgiftssamlingar för att nå ny kunskap. Forskare kan därigenom hitta samband och förklara

209

En ny lag om vissa forskningsdatabaser Ds

uppkomsten av olika problem, t.ex. orsaken till olika sjukdomar. Skulle det inte vara möjligt att kombinera uppgifterna i en forskningsdatabas med andra uppgifter skulle alltså ett viktigt syfte med forskningsdatabaserna, alltså att utgöra en resurs för olika forskningsprojekt, kunna gå förlorad. De personuppgifter som lämnas ut från en forskningsdatabas till ett forskningsprojekt föreslås som huvudregel vara pseudonymiserade eller skyddade på annat likvärdigt sätt. För att möjliggöra senare uppdatering av uppgifterna måste den personuppgiftsansvarige ha ett system som gör att denne senare kan koppla utlämnade uppgifter till identifierbara uppgifter i forskningsdatabasen. Vänder sig ett forskningsprojekt till en annan myndighet för att få ut kompletterande uppgifter från ett visst myndighetsregister, är det viktigt att de uppgifter som fås ut därifrån kan kopplas till samma personuppgifter som ursprungligen lämnats ut till forskningsprojektet. Den myndighet som för det aktuella myndighetsregistret måste för detta syfte ha identifierbara personuppgifter och/eller en kodnyckel. Det bör i den angivna situationen, dvs. om personuppgifter som lämnats ut pseudonymiserade eller skyddade på likvärdigt sätt, finnas en möjlighet att till en annan myndighet lämna ut kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till det forskningsprojekt som utlämnande har skett. Lagen bör därför innehålla en bestämmelse som tillåter utlämnande för det ändamålet. Det kan för övrigt nämnas att en motsvarande bestämmelse redan finns i 7 § andra stycket LifeGene-lagen. De identifierbara personuppgifter som lämnas ut till den andra myndigheten kommer att vara skyddade av sekretess – antingen överförd sådan eller en primär sekretessbestämmelse hos den mottagande myndigheten, se avsnitt 8.1. Handlar det om känsliga personuppgifter kommer forskningsprojektet och dess inhämtande av kompletterande uppgifter från myndighetsregister att ha bedömts och godkänts av Etikprövningsmyndigheten. Utlämnandet kan därför inte sägas innebära en sådan integritetsrisk för de registrerade som berörs att det talar mot en sådan möjlighet.

210

Ds En ny lag om vissa forskningsdatabaser

5.13.3 Förteckning för identifiering (kodnycklar o. dyl.)

Förslag: En förteckning över kompletterande uppgifter som behövs för att identifiera en registrerad ska bevaras hos den personuppgiftsansvarige under så lång tid som den personuppgiftsansvarige anser nödvändigt.

Den stora merparten av de personuppgifter som lämnas ut från forskningsdatabaser kommer, i enlighet med den ovan föreslagna huvudregeln, att vara pseudonymiserade eller skyddade på annat likvärdigt sätt. Flera uppgifter kommer alltså att lämnas ut i kodad form, där personuppgifterna inför utlämning förses med en beteckning som hos den personuppgiftsansvarige kan kopplas till den registrerades personnummer eller motsvarande identitetsbeteckning. Vid annat likvärdigt skydd än pseudonymisering kan det i stället röra sig om att spara någon annan slags förteckning för att senare kunna koppla de utlämnande uppgifterna till identifierbara personuppgifter i forskningsdatabaserna. För detta syfte behöver det i forskningsdatabaserna bevaras en förteckning över kompletterande uppgifter som behövs för att identifiera en registrerad (kodnycklar o. dyl.). Vikten av ett sådant bevarande bör manifesteras genom en bestämmelse därom i den nu föreslagna lagen. Bevarandet behöver vara långsiktigt. Det handlar dels om att därigenom kunna möjliggöra longitudinella studier, dels om att senare kunna bygga vidare på den kunskap som inhämtats genom ett forskningsprojekt som ligger längre tillbaka i tiden genom kompletterande studier. Även vikten av att kunna granska tidigare genomförda forskningsprojekt talar för ett långsiktigt bevarande av dessa förteckningar. Behovet av ett långsiktigt bevarande av förteckningar för identifiering kan se olika ut i olika forskningsdatabaser. Att, som Registerforskningsutredningen föreslog 141 , tidsbestämma det obligatoriska bevarandet av förteckningarna förefaller därför alldeles för stelbent och inte särskilt ändamålsenligt. Det bör i stället ankomma på den personuppgiftsansvarige att bedöma hur lång tid ett sådant bevarande är nödvändigt.

141 SOU 2014:45 s. 440.

211

En ny lag om vissa forskningsdatabaser Ds

I detta sammanhang bör också påpekas att det rimligen ligger i ett lärosätes intresse att verksamheten vid en forskningsdatabas tillvaratar forskningsvärldens intressen av och önskemål om långsiktigt bevarande av förteckningar för identifiering. Det sagda medför att bedömningar kring ett fortsatt behov av att bevara vissa sådana förteckningar ställer höga krav på en fungerande dialog mellan den personuppgiftsansvarige och de forskningshuvudmän som kan tänkas ha intresse av sådant bevarande. De lärosäten som föreslås bli ansvariga för de forskningsdatabaser som kan komma att bli föremål för reglering kan emellertid förutsättas ha den relation och förmåga till dialog med forskarvärlden att risken för felaktiga bedömningar, dvs. att förteckningar för identifiering raderas trots att behovet av dessa kvarstår, är så gott som obefintlig. Med tanke på undantagsmöjligheten från kravet på lagringsminimering vid personuppgiftsbehandling för vetenskapliga forskningsändamål i artikel 5.1 f, möjligheten till nationell särreglering i artikel 6.2 och de skyddsåtgärder samt rättigheter för den registrerade som garanteras genom regleringen bedöms den föreslagna bestämmelsen om kodnyckelns bevarande som tillåten enligt dataskyddsförordningen.

5.14 Direktåtkomst

Förslag: Personuppgifter ska inte få lämnas ut genom direktåtkomst annat än till den registrerade själv. Denne ska alltså av den personuppgiftsansvarige kunna få medges direktåtkomst till uppgifter om sig själv. Någon rätt till direktåtkomst för den registrerade är det dock inte fråga om.

5.14.1 Begreppet direktåtkomst m.m.

Med begreppet direktåtkomst avses vanligtvis en speciell form av elektroniskt utlämnande av uppgifter till annan, exempelvis till mottagare utanför det egna lärosätet eller mellan eventuella självständiga verksamhetsgrenar inom ett lärosäte. Med begreppet avses vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna

212

Ds En ny lag om vissa forskningsdatabaser

påverka innehållet i registret eller databasen. På detta sätt skiljer sig begreppet från den elektroniska åtkomst för befattningshavare inom den personuppgiftsansvariges verksamhet med en forskningsdatabas som behandlats ovan och som alltså inte innebär ett utlämnande till någon annan. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över 142 vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av. Dataskyddsförordningen innehåller inga särskilda restriktioner i fråga om direktåtkomst eller annat elektroniskt utlämnande i förhållande till utlämnande på exempelvis papper. I så kallade registerförfattningar med särreglering i förhållande till generell dataskyddsreglering är det dock mycket vanligt att det finns restriktioner i fråga om direktåtkomst. Syftet är att skydda registrerades personliga integritet mot känslig spridning av uppgifter. Enligt 15 § LifeGene-lagen får direktåtkomst till registret inte förekomma. I ett beslut i ett tillsynsärende gällande personuppgiftsbehandlingen i LifeGene fann Integritetsmyndigheten att Karolinska institutet, som är personuppgiftsansvarigt, i strid mot bestämmelsen medgav deltagare i projektet direktåtkomst via en personlig hemsida där de på egen hand kunde söka efter uppgifter om sig själva som fanns i registret (beslut den 6 februari 2015, dnr 708-2014). Deltagarnas tillgång kunde därefter inte få fortsätta. En bestämmelse om direktåtkomst har inte någon sekretessbrytande verkan i sig utan en förutsättning för att direktåtkomst ska kunna tillåtas mellan exempelvis två universitet är att åtkomsten antingen avser endast offentliga uppgifter eller avser sådana sekretessbelagda uppgifter som får lämnas ut till det mottagande universitetet med stöd av särskilda sekretessbrytande bestämmelser. Sekretess kan även gälla inom en myndighet, nämligen mellan olika verksamhetsgrenar när de uppträder självständigt mot varandra (8 kap. 2 § OSL). En bestämmelse om direktåtkomst som tar sikte på utlämnande av uppgifter mellan sådana verksamhetsgrenar förutsätter därför att det finns eller införs en sekretessbrytande bestämmelse som tillåter ett sådan utlämnande.

142 Prop. 2004/05:164 s. 83.

213

En ny lag om vissa forskningsdatabaser Ds

5.14.2 Direktåtkomst för forskningshuvudmän

Det övergripande ändamålet med personuppgiftsbehandlingen i en forskningsdatabas är att skapa underlag för olika framtida forskningsprojekt och dessutom lämna ut uppgifter till dessa forskningsprojekt. I likhet med vad Registerforskningsutredningen anförde i sitt betänkande skulle effektivitetsskäl kunna tala för att tillåta elektronisk åtkomst, dvs. direktåtkomst, till uppgifter i en forskningsdatabas för forskare hos forskningshuvudmän som ska använda uppgifterna i en forskningsdatabas för specifika forskningsprojekt. 143 Möjlighet till sådan åtkomst skulle, förutsatt att det finns en fungerande teknik för det, kunna spara en del resurser och tid såväl för det lärosäte som ansvarar för verksamheten vid en forskningsdatabas som för den mottagande forskningshuvudmannen oavsett om det handlar om forskare vid samma lärosäte som det till vilket forskningsdatabasen hör eller ett annat lärosäte. Att genom direktåtkomst göra sådana integritetskänsliga personuppgifter som det i forskningsdatabaser kommer att vara fråga om, och i sådan stor omfattning som sådan åtkomst skulle innebära, tillgängliga skulle emellertid äventyra de registrerades rätt till skydd för sin personliga integritet. Vetskapen om att sådan åtkomst vore tillåten för ett större antal personer än de som arbetar i verksamheten med själva forskningsdatabasen kan också tänkas ha en negativ påverkan på enskildas vilja att delta i insamlingen av uppgifter till en forskningsdatabas. Det kan också förutsättas vara svårt att, i situationer där direktåtkomst skulle tillåtas, göra sådana avvägningar i sekretessfrågor som utlämnandesituationen kräver. Sammanfattningsvis överväger skälen för ett starkt integritetsskydd för personuppgifterna i en forskningsdatabas skälen för att tillåta direktåtkomst för myndigheter eller andra forskningsmän som ansvarar för ett forskningsprojekt. Det är därför motiverat att ha ett motsvarande förbud mot direktåtkomst i den föreslagna lagen som det nuvarande i LifeGene-lagen. När det gäller direktåtkomst för registrerade föreslås dock ett undantag, se nästa avsnitt. Förbudet mot direktåtkomst innebär alltså att utlämnande av uppgifter ur en forskningsdatabas till forskare i ett forskningsprojekt inte får ske genom direktåtkomst.

143 SOU 2014:45 s. 442.

214

Ds En ny lag om vissa forskningsdatabaser

Personuppgiftsansvariga för verksamheter med forskningsdatabaser kommer att vara lärosäten som samtidigt är forskningshuvudmän för forskning som bedrivs vid lärosätet i fråga. Det kommer därvid uppstå många situationer där det blir aktuellt att lämna ut uppgifter från en forskningsdatabas till ett forskningsprojekt vid samma lärosäte. I förarbetena till LifeGene-lagen togs problematiken upp gällande förbudet mot direktåtkomst och det faktum att forskningsprojekt hör till samma universitet som hade LifeGene. Där angavs att den föreslagna sekretessregleringen för verksamhet med förande och uttag av register enligt LifeGene-lagen, nuvarande 24 kap. 2 a § OSL, medför att verksamheten med registret kommer att utgöra en egen verksamhetsgren inom universitet eller högskolan. För att en sekretessgräns ska uppstå inom en myndighet räcker dock inte att det finns olika verksamhetsgrenar utan de måste också organiseras på ett sådant sätt att de förhåller sig självständiga i förhållande till varandra (8 kap. 2 § OSL). För det fall ett universitet eller en högskola väljer att både föra ett register enligt den föreslagna lagen och bedriva sådan forskning till vilken uppgifter från registret kan läm- 144 nas ut förutsatte regeringen att så skulle ske. Det som sagts i förarbetena till LifeGene-lagen är tillämpligt även beträffande ett lärosäte som ansvarar för både en forskningsdatabas och forskningsprojekt som tillhör relevant forskningsområde och vill använda uppgifter ur databasen. För det fall verksamheten vid forskningsdatabasen trots det nyss sagda inte organiseras så självständigt att en sekretessgräns uppstår mellan verksamheten med forskningsdatabasen och utförandet av forskning betyder det dock inte att forskare kan få tillgång till uppgifter i databasen med elektronisk åtkomst som ett slags kringgående av förbudet mot direktåtkomst. Som föreslagits i avsnitt 5.9.2 ska bara de som arbetar vid verksamheten med en forskningsdatabas få tillåtas ha elektronisk åtkomst till databasen och den åtkomsten får befattningshavaren bara använda för att fullgöra sina arbetsuppgifter i fråga om forskningsdatabasen (avsnitt 5.9.1). Dessa bestämmelser medför alltså att forskare vid det lärosäte som också ansvarar för forskningsdatabasen i fråga inte ska kunna tilldelas behörighet för elektronisk åtkomst till databasen. För det fall en forskare har dubbla roller, exempelvis både

144 Prop. 2012/13:163 s. 46 f.

215

En ny lag om vissa forskningsdatabaser Ds

forskar och arbetar vid forskningsdatabasen, får befintlig åtkomst inte användas för att bereda sig tillgång till uppgifter som behövs i forskningsprojektet, utan tillgång till uppgifterna får hanteras enligt ordinarie beslutsordning och prövning av om förutsättningarna enligt lagen är uppfyllda. Det ska observeras att förbudet mot utlämnande genom direktåtkomst inte innebär förbud mot andra former av elektroniskt utlämnande, så länge dessa inte innebär att mottagaren själv kan bereda sig tillgång till personuppgifter i forskningsdatabasen, Förbudet mot direktåtkomst får anses utgöra en sådan specifik eller särskild bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen och dessutom utgör en sådan lämplig åtgärd för att säkerställa den reglerades rättigheter och intressen som krävs enligt artikel 9.2 g och 9.2 j. 145

5.14.3 Direktåtkomst för den registrerade

Forskningsdatautredningen föreslog att registrerade skulle kunna erbjudas att få direktåtkomst till uppgifter om sig själv. 146 Möjligheten, som i praktiken skulle fungera som en slags kontrollfunktion för den registrerade, ansågs förenlig såväl med den registrerades rätt till information och insyn enligt dataskyddsförordningen som med den ökade digitaliseringen i samhället. Även i denna promemoria görs bedömningen att det bör vara möjligt att registrerade i sådana forskningsdatabasen som kommer att omfattas av den föreslagna lagen ska kunna beredas möjlighet till direktåtkomst. Det ska dock inte vara fråga om en rätt för den registrerade att få denna åtkomst utan en möjlighet att erbjuda denna form av tillgång i den utsträckning som lärosätet i fråga anser det lämpligt, praktiskt görbart och tillräckligt säkert. I praktiken kommer åtkomsten bara att avse sådana uppgifter om den registrerade som är direkt identifierbara. I de fall registrerade uppgifter i forskningsdatabasen är pseudonymiserade eller skyddade på annat likvärdigt sätt torde direktåtkomst för de registrerade vara alltför resurskrävande att återställa till identifierbara så att de blir anpassade till registrerades direktåtkomst.

145 Prop 2017/18 :298 s. 176 f. 146 Se SOU 2018 :36 s. 321 ff.

216

Ds En ny lag om vissa forskningsdatabaser

Möjlighet till direktåtkomst ställer höga krav på säkerhetsåtgärder hos det lärosäte som ansvarar för verksamheten i en forskningsdatabas. Det handlar bl.a. om att det måste finnas tekniska lösningar genom vilka det går att säkerställa identifieringen av den registrerade som begär direktåtkomst, men också om att de uppgifter som kan åtkommas på det viset inte är mer eller mindre omfattande än vad lagen föreslås medge, dvs. att det ska handla om personuppgifter om den registrerade. Sådana säkerhetsåtgärder bör inte specificeras i den föreslagna lagen utan följer redan av dataskyddsförordningen krav på skydd för personuppgifterna, bland annat kraven på tekniska och organisatoriska åtgärder i artikel 25, samt offentlighets- och sekretesslagstiftningen.

5.15 Rätt till information om utlämnade uppgifter

Förslag: Den registrerade ska ha rätt att på begäran få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut.

Enligt 15 § LifeGene-lagen har den registrerade rätt att på begäran få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut. I motiven till bestämmelsen betonades att den personuppgiftsansvarige inte längre hade kontroll över sådana uppgifter som redan lämnats ut till ett forskningsprojekt med stöd av lagen och att det därför inte var möjligt att, i fråga om sådana utlämnade uppgifter, tillgodose önskemål från en registrerad om att exempelvis få sina uppgifter utplånade. Vikten av att förse den registrerade med information om till vilka forskningsprojekt dennes personuppgifter lämnats ut kopplades alltså till den registrerades rätt till 147 någon form av fortsatt kontroll över sina uppgifter. I samband med anpassningen av LifeGene-lagen till dataskyddsförordningens bestämmelser angavs att bestämmelsen i 15 § kunde sägas vara en specificering av den rättighet som anges i artikel 15.1 c i datsskyddsförordningen, dvs. att den registrerade ska ha rätt att få information om de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats ut eller ska lämnas ut. Bestämmelsen bedömdes

147 Prop. 2012/13:163 s. 57 f.

217

En ny lag om vissa forskningsdatabaser Ds

vara en sådan nationell specificering som är tillåten såväl enligt skäl 8 som artikel 6.2 och 6.3 i förordningen och ansågs mot den bakgrunden kunna behållas. 148 Bestämmelsen i LifeGene-lagen handlar alltså om den som frivilligt medverkar med sina personuppgifter i LifeGene-registret efter registreringen kan kontakta den personuppgiftsansvariga och ha rätt att få svar på en förfrågan om till vilka olika forskningsprojekt uppgifter om den registrerade redan har lämnats ut. Att det finns en tydlig regel om den registrerades rätt i detta avseende förefaller lämpligt även för forskningsdatabaser som regleras av den föreslagna lagen – detta då det handlar om en för de registrerade central fråga om hur dennes uppgifter använts. Det saknas skäl att göra en annan bedömning angående tillåtligheten av ett sådant förtydligande eller specificering i förhållande till dataskyddsförordningen. En motsvarande bestämmelse bör därför föras in i den föreslagna ramlagen.

5.16 Ytterligare skyddsåtgärder

Bedömning: Utöver ovan föreslagna skyddsåtgärder för behandlingen av personuppgifter i forskningsdatabaser föreslås det i kapitel 8 en sekretessreglering för personuppgifterna i en forskningsdatabas. Det föreligger inte behov av ytterligare skyddsåtgärder i lagen.

Den nu föreslagna regleringen innehåller ett flertal skyddsåtgärder i syfte att stärka integritetsskyddet för de registrerades personuppgifter. Även redan befintlig dataskyddsreglering innehåller sådana skyddsåtgärder. Det handlar bland annat om bestämmelser som rör den registrerades rätt till information om och tillgång till de personuppgifter som behandlas, däribland i form av krav på samtycke eller möjlighet till så kallad opt out . Därutöver föreslås bestämmelser i syfte att stärka upp integritetsskyddet inom verksamheten med en forskningsdatabas. Lagen ställer också upp integritetsskyddande villkor för utlämnande av uppgifter från en forskningsdatabas. Utöver ovanstående föreslås i kapitel 8 en sekretessreglering med stark sekretess för uppgifter i en sådan forskningsdatabas som förs

148 Prop. 2017/18:298 s. 181 f.

218

Ds En ny lag om vissa forskningsdatabaser

med stöd av den nu föreslagna lagen. Även denna reglering syftar alltså till att skydda de registrerades personliga integritet. Forskningsdatautredningens förslag till lag om forskningsdatabaser innehöll också bestämmelser om organisatoriska åtgärder, riskbaserat informationssäkerhetsarbete, uppföljning och utvärdering av verksamheten i en forskningsdatabas, säkerställd finansiering av en forskningsdatabas samt uppförandekoder vid behandling av personuppgifter i en sådan. Som angetts tidigare kommer det att ingå i regeringens beredning och prövning av vilka forskningsdatabaser som ska få föras med stöd av lagen och vilka lärosäten som ska få behandla personuppgifter i sådana forskningsdatabaser att ta ställning till frågan om ett visst lärosäte uppfyller kraven på kvalitet och säkerhet i integritetsskyddet. Det bör, som angetts i det aktuella avsnittet, vara fråga om ett lärosäte med tillräckliga finansiella och organisatoriska förutsättningar för att kunna tillgodose ett kvalitativt och långsiktigt integritetsskydd för den personuppgiftsbehandling som kommer att äga rum i en viss forskningsdatabas. Prövningen ska alltså fokusera på lärosätets förutsättningar för att kunna utföra personuppgiftsbehandlingen på ett sätt som är förenligt med dataskyddsförordningens och den kompletterande nationella lagstiftningens bestämmelser. Mot den bakgrunden, och med beaktande av de skyddsåtgärder som redan föreslagits, framstår inte de av Forskningsdatautredningen föreslagna ytterligare skyddsåtgärderna som behövliga i ramlagen. Det kan också pekas på de krav dataskyddsförordningen uppställer på inbyggt dataskydd och dataskydd som standard i artikel 25. Enligt dessa bestämmelser ska den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att bland annat skydda personuppgifterna och de registrerades rättigheter. Till detta kan komma krav på informationssäkerhet m.m. som följer av annan lagstiftning som är tillämplig för informationshanteringen vid forskningsdatabasen, exempelvis i arkivlagstiftningen och offentlighets- och sekretesslagen.

219

En ny lag om vissa forskningsdatabaser Ds

5.17 Arkivering och gallring

Bedömning: Arkivlagstiftningens principer om bevarande bör vara utgångspunkten för uppgifter i en forskningsdatabas. Någon särskild bestämmelse om gallring som utgångspunkt föreslås därför inte i den föreslagna lagen. En sådan lösning är förenlig med befintlig dataskyddsreglering. Förslag: I lagen ska framgå att regeringen i den förordning som gäller för en forskningsdatabas kan meddela föreskrifter om gallring av personuppgifter som inte längre behövs för att kunna lämnas ut till forskningsprojekt. Sådana gallringsbestämmelser bör meddelas i de fall integritetsintresset väger tyngre än intresset av att uppgifterna bevaras.

Arkivlagen innehåller enligt 1 § bestämmelser om myndigheternas och vissa andra organs arkiv. Enligt 2 § gäller bestämmelserna också för sådana organ som avses i 2 kap. 4 § första meningen OSL, till den del arkivet härrör från den verksamhet som avses i bilagan till OSL. Samtliga lärosäten som är tänkta att omfattas av den föreslagna lagen, och som kommer att kunna vara personuppgiftsansvariga för en reglerad forskningsdatabas, omfattas alltså av arkivlagen. Det sagda innebär att dessa lärosäten har en grundläggande skyldighet att bevara sina allmänna handlingar i arkiv. Som nämnts i avsnitt 3.5.2 är bevarande utgångspunkt i arkivlagen. Det förekommer emellertid ofta gallringsbestämmelser i särskilda registerförfattningar, såsom exempelvis i LifeGene-lagen. Enligt 12 § LifeGene-lagen ska personuppgifter som inte längre behövs för de i lagen angivna ändamålen med personuppgiftsbehandlingen gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i enskilt fall beslutat att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Införandet av den aktuella bestämmelsen motiverades av att det – trots att syftet med förandet av registret var att möjliggöra longitudinella studier – inte kunde uteslutas att det kunde komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras. Möjligheten till gallring ansågs angelägen sett till att de register som skulle föras med stöd av lagen skulle komma att innehålla särskilt

220

Ds En ny lag om vissa forskningsdatabaser

känsliga personuppgifter. 149 Registerforskningsutredningen var av motsvarande uppfattning när det gällde behovet av en gallringsbestämmelse i den då föreslagna lagen om forskningsdatabasen. Det angavs även i det sammanhanget att det inte kunna uteslutas att det kunde komma att visa sig att vissa uppgifter i forskningsdatabaserna inte längre behövdes och därför kunde gallras. Slutsatsen var därför 150 att lagen borde innehålla en särskild gallringsbestämmelse. I remissbehandlingen av Registerforskningsutredningens förslag pekade Riksarkivet på att den föreslagna ändamålsanknutna gallringsbestämmelsen skulle bli svår att tillämpa eftersom ändamålen var brett formulerade. Myndigheten menade också att införandet av en gallringsbestämmelse var direkt missvisande just eftersom själva syftet med forskningsdatabaserna krävde bevarande av uppgifter under mycket lång tid. Riksarkivet framhöll också att arkivlagens bestämmelser inte utesluter gallring, utan att om uppgifter i en forskningsdatabas inte är nödvändiga för att tillgodose arkivlagens ändamål, i detta fall forskningens behov, eller för att tillgodose det nationella kulturarvet, kan Riksarkivet meddela föreskrifter om gallring. Vidare var Riksarkivet av den uppfattningen att någon gallringsbestämmelse inte heller var behövlig utifrån ett integritetsskyddande perspektiv, utan att det fanns andra bestämmelser i den föreslagna lagen som skyddade den personliga integriteten. Riksarkivet ansåg mot den angivna bakgrunden att arkivlagens huvudprincip om bevarande borde gälla även för forskningsdatabaser och att någon gallringsbestämmelse därför inte skulle införas. De forskningsdatabaser som nu föreslås bli föremål för reglering är tänkta att utgöra en resurs för forskningsprojekt som ägnar sig åt longitudinella studier. Det är mot den bakgrunden viktigt att ha ett långsiktigt perspektiv, där framtida forskningsprojekt, eller studier som är tänkta att komplettera ett tidigare genomfört forskningsprojekt, kan få tillgång till uppgifter som samlats in långt tillbaka i tiden. Sådan tillgång är avgörande också för granskning av tidigare utförd forskning. Det kan alltså, precis som Riksarkivet menade, vara svårt att med säkerhet avgöra när uppgifter i en forskningsdatabas inte längre behövs. En möjlighet till gallring av uppgifter skulle alltså, om bedömningarna av uppgifters fortsatta behövlighet visar sig vara

149 Prop. 2012/13:163 s. 48 f. 150 SOU 2014:45 s. 448.

221

En ny lag om vissa forskningsdatabaser Ds

godtyckliga och även felaktiga, kunna leda till betydande informations- och kunskapsförluster. Frågan om behovet av en gallringsbestämmelse behandlades också av Forskningsdatautredningen, som instämde i Riksarkivets bedömning, och dessutom påpekade att arkivlagens bestämmelser om bevarande gäller för uppgiftssamlingar som inte räknas som forskningsdatabaser, t.ex. sådana där insamling görs för enstaka forskningsprojekt, samt att det därför vore rimligt att detsamma gällde för de forskningsdatabaser som skulle regleras av den föreslagna lagen om forskningsdatabaser. Utredningen ansåg att det inte hade framkommit starka skäl för att ha olika reglering avseende arkivering beroende på om uppgifterna finns i en forskningsdatabas eller i ett forskningsprojekt. Man menade också att skyddet för den personliga integriteten, vilket var det skäl som talade tyngst för gallring som huvudregel, var tillgodosett genom de skyddsåtgärder som hade föreslagits genom lagförslaget. 151 Det finns fog för de argument de tidigare utredningarna och Riksarkivet framfört. En gallringsbestämmelse som stadgar avsteg från huvudprincipen om bevarande, för att i stället uppställa krav på gallring som huvudregel om uppgifterna inte längre behövs, förefaller svårtillämpad. Behovet av integritetsskydd får dessutom anses tillgodosett genom de övriga skyddsåtgärder som föreslagits. Den sammantagna bedömningen är alltså att arkivlagens principer om bevarande bör vara utgångspunkten för uppgifter i en forskningsdatabas samt att någon särskild bestämmelse om gallring därför inte behövs i den föreslagna lagen. Skulle det framgent uppstå behov av att kunna gallra uppgifter i en reglerad forskningsdatabas, finns det redan en möjlighet för Riksarkivet att i det fallet meddela anpassade föreskrifter därom. Riksarkivets uppdrag är emellertid i grunden ett annat än att bevaka integritetsfrågor. Det kan därför finnas skäl till att reglera frågan om gallring av personuppgifter genom föreskrifter i den förordning som gäller för en viss forskningsdatabas. För att inte äventyra syftet med registreringen i forskningsdatabasen, dvs. att vara en resurs för longitudinella studier, ska gallring dock inte få föreskrivas så länge uppgifterna behövs för ändamålet att kunna lämnas ut till forskningsprojekt. Detta bör framgå i lagen.

151 SOU 2018:36 s. 333.

222

Ds En ny lag om vissa forskningsdatabaser

Som framgått i avsnitt 5.6 föreslås att arkivändamål anges som ett tillåtet sekundärt ändamål i ramlagen. Den personuppgiftsbehandling som kommer att äga rum i samband med att de personuppgiftsansvariga i forskningsdatabaser, i enlighet med gällande arkivlagstiftning, arkiverar handlingar i databasen utgör en sådan vidarebehandling som görs för arkivändamål av allmänt intresse. Vidare får även känsliga personuppgifter, enligt 3 kap. 6 § dataskyddslagen, behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Att principen om bevarande ska vara gällande för uppgifter som behandlas i en forskningsdatabas enligt den nu föreslagna lagen får alltså anses förenligt med redan befintlig dataskyddsreglering. Anledningen till att arkivändamål ändå reglerats är att den föreslagna ramlagens ändamål utformats på så sätt att den är uttömmande, se avsnitt 4.5 och 5.6.

5.18 Ytterligare föreskrifter

Vid sidan av den föreslagna ramlagen, lagen om vissa forskningsdatabaser, kommer regeringen att behöva meddela föreskrifter i förordning. Ovan har föreslagits att det i ramlagen ska upplysas om att regeringen med stöd av restkompetensen kan meddela föreskrifter om • vilka forskningsdatabaser som ska få föras enligt lagen (avsnitt 5.2.3), • vilka lärosäten som får behandla personuppgifter enligt lagen (avsnitt 5.2.3), • vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till (avsnitt 5.6), • tillstånd att registrera genetiska uppgifter och personuppgifter om lagöverträdelser (avsnitt 5.8.1), • begränsningar i fråga om vilka personuppgifter som får behandlas i en forskningsdatabas (avsnitt 5.8.2), • begränsningar i fråga om utlämnande av personuppgifter (avsnitt 5.12,1 och 5.13.1), samt

223

En ny lag om vissa forskningsdatabaser Ds

• gallring (avsnitt 5.17). Något behov av att i lagen ange något därutöver om regeringens möjlighet att meddela föreskrifter finns inte.

5.19 Upphävande av LifeGene-lagen

Förslag: När den nya lagen om vissa forskningsdatabaser, liksom en anslutande förordning, träder i kraft ska lagen (2013:792) om vissa register för forskning om vad arv och miljö betyder för människors hälsa upphöra att gälla.

Den föreslagna ramlagen och en anslutande förordning som omfattar verksamheten i LifeGene kommer att utgöra en långsiktig reglering även för LifeGene. När den nya lagen om vissa forskningsdatabaser, liksom den anslutande förordningen för LifeGene, träder i kraft, bör därför LifeGene-lagen upphöra att gälla.

224

6 Förslag till förordning

6.1 En anslutande förordning

Förslag: Närmare föreskrifter om vilka forskningsdatabaser som ska få föras enligt den nya lagen om vissa forskningsdatabaser samt vilka lärosäten som ska ansvara för dem ska tas in i en till lagen anslutande förordning. I förordningen ska utöver specificerade bestämmelser om respektive forskningsdatabas också, i ett inledande kapitel, kunna tas in allmänna bestämmelser som gäller alla forskningsdatabaser. Förordningen ska heta förordningen om vissa forskningsdatabaser.

Enligt vad som förslagits i avsnitt 4 och 5 ska det ankomma på regeringen att ta ställning till om en forskningsdatabas ska omfattas av den föreslagna lagen om vissa forskningsdatabaser. Så ska ske genom författningsreglering, dvs. genom att regeringen meddelar bestämmelser i förordning. I förordning ska också meddelas specifika föreskrifter om vilka lärosäten som får behandla personuppgifter enligt lagen, dvs. ansvara för verksamheten med en forskningsdatabas, vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till samt i vilken utsträckning uppgifter avseende genetiska uppgifter och uppgifter om lagöverträdelser får finnas i en forskningsdatabas. Regeringen ska vidare kunna meddela begränsningar av de personuppgifter som får behandlas i eller lämnas ut från en forskningsdatabas samt föreskriva att gallring ska ske av personuppgifter i en viss forskningsdatabas. Registerforskningsutredningens förslag innebar att regeringen skulle meddela en förordning per forskningsdatabas. På det viset skulle ramverket likna det som finns för Socialstyrelsens hälsodataregister med en generell lag och anslutande förordningar, en per

225

Ds

hälsodataregister. Vidare föreslog utredningen att Vetenskapsrådet skulle ges i uppdrag att bereda frågan om vilka forskningsdatabaser som behövs och lämna förslag till regeringen samt ha ansvar för 152 regelbunden utvärdering av forskningsdatabaserna. I avsnitt 5.2.3 i denna promemoria har bedömningen gjorts att det bör kunna vara lärosätena själva som hos Utbildningsdepartementet initierar en fråga om att en forskningsdatabas, befintlig eller planerad, ska infogas i det rättsliga ramverk som den föreslagna lagen om vissa forskningsdatabaser innebär. Vidare har där angetts att det ankommer på lärosätena att ge in tillräckligt underlag för regeringens ställningstagande samt att synpunkter från relevanta myndigheter bör inhämtas vid beredningen av frågan. Man skulle dock tänka sig en annan ordning som i praktiken inbegriper att beredningen delvis flyttas från regeringen/Regeringskansliet, dvs. Utbildningsdepartementet, till en viss myndighet. En ordning skulle exempelvis kunna vara att det föreskrivs att en framställan från ett lärosäte ska lämnas till Vetenskapsrådet, den statliga myndighet som förefaller mest nära till hands för att utreda frågor om vetenskapligt värde för forskning i ett långsiktigt perspektiv. Vetenskapsrådet skulle därvid bereda frågorna genom egen utredning vari skulle ingå inhämtande av synpunkter från andra berörda myndigheter och aktörer. Därefter skulle Vetenskapsrådet överlämna ett yttrande om myndighetens ställningstagande när det gäller forskningsdatabasen i fråga till Utbildningsdepartementet för vidare beredning av regeringsärendet om eventuell inkorporering av forskningsdatabasen i ramverket genom förordningsbestämmelser. Det finns alltså alternativa sätt att utforma arbetet med överväganden av vilka forskningsdatabaser som bör omfattas av den i denna promemoria föreslagna lagen. I nuläget bedöms det emellertid inte finnas något påtagligt behov av en sådan alternativ ordning. För det fall detta förändras, kan föreskrifter i saken meddelas i förordning. Det finns också tänkbara alternativ till Registerforskningsutredningens förslag om en förordning per forskningsdatabas. Ett alternativ som presenteras i detta kapitel är att samla regleringen i endast en förordning. Såvitt nu kan bedömas kommer det nämligen inte ens på sikt att bli fråga om en mycket stor mängd forskningsdatabaser att reglera. Fördelen med en sådan enstaka förordning jämfört med

152 SOU 2014:45 bl.a. s. 423 f.

226

Ds

en per forskningsdatabas är att också mer allmänna frågor kan regleras däri. Sådana allmänna frågor kan vara just de nyssnämnda om hur ärenden om att infoga en forskningsdatabas ska beredas om behov av det uppstår, exempelvis i ett inledande kapitel 1. Därefter förefaller det lämpligt att kapitelindelningen i förordningen sorteras utifrån vilket lärosäte som ansvarar för en eller flera forskningsdatabaser. Lagen om vissa forskningsdatabaser bör, enligt förslagen i avsnitt 4 och 5, omfatta ett begränsat antal för forskningen centrala forskningsdatabaser, vars uppgift att skapa underlag för och tillhandahålla uppgifter till flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. LifeGene och Tvillingregistret har i kapitel 5 lyfts fram som två exempel på sådana forskningsdatabaser som ska kunna omfattas av det föreslagna tillämpningsområdet. Bedömningen har gjorts att dessa är etablerade forskningsdatabaser som redan idag bedrivs eller, för Tvillingregistrets del, har ambitionen att bedrivas som renodlade forskningsdatabaser. Dessa forskningsdatabaser har samlat in stora mängder uppgifter som regelbundet tillhandahålls olika forskningsprojekt. De utgör båda viktiga resurser för betydelsefull forskning och deras uppgift med att tillhandahålla uppgifter till flera olika forskningsprojekt bedöms, som utvecklas nedan, vara av särskild vetenskapligt värde för forskningen i ett långsiktigt perspektiv. I detta kapitel redovisas alltså förslag på bestämmelser för LifeGene och Tvillingregistret som även avser att bli modell för hur ytterligare kompletterande särreglering för olika forskningsdatabaser kan se ut. Nedan behandlas översiktligt verksamheten i LifeGene och Tvillingregistret samt hur regleringen i förordning bör utformas för dessa forskningsdatabaser i den anslutande förordningen. Båda databaserna finns och bör förbli hos Karolinska institutet vilket medför att de kommer att de regleras i samma kapitel i förordningen. Tanken är emellertid att förordningen efter hand ska fyllas på med ytterligare forskningsdatabaser. Utgångspunkten ska därvid vara att en särreglering endast ska omfatta sådana forskningsdatabaser som har ett faktiskt behov därav, dvs. där befintlig dataskyddsreglering bedöms vara otillräcklig för att ge en viss forskningsdatabas det tydliga rättsliga stöd som denna anses behöva. Som framgått görs bedömningen att ett sådant behov föreligger för LifeGene och Tvillingregistret. Det bör i detta sammanhang påpekas att även

227

Ds

bestämmelserna i förordningar kommer att utgöra till befintlig dataskyddsreglering kompletterande särreglering. De bör följaktligen inte ha ett mer omfattande innehåll än nödvändigt. Även här måste alltså över- eller dubbelreglering undvikas. Det har tidigare i promemorian framhållits att det inte finns skäl att låsa fast sig vid en lösning som innebär att antalet reglerade forskningsdatabaser begränsas till en per forskningsfält, bland annat eftersom det kan vara svårt att tydligt definiera och avgränsa ett visst forskningsfält, men också för att vissa forskningsdatabaser kan vara tvärvetenskapliga. Det kan också vara så att det inom ett och samma forskningsfält kan finnas fler än en forskningsdatabas som är så pass centrala att de bör särregleras. En viktig parameter är givetvis att de angivna forskningsområdena som forskningsdatabaserna ska skapa underlag för och lämna ut uppgifter till därmed inte görs för obestämt, utan ändå uppfyller dataskyddsförordningens krav på ändamålsbestämning.

6.2 LifeGene

Förslag: Karolinska institutets behandling av personuppgifter i verksamheten med forskningsdatabasen LifeGene ska fortsätta att vara särreglerad, dock genom den nya lagen och kompletterande bestämmelser i den till lagen anslutande förordningen. I förordningen ska bara finnas de bestämmelser som behövs utöver de generella bestämmelserna i den nya lagen. Någon väsentlig förändring av gällande rätt ska inte genomföras. Det behövs därför bestämmelser i förordningen som liksom i dag, men till skillnad från vad som följer av lagen, innebär att LifeGene får innehålla kompletterande uppgifter från andra källor bara om den registrerade uttryckligen samtyckt till registreringen, att endast pseudonymiserade personuppgifter får lämnas ut till forskningsprojekt och för utredningar om oredlighet i forskning, samt att gallring ska ske när uppgifterna inte längre behövs för att kunna lämnas ut till forskningsprojekt. I förordningen ska vidare, liksom är fallet i den förordning som för närvarande gäller för LifeGene, anges dess närmare ändamål och att genetiska uppgifter avseende undersökningar får finnas i databasen om de avser individuella variationer i arvsmassan. En änd-

228

Ds

ring i förhållande till gällande rätt kommer dock att bli, redan som en följd av lagen, att det inte är förbjudet att medge registrerade direktåtkomst till sina personuppgifter samt att pseudonymiserade personuppgifter får lämnas ut till forskningshuvudmän även i samband med dessas utredningar av avvikelser från god forskningssed i ett forskningsprojekt som fått uppgifter från LifeGene – alltså inte bara vid utredning om oredlighet i forskning.

6.2.1 LifeGene och dess verksamhet

Bakom projektet LifeGene står sju svenska universitet med sina medicinska fakulteter. Det är Karolinska institutet som är värd och har en ledande och koordinerande funktion, men även Lunds universitet, Göteborgs universitet, Linköpings universitet, Uppsala universitet, Örebro universitet och Umeå universitet medverkar. Projektet syftar till att skapa underlag för att kartlägga orsaker bakom de vanligaste folksjukdomarna, såsom exempelvis allergier, fetma, depres-sion, infektioner, hjärt- och kärlsjukdomar och cancer. Målet är att kunna bidra till forskning med intentionen att skapa nya verktyg för att förebygga, diagnostisera och behandla dessa sjukdomar. Rekrytering av deltagare till registret pågick under ett antal år från år 2009 och framåt. Mot slutet av rekryteringsprocessen utgjorde ”spontanregistrerade”, dvs. personer som själva anmält sig via hemsidan, över 50 % av deltagarna i databasen. Deltagandet bygger helt och hållet på frivillighet och insamlingen av uppgifter till registret har kommit att ske genom två delmoment. Det ena är ett hälsotest med provtagning och det andra en webbaserad enkät som skickats ut och besvarats årligen t.o.m. år 2020. Det har alltså enbart varit fråga om insamling av uppgifter direkt från deltagarna eller genom procedurer som deltagarna medverkat i. Något behov av kompletterande insamling från andra källor, såsom myndighetsregister, har inte bedömts nödvändigt. I nuläget innehåller LifeGene uppgifter från 52 107 deltagare. Av dessa har 29 500 deltagare också lämnat blod, serum och urin. Rekryteringen av nya deltagare är avslutad. Även insamlingen av nya uppgifter är i nuläget avslutad. I enlighet med vad som anges i LifeGene-lagen krävs samtycke för behandling av personuppgifter i LifeGene. Samtycket till hittills insamlade och behandlade uppgifter har lämnats antingen genom signering med e-legitimation eller genom undertecknandet av en

229

Ds

pappersblankett i samband med hälsobesöket – båda efter att deltagarna har fått ta del av information om personuppgiftsbehandlingen i LifeGene och vissa rättigheter i förhållande till denna. Viss information, bl.a. om rätten till radering av uppgifterna, har skickats ut på nytt i samband den årliga enkäten. Insamlade enkätsvar lagras i egna servrar, medan blod, serum och urin från hälsotesterna förvaras i Karolinska institutets biobank. Redan vid registrering förses personuppgifter med en kod. Information som kan användas för att identifiera en registrerad hålls åtskild från andra uppgifter om denne. Även alla personuppgifter som lämnas ut till forskningsprojekt är kodade, dvs. pseudonymiserade. 153 Det fanns inledningsvis ett system för direktåtkomst genom vilket de registrerade, efter begäran därom i samband med registreringen, kunde åtkomma sina provsvar från hälsotestet. Systemet togs bort efter att Integritetsskyddsmyndigheten i beslut den 6 februari 2015 förelagt LifeGene att upphöra med utlämnande av uppgifter genom direktåtkomst. 154

6.2.2 Det finns ett fortsatt behov av och förutsättningar för en särreglering för den verksamhet som pågår i LifeGene

LifeGene är, genom LifeGene-lagen, redan föremål för en särreglering om än en tidsbegränsad sådan. Bedömningen har alltså redan gjorts att verksamheten som pågår i projektet LifeGene är i behov av ett sådant tydligt rättsligt stöd som den nuvarande och föreslagna särregleringen innebär. Tanken är dessutom att den nu föreslagna lagen om vissa forskningsdatabaser ska utgöra en sådan långsiktig och generell reglering för forskningsdatabaser som gör den tillfälliga LifeGene-lagen med anslutande förordning överflödiga. Karolinska institutet har bedrivit verksamhet i LifeGene sedan år 2009 och är, oaktat ovan beskriven medverkan från ytterligare sex universitet, personuppgiftsansvarig för den personuppgiftsbehandling som sker i verksamheten. LifeGene har sedan starten samlat in uppgifter från ett stort antal deltagare och forskningsdatabasen har

153 Information från LifeGenes hemsida ( https://lifegene.se/vad-ar-lifegene ), informationsbroschyren LifeGene – Tillsammans för en bättre hälsa samt muntliga uppgifter från professor Nancy Pedersen vid telefonmöte 2020-07-21. 154 Datainspektionens (numera Integritetsskyddsmyndigheten) beslut 2015-02-06, dnr 708- 2014.

230

Ds

därigenom kommit att få ett stort vetenskapligt värde för forskning om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. LifeGene måste alltså sägas vara av särskild vikt inom nämnda forskningsområden i ett långsiktigt perspektiv. Den rådande situationen med covid-19 har tydliggjort att forskningen på dessa områden alltjämt är efterfrågad och aktuell, för att möta nutida och framtida samhällsutmaningar. I och med att det även fortsättningsvis kommer att ställas krav på frivilligt deltagande, genom samtycke till och/eller information om den personuppgiftsbehandling som registrering i LifeGene innebär, och genom de ytterligare skyddsåtgärder som föreslås gälla för nämnda behandling, får den integritetsrisk som behandlingen kan tänkas innebära anses proportionerlig i förhållande till forsknings-databasens nyttopotential. Regleringen av LifeGene bör därför göras permanent genom att LifeGene inkorporeras i det i tidigare kapitel föreslagna ramverket för vissa forskningsdatabaser. Det har under arbetet med denna promemoria visserligen väckts vissa frågetecken kring LifeGenes resursmässiga framtid. Det tycks dock inte råda brist på ambition och organisatorisk förmåga att även fortsättningsvis hantera såväl en integritetssäker behandling av de uppgifter som finns i databasen som ansökningar om att lämna ut dessa uppgifter till olika forskningsprojekt. Karolinska institutet får därmed anses uppfylla kraven för att kunna tillgodose ett kvalitativt och långsiktigt integritetsskydd för den personuppgiftsbehandling som även fortsättningsvis kommer att äga rum i verksamheten med LifeGene. Det föreligger därmed såväl ett behov av som förutsättningar för att även fortsättningsvis särreglera LifeGene

6.2.3 Behovet av förordningsbestämmelser

Utgångspunkten för övervägandena i LifeGene är att det i huvudsak inte framkommit skäl att i grunden ändra de rättsliga förutsättningarna för LifeGene. Flera av de bestämmelser som finns i LifeGene-lagen har i sak motsvarigheter i den föreslagna ramlagen. Genom den lagens konstruktion kommer det, på motsvarande sätt som i dag, att genom förordning anges forskningsdatabasens ända-

231

Ds

mål och vilket lärosäte som ska få bedriva verksamheten med databasen. Vidare ska, liksom i dag, i förordning föreskrivas att genetiska uppgifter om undersökningar avseende individuella variationer i arvsmassan får finnas i LifeGene. Det finns dock vissa bestämmelser i den föreslagna lagen om vissa forskningsdatabaser som skiljer sig något från regleringen i LifeGene-lagen. En del av dessa påkallar särreglering i förordning för att inte rubba dagens ordning i en icke önskvärd riktning medan andra är sådana att de bör gälla även för LifeGene trots att de i viss mån avviker i materiellt hänseende från LifeGene-lagen. Vad gäller det förstnämnda kan till en början konstateras att det i den föreslagna lagen finns en bestämmelse om vilket innehåll en forskningsdatabas får ha eller, närmare bestämt, varifrån insamling av personuppgifter får ske. Enligt den föreslagna lagen får kompletterande insamling av personuppgifter ibland ske från andra källor, såsom exempelvis statistikansvariga myndigheters uppgiftssamlingar, även utan att det finns något uttryckligt samtycke från registrerade därtill. Sådant ger LifeGene-lagen inte utrymme för och det finns inte anledning att införa någon utvidgning härvidlag när det gäller LifeGene. Som angetts i bland annat avsnitt 5.8.2 får regeringen föreskriva begränsningar angående vilka personuppgifter som får behandlas i en forskningsdatabas. För LifeGene bör en sådan begränsning införas i förordningen för sådan kompletterande insamling som annars är tillåten enligt lagen. Begränsningen föreslås innebära att sådan kompletterande insamling bara är tillåten om den registrerade uttryckligen samtyckt till registreringen. Regeringen får också, enligt vad som angetts i avsnitt 5.12 föreskriva begränsningar gällande utlämnande, inbegripet till vissa slags mottagare. Då det inte framkommit skäl att förändra gällande rätt när det gäller LifeGene bör den begränsningen föreskrivas att undantagsregeln i lagen om att direkt identifierbara personuppgifter i vissa fall får lämnas ut till forskningsprojekt eller för utredningar om oredlighet vid forskning inte ska vara tillämplig beträffande LifeGene. Detsamma gäller ifråga om den nuvarande begränsningen i LifeGene-lagen om att utlämnande bara får ske till forskning som bedrivs vid en myndighet och som har godkänts enligt etikprövnigslagen. I praktiken innebär det att utlämnande bara får ske till forskningsprojekt som ska utföras i Sverige med en svensk myndig-

232

Ds

het som forskningshuvudman, t.ex. ett lärosäte eller en region. Inte heller här bör någon förändring av gällande rätt införas nu. Vidare bör ordningen om obligatorisk gallring när uppgifterna inte längre behövs för att kunna lämnas ut till forskningsprojekt fortfarande gälla vilket bör föreskrivas i förordningen. När det gäller förändringar i gällande rätt i förhållande till LifeGene som den föreslagna lagen innehåller och som bör gälla även beträffande LifeGene kan till en början nämnas att det inte ska vara förbjudet att ge de registrerade direktåtkomst. Det förutsätter dock att verksamhetsansvariga finner att det är lämpligt och kan ske med tillräcklig säkerhet så att skyddet för personuppgifterna upprätthålls. Det bör även, liksom för övriga forskningsdatabaser, vara möjligt att lämna pseudonymiserade personuppgifter till forskningshuvudmän som utreder misstänkt avvikelser från god forskningssed i ett forskningsprojekt som fått uppgifter från LifeGene. En ytterligare bestämmelse som bör gälla även för LifeGene är den registrerade ovillkorliga rätt till radering av personuppgifter från databasen.

6.3 Tvillingregistret

Förslag: Karolinska institutet ska få behandla personuppgifter i verksamheten med forskningsdatabasen Tvillingregistret. Forskningsdatabasen Tvillingregistret ska skapa underlag för och lämna ut uppgifter till forskning, med tvillingar som forskningspersoner, kring genetiska eller miljömässiga faktorers betydelse för hälsa, livsstil eller beteende. I Tvillingregistret ska genetiska uppgifter få finnas om de avser undersökningar om individuella variationer i arvsmassan. Direkt identifierbara uppgifter, t.ex. i form av namn och personnummer, får lämnas ut till forskningsprojekt bara om projektet behöver dessa för att kunna ta kontakt med forskningspersonerna i sitt projekt och det är frågan om forskning som bedrivs vid en forskningshuvudman som är etablerad i Sverige.

6.3.1 Tvillingregistret och dess verksamhet

Tvillingregistret, som förvaltas av Karolinska institutet men med samverkan med ett tiotal andra svenska lärosäten, upprättades på

233

Ds

1960-talet och har inom ramen för sin verksamhet samlat in uppgifter från ett stort antal tvillingpar. Syftet med uppbyggnaden av registret var inledningsvis att kunna genomföra studier om hur rökning påverkar hälsan. I dag sker forskning med hjälp av uppgifter från registret huvudsakligen inom hälsoområdet, men i vissa fall även inom andra discipliner, såsom exempelvis samhällsvetenskap och ekonomi. För att kunna göra ett urval av presumtiva deltagare i registret inhämtades uppgifter om tvillingfödslar ursprungligen från pastorsexpeditioner. I nuläget samlas dessa uppgifter med femårsintervaller in från Socialstyrelsens födelseregister, men det finns planer på att i stället börja använda sig av Navet 155 , vilket skulle innebära att personuppgifterna i urvalsgruppen kan tas fram kort tid innan förfrågan/kontakt med deltagare enligt nedan. Det skulle också möjliggöra inkludering i urvalsgruppen av tvillingar som fötts utanför Sverige. I registret finns cirka 200 000 tvillingar registrerade. Registret bygger på frivillig medverkan och behandlingen av uppgifter baseras på samtycke. Under de senaste åren har uppgifterna samlats in huvudsakligen genom etikgodkända forskningsprojekt i Tvillingregistrets regi, benämnda CATSS, CATSS15, CATSS18 och CATSS24. Inom ramen för dessa projekt har en första kontakt tagits med vårdnadshavare till tvillingar, i samband med att barnen blir nio år gamla. De som samtycker till att barnen deltar i forskning har ombetts besvara webbenkäter om barnens hälsa, beteende och livsstil 156 samt lämna salivprover och uppgifter från rörelsemätare som mäter barnens fysiska aktivitet. Uppföljande studier, med insamling av motsvarande kompletterande och uppdaterade uppgifter, har ägt rum i samband med att tvillingarna blivit 15, 18 respektive 24 år gamla. Vissa ytterligare uppgifter har tillförts registret genom insamling som skett i beviljade forskningsprojekt som baserats på Tvillingregistret men inte i dess regi. Samtycke inhämtas också till registerlänkning, genom vilket kompletterande uppgifter hämtas in från vissa namngivna myndighetsregister. Registerlänkning sker för närvarande till cancerregist-

155 Navet är en informationstjänst hos Skatteverket, genom vilken alla myndigheter kan hämta folkbokföringsuppgifter digitalt. 156 Salivprover tas för biobankning av dna, genotypning och zygositetsbestämning. Zygositeten är en central variabel i tvillingforskning eftersom det är den som avgör om det är enäggs- eller tvåäggstvillingar.

234

Ds

ret, patientregistret, förskrivningsregistret, dödsorsaksregistret och hundägarregistret (det sistnämnda vid Jordbruksverket, övriga vid Socialstyrelsen). Uppgifter från dessa register har begärts ut genom etikgodkända tilläggsstudier med koppling till CATSS-studierna (se dock Socialstyrelsens avslagsbeslut den 25 maj 2021, dnr 31711/2020). Så fort uppgifter registreras görs en pseudonymisering av dessa. Personnumren ersätts med löpnummer, och tvillingsambandet med ett parnummer. En kodnyckel, genom vilken identifiering kan ske, förvaras separat och under lång tid för att möjliggöra uppföljningar i longitudinella studier. Uppgifter från registret lämnas enbart ut till etikgodkända forskningsprojekt, och då i pseudonymiserad form. En egen löpnummerserie tilldelas varje mottagande forskningsprojekt, för att undvika bakvägsidentifiering. Namn och personnummer lämnas dock ut i fråga om forskningsprojekt som avser att ta kontakt med forskningspersonerna. För närvarande finansieras Tvillingregistrets verksamhet delvis genom ett nationellt anslag från Vetenskapsrådet, vilket sträcker sig till och med år 2022. Anslaget står för 50 % av registrets budget, medan resterande 50 % erhålls från Karolinska institutet. Vid registret arbetar sju – åtta personer, fördelade på fem heltidstjänster, varav en person är verksamhetsansvarig. 157

6.3.2 Behovet av att särreglera den verksamhet som pågår i Tvillingregistret

Som nämnts ovan har Tvillingregistret i avsnitt 5 lyfts fram som ett exempel på en sådan forskningsdatabas som bör kunna omfattas av det föreslagna tillämpningsområdet. Registret innehåller unika uppgifter om cirka 87 000 tvillingpar med känd zygositet (en- eller tvåäggstvillingar) och aktiv insamling sker kontinuerligt. I de kontakter som förevarit under arbetet med promemorian har företrädare för Tvillingregistret efterfrågat ett tydligt rättsligt stöd för verksamheten i registret. Nuvarande situation har ansetts kräva att insamling av uppgifter sker genom etikgodkända forskningsprojekt, trots att ansvariga för registret vill framhålla dess infrastrukturella roll. Det

157 Information från Tvillingregistrets hemsida ( https://ki.se/forskning/svenskatvillingregistret ) samt muntliga uppgifter från verksamhetsansvarige med. dr. Patrik Magnusson vid telefonmöten 2020-07-28 och 2021-03-19.

235

Ds

har framkommit att det från Karolinska institutets sida finns en ambition att bedriva verksamheten som en renodlad forskningsdatabas, likt LifeGene, där fokus ligger på att skapa underlag för och lämna ut uppgifter till olika framtida forskningsprojekt. Uppgifter från Tvillingregistret tillhandahålls regelbundet olika forskningsprojekt. Tvillingregistret har därigenom kommit att utgöra en viktig resurs för betydelsefull forskning, i huvudsak om genetiska och miljömässiga faktorers betydelse för hälsa, livsstil och beteende. Mot bakgrund av detta, men också med beaktande av att det alltjämt sker en kontinuerlig insamling av uppgifter till forskningsdatabasen, får dess uppgift med att tillhandahålla uppgifter till flera olika forskningsprojekt bedömas vara av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Den forskning som Tvillingregistret skapar underlag för är efterfrågad och aktuell för att möta nutida och framtida samhällsutmaningar. I och med de föreslagna kraven på frivilligt deltagande, genom samtycke till och/eller information om den personuppgiftsbehandling som registrering i Tvillingregistret innebär, och genom de ytterligare skyddsåtgärder som föreslås gälla för nämnda behandling, får den integritetsrisk som behandlingen kan tänkas innebära anses proportionerlig i förhållande till forskningsdatabasens nyttopotential. Karolinska institutet har för bedrivandet av verksamheten i Tvillingregistret erhållit och avsatt de medel som behövs för en långsiktig satsning. Det finns såväl organisatoriska som finansiella förutsättningar för att Tvillingregistret ska kunna utgöra en viktig resurs för framtida forskning, bland annat genom att växa sig större, men också för att säkerställa en integritetssäker behandling av de uppgifter som finns i databasen samt hantera framställningar om att lämna ut dessa uppgifter till olika forskningsprojekt. Karolinska institutet får därmed, även när det gäller Tvillingregistret, anses uppfylla kraven för att kunna tillgodose ett kvalitativt och långsiktigt integritetsskydd för den personuppgiftsbehandling som även fortsättningsvis kommer att äga rum i verksamheten med denna forskningsdatabas. Det föreligger därmed såväl ett behov av som förutsättningar för att särreglera Tvillingregistret genom lagen om vissa forskningsdatabaser och en anslutande förordning för just Karolinska institutets personuppgiftsbehandling i verksamheten med denna forskningsdatabas.

236

Ds

6.3.3 Närmare om behovet av bestämmelser i förordning

Ändamål

När det gäller de preciserade primära ändamålen för den behandling av personuppgifter som är tänkt att ske i Tvillingregistret kan det beskrivas omfatta att ska skapa underlag för och lämna ut uppgifter till forskning kring genetiska eller miljömässiga faktorers betydelse för hälsa, livsstil eller beteende. Detta kommer att täcka in Tvillingregistrets tvärvetenskapliga egenskaper. Formuleringen tangerar i viss mån de forskningsområden som anges i den ovan föreslagna bestämmelsen för LifeGene. Det behöver alltså finnas ett förtydligande av att nämnda forskning sker på just uppgifter från tvillingar. För Tvillingregistret bör föreskrivas att de forskningsområden som denna forskningsdatabas ska skapa underlag för och lämna ut uppgifter till är just forskning, med tvillingar som forskningspersoner, kring genetiska eller miljömässiga faktorers betydelse för hälsa, livsstil eller beteende.

Genetiska uppgifter

I den slags forskning som Tvillingregistret är inriktad på att vara en resurs för är uppgifter om zygositet, genotyp och annan information om individuella variationer i arvsmassan väsentlig för forskningen. Det bör därför vara tillåtet att i Tvillingregistret registrera genetiska uppgifter om undersökningar av individuella variationer i arvsmassan. Det ska framgå av förordningen.

Direkt identifierbara personuppgifter

Som framgått ovan förekommer att det lämnas ut namn och personnummer på registrerade i Tvillingregistret till forskningsprojekt som avser att ta kontakt med forskningspersonerna inom ramen för projektet. Så kan exempelvis vara fallet om projektet inte avser enbart en registerstudie utan även har avsikt att rekrytera forskningspersoner för någon form av aktiv medverkan, exempelvis genom enkäter eller hälsoundersökningar. Något annat behov av att kunna lämna ut direkt identifierbara personuppgifter har inte framkommit. Det finns därför skäl att i förhållande till undantaget i lagen för när direkt

237

Ds

identifierbara personuppgifter får lämnas ut specificera detta i förordningen. Därmed framgår ett tydligt rättsligt stöd för utlämnandet likväl som en begränsning till detta syfte. Möjligheten att lämna ut direkt identifierbara personuppgifter bör dock enbart gälla för forskning som bedrivs hos en forskningshuvudman som är etablerad i Sverige. Den typ av kontaktagande med forskningspersoner torde för övrigt endast förekomma hos sådana forskningshuvudmän.

238

7 Lagen om det rättspsykiatriska forskningsregistret

I detta kapitel redovisas den vidare beredningen inom Utbildningsdepartementet av Forskningsdatautredningens överväganden och förslag när det gäller det rättspsykiatriska forskningsregistret vid Rättsmedicinalverket.

7.1 Om registret och dess reglering

7.1.1 Bakgrund

Lagen (1999:353) om rättspsykiatriskt forskningsregister trädde ikraft den 1 juli 2000. I motiven till lagen angavs att det behövdes ökade kunskaper om bl.a. effekterna av vård och behandling av psykiskt störda lagöverträdare, att många problemställningar var outforskade och krävde grundläggande forskning samt att detta krävde tillgång till databaser med systematiserade personuppgifter om många individer. Det påpekades att sådana databaser skulle komma att innehålla integritetskänsliga uppgifter och att detta krävde en intresseavvägning mellan forskningsbehoven och den enskildes personliga integritet. Regeringen delade den föregående utredningens 158 uppfattning om att inrättandet av ett rättspsykiatriskt forskningsregister skulle tillgodose forskningsbehovet samtidigt som det skulle utgöra det bästa integritetsskyddet för de registrerade däri. 159 Stiftandet av en lag föreslogs för att möjliggöra ett sådant register.

158 Utredningen om register för forskning inom rättspsykiatrin, med betänkandet Rättspsykiatriskt forskningsregister (SOU 1996:72). 159 Prop. 1998/99:72 s. 26 ff.

239

Ds

7.1.2 Lagens huvudsakliga innehåll

Av lagens 1 § framgår att Rättsmedicinalverket får, för de ändamål som anges i 3 § och med hjälp av automatiserad behandling, föra ett rättspsykiatriskt forskningsregister, liksom att Rättsmedicinalverket är personuppgiftsansvarigt för registret. Det har, sedan dataskyddsförordningen började tillämpas, och dataskyddslagen trädde i kraft, förtydligats i lagen att denna utgör ett komplement till dataskyddsförordningen samt att dataskyddslagens bestämmelser gäller om inte annat följer av lagen om rättspsykiatriskt forskningsregister. Dataskyddslagen är alltså subsidiär i förhållande till lagen. I 3 § anges ändamålen för personuppgiftsbehandlingen i registret. Där stadgas att registret får användas endast för 1) behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts enligt etikprövningslagen, eller 2) Rättsmedicinalverkets uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete). Vidare innehåller lagen bestämmelser om vilka uppgifter registret får innehålla, vilka myndigheter som är skyldiga att lämna uppgifter till registret, vad som gäller i fråga om direktåtkomst till uppgifterna i registret, vilken rätt att få information som den registrerade har, vad som gäller för utlämnande av uppgifter från registret samt en hänvisning till offentlighets- och sekretesslagen, där det i 24 kap. 2 § finns en särskild sekretessbestämmelse för uppgifter i registret.

7.2 Forskningsdatautredningens bedömningar och förslag

7.2.1 Forskningsdatautredningens uppdrag

I Forskningsdatautredningens uppdrag ingick att undersöka hur registret användes samt analysera om det långsiktigt fanns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister. Bakgrunden till uppdraget var en rapport från Rättsmedicinalverket, redovisad år 2013, i vilken verket hade framhållit att registerlagen inte ger ett adekvat stöd för den rättspsykiatriska forskningen. I rapporten angavs att rättspsykiatrins nuvarande frågeställningar inte låter sig besvaras med stöd av de begränsade uppgifter som får registreras i registret. Rättsmedicinalverket föreslog mot den

240

Ds

bakgrunden att registerlagen skulle upphävas och ersättas av annan lagstiftning. 160 I Forskningsdatautredningens delbetänkande föreslogs vissa anpassningar av registerlagen inför att dataskyddsförordningen skulle börja tillämpas. I den andra fasen av utredningen – den som var inriktad på behovet av en särskild reglering av ett rättspsykiatriskt forskningsregister – ingick en verksjurist vid Rättsmedicinalverket i utredningens expertgrupp och bidrog med underlag till uppdraget i den delen. 161 I slutbetänkandet redogjorde Forskningsdatautredningen för gällande rätt på området, för rättspsykiatrisk forskning och utvecklingsarbete, dels inom universitetsvärlden, dels vid Rättsmedicinalverket, för hur registret användes vid tidpunkten för utredningen samt för vilka problem som hade identifierats vid byggandet och användningen av registret. Någon genomgång av utredningens redogörelse i den delen kommer inte att ske här, utan i stället hänvisas till slutbetänkandets kapitel 9. 162

7.2.2 Forskningsdatautredningens förslag

Forskningsdatautredningen kunde konstatera att Rättsmedicinalverket påbörjade arbetet med att skapa det rättspsykiatriska forskningsregistret i januari 2001 och att arbetet sedan pågick till och med år 2005, men att det därefter lades ned. Anledningen till nedläggningen angavs sammanfattningsvis vara problem med interoperabilitet, kvalitetsbrister i inlämnade uppgifter samt att den rättspsykiatriska forskningens frågeställningar inte kunde besvaras utifrån de begränsade uppgifter som fick registreras i registret. Det noterades att registret vid tidpunkten för utredningen fanns på en server som Rättsmedicinalverket ansvarade för samt att det däri fanns uppgifter registrerade mellan åren 2000 – 2004, men att senast registrerade aktivitet var från år 2005. Totalt angavs 7 134 uppgifter finnas registrerade i registret. 163

160 Ett nytt författningsstöd för Rättsmedicinalverkets behandling av personuppgifter, m.m. (Ju2013/8833/Å). 161 SOU 2018:36 s. 64. 162 SOU 2018:36 s. 341 ff. 163 SOU 2018:36 s. 347.

241

Ds

Utredningen bedömde att forskningsregistret, sedan det inrättades, haft ett ringa kvalitativt egenvärde för den rättspsykiatriska verksamheten. Registerlagen ansågs inte ha tillhandahållit de möjligheter som behövs för att bedriva en kvalitativ och över tid föränderlig forskning. Det påpekades att uppgifter från Socialstyrelsen, Kriminalvården eller Statens Institutionsstyrelse inte lämnades ut till Rättsmedicinalverket, att forskning inom den rättspsykiatriska utredningsverksamheten inte bedrivs med hjälp av det aktuella registret samt att det skulle krävas omfattande arbete för att utveckla registrets kvalitet eftersom det inte underhållits sedan år 2005. Regleringen bedömdes därför inte vara ändamålsenlig för rättspsykiatrisk forskning och utveckling. I detta sammanhang poängterades också att större delen av den rättspsykiatriska forskningen bedrivs vid landets universitet. Mot den bakgrunden, och eftersom utredningen ändå föreslog en långsiktig och generell reglering av forskningsdatabaser, menade man att lagen om rättspsykiatriskt forskningsregister bör upphävas. 164

7.3 Vad som framkommit i tiden efter Forskningsdatautredningens arbete

I arbetet med denna promemoria har det inhämtats uppdaterad information från Rättsmedicinalverket dels om nuvarande status för det rättspsykiatriska forskningsregistret, dels om verkets uppfattning i fråga om regleringens ändamålsenlighet. Rättsmedicinalverket har därvid framhållit att den problematik som redovisades såväl i den ovannämnda rapporten från 2013 som i Forskningsdatautredningens slutbetänkande från 2018 kvarstår. Rättsmedicinalverket har poängterat att verket står fast vid samtliga tidigare lämnade synpunkter. Härutöver har det framkommit att det rättspsykiatriska forskningsregistret överhuvudtaget inte har använts sedan år 2005 samt att det dessutom, i tiden efter Forskningsdatautredningens redovisande av slutbetänkandet, har avvecklats. I dag är registret tömt på samtliga uppgifter och det finns inte heller några säkerhetskopior. Även underlag med personuppgifter som förekommit i arbetet med registret har gallrats.

164 SOU 2018:36 s. 355 f.

242

Ds

Enligt registerlagens 1 § får Rättsmedicinalverket föra ett rättspsykiatriskt forskningsregister och Rättsmedicinalverket har, eftersom man inte ansett sig ha något behov av registret och inte heller bedömt regleringen kring detta vara ändamålsenlig, valt att inte längre föra något sådant register. Det finns mot den bakgrunden, enligt Rättsmedicinalverkets uppfattning, fortfarande inte något behov av den aktuella registerlagen, utan myndighetens önskemål är att denna upphävs.

7.4 Bedömningar och förslag

Förslag: Lagen om rättspsykiatriskt forskningsregister ska upphävas.

Det finns alltjämt fog för de slutsatser som Forskningsdatautredningen presenterade i sitt slutbetänkande. Inrättandet av det rättspsykiatriska forskningsregistret har inte tillgodosett forskningsbehovet på området och lagen har inte tillhandahållit de möjligheter som behövs för att bedriva en kvalitativ och över tid föränderlig rättspsykiatrisk forskning. I stället har forskningen på området kommit att bedrivas på universiteten, utan användning av registret. Den omständigheten att Rättsmedicinalverket nu har avvecklat det rättspsykiatriska forskningsregistret ger än mer stöd åt Forskningsdatautredningens slutsatser. Det bör i detta sammanhang poängteras att Rättsmedicinalverket inte har gett uttryck för något önskemål om eller behov av ny reglering för att kunna upprätta och föra någon ny forskningsdatabas. Skulle det framöver finnas ett behov av forskningsdatabaser inriktade på det rättspsykiatriska området, framstår det därför som mer rimligt att sådana förs av ett universitet eller annat lärosäte, där merparten av forskningen på området redan bedrivs. För det fall det skulle bedömas nödvändigt, och förutsättningarna i övrigt är uppfyllda, finns det möjlighet för regeringen att med stöd av den s.k. restkompetensen tillse att kompletterande särreglering för en sådan forskningsdatabas hos ett lärosäte kommer till stånd. Av de nu redovisade skälen görs således i denna promemoria samma bedömning som Forskningsdatautredningen i fråga om att lagen om rättspsykiatriskt forskningsregister bör upphävas. Till det

243

Ds

sagda kan framhållas att det tillåtna innehållet i det reglerade registret är klart integritetskänsligt, vilket anfördes i förarbetena, Det är därför angeläget att en tillåtande lagstiftning, där integritetsrisken inte längre vägs upp av någon påtaglig nytta med registreringen, inte får finnas kvar. Det lämnas därför ett förslag om att lagen upphävs. I avsnitt 8.4 behandlas frågan om den särskilda sekretessbestämmelsen i 24 kap. 2 § OSL för verksamheten med forskningsregistret också bör upphävas.

244

8 Sekretessfrågor

Ett av syftena med den föreslagna lagen om vissa forskningsdatabaser är att säkerställa att de registrerades personliga integritet skyddas i verksamheten med en forskningsdatabas. Sekretessreglering är en helt central skyddsåtgärd för att uppnå det nämnda syftet. Utformningen av ett sådant skydd behandlas nedan. En ytterligare fråga som behöver adresseras i promemorian är den upplevda problematiken kring att samla in uppgifter till forskningsdatabaser från statistikansvariga myndigheter. Rättsligt handlar detta om utrymmet för statistikansvariga myndigheter att på grund av sekretessen i 24 kap. 8 § OSL lämna ut uppgifter för uppbyggnad av forskningsdatabaser där det inte finns färdiga forskningsfrågor formulerade ännu. Det har påtalats i arbetet med denna promemoria att utrymmet är för snävt utformat eller att registerhållande myndigheters tillämpning av statistiksekretessen är alltför stram. Också Registerforskningsutredningen och Forskningsdatautredningen har beskrivit frågan som ett problemområde. Även denna fråga behandlas nedan. Slutligen behöver övervägas vad som bör hända med sekretessbestämmelsen i 24 kap. 2 § OSL för verksamhet med det rättspsykiatriska forskningsregistret, till följd av förslaget att upphäva lagen om det registret.

8.1 Sekretess i verksamhet med forskningsdatabaser enligt lagen om vissa forskningsdatabaser

Förslag: De nuvarande bestämmelserna i 24 kap. 2 a och 2 b §§ OSL om sekretessreglering i verksamhet med register enligt LifeGene-lagen ska ändras så att de omfattar motsvarande verk-

245

Ds

samheter i samtliga forskningsdatabaser som förs enligt den föreslagna lagen om vissa forskningsdatabaser. Absolut sekretess ska därmed gälla i verksamhet som avser förande av eller uttag ur en forskningsdatabas enligt lagen om vissa forskningsdatabaser för uppgift som avser enskilds personliga förhållanden och som kan hänföras till den enskilde. Uppgift ska dock få lämnas ut i den utsträckning som framgår av den lagen. Vidare ska uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde få lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. För en uppgift i en allmän handling ska sekretessen gälla i högst sjuttio år. Om en uppgift som omfattas av den nya sekretessbestämmelsen överförs till en annan myndighet ska sekretessbestämmelsen bli tillämplig även hos den mottagande myndigheten. Det ska vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott enligt vissa bestämmelser i offentlighetsoch sekretesslagen. Sekretessen ska undantas från generalklausulens (10 kap. 27 § OSL) tillämpningsområde. Den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter.

8.1.1 Vad behövs?

Som sagts ovan är sekretessreglering i verksamhet med forskningsdatabaser enligt den nya lagen en central del av skyddet för registrerades personliga integritet. Förslaget till lag om vissa forskningsdatabaser innebär att forskningsdatabaser enligt lagen bara kan komma att finnas hos statliga eller enskilda lärosäten som tillämpar offentlighetsprincipen, i bemärkelsen handlingsoffentlighet, enligt 2 kap. TF i sin verksamhet med forskningsdatabaserna i fråga. Personuppgifterna kommer därmed att finnas i allmänna handlingar hos lärosätena som är offentliga och tillgängliga för vem som helst om inte en sekretessreglering gäller för uppgifterna. Att det i den föreslagna lagen finns bestämmelser om att uppgifter bara får behandlas för

246

Ds

vissa ändamål och får lämnas ut endast till vissa mottagare och under vissa förutsättningar m.m. saknar betydelse för vad som är en allmän handling eller för personuppgifternas offentlighet (jfr t.ex. prop. 2007/08:123 s. 120 f., se även 1 kap. 7 § dataskyddslagen). I detta sammanhang ska dock bestämmelsen i 21 kap. 7 § OSL nämnas. Enligt denna gäller sekretess för en personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen, dataskyddslagen eller 6 § etikprövningslagen. Prövningen i detta skede avser emellertid inte utlämnandet i sig, utan den därefter följande behandlingen hos mottagaren. Uppgifter som avses behandlas i forskningsdatabaser enligt lagen om vissa forskningsdatabaser är, som tidigare nämnts, av integritetskänslig natur. Många av uppgifterna kommer också att vara känsliga personuppgifter enligt dataskyddsförordningen. Det finns alltså ett starkt intresse av att, i förhållande också till offentlighetsprincipen, kunna skydda dessa uppgifter. Vetskapen om att det finns ett sekretesskydd för uppgifterna i en forskningsdatabas är avgörande för det frivilliga deltagandet och lämnandet av personuppgifter till en forskningsdatabas som själva verksamheten bygger på. Det är avgörande att de enskilda som överväger att delta och få sina personuppgifter registrerade i en forskningsdatabas kan känna sig trygga med att uppgifterna behandlas på ett integritetssäkert sätt. Utöver de i föregående kapitel föreslagna skyddsåtgärderna är även intresset av ett starkt sekretesskydd stort. En ytterligare fråga i sammanhanget som måste analyseras är vilket skydd mot vidarespridning som personuppgifter får när de väl lämnats ut för att användas i ett forskningsprojekt. Motsvarande frågeställningar behandlades i förarbetena till LifeGene-lagen och resulterade i införandet av en sekretessreglering. Utformningen av denna är av stor relevans för de forskningsdatabaser som den nu föreslagna lagen om vissa forskningsdatabaser är tänkt att omfatta. Denna befintliga reglering och övervägandena bakom den kommer därför att redovisas tämligen ingående nedan.

247

Ds

8.1.2 LifeGene-sekretessen

Bestämmelserna

I samband med LifeGene-lagens ikraftträdande infördes även nya bestämmelser, 24 kap. 2 a och 2 b §§, i offentlighets- och sekretesslagen med följande lydelser.

Vissa register för forskning om vad arv och miljö betyder för människors hälsa

Förande av och uttag ur register

2 a § Sekretess gäller i verksamhet som avser förande av eller uttag ur register enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa för uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde.

Sekretessen hindrar inte att uppgift lämnas ut i den utsträckning som framgår av den lag som avses i första stycket. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år. Lag (2013:795).

Överföring av sekretess

2 b § Får en myndighet en uppgift som är sekretessreglerad i 2 a § från den som bedriver verksamhet enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, blir 2 a § tillämplig även hos den mottagande myndigheten. Lag (2013:795).

Därutöver gjordes ändringar i 10 kap. 23 och 27 §§ OSL som innebär att sekretessen enligt 24 kap. 2 a § dels inte hindrar att uppgifter angående misstanke om allvarligare brott lämnas till brottsbekämpande myndighet under vissa förutsättningar, dels är undantagen från tillämpningsområdet för den så kallade generalklausulen. Vidare ändrades 24 kap. 9 § OSL varigenom tystnadsplikten enligt 2 a § samma kapitel kom att ges företräde framför den grundlagsfästa rätten att meddela och offentliggöra uppgifter. Det ska observeras att ändringarna i offentlighets- och sekretesslagen med anledning av LifeGene-lagens införande inte tidsbegrän-

248

Ds

sades. Behovet av sekretess för behandlade personuppgifter skulle nämligen bestå alldeles oavsett vad kommande utredningsuppdrag skulle leda till. 165

Befintlig sekretessreglering bedömdes otillräcklig

Till en början kan hänvisas till den översiktliga beskrivningen i prop. 2012/13:163 s. 61 och 62 i förarbetena till LifeGene-lagen angående hur sekretessbestämmelser till skydd för enskilda utformats i 21 – 40 kap. OSL och vilka allmänna principer för överväganden bakom utformningen av sådan sekretessreglering som tillämpas av lagstiftaren. Där lyfts bland annat fram hur sekretessbestämmelser utformas efter en avvägning mellan dels intresset av sekretess för uppgifter om enskildas personliga eller ekonomiska förhållanden, dels intresset av insyn i myndigheters olika verksamheter. Vidare beskrivs att när fråga är om uppgifter som har lämnats till en myndighet i förtroende, vilket det ofta är fråga om när det t.ex. gäller hälso- och sjukvård eller forskning, och det inte handlar om myndighetsutövning brukar sekretessbestämmelserna utformas så att uppgifterna omfattas av sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, dvs. presumtionen är i dessa fall att uppgifterna omfattas av sekretess (omvänt skaderekvisit). Sekretessen enligt en bestämmelse kan också vara absolut. En sådan bestämmelse är inte försedd med något skaderekvisit och det ska därför inte göras någon skadeprövning om en uppgift begärs ut, utan sekretessen gäller så länge inte någon sekretessbrytande regel är tillämplig. Regeringen konstaterade därefter att det inte finns en sekretessbestämmelse som ger ett tillfredsställande sekretesskydd för verksamhet enligt LifeGene-lagen. Befintliga bestämmelser i 24 kap. OSL till skydd för enskild inom forskning och statistik kunde inte tillämpas. Exempelvis bedömdes den så kallade statistiksekretessen enligt 24 kap. 8 § med absolut sekretess inte kunna omfatta register som skulle föras med stöd av LifeGene-lagen. Registren var nämligen inte avsedda att ligga till grund för framställning av statistik utan för kommande forskningsprojekt av viss typ. Ett forskningsprojekt till vilka uppgifter kommer att lämnas från ett sådant register kan

165 Prop. 2012/13:163 s. 75

249

Ds

visserligen vara att anse som en ”annan jämförbar undersökning” i den mening som avses i 24 kap. 8 § OSL och som genom 7 § OSF kan omfattas av sekretessregleringen i 24 kap. 8 §. Verksamheten enligt LifeGene-lage n kan dock inte i sig anses utgöra en ”annan jäm förbar undersökning” och det finns därför inte utrymme för rege ringen att i 7 § OSF förordna om sekretess enligt bestämmelsen i 24 kap. 8 § OSL för verksamheten enligt LifeGene-lagen. Inte heller bestämmelserna i 25 kap. OSL om sekretess till skydd för enskild inom hälso- och sjukvård kunde tillämpas. Regeringen konstaterade således att det endast var bestämmelsen i 21 kap. 1 § OSL som kunde bli tillämplig i fråga om vissa av de uppgifter som samlas in i de avsedda registren enligt LifeGene-lagen. Detta ansågs otillräckligt med tanke på bestämmelsens starka offentlighetspresumtion och att den endast skyddar de allra känsligaste uppgifterna om hälsa och sexualliv.

Absolut sekretess m.m. för uppgifter i verksamhet med LifeGene

I avvägningen mellan sekretessintresset och insynsintresset vid överväganden om det borde införas en sekretessbestämmelse för personuppgifter som behandlas enligt den föreslagna lagen och med vilken styrka den i så fall ska gälla konstaterades att uppgifter som skulle att behandlas enligt den föreslagna lagen är av integritetskänslig natur. Att enskilda frivilligt ställer upp och lämnar känsliga och privata uppgifter till ett register i syfte att uppgifterna ska användas för viss typ av forskning innebär inte att personerna vill att dessa uppgifter ska lämnas ut till en annan typ av forskning än vad godkännandet avser eller till envar. Med tanke på uppgifternas karaktär fick sekretessintresset anses vara framträdande, menade regeringen. När det gäller insynsintresset fann regeringen att det till att börja med finns ett intresse av att kunna granska den forskning som bedrivs på grundval av uppgifter från LifeGene. De forskare som avses få tillgång till uppgifterna enligt den föreslagna lagen kommer dock inte att få del av uppgifter som är direkt hänförliga till enskilda. Den som vill granska forskningen behöver därför inte få del av andra uppgifter än de som forskaren har fått del av, dvs. uppgifter som inte är direkt hänförliga till den enskilde. Det kan vidare finnas forskare som vill använda uppgifterna för någon annan typ av forskning än

250

Ds

vad den enskilde har samtyckt till eller som vill använda uppgifterna för forskning av den typ som den enskilde samtyckt till, men där forskningsprojektet inte har godkänts enligt etikprövningslagen. I dessa fall ansågs intresset av att ta del av uppgifterna inte väga tyngre än sekretessintresset. När det gäller allmänhetens intresse av insyn i övrigt noterades att uppgifterna i registret inte kommer att ha lämnats i samband med myndighetsutövning mot enskild, utan att det kommer att vara helt frivilligt att lämna uppgifter till registret. Allmänintresset av insyn i uppgifterna får därmed anses vara relativt svagt, menade regeringen. Vid en avvägning mellan sekretessintresset och insynsintresset fann regeringen att sekretessintresset väger tyngre och att en sekretessbestämmelse borde införas för uppgifter om enskildas personliga förhållanden i register som förs enligt LifeGene-lagen. När det gäller frågan med vilken styrka sekretessen borde gälla anförde regeringen bland annat följande.

166

De nu aktuella registren kommer att innehålla mycket känslig information, bl.a. genetisk information, om en stor mängd människor. Som nämnts tidigare är t.ex. projektet LifeGene tänkt att på sikt omfatta uppgifter om ca en halv miljon personer. Verksamheten avseende registren utgör inte forskning i sig utan registren ska ligga till grund för forskning. Förslaget innebär dels att uppgifter i registren endast ska få lämnas ut till en viss typ av forskning där såväl forskningen som behandlingen av uppgifterna har godkänts enligt etikprövningslagen, dels att bara personuppgifter som inte är direkt hänförliga till den enskilde ska få lämnas ut i löpnummerförsedd form. Om någon vill kontrollera forskning baserad på uppgifter från ett register som omfattas av den föreslagna lagen kan personen i fråga begära ut uppgifterna från den forskningsverksamhet där uppgifterna har använts och frågan om utlämnande får då prövas utifrån de bestämmelser som gäller i den verksamheten. En person kan även vilja begära ut uppgifter både från registret och från forskningsprojektet för att kontrollera att uppgifterna inte har förvanskats i forskningsprojektet.

Som nämnts tidigare överförs sekretess från en utlämnande myndighet till forskningsverksamheten enligt 11 kap. 3 § OSL. Vid konkurrens mellan flera tillämpliga sekretessbestämmelser är huvudprincipen att den eller de sekretessbestämmelser enligt vilka en uppgift vid en sekretessprövning är sekretessbelagd har företräde framför bestämmelser enligt vilka uppgiften ska lämnas ut (7 kap. 3 § OSL). Enligt en särskild konkurrensbestämmelse i 11 kap. 8 § OSL har dock en sekretessbestäm-

166 Citat ur prop. 2012/13:163 s. 66 – 69.

251

Ds

melse som är direkt tillämplig i en mottagande verksamhet som huvudregel företräde framför överförd sekretess. Det sagda innebär att om det införs en bestämmelse om sekretess med viss styrka i nu aktuellt register, t.ex. absolut sekretess eller sekretess med ett omvänt skaderekvisit, kommer den sekretessen att överföras till den mottagande forskningsverksamheten. Om en sekretessbestämmelse i 24 kap. OSL eller någon annan sekretessbestämmelse är direkt tillämplig i forskningsprojektet kommer dock den bestämmelsen att ha företräde framför den överförda sekretessen även om den direkt tillämpliga sekretessen är svagare än den överförda sekretessen.

Ändamålet med behandlingen av personuppgifter enligt den föreslagna lagen ska vara att skapa underlag för och lämna ut uppgifter till olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Uppgifter ska under vissa förutsättningar få lämnas ut till forskningsprojekt som omfattas av nämnda ändamål. Som framgått ovan omfattas uppgifter i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier som utförs hos sjukvårdsinrättningar, utbildningsanstalter och forskningsinrättningar av absolut statistiksekretess (7 § OSF). Ovan nämnda konkurrensbestämmelser i OSL medför att oavsett med vilken styrka sekretessen kommer att gälla för uppgifterna i registret kommer uppgifterna att omfattas av absolut statistiksekretess i det forskningsprojekt som de lämnas till.

När det gäller skillnaden från integritetssynpunkt mellan uppgifter som är direkt hänförliga till en enskild och personuppgifter som inte är direkt hänförliga till den enskilde, men som är försedda med löpnummer, kan konstateras att sistnämnda uppgifter inte är helt okänsliga. Detta beror på risken för s.k. bakvägsidentifiering. I särskild verksamhet som avser statistik får uppgifter som inte är direkt hänförliga till den enskilde bara lämnas ut, om det står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider men (24 kap. 8 § OSL). Enligt praxis hos Statistiska centralbyrån (SCB) lämnar myndigheten inte ut sådana löpnummerförsedda uppgifter till en annan myndighet om det inte gäller statistiksekretess för uppgifterna i den mottagande verksamheten.

Om en myndighet som ska utföra en med statistik jämförbar undersökning behöver uppgifter från SCB förs därför undersökningen i regel in i 7 § OSF med följd att de löpnummerförsedda uppgifterna från SCB kommer att omfattas av absolut sekretess hos den mottagande myndigheten. Som nämnts tidigare är dock såväl 24 kap. 8 § som 7 § OSF försedda med vissa sekretessbrytande bestämmelser.

Regeringen anser att en avvägning mellan sekretessintresset och insynsintresset ger vid handen att det bör finnas möjlighet att granska sådan forskning som baseras på uppgifter i register som förs enligt den

252

Ds

föreslagna lagen samt att denna möjlighet bör åstadkommas antingen genom att uppgifter som förekommer i verksamheten enligt den föreslagna lagen omfattas av sekretess med ett omvänt skaderekvisit eller av absolut sekretess i kombination med särskilda sekretessbrytande bestämmelser.

De nu aktuella registren kommer att innehålla uppgifter av motsvarande känslighetsgrad som de uppgifter som finns såväl i PKU-registret som i de s.k. hälsodataregistren. Uppgifterna i det förstnämnda registret kan användas bl.a. i hälso- och sjukvården avseende enskilda barn och i klinisk forskning och utveckling samt omfattas, i likhet med hälso- och sjukvårdssekretessen av sekretess med ett omvänt skaderekvisit. Uppgifter i hälsodataregistren, som inte är avsedda att användas i enskilda vårdfall, utan för bl.a. statistik och forskning, omfattas av absolut statistiksekretess. När uppgifterna i register som omfattas av den nu föreslagna lagen lämnas över för forskning kommer, som ovan har konstaterats, uppgifterna att omfattas av statistiksekretess hos forskningsinrättningen. Regeringen anser inte att det är motiverat att uppgifter om enskildas personliga förhållanden i ett register som har konstruerats för att ligga till grund för viss forskning ska omfattas av ett svagare skydd i registret än vad uppgifterna har i forskningsverksamheten som sådan. Sekretesskyddet för uppgifter om enskilds personliga förhållanden i register enligt den föreslagna lagen bör således utformas med 24 kap. 8 § OSL som förebild. Det innebär att uppgifter som är hänförliga till den enskilde bör omfattas av absolut sekretess. Det bör vidare införas sekretessbrytande bestämmelser. Sekretessen bör inte hindra dels att uppgifter lämnas ut enligt vad som framgår av den föreslagna lagen (se avsnitt 5.4), dels att uppgifter som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detta tillgodoser då behovet av granskning, dels genom att utlämnande av uppgifter enligt den föreslagna lagen får ske för utredning av oredlighet i sådan forskning som avses i lagen och avgivande av yttrande i samband med sådan utredning och dels genom att utlämnande av uppgifter som inte är direkt hänförliga till den enskilde kan komma att ske i andra fall efter en sekretessprövning.

Vad gäller sekretesstiden bedömde regeringen att sekretess bör gälla under den enskildes livstid. Eftersom det kunde ingå barn i register

167

enligt lagen borde sekretessen gälla i högst 70 år.

167 Prop. 2012/13 :163 s. 70.

253

Ds

Sekretessbrytande bestämmelser

Utöver den sekretessbrytande bestämmelsen som berörts ovan om att uppgifter ska få lämnas ut enligt vad som framgår av LifeGenelagen och lättnaden från den absoluta sekretessen i fråga om uppgifter som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, vilka får lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, fann regeringen att det är särskilt angeläget att upprätthålla sekretessen i förhållande till andra myndigheter. Därför skulle LifeGene-sekretessen undantas från tillämpningsområdet för generalklausulen i 10 kap. 27 § OSL som anger att en sekretessbelagd uppgift får lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Däremot borde, i likhet med vad som i fråga om annan sekretess som undantagits från generalklausulen, den nya sekretessen kunna brytas i andra fall som anges i 10 kap. OSL, bland annat när det är fråga om misstankar om allvarligare brott. I likhet med vad som följer av bland annat statistiksekretessen enligt 24 kap. 8 § OSL ändrades 10 kap. 23 § OSL så att uppgift trots den föreslagna nya sekretessen skulle kunna lämnas till en åklagarmyndighet, polismyndighet eller annan myndighet som har till uppgift att ingripa mot brottet om misstanken angår brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år om gärningen innefattat försök till överföring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168). Det ska observeras att regleringen i 10 kap. 23 § OSL innebär en begränsning av i vilka fall uppgifter om brottsmisstankar får lämnas till brottsbekämpande myndigheter. Beträffande annan sekretess gäller enligt 10 kap. 24 § att sekretess inte hindrar att uppgifter om brottsmisstankar lämnas så länge som fängelse är föreskrivet för brottet och det i det aktuella fallet kan antas föranleda annat än böter.

254

Ds

Överföring av sekretess

I LifeGene-lagen finns en motsvarande bestämmelse som i den nu föreslagna lagen om vissa forskningsdatabaser och som innebär att ett lärosäte, som har lämnat ut löpnummerförsedda personuppgifter till ett etikgodkänt forskningsprojekt, ska kunna lämna ut kodnyckeln till en annan myndighet för att den mottagande myndigheten i sin tur ska kunna lämna ut uppgifter om samma personer till samma forskningsprojekt. Det är då inte säkert att det finns någon sekretessbestämmelse som skyddar kodnyckeln hos den mottagande myndigheten, i allmänhet en statistikansvarig myndighet. För att skydda dessa uppgifter hos den mottagande myndigheten behövdes därför, menade regeringen, en bestämmelse om överföring av sekretess, som innebär att den nya sekretessbestämmelsen blir tillämplig även hos den mottagande myndigheten. Vidare anförde regeringen följande. 168 Den föreslagna bestämmelsen om överföring av sekretess kommer även att bli tillämplig när utlämnande sker med stöd av de sekretessbrytande bestämmelserna i 10 kap. 23 och 27 §§ OSL.

Om uppgifter lämnas över till ett etikgodkänt forskningsprojekt kommer sekretessen enligt den föreslagna sekretessbestämmelsen att överföras både enligt den generella bestämmelsen om överföring av sekretess till forskningsverksamhet (11 kap. 3 § OSL) och enligt den nu föreslagna bestämmelsen om överföring av sekretess.

Vid konkurrens mellan sekretess som blir tillämplig på grund av den nu föreslagna bestämmelsen om överföring av sekretess och sekretess som på annan grund gäller hos den mottagande myndigheten blir huvudregeln i 7 kap. 3 § OSL om konkurrens mellan sekretessbestämmelser tillämplig. Detta innebär att den sekretessbestämmelse enligt vilka en uppgift vid en sekretessprövning är sekretessbelagd har företräde framför en sekretessbestämmelse enligt vilken uppgiften ska lämnas ut.

Sekretess inom en myndighet

I LifeGene-propositionen behandlades relativt ingående konsekvenser för sekretessen som uppstår när det registerförande lärosätet också är forskningshuvudman för sådan forskning som använder

168 Citat ur prop. 2012/13:163 s. 71 och 72.

255

Ds

uppgifter från LifeGene. Regeringens överväganden i denna del var följande.

169

Som nämnts i avsnitt 5.6 kan det gälla sekretess inom en myndighet. Vad som föreskrivs om sekretess mot andra myndigheter i 8 kap. 1 § OSL och vad som föreskrivs i andra bestämmelser i OSL om uppgiftslämnande till andra myndigheter, gäller också mellan olika verksamhetsgrenar inom en myndighet när de är att betrakta som självständiga i förhållande till varandra (8 kap. 2 § OSL).

En myndighet kan i en viss del av en verksamhet ha att tillämpa olika sekretessbestämmelser, t.ex. dels sekretessbestämmelser till skydd för allmänna intressen, dels sekretessbestämmelser till skydd för enskildas personliga och ekonomiska intressen. Vissa sekretessbestämmelser kan vidare av redaktionella skäl ha delats upp på flera olika paragrafer. En myndighet kan således i en viss del av verksamheten behöva tillämpa ett helt set av sekretessbestämmelser. Om olika delar av en myndighets verksamhet tillämpar sinsemellan helt olika set av sekretessbestämmelser föreligger olika verksamhetsgrenar i OSL:s mening. I förarbetena till OSL har som exempel Skatteverket nämnts. Hos Skatteverket gäller i den fiskala verksamheten, folkbokföringsverksamheten, den brottsbekämpande verksamheten respektive verksamheten med att registrera bouppteckningar sinsemellan helt olika sekretessbestämmelser. Dessa verksamheter anses därmed utgöra fyra olika verksamhetsgrenar inom Skatteverket i OSL:s mening (prop. 2008/09:150 s. 356 f.).

I detta avsnitt har det föreslagits att det ska införas en ny sekretessbestämmelse enligt vilken sekretess ska gälla i verksamhet som avser förande av och uttag ur register enligt den föreslagna lagen. Som framgått av avsnitt 5.1 anser regeringen att även det universitet eller den högskola som för ett sådant register ska kunna tillåtas använda uppgifter från registret i egna forskningsprojekt som har godkänts enligt etikprövningslagen. Som nämnts i avsnitt 5.6 är det i ett sådant fall fråga om utlämnande av uppgifter inom myndigheten, från den verksamhet som avser förande av och uttag ur registret till en verksamhet som avser ett konkret forskningsprojekt. Utlämnande ska ske under samma förutsättningar och på samma sätt som om det hade varit fråga om ett externt forskningsprojekt.

En sekretessbestämmelse som avser förande av eller uttag ur ett visst register är primärt tillämplig dvs. direkt tillämplig, hos en annan myndighet eller en annan självständig verksamhetsgren inom myndigheten bara om myndigheten eller verksamhetsgrenen har direktåtkomst till registret och endast så länge mottagaren inte har tagit ut uppgiften från registret eller använt uppgiften i sin verksamhet. Som framgått av avsnitt 5.6 är det bara de anställda och uppdragstagare hos den person-

169 Citat ur prop. 2012/13:163 s. 72 och 73.

256

Ds

uppgiftsansvariga myndigheten som ska sköta den verksamhet som avser själva hanteringen av registret, t.ex. arbetsuppgifter som innebär ett införande av uppgifter i registret eller utlämnande av uppgifter från registret, som ska få ha elektronisk åtkomst till personuppgifterna. Sådan åtkomst ska vidare begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Anställda eller uppdragstagare hos den personuppgiftsansvarige som arbetar med ett forskningsprojekt kommer, i likhet med utomstående som arbetar med motsvarande projekt, inte att få ha direktåtkomst till uppgifterna i registret. Den föreslagna sekretessbestämmelsen kommer således inte att vara direkt tillämplig i sådan verksamhet hos den personuppgiftsansvarige som avser ett internt forskningsprojekt. Däremot kommer den föreslagna sekretessen, på motsvarande sätt som kommer att gälla i förhållande till utomstående, att överföras till en intern verksamhet som avser ett forskningsprojekt om uppgifter från registret lämnas dit.

Om det universitet eller den högskola som för ett register enligt den föreslagna lagen också bedriver sådan forskning till vilken uppgifter från registret kan lämnas ut kommer det således att röra sig om två olika verksamhetsgrenar inom myndigheten i OSL:s mening. För att en sekretessgräns ska uppstå inom en myndighet räcker det dock inte att det finns olika verksamhetsgrenar utan dessa måste också organiseras på ett sådant sätt att de förhåller sig självständiga i förhållande till varandra (8 kap. 2 § OSL). För det fall ett universitet eller en högskola väljer att både föra ett register enligt den föreslagna lagen och bedriva sådan forskning till vilken uppgifter från registret kan lämnas ut förutsätter dock regeringen att så sker.

Rätten att meddela och offentliggöra uppgifter

Bestämmelser om sekretess innebär både handlingssekretess och tystnadsplikt (3 kap 1 § OSL). Varje svensk medborgare har enligt

1 kap. 1 och 7 §§ tryckfrihetsförordningen (TF) och 1 kap. 1 och

10 §§ yttrandefrihetsgrundlagen (YGL) en rätt att meddela och offentliggöra uppgifter. Denna rätt har, som huvudregel, företräde framför bestämmelser om tystnadsplikt. I nämnda grundlagar och i offentlighets- och sekretesslagen regleras dock undantag från huvudregeln som innebär att tystnadsplikten inskränker rätten att meddela eller offentliggöra uppgifter. Undantag från den så kallade meddelarfriheten ska föreskrivas med stor återhållsamhet. Det ska dock observeras att rätten att meddela och offentliggöra uppgifter aldrig omfattar rätt att lämna vidare allmänna handlingar med sekretessbelagda uppgifter (7 kap. 20 § 1 och 22 § första stycket

257

Ds

2 TF och 5 kap. 1 § och 4 § första stycket 2 YGL). När det gäller en uppgift som omfattas av en sekretessbestämmelse kan det således vara tillåtet att t.ex. muntligen lämna uppgiften till en journalist eller att själv publicera uppgiften, men inte att lämna den allmänna handlingen med uppgiften i fråga. I fråga om LifeGene-sekretessen anförde regeringen att den enskilda sekretessbestämmelsens konstruktion kan ge viss vägledning om undantag från rätten att meddela eller offentliggöra uppgifter bör införas. När det är fråga om bestämmelser om absolut sekretess, och i viss mån även vid omvänt skaderekvisit, kan det finnas större anledning än annars att överväga undantag. Vidare borde beaktas att uppgiften lämnats av en enskild i en förtroendesituation och att uppgiften inte hänförde sig till myndighetsutövning (jfr prop. 1979/80:2 Del A s. 111 f.). I den forskning som skulle komma att basera sig på uppgifter ur registren skulle vidare finnas inskränkningar i rätten att meddela eller offentliggöra uppgifter på grund av 24 kap. 8 § OSL och 7 § OSF jämförd med 24 kap. 9 § OSL. Regeringen ansåg mot denna bakgrund att även den tystnadsplikt som följer av den i lagstiftningsärendet föreslagna sekretessbestämmelsen bör inskränka denna rätt. Så skedde alltså genom en ändring i 24 kap. 9 § OSL.

8.1.3 Överväganden angående sekretess i verksamhet med forskningsdatabaser enligt den nya lagen

Om tidigare utredningars förslag

Såväl Registerforskningsutredningen som Forskningsdatautredningen föreslog olika varianter av sekretessbestämmelse som generellt skulle reglera sekretesskyddet för enskilds personliga och ekonomiska förhållanden inom forskningsverksamhet. Förslagen motiverades bland annat med att det inom forskningsverksamheten finns vissa områden som inte är reglerade av någon primär sekretessbestämmelse, vilket ansågs ha lett till att sekretesskyddet för uppgifter i forskningen har blivit svåröverskådligt och inte heltäckande. 170 Vad gäller forskningsdatabaser enligt den av Registerforskningsutredningens förslag till lag därom föreslogs att den bestämmelse om sekretess i forskningsverksamhet – utformad delvis enligt den

170 SOU 2018:36 s. 288 f.

258

Ds

modell som gäller för statistiksekretessen i 24 kap. 8 § OSL med absolut sekretess med vissa undantag – skulle gälla även i verksamhet som avser förande av eller uttag ur databaser enligt den av utredningen föreslagna lagen. Forskningsdatautredningens förslag innehöll ingen särskild bestämmelse för just forskningsdatabaser. I stället skulle den föreslagna generella bestämmelsen om forskningssekretess, med ny rubrik och lydelse av 24 kap. 1 § OSL, omfatta även forskningshuvudmäns forskningsdatabaser enligt den av Forskningsdatautredningen föreslagna lagen om forskningsdatabaser (se närmare om förslagen i avsnitt 2.4.4). Det föreslogs vidare att 24 kap. 2 a och 2 b §§ upphävdes.

Likadan sekretess som beträffande LifeGene bör gälla för forskningsdatabaser enligt lagen om vissa forskningsdatabaser

Fokuset för arbetet med denna promemoria är snävare än Registerforskningsutredningens och Forskningsdatautredningens uppdrag. I detta avseende handlar arbetet uteslutande om en långsiktig reglering av forskningsdatabaser och om lösningar som dels syftar till att möjliggöra verksamheten i sådana verksamheter, dels verkar integritetsskyddande för de personuppgifter som behandlas inom ramen för verksamheterna. Mot den bakgrunden är det inte aktuellt att föreslå en lika bred och generell reglering i sekretessfrågor som Registerforskningsutredningen och Forskningsdatautredningen gjorde. I stället kommer de lösningar som här föreslås att fokusera på integritetsskyddet i reglerade forskningsdatabaser och i vilken mån dessa behöver omgärdas av en särskild sekretessbestämmelse Motiven bakom valet av absolut sekretess för uppgifter i de register som förs enligt LifeGene-lagen är aktuella även när det gäller styrkan i det sekretesskydd som bör gälla för uppgifterna i en forskningsdatabas som förs enligt den nu föreslagna lagen. Visserligen kommer lagen att omfatta fler typer av forskningsdatabaser än vad LifeGene-lagen gjorde, och då även sådana som är tänkta att skapa underlag för och lämna ut uppgifter till forskningsprojekt som inte träffas av bestämmelserna i 24 kap. 8 § OSL och 7 § OSF. Bestämmelsen i 7 § OSF omfattar emellertid såväl miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier som sociologiska, psykologiska, pedagogiska eller andra beteendevetenskapliga eller samhällsvetenskapliga sådana. Det stora flertalet forsknings-

259

Ds

projekt som kan tänkas vara aktuella att lämna ut uppgifter till kommer alltså att omfattas av absolut sekretess. I likhet med vad regeringen uttalade i motiven till bestämmelsen i 24 kap. 2 a § OSL kan det inte anses rimligt att uppgifterna i en forskningsdatabas som är tänkt att skapa underlag för och lämna ut uppgifter till ett forskningsprojekt inom vilket uppgifterna kommer att omfattas av absolut sekretess har ett svagare skydd i forskningsdatabasen än i forskningsprojekt. De avvägningar mellan sekretessintresset och insynsintresset och bedömningar i övrigt gällande sekretess som gjordes i lagstiftningsärendet om LifeGene-lagen är i hög grad både relevanta och applicerbara på de forskningsdatabaser som kommer att omfattas av tillämpningsområdet för den föreslagna lagen om vissa forskningsdatabaser. Det saknas anledning att nu göra andra bedömningar i dessa delar. Det förhållandet att det finns vissa skillnader mellan den nu föreslagna lagen och LifeGene-lagen ändrar inte i grunden behoven av absolut sekretess och undantag från den absoluta sekretessen, frågan om lämplig sekretesstid och att tystnadsplikten bör inskränka rätten att meddela och offentliggöra uppgifter. Till det sagda kan anföras att det var flera remissinstanser som i förhållande till Forskningsdatautredningens förslag ansåg det olämpligt att uppgifter som lämnades ut till en forskningsdatabas skulle få ett svagare sekretesskydd hos mottagaren än hos en utlämnande statistikansvarig myndighet. Dessa menade också att detta kunde försvåra den skadeprövning som skulle göras i samband med begäran om utlämnande från en statistikansvarig myndighet. Den befintliga regleringen i 24 kap. 2 a § och 2 b § OSL är ändamålsenligt utformad och bör således, med vissa förändringar, göras tillämplig på forskningsdatabaser enligt den nya lagen för vissa sådana databaser. När det gäller frågan om sekretess inom ett lärosäte som ansvarar för en forskningsdatabas har det i propositionen till LifeGene-lagen sagda bäring även på forskningsdatabaser enligt den nya lagen. Det kan i det sammanhanget understrykas att även för det fall verksamheten med en forskningsdatabas inte organiseras som en egen självständig verksamhet inom lärosätet med följden att en sekretessgräns inte uppkommer mellan databasverksamheten och forskningsverksamheten inom lärosätet, så betyder inte det att det är fritt fram för forskare inom lärosätet, till skillnad från externa forskare, att få till-

260

Ds

gång till uppgifter i forskningsdatabasen i fråga. De bestämmelser i den föreslagna lagen om inom vilket forskningsområde en databas får lämna ut uppgifter till samt begräsningar i fråga om elektronisk åtkomst är ägnade att i praktiken åstadkomma en nästintill motsvarande gräns internt som vad en formell sekretessgräns inom lärosätet gör.

8.2 Tystnadsplikt hos enskilda mottagare av uppgifter från en forskningsdatabas

Förslag: I lagen om vissa forskningsdatabaser införs en bestämmelse om tystnadsplikt. Enligt bestämmelsen får den som arbetar eller har arbetat hos en forskningshuvudman inte obehörigen röja vad denne har fått veta om enskilds personliga förhållanden genom personuppgifter som mottagits från en forskningsdatabas vid utlämnande enligt det primära ändamålet att lämna ut uppgifter till forskning inom för forskningsdatabasen bestämt forskningsområde eller det sekundära ändamålet utlämnande till forskningshuvudman för utredning av oredlighet vid forskning eller annan avvikelse från god forskningssed. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen. Tystnadsplikten ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter.

Till skillnad från LifeGene-lagen finns i den föreslagna lagen om vissa forskningsdatabaser inget förbud mot att lämna ut personuppgifter från en forskningsdatabas till ett forskningsprojekt som finns hos en forskningshuvudman som inte är en myndighet. Det kan därför komma i fråga att uppgifter lämnas till forskning hos en enskild forskningshuvudman som i sin forskningsverksamhet inte på grund av bestämmelsen i 2 kap. 4 § OSL och bilagan till den lagen har att iaktta sekretessregleringen i offentlighets- och sekretesslagen. Det medför vidare att forskare hos den enskilda forskningshuvudmannen i ett sådant fall inte kommer att omfattas av någon tystnadsplikt för de mottagna uppgifterna på det sätt som gäller för forskare vid ett lärosäte där offentlighetsprincipen gäller.

261

Ds

För att det ska vara möjligt att med ett bevarat integritetsskydd kunna tillgodose angelägen forskning hos en seriös enskild forskningsinrättning utanför lärosäten och andra myndigheter i allmän regi är det angeläget att det finns ett gott integritetsskydd för utlämnade uppgifter även hos en sådan mottagare. Visserligen kommer som regel bara pseudonymiserade uppgifter att lämnas ut från forskningsdatabasen. Även sådana kan vara känsliga om de sprids vidare, t.ex. till någon som kan koppla samman uppgifterna med annan information som gör det möjligt att identifiera en registrerad. På grund av den absoluta sekretessen i verksamheten med forskningsdatabasen är det inte möjligt att lösa situationen med förbehåll enligt 10 kap. 14 § OSL för mottagande forskare i projektet. Övervägande skäl talar i stället för att det införs en bestämmelse om tystnadsplikt som gäller alla befattningshavare vid den mottagande forskningshuvudmannen. Det säger sig självt att den personal det handlar om är de forskare som är inblandade i ett aktuellt forskningsprojekt vilka kommer att hantera och därigenom få del av mottagna personuppgifter. Personen i fråga behöver inte vara anställd hos forskningshuvudmannen. Det räcker att denne är knuten till forskningshuvudmannen på sätt som kan sägas innebära att denne arbetar hos forskningshuvudmannen eller i det projekt som bedrivs där. På motsvarande sätt bör det gälla tystnadsplikt för personal hos en enskild forskningshuvudman som mottar personuppgifter från en forskningsdatabas i samband med att denne internt eller på annat sätt utreder eventuell oredlighet eller annan avvikelse från god forskningssed. Det föreslås därför en bestämmelse om tystnadsplikt som innebär att den som arbetar eller arbetat hos en forskningshuvudman inte får obehörigen röja vad denne fått reda på om enskilds personliga förhållanden genom personuppgifter som lämnats ut från en forskningsdatabas. Vid bedömningen av vad som avses med obehörigen röja får ledning, liksom i likartade fall av tystnadsplikt hos enskild, hämtas för vad som gäller i fråga om sekretess hos en motsvarande mottagare inom det allmänna som ska tillämpa 24 kap. 2 a § OSL på grund av bestämmelsen om överföring av sekretess enligt 2 b §. Även beträffande tystnadsplikten för befattningshavare hos en enskild forskningshuvudman bör tystnadsplikten inskränka rätten

262

Ds

att meddela och offentliggöra uppgifterna i fråga. Detta bör slås fast genom en bestämmelse i 44 kap. OSL.

8.3 Ett ytterligare undantag från den absoluta statistiksekretessen

Förslag: Tillämpningsområdet för bestämmelserna i 24 kap. 8 § tredje stycket OSL om undantag från den absoluta statistiksekretessen ska utvidgas till att också omfatta uppgift som behövs i en forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser.

Utöver den ovan föreslagna nya räckvidden för sekretessbestämmelsen i 24 kap. 2 a § OSL som avser att tillgodose registrerades behov av ett starkt integritetsskydd i en forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser, finns det behov av ytterligare åtgärder för att i någon mån underlätta den upplevda problematiken kring att samla in kompletterande uppgifter till forskningsdatabaserna från statistikansvariga myndigheter. Som tidigare nämnts gäller enligt 24 kap. 8 § OSL absolut sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Denna så kallade statistiksekretess gäller dessutom i annan jämförbar undersökning som utförs av någon annan myndighet i den utsträckning regeringen meddelar föreskrifter om det, däribland, enligt 7 § OSF, i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier vid sjukvårdsinrättningar, utbildningsanstalter och forskningsinrättningar. Även sociologiska, psykologiska eller andra beteendevetenskapliga eller samhällsvetenskapliga studier vid lärosäten och andra forskningsinrättningar omfattas av statistiksekretessen enligt 7 § OSF. 24 kap. 8 § innehåller emellertid också undantag från den absoluta sekretessen. Av intresse i detta sammanhang är vad som anges i bestämmelsens tredje stycke om att dels uppgift som behövs för forskningsändamål, dels uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får lämnas ut, om det står klart att uppgiften kan röjas utan

263

Ds

att den enskilde eller någon närstående till denne lider skada eller men. Förfrågningar om utlämnande till forskningsdatabaser är svårbedömda för registerhållande statistikansvariga myndigheter. Som påtalats i avsnitt 4.2.1 beror detta för det första på att uppgifterna riskerar att få ett svagare sekretesskydd för uppgifterna när de förs in i forskningsdatabasen hos den mottagande myndigheten. För det andra är blir det svårare att utan närmare vetskap om till vilka framtida forskningsprojekt som uppgifterna så småningom kan komma att lämnas ut till göra en ordentlig skadeprövning. Men det sagda är inte de enda komplikationerna. Uppbyggnaden och förandet av en forskningsdatabas har i avsnitt 4.3.2 bedömts uppfylla vad som i dataskyddsförordningen avses med personuppgiftsbehandling för vetenskapliga forskningsändamål. Där anges bland annat att den personuppgiftsbehandling som pågår i forskningsdatabaser, vilken alltså syftar till att samla in uppgifter för att tillhandahålla dessa till olika framtida forskningsprojekt, är en sådan forskningsinsats som bidrar till vetenskaplig forskning, och därmed ingår som en del i själva forskningsprocessen, medförande att insamlingen och den fortsatta behandlingen vid forskningsdatabasen får anses ske för forskningsändamål i den mening som avses med begreppet i dataskyddsförordningen. Mot den bakgrunden skulle det kunna vara möjligt att argumentera för att verksamheten i de forskningsdatabaser som den nu föreslagna regleringen avser faktiskt kan bedömas behöva uppgifter för sådant forskningsändamål som avses i den undantagsbestämmelsen i 24 kap. 8 § tredje stycket. Flera statistikansvariga myndigheter som det tagits kontakt med i arbetet med den här promemorian har emellertid uttryckt stor tveksamhet till att så skulle kunna vara fallet. Denna tveksamhet har också kommit till uttryck i remissvar i anledning av Registerforskningsutredningens och Forskningsdatautredningens förslag. Socialstyrelsen har genom ett beslut den 25 maj 2021, dnr 31711/2020, avslagit Karolinska institutets begäran om att få del av uppgifter ur bland annat vissa hälsodataregister och dödsorsaksregistret. Uppgifterna skulle tillföras Tvillingregistret och Karolinska institutet åberopade ett etikgodkännande för forskningsprojektet ”Hälsa, arv och miljö – Tvillingregistret och hälsodataregistret”. Socialstyrelsen konstaterade i sitt beslut att sekretess enligt 24

264

Ds

kap. 8 § OSL gäller men att uppgifterna kan lämnas ut om de behövs för forskningsändamål. Socialstyrelsen framhöll att för att kunna bedöma behovet av registeruppgifter för ett forskningsprojekt ska detta vara tydligt avgränsat och behovet av uppgifterna för projektet ska framgå klart. Något behov av uppgifterna i det angivna forskningsprojektet kunde Socialstyrelsen dock inte konstatera. Istället var ändamålet med begäran att Karolinska institutet behöver uppgifterna för att kunna lämna dem vidare till andra forskningsprojekt. Socialstyrelsen framhöll vidare att de begärda uppgifterna var på en mycket detaljerad nivå, då Karolinska institutet inte i förväg kan veta vilka typer av uppgifter som kan komma att begäras ut från dem av andra forskare. Enligt Socialstyrelsen var Karolinska institutets syfte närmast att skapa en generell forskningsdatabas. Vid sådana förhållanden kunde den absoluta sekretessen för uppgifterna enligt 24 kap. 8 § OSL inte brytas för forskningsändamål. Socialstyrelsen åberopade vidare 21 kap. 7 § OSL med anförande att det inte var klarlagt att endast sådana adekvata och relevanta personuppgifter, som inte är för omfattande i förhållande till ändamålet med behandlingen, skulle komma att behandlas i det angivna forskningsprojektet efter utlämnande, jfr artikel 5.1 c i dataskyddsförordningen om uppgiftsminimering. Socialstyrelsens beslut har överklagats till regeringen som inte prövat överklagandet vid tiden för färdigställandet av denna promemoria. Det kan konstateras att det i förarbetena till 24 kap. 8 § OSL inte ges någon närmare vägledning kring vad som avses med begreppet forskningsändamål i bestämmelsen. 171 Inte heller finns något avgörande från prejudikatinstans som klart avgränsar begreppet i förhållande till det slags verksamhet som nu är i fråga, uppbyggandet av forskningsdatabaser. Klart är emellertid att verksamheten med forskningsdatabaser inte är forskning i den bemärkelse som avses i etikprövningslagen. Det är vidare oklart om verksamheten med forskningsdatabaser kan anses vara forskningsverksamhet i den mening som avses i bestämmelsen i 11 kap. 3 § OSL, som anger att tillämpningen av en sekretessbestämmelse förs över till en myndighet som får uppgiften i sin forskningsverksamhet,Det ska påpekas att det inte med nödvändighet måste vara så att begreppsbildningen i sekretesslagstiftningen och dataskyddsförordningen är sinsemellan

171 Prop, 1979/89:2 Del A s. 264

265

Ds

enhetlig. Regelverken har tillkommit vid olika tid och i olika sammanhang varför det inte är ologiskt med vissa differenser, om än dessa skapar viss osäkerhet vid tillämpningen. Det kan mot denna bakgrund konstateras att det finns en rättslig osäkerhet och att mycket talar för att verksamheten med att bygga upp en forskningsdatabas inte är ett sådant forskningsändamål som avses i tredje stycket i 24 kap. 8 § OSL. Detta medför i sin tur osäkerhet om vilket sekretesskydd, om något, uppgifterna får om de lämnas ut till en forskningsdatabas. Sistnämnda osäkerhet skulle dock inte behöva föreligga om det skulle vara fråga om utlämnande till en verksamhet som avser förande av eller uttag ur register enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, då uppgifter som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde omfattas av absolut sekretess i sådan verksamhet enligt 24 kap. 2 a § OSL. Undantaget från huvudregeln om absolut sekretess i 24 kap. 8 § tredje stycket OSL i den nuvarande lydelsen kan därmed inte sägas utgöra ett sådant tydligt rättsligt stöd som behövs för att forskningsdatabaser ska kunna göra en kompletterande insamling från statistikansvariga myndigheter av sådana uppgifter som omfattas av statistiksekretessen även i sådana fall där en sådan komplettering är befogad. För vissa forskningsdatabaser torde det emellertid vara av stor betydelse, för att höja kvaliteten och det vetenskapliga värdet av databasen, att exempelvis kunna följa upp insamlade personuppgifter genom att få viss uppdaterad information från statistikansvariga myndigheters register. Som sagts i avsnitt 5.8.2 är det förutsatt att sådan kompletterande insamling sker återhållsamt i linje med vad dataskyddsförordningen föreskriver om uppgiftsminimering samt att det sker med registrerades informerade samtycke eller, i vart fall, med deras kännedom och möjlighet att stoppa kompletteringen. För att möjliggöra det nyss sagda behövs vidtas ytterligare åtgärder som underlättar problematiken kring insamling av kompletterande uppgifter från statistikansvariga myndigheter och andra som omfattas av den aktuella bestämmelsen. En åtgärd som kan framstå som lämplig är införandet av en ytterligare sekretessbrytande bestämmelse i 24 kap. 8 §, genom vilken det klargörs att också uppgift som behövs i en sådan forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser får lämnas

266

Ds

ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Innan ett sådant ställningstagande görs bör dock betydelsen av bestämmelsen i 12 kap. 2 § OSL om att en enskild kan helt eller delvis häva sekretess som gäller till skydd för honom eller henne, beröras. Det bör vidare beaktas att det numera finns en sekretessbrytande bestämmelse i 24 kap. 8 b § OSL med innebörd att sekretessen enligt 24 kap. 8 § inte hindrar att en uppgift lämnas till organisationen Luxembourg Income Study enligt 18 § lagen (2001:99) om den officiella statistiken.

Den sekretessbrytande bestämmelsen till förmån för Luxembourg Income Study

Som framgår av avsnitt 3.4.2 finns det sedan den 1 maj 2022 en sekretessbrytande bestämmelse i 24 kap. 8 b § OSL. Enligt den bestämmelsen hindrar inte statistiksekretessen att en uppgift lämnas till organisationen Luxembourg Income Study (LIS) enligt 18 § lagen (2001:99) om den officiella statistiken. LIS är ett icke vinstdrivande internationellt data- och forskningscenter med säte i Luxemburg. Organisationen har därutöver en filial vid The City University of New York i USA. LIS är registrerad i det luxemburgska handels- och associationsregistret som en förening utan vinstsyfte, vilket i svensk rätt närmast motsvarar en ideell förening. LIS är registrerad i verksamhetskategorin forskning och utveckling inom humaniora och samhällsvetenskap. LIS anses vara en högt respekterad organisation i forskarsamhället. Organisationens verksamhetsmål är att möjliggöra, underlätta, främja och bedriva gränsöverskridande komparativ forskning om socioekonomiska utfall och de institutionella förhållanden som bidrar till att skapa dessa utfall. LIS driver och tillhandahåller två databaser som är avsedda för forskning om inkomstfördelning, fattigdom och förmögenhetsfördelning, Luxembourg Income Study Database (LIS-databasen) och Luxembourg Wealth Study Database (LWS-databasen). För att kunna analysera fördelningen av inkomster på hushålls- eller individnivå behövs uppgifter på individnivå (mikrodata). LIS-databasen innehåller därför uppgifter om individers inkomster, skatteinbetalningar, socialförsäkringar, offentliga bidrag och vissa kostnader från nästan 50 olika länder, bl.a. från Sverige. Forskare från olika länder och vissa internationella

267

Ds

organisationer, såsom Världsbanken, OECD och Internationella Valutafonden (IMF), använder i sin tur uppgifterna i databaserna till olika forskningsprojekt. SCB levererar uppgifter till LIS, som samarbetar med i princip samtliga europeiska nationella statistikmyndigheter och med EU:s statistikorgan Eurostat (prop. 2021/22:92 s. 6 f.). Enligt 18 § lagen om officiell statistik ska den statistikansvariga myndighet som regeringen bestämmer (dvs. SCB) lämna ut uppgifter om inkomstförhållanden, skulder och förmögenhet som den behandlar enligt lagen till organisationen Luxembourg Income Study. Uppgifter ska dock lämnas ut endast i den utsträckning som krävs för att svenska förhållanden ska återspeglas i de forskningsdatabaser som organisationen tillhandahåller. Uppgifterna ska inte direkt kunna hänföras till någon enskild person. De enda känsliga personuppgifter enligt artikel 9.1 i EU:s dataskyddsförordning som får lämnas ut till organisationen är uppgifter om sådana förmåner vid sjukdom eller arbetsskada som avses i 23 kap. 2 § socialförsäkringsbalken. Den första frågan som måste ställas är således om det bör införas en sekretessbrytande bestämmelse som motsvarar 24 kap. 8 b § OSL i förhållande till de forskningsdatabaser som föreslås regleras i den nya lagen och förordningen. Då en sådan sekretessbrytande regel bygger på en uppgiftsskyldighet och då den här föreslagna regleringen bygger på samtycke och opt out som skyddsåtgärder bedöms det inte vara en lämplig lösning.

Betydelsen av att en enskild kan helt eller delvis häva sekretess som gäller till skydd för honom eller henne

I samband med kompletterande insamling från myndighetsregister till sådana forskningsdatabaser som förs med stöd av lagen om vissa forskningsdatabaser kommer den sekretessprövning som dessa myndigheter gör framförallt att koncentreras till skadeprövningen enligt 24 kap. 8 § tredje stycket OSL, dvs. enligt ett omvänt skaderekvisit, och prövningen enligt 21 kap. 7 § OSL, dvs. om den fortsatta behandlingens förenlighet med dataskyddsförordningen, dataskyddslagen och 6 § etikprövningslagen. Först ska något sägas om det inledande kravet på att begärda uppgifter ska behövas i forskningsdatabasen. Det medför att det person-

268

Ds

uppgiftsansvariga lärosätet vid sin begäran har att redogöra för vad behovet egentligen är. Som sagts tidigare i denna promemoria bör den reglering som föreslås i denna promemoria inte ta sikte på generella forskningsdatabaser som fylls med uppgifter som forskare i forskningsprojekt själva kan begära ut från statistikansvariga myndigheter med åberopande av att uppgifterna behövs för forskningsändamål. I stället föreslås regleringen ta sikte på verksamhet med sådana forskningsdatabaser där insamling och registrering av personuppgifter görs i register eller annan samling med personuppgifter genom registrerades frivilliga medverkan och där forskningsdatabasernas syfte att skapa underlag för flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Det behov av komplettering från andra källor än den registrerade som den föreslagna ramlagen tillåter ska avse sådana personuppgifter som är till nytta för forskningsdatabasen. Härmed avses att kompletteringen ökar kvaliteten eller det vetenskapliga värdet av databasen genom att kompletterande uppgifter sammanställs med på annat sätt insamlade personuppgifter, eventuellt med viss bearbetning, inom ramen för verksamheten med forskningsdatabasen. När det gäller skadeprövningen enligt 24 kap. 8 § tredje stycket OSL, dvs. om det står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, bör det beaktas att uppgifterna efter utlämnande till en forskningsdatabas kommer att omfattas av ett sekretesskydd som motsvarar det som dessa åtnjuter hos den utlämnande myndigheten. Till följd av den ovan föreslagna ändringen i 24 kap. 2 a § OSL kommer uppgifterna efter utlämnande till en sådan forskningsdatabas således alltjämt att omfattas av absolut sekretess. De kommer dessutom att fortsatt undantas från generalklausulens område och i övrigt endast lämnas ut under de förutsättningar som föreslås i avsnitt 5. Behandlingen av uppgifterna kommer därutöver att omgärdas av ett flertal skyddsåtgärder som ytterligare verkar integritetsskyddande. Det bör i det här sammanhanget särskilt lyftas att det enligt den föreslagna regleringen som huvudregel kommer att krävas ett samtycke från den registrerade till behandling av personuppgifter genom kompletterande insamling från andra källor än den registrerade och att om samtycke inte finns får sådan insamling enbart göras om den registrerade informerats om insamlingen och inte uttryckligen mot-

269

Ds

satt sig denna (2 kap. 4 och 6 §§ den föreslagna lagen). Enligt 12 kap. 2 § OSL kan en enskild helt eller delvis häva sekretess som gäller till skydd för denne. Kraven på ett samtycke enligt OSL skiljer sig från kraven enligt EU:s dataskyddsförordning. Ett samtycke enligt OSL behöver enligt förarbetena inte vara uttryckligt. Också ett tyst s.k. presumerat samtycke får godtas. Ibland framgår det enligt förarbetena av den enskildes beteeende och förväntningar att han eller hon i viss utsträckning accepterar att en hemlig uppgift vidarebefordras. Ett samtycke får dock inte ges ett så generellt innehåll att den enskilde allmänt förklarar sig avstå från sekretessen hos en viss myndighet (prop. 1979/80:2 Del A s. 331). När samtycke till insamling föreligger enligt 2 kap. 4 § den nya lagen får den enskilde således anses ha eftergett den sekretess som kan gälla för uppgifter från källor som samtycket omfattar, se 12 kap. 2 § OSL. I sådana fall behöver någon prövning enligt 24 kap. 8 § tredje stycket inte göras. När det gäller möljligheten till kompletterande insamling från andra källor än de som kunnat defineras i samband med att samtycke till behandling i forskningsdatabasen inhämtats föreslås, som framgår ovan, att det i 2 kap. 6 § den nya lagen ska anges att sådan insamling bara får göras utan samtycke om den registrerade har informerats om insamlingen och inte uttryckligen motsatt sig den (opt ut). Kravet på information innebär dock inte att den personuppgiftsansvarige måste upprätta en faktisk kontakt med varje registrerad. Det är tillräckligt att information lämnas genom att den personuppgiftsansvarige på sin webbplats eller annat forum som registrerade känner till redovisar vilka kompletterande uppgifter som planeras att inhämtas, och därvid ger den registrerade möjlighet att motsätta sig insamlingen. Där bör tydligt framgå hur den registrerade som vill motsätta sig kompletteringen ska gå till väga och inom vilken tidsram denne förväntas höra av sig. Om den registrerade först senare motsätter sig personuppgiftsbehandlingen av redan genom komplettering insamlade uppgifter, ska dessa raderas enligt från forskningsdatabasen enligt den föreslagna lagen (2 kap. 14 §). Mot bakgrund av att det i det senare fallet inte krävs att det tas en direktkontakt med varje registrerad görs här bedömningen att det skulle föra för långt att i ett sådant fall utgå från att ett tyst s.k. presumerat samtycke enligt 12 kap. 2 § OSL föreligger. Med hänsyn till att den sekretess som föreslås gälla i verksamheten med en forskningsdatabas i princip motsvarar statistiksekretessen, till de registrerades uttryckliga vilja

270

Ds

att bidra med sina uppgifter i forskningsdatabaserna och till den möjlighet till insyn i och kontroll över personuppgiftsbehandlingen som den registrerade har enligt den föreslagna lagen om vissa forskningsdatabaser bör dock, i de fall den enskilde inte har motsatt sig insamlingen inom den av det ansvariga lärosätet angivna tidsramen, en skadeprövning enligt ett omvänt skaderekvisit normalt leda till bedömningen att det står klart att uppgifterna kan lämnas ut till lärosätet utan att den enskilde eller någon närstående till denne lider skada eller men. Mot denna bakgrund föreslås att det görs ett tillägg i 24 kap. 8 § tredje stycket OSL som innebär att uppgifter som omfattas av statistiksekretess får lämnas ut till en forskningsdatabas enligt den föreslagna lagen om vissa forskningsdatabaser, om det står klart att den enskilde eller någon närstående till den enskilde inte lider skada eller men. När det gäller bedömningen av om uppgifterna efter utlämnandet kommer att behandlas på ett sätt som är förenligt med bestämmelserna i dataskyddsförordningen, dataskyddslagen och 6 § etikprövningslagen, bör de bedömningar och förslag som presenterats i avsnitt 4 och 5 underlätta de utlämnande myndigheternas prövning därav. Den föreslagna regleringen innehåller ett flertal bestämmelser som förtydligar hur personuppgiftsbehandlingen i forskningsdatabaser är tänkt att ske för att anses förenlig med redan befintlig dataskyddsreglering. De syftar vidare till att ge ett tydligt rättsligt stöd för behandlingen, bland annat i fråga om ändamål och skyddsåtgärder. Det sagda bedöms underlätta prövningen enligt 21 kap. 7 § OSL.

8.4 Sekretess i verksamhet med det rättspsykiatriska forskningsregistret.

8.4.1 Sekretessen enligt 24 kap. 2 § OSL

Enligt 24 kap. 2 § OSL gäller sekretess i verksamhet som avser förande av eller uttag ur register som förs enligt lagen (1999:353) om rättspsykiatriskt forskningsregister för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden som har tillförts registret, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

271

Ds

Sekretessen gäller även i förhållande till en registrerad person som är vård- eller behandlingsbehövande för uppgift om hans eller hennes hälsotillstånd, om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

8.4.2 Forskningsdatautredningens förslag

Som en följd av förslaget om att lagen om rättspsykiatriskt forskningsregister skulle upphävas ansåg Forskningsdatautredningen också att bestämmelsen i 24 kap. 2 § OSL, som gäller sekretess i verksamhet som avser förande av eller uttag ur register som förs enligt den aktuella registerlagen, skulle upphävas. Utredningen föreslog att regeringen borde ge Rättsmedicinalverket i uppdrag att samråda med Riksarkivet om hur det rättspsykiatriska forskningsregistret skulle avvecklas. Utredningen bedömde att den generella sekretessbestämmelsen för enskilds personliga och ekonomiska förhållanden inom forskningsverksamhet som föreslogs, se avsnitt 2.4.4, skulle komma att skydda uppgifterna i registret under avvecklings- 172 fasen.

8.4.3 Registersekretessen ska upphävas

Förslag: Sekretessbestämmelsen i 24 kap. 2 § OSL, om sekretess i verksamhet som avser förande av eller uttag ur register som förs med stöd av lagen om rättspsykiatriskt forskningsregister, ska upphävas. Bedömning: Behovet av fortsatt sekretessskydd för uppgifter som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen om rättspsykiatriskt forskningsregister bör tillgodoses genom en övergångsbestämmelse.

172 SOU 2018:36 s. 356 f.

272

Ds

Till följd av förslaget i kapitel 7 om att lagen om rättspsykiatriskt forskningsregister ska upphävas uppkommer frågan om det därefter finns något fortsatt behov av en särskild sekretessbestämmelse som skyddar uppgifter i sådan verksamhet som avser förande av eller uttag ur ett sådant register. Från Rättsmedicinalverket har inhämtats att uppgifterna i registret har gallrats genom att utplånas. Rättsmedicinalverket har inte heller bevarat något insänt underlag eller uttagsmaterial från verksamheten med det rättspsykiatriska forskningsregistret. Det underlagsmaterial till registret som Rättsmedicinalverket självt bidragit med, i form av rättspsykiatriska undersökningar, sekretessregleras vid Rättsmedicinalverket av 25 kap. 1 § OSL. Den sekretessbestämmelsen omfattar bl.a. annan medicinsk verksamhet såsom rättspsykiatrisk undersökning. Det förefaller således inte längre finnas något behov av sekretessregleringen i 24 kap. 2 § OSL för att skydda uppgifter i handlingar hos Rättsmedicinalverket som är knutna till den verksamhet som tidigare bedrevs med det rättspsykiatriska forskningsregistret av den enkla anledningen att Rättsmedicinalverket inte längre förvarar några sådana handlingar. Rättsmedicinalverket har inte heller, enligt vad som framkommit genom kontakter med företrädare för verket, överlämnat arkivmaterial från verksamheten till arkivmyndighet (jfr 11 kap. 6 § OSL om överföring av sekretess i sådana fall). Offentlighets- och sekretesslagen reglerar emellertid inte bara det som kallas för handlingssekretess, dvs. sekretess för uppgifter i handlingar, utan även personalens tystnadsplikt. Det torde förvisso inte vara någon särskilt stor risk för att personal fortfarande kommer ihåg sekretesskyddade men numera utgallrade uppgifter i registerverksamheten. Risken kan dock inte avfärdas som helt obefintligt. Det bör därvid betänkas att bestämmelsen infördes därför att uppgifterna i registret ansågs mycket integritetskänsliga och att verksamheten med registret inte bedömdes omfattas av någon redan befintlig sekretessreglering vid Rättsmedicinalverket. Vidare gjordes sekretessen stark med ett omvänt skaderekvisit och med inskränkning i rätten att meddela och offentliggöra uppgifter samt med en lång sekretesstid för uppgifter i allmän handling om 70 år. Det är vidare oklart vilka uttag som kan ha gjorts från registret till forskningsverksamhet under tiden verksamheten pågick. Det har visserligen framkommit att uppgifter från registret inte varit efter-

273

Ds

frågade vilket är en anledning till att registret uppdaterades bara under några år fram till år 2005. Det har inte gått att klarlägga i vilken omfattning uttag skett och i så fall till vilka närmare forskningsprojekt eller forskningshuvudmän. För sådana uttag kan det emellertid inte helt uteslutas att sekretessregleringen i 24 kap. 2 § OSL i vissa fall har överförts enligt 11 kap. 3 § OSL på grund av att primär sekretess enligt 24 kap. 8 § OSL jämförd med 7 § OSF inte gällt hos mottagaren. Det går alltså inte att utesluta att överförd registersekretess kan gälla för uppgifter i handlingar som finns i pågående forskningsprojekt eller arkiverat forskningsmaterial. Det vore givetvis en olycklig konsekvens om uppgifter i den tidigare verksamheten med det rättspsykiatriska forskningsregistret i ett slag blev offentliga, eller bara kan skyddas enligt minimibestämmelserna i 21 kap. OSL, i händelse av ett upphävande av 24 kap. 2 § OSL. Detta talar för att det finns ett visst fortsatt behov av sekretessskydd både i Rättsmedicinalverkets verksamhet och hos forskningshuvudmän. I och med att lagen om det rättspsykiatriska forskningsregistret upphävs enligt förslaget i denna promemoria bör också sekretessbestämmelsen upphävas och det kvarvarande behovet av sekretesskydd föreslås i stället åstadkommas genom en övergångsbestämmelse. Enligt 24 kap. 9 § andra stycket OSL inskränker den tystnadsplikt som följer av 2 § samma kapitel rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställighet av beslut om vård utan samtycke. Som en följd av att sekretessbestämmelsen i 24 kap. 2 § OSL föreslås upphävas föreslås också andra stycket i 9 § samma kapitel upphävas. Att inkränkningen fortfarande ska gälla i fråga om uppgift som hänför sig till verksamhet som avsett förande av eller uttag ur det rättspsyiatriska forskningregistret föreslås åstadkommas genom en övergångsbestämmelse.

274

9 Ikraftträdande- och övergångsbestämmelser

9.1 Lagstiftningen om vissa forskningsdatabaser

Förslag: Lagen om vissa forskningsdatabaser, liksom den anslutande förordningen ska träda ikraft den 1 januari 2024. I samband med ikraftträdandet ska LifeGene-lagen med anslutande förordning upphöra att gälla. Bestämmelserna om krav på samtycke och information ska inte gälla för sådana uppgifter som registrerats i en forskningsdatabas i tiden innan verksamheten med denna omfattas av lagens tillämpningsområde. Detsamma ska gälla för bestämmelserna om tillåtet innehåll. Bestämmelsen om information och möjlighet att motsätta sig fortsatt behandling för den som registrerats genom samtycke från vårdnadshavare ska dock tillämpas för den som inte fyllt 18 år när lagen blir tillämplig på forskningsdatabasen. I övrigt behövs inga övergångsbestämmelser.

De föreslagna författningsändringarna medför inga systemändringar eller behov av större förändringar eller utbildningsinsatser hos berörda myndigheter. Ändringarna bör därför kunna träda i kraft så snart som möjligt. Med hänsyn till den tid som beräknas gå åt för remissförfarande, fortsatt beredning inom Regeringskansliet, inhämtande av lagrådsyttrande och riksdagsbehandling bör lagändringarna tidigast kunna träda i kraft den 1 januari 2024. Ramlagen och den anslutande förordningen kommer i praktiken, inledningsvis, att innebära en särreglering av två forskningsdatabaser som redan innan de blir föremål för den föreslagna regleringen kommer att ha ägnat sig åt personuppgiftsbehandling, och för LifeGene:s del, redan varit särreglerad.

275

Ikraftträdande- och övergångsbestämmelser Ds

För Tvillingregistret kommer den nu föreslagna regleringen att innebära något striktare bestämmelser om skyddsåtgärder m.m. vid behandlingen av personuppgifter. Motsvarande torde gälla även för andra redan befintliga forskningsdatabaser som i ett senare skede kan komma att inkorporeras genom bestämmelser i den till lagen anslutande förordningen. Det nu sagda gäller bland annat de i avsnitt 5.7 föreslagna bestämmelserna om samtycke och information vid behandling av personuppgifter. Även för Tvillingregistret gäller att detta bygger på frivilligt deltagande. Tvillingregistret tillämpar redan nu samtycke såväl för insamling direkt från de registrerade som för uppgifter inhämtade genom så kallad registerlänkning. Det är emellertid oklart om all den insamling som historiskt förekommit till forskningsdatabasen skett på ett sätt som är helt förenligt med de nu föreslagna bestämmelserna. Det framstår som orimligt att kräva att den personuppgiftsansvarige skulle kontrollera samtliga redan insamlade uppgifter för att försäkra sig om att insamlingen av dessa skett i enlighet med den nu föreslagna regleringen och, om så visade sig inte vara fallet eller om tveksamhet i frågan förelåg, återupprätta kontakt med tusentals registrerade för att inhämta förnyat samtycke eller informera om behandlingen. Samtidigt har de redan insamlade uppgifterna ett stort värde för forskningen och forskningsdatabasernas möjlighet att skapa underlag för framtida forskningsprojekt. Det bör också framhållas att behandlingen av uppgifterna redan nu, och även efter det att en forskningsdatabas kommer att omfattas av den nu föreslagna ramlagen, omfattas av den befintliga dataskyddsregleringen och alltså får förutsättas uppfylla kraven däri. Mot den bakgrunden bör de föreslagna bestämmelserna kring samtycke och information inte gälla för sådana uppgifter som samlats in och behandlats i en forskningsdatabas i tiden innan verksamheten som bedrivs med forskningsdatabasen omfattas av lagen genom att det tas in bestämmelser om databasen i den anslutande förordningen. Sådana personuppgifter kan alltså fortsätta att behandlas i forskningsdatabasen utan hinder av om insamling och registrering inte skett under föreskrivna former. Ett undantag från detta ska dock gälla, nämligen i fråga om bestämmelsen om information och möjlighet att motsätta sig fortsatt behandling för den som registrerats genom samtycke från vårdnadshavare. Den bestämmel-

276

Ds Ikraftträdande- och övergångsbestämmelser

sen ska tillämpas för registrerad som inte fyllt 18 år när lagen blir tillämplig på forskningsdatabasen. När det gäller de insamlade äldre personuppgifterna som sådana bör bestämmelserna i lagen om tillåtet innehåll liksom restriktionerna i fråga om genetiska uppgifter och uppgifter om lagöverträdelser inte bli tillämpliga då forskningsdatabasen infogas till lagens faktiska tillämpningsområde. Även dessa kan alltså fortsätta att behandlas utan att det gjorts någon detaljerad genomsyn av om det exempelvis finns enstaka genetiska uppgifter eller uppgifter om lagöverträdelse. För det fall dessa slags uppgifter ingår i det som systematiskt samlats in till forskningsdatabasen bör dock givetvis föreskrifter som tillåter detta tas in i förordningsbestämmelser för forskningsdatabasen. En övergångsbestämmelse bör därför även omfatta nämnda bestämmelser i lagen. Det bedöms inte föreligga något behov av några ytterligare övergångsbestämmelser.

9.2 Lagen om rättspsykiatriskt forskningsregister

Förslag: Lagen om rättspsykiatriskt forskningsregister ska upphöra att gälla vid utgången av 2023. Det behövs inte några övergångsbestämmelser.

Som framgått i avsnitt 7 har Rättsmedicinalverket redan avvecklat det rättspsykiatriska forskningsregistret, Det finns därför inte något behov av tid för anpassning till en lag om upphävande av lagen om rättspsykiatriskt forskningsregister. Upphävandet bör ske samtidigt som övriga förslag i denna promemoria träder i kraft. Det innebär att lagen om rättspsykiatriskt forskningsregister ska upphöra att gälla vid utgången av 2023.

9.3 Ändringar i offentlighets- och sekretesslagen

Förslag: Lagen om ändring i offentlighets- och sekretesslagen ska träda i kraft den 1 januari 2024. Övergångsbestämmelser enligt följande ska införas.

277

Ikraftträdande- och övergångsbestämmelser Ds

Bestämmelsen i 24 kap. 2 § ska vara fortsatt tillämplig i fråga om uppgifter som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen (1999:353) om rättspsykiatriskt forskningsregister. Bestämmelsen i 24 kap. 2 a § i dess tidigare lydelse ska vara fortsatt tillämplig på sådana uppgifter som före ikraftträdandet av lagen (2023:000) om vissa forskningsdatabaser har lämnats ut med överföring av sekretessen i 2 a § enligt bestämmelsen i 2 b § i dess tidigare lydelse. Den inskränkning i rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen som följer av 24 kap. 9 § i sin äldre lydelse ska fortfarande gälla i fråga om uppgift som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen (1999:353) om rättspsykiatriskt forskningsregister.

I likhet med vad som angetts ovan medför de föreslagna författningsändringarna inga systemändringar eller behov av större förändringar eller utbildningsinsatser hos berörda myndigheter. Med hänsyn till den tid som beräknas gå åt för remissförfarande, fortsatt beredning inom Regeringskansliet, inhämtande av lagrådsyttrande och riksdagsbehandling bör lagändringarna tidigast kunna träda i kraft den 1 januari 2024. Som angivits i avsnitt 8.5.3 finns det ett visst fortsatt behov av sekretesskydd både i Rättsmedicinalverkets verksamhet och hos forskningshuvudmän när det gäller uppgifter som hänför sig till verksamheten med förandet av det rättspsykiatriska forskningsregistret även efter att lagen upphävts. Det föreslås därför en övergångsbestämmelse enligt vilken bestämmelsen i 24 kap. 2 § ska vara fortsatt tillämplig i fråga om uppgifter som hänför sig till verksamhet som avsett förande av eller uttag ur register som förts enligt den upphävda lagen (1999:353) om rättspsykiatriskt forskningsregister. Det kan finnas uppgifter som lämnats ut från LifeGene till en myndighet före ikraftträdandet av den nya lagen om vissa forskningsdatabaser och där tillämpligheten av sekretessbestämmelsen i 24 kap 2 a § i dess nuvarande lydelse alltså överförts till den mottagande myndigheten enligt bestämmelsen i 2 b § samma kapitel. För att inte dessa uppgifter ska bli oskyddade hos den mottagande myndigheten, föreslås det en övergångsbestämmelse enligt vilken 24 kap.

278

Ds Ikraftträdande- och övergångsbestämmelser

2 a § i dess tidigare lydelse ska vara fortsatt tillämplig på sådana uppgifter. Som en följd av att sekretessbestämmelsen i 24 kap. 2 § OSL upphävs förslås också att andra stycket i 9 § samma kapitel, där det anges att den tystnadsplikt som följer av 2 § inskränker rätten att meddela och offentliggöra uppgifter när det är fråga om uppgift om annat än verkställighet av beslut om vård utan samtycke, ska upphävas. För att denna inkränkning fortfarande ska gälla föreslås det en övergångsbestämmelse enligt vilken inskränkningen i rätten att meddela och offentliggöra uppgifter fortsatt ska gälla i fråga om uppgift som hänför sig till verksamhet som avsett förande av eller uttag ur registret som förts enligt den upphävda lagen om rättspsykiatriskt forskningsregister.

279

10 Konsekvenser

10.1 Lagen om vissa forskningsdatabaser och anknytande förslag

10.1.1 Övergripande konsekvenser

Dataskyddsförordningen är direkt tillämplig och gäller i Sverige som en lag. Den lämnar också vissa möjligheter till nationell kompletterande och specificerande bestämmelser. Den nu föreslagna regleringen är en sådan särreglering. Den föreslagna lagen innebär ett efterfrågat och tydligare rättsligt stöd för verksamheten i de forskningsdatabaser som kommer att omfattas av lagen. Förslaget bedöms ha potential att förbättra förutsättningarna för den registerbaserade forskningen. Förslaget berör de lärosäten som är personuppgiftsansvariga för sådana forskningsdatabaser som kommer att omfattas av regleringen. Det ställer visserligen i viss mån mer långtgående krav på dessa personuppgiftsansvariga än om verksamheten endast hade varit föremål för redan nu befintlig dataskyddsreglering. I gengäld erhåller särreglerade forskningsdatabaser en legitimitet som kan underlätta insamlingen av uppgifter. Det sagda berör också de forskningsprojekt som har behov av uppgifter från reglerade forskningsdatabaser. Därutöver får förslaget betydelse för de enskilda vars personuppgifter samlas in och behandlas i en reglerad forskningsdatabas. För dessa innebär regleringen en tydlighet i fråga om ändamål med och rättslig grund för behandlingen av personuppgifter liksom ett tydliggörande av hur den registrerades kännedom om och kontroll över ska utövas i förhållande till behandlingen. Så sker bland annat genom bestämmelser om samtycke och information om behandlingen, pseudonymisering i samband med utlämnande och utövande av vissa rättigheter i förhållande till det personuppgiftsansvarige lärosätet.

281

Konsekvenser Ds

Det görs också vissa anknytande ändringar i offentlighets- och sekretesslagen som är ägnade att skapa ett tydligare rättsläge och som också tillgodoser intressena av både ett gott integritetsskydd och den registerbaserade forskningens behov. I den proportionalitetsbedömning som gjorts inom ramen för arbetet med denna promemoria har det efterfrågade och tydligare rättsliga stödet som lagen innebär för vissa forskningsdatabaser och det värde dessa har för forskningen befunnits väga tyngre än de risker för integritetsintrång som personuppgiftsbehandlingen i dessa forskningsdatabaser kan tänkas innebära. Utformningen av regleringen syftar vidare till att minimera risken för integritetsintrång i verksamheten med reglerade forskningsdatabaser. Befintligt skydd i den nuvarande reglering för den personliga integriteten bibehålls och blir i viss mån förstärkt i och med införandet av skyddsåtgärder i den tydligare reglering för sådana forskningsdatabaser som kommer att omfattas av den föreslagna lagen.

10.1.2 Ekonomiska konsekvenser och konsekvenser i övrigt

I likhet med LifeGene-lagen innebär den nu föreslagna regleringen inte någon skyldighet att bedriva viss verksamhet. De lärosäten som vill initiera en reglerad verksamheten i en forskningsdatabas, och som anses uppfylla förutsättningarna för sådan reglering, får göra det inom ramen för befintliga anslags- och donationsmedel. Några ökade kostnader för staten uppkommer alltså inte till följd av den nu föreslagna lagen. När det gäller konsekvenser i övrigt, konstateras att förslaget syftar till att erbjuda ett tydligare rättsligt stöd för verksamheten i vissa forskningsdatabaser, och en mer integritetssäker personuppgiftshantering i sådan verksamhet. Förslaget kan, om det bidrar till en mer effektiv forskning, generera förbättringar inom sådana områden som de reglerade forskningsdatabaserna kommer att skapa underlag för och lämna ut uppgifter till. Det kan komma att få positiva effekter för en rad kunskapsområden och, i förlängningen, för samhället.

282

Ds Konsekvenser

10.2 Det rättspsykiatriska forskningsregistret

Inom ramen för arbetet med promemorian har konstaterats att det rättspsykiatriska forskningsregistret redan har avvecklats. Förslaget om att upphäva lagen om rättspsykiatriskt forskningsregister bedöms mot den bakgrunden inte medföra några särskilda konsekvenser. I denna del hänvisas till Rättsmedicinalverkets tidigare rapport, där de kostnadsmässiga konsekvenserna av detta redan bedömts, se avsnitt 7.2.1. När det gäller frågor om den personliga integriteten och eventuella konsekvenser för denna kan konstateras att ett upphävande av lagen innebär att personuppgiftsbehandling inte längre får ske med stöd av den särskilda registerförfattningen. Om behov och önskemål finns, och övriga förutsättningar härför är uppfyllda, skulle emellertid ett lärosäte kunna initiera en prövning hos regeringen av att få påbörja verksamhet med en forskningsdatabas inom samma forskningsområde. Det sagda kan emellertid inte antas innebära konsekvenser av omedelbar betydelse för den personliga integriteten.

283

11 Författningskommentar

11.1 Förslaget till lag om vissa forskningsdatabaser

1 kap. Inledande bestämmelser

Lagens syfte

1 § Syftet med denna lag är att 1. ge lärosäten möjlighet att i forskningsdatabaser skapa underlag för flera framtida forskningsprojekt som inte är definierade när databasen byggs upp eller när insamling av personuppgifter till denna annars görs, och 2. säkerställa att registrerades personliga integritet skyddas vid den insamling och övrig behandling av personuppgifter som görs i verksamheten med dessa forskningsdatabaser.

Bestämmelsen behandlas i avsnitt 5.1. Lagen är avsedd att ge ett tydligt rättsligt stöd för sådan personuppgiftsbehandling som sker i verksamheten med vissa forskningsdatabaser. Vilken typ av forskningsdatabaser som omfattas av lagen framgår av 1 kap. 2 §. I bestämmelsen anges att lagens syfte är tudelat. Av första punkten framgår att det första syftet är att ge lärosäten möjlighet att i forskningsdatabaser skapa underlag för flera framtida forskningsprojekt som inte är definierade när databasen byggs upp eller när insamling av personuppgifter till denna annars görs. En forskningsdatabas är således en resurs som olika kommande forskningsprojekt kan använda sig av. Att det talas om framtida forskningsprojekt innebär att forskningsprojekten inte behöver finnas ens på planeringsstadiet när forskningsdatabasens underlag skapas och att verksamheten med forskningsdatabasen bedrivs utanför sådan avgränsad forskning som kan sägas omfattas av begreppet forskningsprojekt (jämför 6 § etikprövningslagen).

285

Författningskommentar Ds

Av andra punkten framgår att det andra syftet är att säkerställa att registrerades personliga integritet skyddas vid den insamling och övrig behandling av personuppgifter som görs i verksamheten med dessa forskningsdatabaser

Lagens tillämpningsområde

2 § Lagen gäller behandling av personuppgifter i verksamhet med sådana forskningsdatabaser där insamling och registrering av personuppgifter görs i register eller annan samling med personuppgifter genom registrerades frivilliga medverkan och där forskningsdatabasernas syfte att skapa underlag för flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka forskningsdatabaser som får föras enligt lagen.

I bestämmelsen anges för vilka forskningsdatabaser lagen ska tillämpas. Bestämmelsen behandlas i avsnitt 4.2.4, 5.2.1 och 5.2.3. Lagens tillämpningsområde kommer till uttryck dels genom denna bestämmelse som stadgar vilka forskningsdatabaser som ska omfattas av regleringen, dels genom en bestämmelse som förtydligar vilka lärosäten som ska kunna ansvara för dessa forskningsdatabaser. Den senare bestämmelsen återfinns i 1 kap. 3 §. Enligt första stycket gäller lagen för det första sådana forskningsdatabaser som utgör ett register eller annan samling med personuppgifter. Behandlingen av personuppgifterna ska vidare ske genom de registrerades frivilliga medverkan i forskningsdatabasen. Ett ytterligare kriterium som ringar in tillämpningsområdet är att forskningsdatabasens syfte, att skapa underlag för framtida forskningsprojekt, är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Förandet av en sådan forskningsdatabas utgör en uppgift av allmänt, och viktigt, intresse. Utförande av en uppgift av allmänt intresse enligt artikel 6.1 e dataskyddsförordningen är också den rättsliga grunden för personuppgiftsbehandlingen i verksamheten med en forskningsdatabas. I andra stycket finns en upplysning om att det är regeringens uppgift att med stöd av den s.k. restkompetensen enligt 8 kap. 7 § regeringsformen i förordning meddela föreskrifter om vilka forskningsdatabaser som får föras enligt lagen. Beskrivningen i första stycket sätter därvid ramen för vad för slags forskningsdatabaser som rege-

286

Ds Författningskommentar

ringen kan föra in i tillämpningsområdet för lagen. I enlighet med vad som anges i avsnitt 5.2.3 kan ett lärosäte direkt hos regeringen väcka frågan om reglering av verksamheten i en viss forskningsdatabas. Det ankommer då på lärosätet att tydligt motivera dels varför den aktuella forskningsdatabasen har ett behov av att omfattas av denna lag, dels varför forskningsdatabasens uppgift med att tillhandahålla uppgifter till flera framtida forskningsprojekt är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv. Lärosätet har också att ge in ett gediget underlag för regeringens kommande beredning i vilket verksamheten med den befintliga eller planerade forskningsdatabasen beskrivs ingående. I regeringens bedömning av om verksamheten i en viss forskningsdatabas bör omfattas av lagen eller inte ligger det att väga nyttan av att forskningsdatabasen tillhandahåller uppgifter till forskningsprojekt inom ett eller flera specificerade forskningsområden, dvs. forskningsdatabasens vetenskapliga värde, mot de integritetsrisker som personuppgiftsbehandlingen i forskningsdatabasen kan komma att innebära för de registrerade.

3 § Behandling av personuppgifter i en forskningsdatabas får bara utföras i verksamhet som bedrivs vid ett lärosäte som är 1. ett statligt universitet eller en statlig högskola som har rätt att utfärda examen på forskarnivå, eller 2. en enskild utbildningsanordnare som har tillstånd att utfärda examen på forskarnivå enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) jämställs med myndighet i sin verksamhet med forskningsdatabasen. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka lärosäten som får behandla personuppgifter enligt denna lag.

Bestämmelsen reglerar vilka slags aktörer som kan få behandla personuppgifter i en sådan forskningsdatabas som förs med stöd av lagen. Den behandlas i avsnitt 4.3.4, 5.2.2 och 5.2.3. Av första stycket framgår att behandling av personuppgifter i en forskningsdatabas enligt lagen är en verksamhet som bara får bedrivas av statliga universitet samt vissa statliga högskolor och enskilda utbildningsanordnare, nämligen sådana som har rätt att utfärda examen på forskarnivå. Det är Universitetskanslersämbetet som beviljar statliga högskolor examensrätt på forskarnivå, medan regeringen ger examenstillstånd på forskarnivå till enskilda utbildningsanordnare.

287

Författningskommentar Ds

För enskilda utbildningsanordnare tillkommer dessutom att de ska tillämpa offentlighetsprincipen i sin verksamhet med en forskningsdatabas. Bestämmelsen begränsar alltså lagens tillämpningsområde till forskningsdatabaser som förs vid vissa lärosäten. Forskningsdatabaser vid andra typer av lärosäten, hos andra statliga eller kommunala myndigheter eller enskilda näringsidkare faller följaktligen utanför tillämpningsområdet. Det sagda innebär dock inte, som påtalats i avsnitt 4.3.5, något principiellt förbud mot personuppgiftsbehandling i sådana forskningsdatabaser, så länge behandlingen har stöd i redan befintlig dataskyddslagstiftning. I andra stycket finns en upplysning om att det är regeringens uppgift att med stöd av den s.k. restkompetensen enligt 8 kap. 7 § regeringsformen meddela föreskrifter om vilka sådana lärosäten som avses i första stycket som får behandla personuppgifter enligt denna lag och alltså får ansvara för en forskningsdatabas. I samband med beredningen av frågan om verksamheten i en viss forskningsdatabas ska omfattas av lagen ska regeringen – utöver det vetenskapliga värdet av forskningsdatabasen och dess långsiktighet – också pröva huruvida ett visst lärosäte är lämpat att föra en forskningsdatabas enligt lagen. I prövningen ligger att bedöma om lärosätet kan förväntas ha tillräckliga finansiella och organisatoriska förutsättningar för att kunna tillgodose ett kvalitativt och långsiktigt integritetsskydd för den personuppgiftsbehandling som kommer att äga rum i forskningsdatabasen. Det är lärosätets sak att förse regeringen med det underlag som behövs för ändamålet.

Förhållandet till annan dataskyddsreglering

4 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på databehandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 94/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Termer och uttryck i denna lag har samma betydelse som i EU:s dataskyddsförordning.

Bestämmelsen behandlas i avsnitt 5.4. I första stycket (och i 1 kap. 5 §) förtydligas att lagen är en kompletterande sektorspecifik särreglering till redan befintlig generell dataskyddslagstiftning kring behandling av personuppgifter för

288

Ds Författningskommentar

vetenskapliga forskningsändamål. De grundläggande bestämmelserna finns i dataskyddsförordningen. Det är alltså dessa bestämmelser som utgör den huvudsakliga dataskyddsrättsliga regleringen vid behandling av personuppgifter i forskningsdatabaser. Lagen om vissa forskningsdatabaser kan alltså inte läsas ensamt utan endast tillsammans med dataskyddsförordningen. De kompletterande bestämmelserna i lagen beskriver under vilka villkor personuppgiftsbehandling i vissa forskningsdatabaser är tillåten och vilka skyddsåtgärder som, utöver redan befintliga sådana i dataskyddsförordningen, gäller vid personuppgiftsbehandling i verksamhet med sådana forskningsdatabaser som omfattas av lagen. Hänvisningen till dataskyddsförordningen är dynamisk. Det innebär att den avser den vid varje tidpunkt gällande lydelsen av förordningen. I andra stycket anges att termer och uttryck i lagen har samma betydelse som i dataskyddsförordningen. I lagen används exempelvis begreppen personuppgifter, behandling, pseudonymisering, register och samtycke. Innebörden av dessa begrepp definieras i artikel 4 i dataskyddsförordningen.

5 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

I bestämmelsen regleras hur lagen förhåller sig till dataskyddslagen. Bestämmelsen behandlas i avsnitt 5.4. Dataskyddslagen är en till dataskyddsförordningen kompletterande central reglering med generella bestämmelser gällande personuppgiftsbehandling. Av paragrafen framgår att dataskyddslagen är subsidiär i förhållande till bestämmelser i lagen om vissa forskningsdatabaser eller föreskrifter som utfärdats i anslutning till lagen. Se även kommentaren till 1 kap. 4 §.

2 kap. Behandling av personuppgifter

Personuppgiftsansvar

289

Författningskommentar Ds

1 § Det lärosäte som för en forskningsdatabas är personuppgiftsansvarig för den behandling av personuppgifter som utförs i verksamheten med forskningsdatabasen.

I denna paragraf anges personuppgiftssansvaret vid behandlingen av personuppgifter i verksamhet med en forskningsdatabas. Bestämmelsen behandlas i avsnitt 5.5. Av paragrafen följer att det är det lärosäte som enligt regeringens föreskrift i förordning får behandla personuppgifter i verksamhet med en forskningsdatabas som är personuppgiftsansvarig för all behandling av personuppgifter som utförs i verksamheten. Även om en forskningsdatabas kan bedrivas i visst samarbete mellan olika lärosäten eller mellan ett lärosäte och exempelvis en region, är det bara ett lärosäte som kan ges ansvaret för den. Det är också det lärosätet som blir personuppgiftsansvarig med det ansvar som därav följer enligt både dataskyddsförordningen och lagstiftningen om vissa forskningsdatabaser.

Ändamål

2 § Personuppgifter får samlas in och i övrigt behandlas i verksamhet med en forskningsdatabas för de övergripande ändamålen att 1. skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden, och 2. lämna ut uppgifter till sådana forskningsprojekt som anges i 1. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter som avgränsar vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till.

Paragrafen behandlas i avsnitt 5.6. I första stycket anges de övergripande och primära ändamålen för vilka personuppgiftsbehandling i en forskningsdatabas ska vara tillåten. Det först angivna ändamålet är att skapa underlag för flera framtida forskningsprojekt inom för forskningsdatabasen angivna forskningsområden. Det andra primära ändamålet är att lämna ut personuppgifter till sådana forskningsprojekt, dvs. sådana projekt som gäller forskning inom för forskningsdatabasen angivna forskningsområde. Det är alltså de i förordning preciserade ändamålen med personuppgiftsbehandlingen i en forskningsdatabas, i form av de däri angivna forskningsområdena, som sätter ramarna för vilka

290

Ds Författningskommentar

forskningsprojekt personuppgifter får lämnas ut till. Det finns ingen begränsning i fråga om vad för slags forskningshuvudmän som kan vara mottagare och ansvariga för ett forskningsprojekt. Även enskilda och utländska forskningsinrättningar kan komma i fråga om inte begräsningar föreskrivits, se 4 kap. 1 §. Skapandet av underlag till forskning i en forskningsdatabas är alltså framåtsyftande. Det handlar inte om att skapa underlag för redan definierade forskningsprojekt, utan om att bygga upp en resurs för flera framtida forskningsprojekt, se 1 kap. 1 §. Med uttrycket ”skapa underlag” avses olika former av behandlingar som krävs för att kunna föra en fungerande forskningsdatabas, såsom att samla in, registrera, bevara och uppdatera personuppgifter i databasen. Dessa steg är grundläggande för att lärosätena ska kunna uppfylla forskningsdatabasernas huvudsakliga uppgift om att tillhandahålla uppgifter för användning av forskningsprojekt inom aktuellt forskningsområde. I 3 kap. 1 och 4 §§ framgår att det gäller vissa villkor för utlämnande till forskningsprojekt. Av andra stycket framgår att det är regeringens uppgift att med stöd av den s.k. restkompetensen meddela föreskrifter som avgränsar vilket eller vilka forskningsområden som en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till. I förordning kommer det följaktligen att finnas mer preciserade ändamål som utgör ramen för vilka uppgifter som alls får behandlas i verksamhet med en forskningsdatabas. Det finns inget hinder mot att forskningsområden beskrivs på så sätt att de skapar utrymme för tvärvetenskaplig forskning.

3 § Personuppgifter som samlats in och behandlas enligt 2 § första stycket får därefter behandlas bara för utlämnande som anges i 3 kap. 2, 3 och 5 §§ samt bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Paragrafen reglerar tillåtna sekundära ändamål för personuppgiftsbehandlingen. Bestämmelsen behandlas i avsnitt 5.6. Av bestämmelsen framgår uttömmande för vilka ytterligare ändamål, utöver de primära i 2 kap. 2 §, som redan insamlade personuppgifter får behandlas enligt lagen. Genom hänvisningen till 3 kap. 2, 3 och 5 §§, framgår i vilka andra fall, än till forskningsprojekt inom angivna forskningsområden enligt 2 kap. 2 §, som personupp-

291

Författningskommentar Ds

gifter får behandlas genom att lämnas ut. Dessutom anges att behandling får ske för det sekundära ändamålet bevarande för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Ordet ”bara” innebär alltså att de sekundära ändamålen är uttömmande angivna. Detta innebär en begränsning av den så kallade finalitetsprincipen enligt artikel 5.1 b i dataskyddsförordningen. Ett personuppgiftsansvarigt lärosäte kan alltså inte behandla personuppgifter i verksamhet med en forskningsdatabas för ett nytt ändamål som inte framgår av lagen alldeles oavsett att det nya ändamålet i och för sig inte skulle anses oförenligt med ändamålen enligt 2 kap. 2 §. Regeringen har inte heller möjlighet att utvidga den uttömmande ändamålsbestämningen som följer av lagen, utan kan endast snäva in densamma genom att precisera till vilket eller vilka forskningsområden som forskningsdatabasen ska skapa underlag för och lämna ut uppgifter till. Inte heller gäller det så kallade forskningsundantaget i artikel 5 1 b i dataskyddsförordningen. Däremot får bevarande ske för bland annat framtida vetenskapliga och historiska forskningsändamål, vilket kan sägas vara ett av arkivväsendets grundläggande syften.

Samtycke och information vid behandling av personuppgifter

4 § Personuppgifter i en forskningsdatabas får behandlas bara om den registrerade har samtyckt till det, om inte annat följer av denna lag.

Paragrafen innehåller ett grundläggande krav på samtycke för behandling av personuppgifter i en forskningsdatabas. Bestämmelsen behandlas i avsnitt 5.7.1. Som angetts i avsnitt 4.4.4 är det utförande av uppgift av allmänt intresse som är den rättsliga grunden för behandling av personuppgifter i verksamhet med en forskningsdatabas enligt lagen. Enligt 1 kap. 3 § gäller dock lagen endast behandlingen av personuppgifter i sådana forskningsdatabaser där insamling av personuppgifter sker genom registrerades frivilliga medverkan. Den frivilliga medverkan manifesteras genom denna huvudregel om krav på samtycke till behandlingen. Undantag från huvudregeln finns i 2 kap. 5 och 6 §§. Vad som avses med samtycke anges i artikel 4 punkt 11 i dataskyddsförordningen. Huvudregeln om samtycke gäller oavsett om personuppgifterna i forskningsdatabasen inhämtats genom medver-

292

Ds Författningskommentar

kan av den registrerade eller genom kompletterande insamling från andra källor (se avsnitt 5.8.2). Samtycke bör inhämtas redan i samband med den inledande kontakten med den vars uppgifter avses bli registrerade i forskningsdatabasen. Det ska vara fråga om ett samtycke som, i enlighet med vad som anges i dataskyddsförordningen, utgör en frivillig och otvetydig viljeyttring, och som också är specifikt och informerat. Vad informationen ska omfatta utöver dataskyddsförordningen krav framgår i 2 kap. 8 §.

5 § Utan samtycke får sådana personuppgifter samlas in och behandlas som är nödvändiga för att kunna välja ut och kontakta en person i en urvalsgrupp med förfrågan om medverkan i en forskningsdatabas. Sådan behandling får inte pågå under längre tid än vad som är nödvändigt.

Paragrafen innehåller ett av undantagen till kravet på samtycke i föregående bestämmelse. Den behandlas i avsnitt 5.7.1. Undantaget i bestämmelsen ska möjliggöra behandling av sådana personuppgifter som är nödvändiga för att överhuvudtaget kunna göra ett urval av personer vilkas medverkan är önskvärd i forskningsdatabasen och, därefter, kunna ta kontakt med utvalda för att informera och efterfråga personernas inställning till medverkan i databasen. Kravet på nödvändighet markerar att dataskyddsförordningens princip om uppgiftsminimering ska beaktas. Av samma skäl ska behandlingen i detta skede inte pågå under längre tid än nödvändigt. Går det inte att få kontakt med en person trots försök kan det knappast vara nödvändigt att därefter fortsätta behandla kontaktuppgifterna.

6 § Kompletterande insamling av uppgifter från andra källor än de som kunnat definieras redan i samband med att samtycke till behandling i forskningsdatabasen lämnas får göras utan samtycke bara om den registrerade informerats om insamlingen och inte uttryckligen motsätter sig denna .

I paragrafen finns det andra undantaget från huvudregeln om samtycke i 2 kap. 4 §. Den behandlas i avsnitt 5.7.2. Huvudregeln om samtycke gäller även i fråga om komplettering av uppgifter från andra källor än den registrerade själv, såsom myndighetsregister, patientjournaler eller annat. Bestämmelsen anger en lättnad i fråga om kompletterande insamling av uppgifter från källor som inte kunde anges redan i samband med att samtycke till behand-

293

Författningskommentar Ds

ling i forskningsdatabasen lämnas. Sådan insamling kan få ske utan förnyat inhämtande av samtycke, men bara om den registrerade informerats om insamlingen och inte uttryckligen motsätter sig denna. Bestämmelsen tar sikte på de situationer där det finns ett behov av att komplettera insamlingen till en forskningsdatabas med uppgifter från andra källor än de som den registrerade informerades om redan i samband med att samtycke till behandlingen lämnas. Ett sådant exempel är att det i tiden efter att samtycke lämnas tillkommer ett nytt myndighetsregister som bedöms ha relevans för de särskilt angivna ändamålen för behandlingen i en viss forskningsdatabas, dvs. för det eller de forskningsområden som forskningsdatabasen ska skapa underlag för och lämna ut uppgifter till. I stället för att i dessa situationer kräva formligt samtycke för en kompletterande insamling görs här ett undantag. Enligt bestämmelsen ska den registrerade dock få information om den planerade insamlingen från andra källor och ges möjlighet att motsätta sig densamma genom eget aktivt agerande. I denna mening är det fråga om en möjlighet till ”opt out” (passivt samtycke) i stället för det ”opt in” som annars krävs som uttryck för samtycke i d ataskyddsrättslig mening (aktivt samtycke). Kravet på information innebär inte att den personuppgiftsansvarige måste upprätta en faktisk kontakt med varje registrerad. Det är tillräckligt att information lämnas genom att den personuppgiftsansvarige på sin webbplats eller annat forum som registrerade känner till redovisar vilka kompletterande uppgifter som planeras att inhämtas, och därvid ger den registrerade möjlighet att motsätta sig insamlingen. Där bör tydligt framgå hur den registrerade som vill motsätta sig kompletteringen ska gå till väga och inom vilken tidsram denne förväntas höra av sig. Om den registrerade först senare motsätter sig personuppgiftsbehandlingen av redan genom komplettering insamlade uppgifter, ska dessa raderas enligt från forskningsdatabasen enligt 2 kap. 14 §. Redan i samband med den ursprungliga kontakten med den registrerade vid rekrytering till forskningsdatabasen bör denne informeras om var information om kompletterande ej förutsebar insamling kan komma att publiceras. Det finns inget som hindrar att den registrerade redan då får tillfälle att ange om denne motsätter sig att komplettering sker från okända källor.

294

Ds Författningskommentar

7 § Personuppgifter som samlats in innan den registrerade uppnått en sådan ålder och mognad att denne själv kan samtycka till behandlingen, och samtycke i stället lämnats av den registrerades vårdnadshavare, får efter att den registrerade blivit myndig, fortsätta behandlas bara om den registrerade informerats om behandlingen och inte uttryckligen motsätter sig denna. Sådan information ska lämnas inom ett år från myndighetsdagen. Information behöver dock inte lämnas om den personuppgiftsansvarige inte med rimliga ansträngningar kan nå den registrerade.

Paragrafen reglerar den situationen där personuppgifter samlats in och behandlats innan den registrerade själv uppnått en sådan ålder och mognad att denne själv uttryckligen kan samtycka till behandlingen, och samtycke i ställer erhållits från den registrerades vårdnadshavare. Bestämmelsen behandlas i avsnitt 5.7.3. Att den underåriges vårdnadshavare företräder den underårige innan denne uppnått en sådan ålder och mognad att denne själv kan ta ställning till frågor om personuppgiftsbehandling i det nu aktuella sammanhanget följer av 6 kap. 11 § föräldrabalken. Av samma bestämmelser framgår också att hänsyn ska tas till barnets synpunkter och önskemål i takt med dess stigande ålder och utveckling. I den aktuella bestämmelsen regleras den situationen att personuppgifter om registrerade som vid tidpunkten för insamling var underåriga och inte själva kunde samtycka till behandlingen fortfarande behandlas i forskningsdatabaser efter att de registrerade har uppnått myndighetsålder, dvs. fyllt 18 år. I de fall insamlingen skett efter att samtycke lämnats från vårdnadshavare, och något giltigt samtycke alltså inte lämnats av den registrerade själv, kan det inte tas för givet att den nu myndiga registrerade känner till och accepterar behandlingen. Bestämmelsen syftar till att, så långt som möjligt, säkerställa att det även efter myndighetsdagen är fråga om en frivillig medverkan. Enligt bestämmelsen ska därför sådana personuppgifter få fortsätta behandlas bara om den registrerade själv informeras om behandlingen och därefter inte uttryckligen motsatt sig denna. Liksom i 2 kap. 2 kap. 6 § är det fråga om ett slags opt out-förfarande där den nu myndiga personen ges tillfälle att motsätta sig fortsatt behandling i forskningsdatabasen av personuppgifter som samlats in med samtycke från vårdnadshavare. Informationen ska lämnas inom ett år från myndighetsdagen. Den personuppgiftsansvarige ska alltså kunna samordna sitt arbete med att informera nyblivna 18-åringar. Informationen förutsätts

295

Författningskommentar Ds

skickas elektroniskt eller med ordinarie post till den registrerade själv tillsammans med tydlig vägledning om hur mottagaren ska gå till väga för att meddela den personuppgiftsansvarige att denne motsätter sig fortsatt behandling. I dessa fall är det alltså inte tillräckligt att informationen läggs ut på den personuppgiftsansvariges webbplats eller liknande. Kravet på att upprätta en kontakt är dock inte så långtgående att det krävs en bekräftelse på att den registrerade faktiskt tagit emot informationen. Det finns också en ventil enligt vilken informationen inte behöver lämnas om den personuppgiftsansvarige inte med rimliga ansträngningar kan nå den registrerade, exempelvis om information som skickats ut till en e-postadress eller folkbokföringsadressen kommer i retur och någon ny kontaktinformation inte med rimliga ansträngningar går att finna (jämför artikel 14 b i dataskyddsförordningen).

8 § Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförordning ska den registrerade, innan denne lämnar samtycke enligt 4 § eller i samband med att denne får sådan information som avses i 7 §, även informeras om 1. att all registrering och medverkan i verksamheten vid forskningsdatabasen är frivillig och att den registrerade när som helst kan avbryta sin medverkan helt eller delvis samt begära att registrerade uppgifter raderas, 2. vilka slags uppgifter som får registreras i forskningsdatabasen, 3. de sekretess- och säkerhetsbestämmelser som gäller för forskningsdatabasen, 4. sin rätt att begära att få information om till vilka forskningsprojekt uppgifter om denne lämnats ut, 5. vilken myndighet som har tillsyn över att behandlingen av personuppgifter sker på ett lagenligt sätt, och 6. rätten enligt artikel 82 i EU:s dataskyddsförordning och 7 kap. 1 § dataskyddslagen till skadestånd vid behandling av personuppgifter i strid med denna lag.

Av paragrafen framgår vilka krav som ställs på den information som ska lämnas innan personuppgifter får behandlas enligt lagen. Bestämmelsen behandlas i avsnitt 5.7.4. Innan den registrerade lämnar samtycke enligt 2 kap. 4 § eller i samband med att denne erhåller sådan information som avses i 2 kap. 7 §, ska den information som framgår av artiklarna 13 och 14 i dataskyddsförordningen ha lämnats. Den registrerade ska därutöver ha informerats om de i bestämmelsen angivna uppgifterna.

296

Ds Författningskommentar

Det har inte föreskrivits någon särskild form för lämnandet av informationen, men det är den personuppgiftsansvarige som har bevisbördan för att angiven information har lämnats.

Tillåtet innehåll

9 § I en forskningsdatabas får det i fråga om personuppgifter bara finnas 1. uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i forskningsdatabasen, 2. uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen, 3. uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen, 4. kontaktinformation till den registrerade, 5. kompletterande uppgifter som inhämtats från andra källor, 6. kategoriseringar av sådana uppgifter som avses i 1 – 5, 7. identitetsbeteckningar avseende de registrerade (kodnycklar eller motsvarande information för identifiering), och 8. uppgifter om utlämnande som har skett till forskning .

Bestämmelsen reglerar uttömmande vilka personuppgifter som får finnas i en forskningsdatabas enligt lagen. Den behandlas i avsnitt 5.8.2. För all registrering i forskningsdatabasen gäller principen om uppgiftsminimering enligt dataskyddsförordningen, även vid tillämpningen av bestämmelserna i paragrafen. Enligt punkterna 1 – 3 får det i forskningsdatabasen finnas sådana uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i forskningsdatabasen, uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen och uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen. Det handlar alltså om sådana uppgifter som tillförts registret genom den registrerades frivilliga medverkan. Med upptagningar avses bild- eller ljudinformation, t.ex. röntgenbilder. Med undersökningar avses bl.a. mätningar av de registrerades fysiologiska egenskaper, som t.ex. syn, hörsel, lungfunktion och blodtryck. Med uppgifter om upptagningar eller undersökningar avses t.ex. analysresultat och administrativa uppgifter om bl.a. tillfället för upptagningen

297

Författningskommentar Ds

eller undersökningen, mängden material i ett prov, hur det är märkt och på vilken plats det förvaras. Enligt punkten 4 får forskningsdatabasen också innehålla kontaktinformation till den registrerade. Med detta avses all slags information om var den registrerade befinner sig och hur denne kan nås. Om den registrerade är underårig innefattar kontaktinformationen även uppgifter om den registrerades vårdnadshavare. Som framgår av 2 kap. 5 § får kontaktuppgifter i viss utsträckning och under en begränsad tid behandlas utan den registrerades samtycke. I forskningsdatabasen tillåts även, enligt punkten 5 , att kompletterande uppgifter som inhämtats från andra källor registreras. Med andra källor avses i första hand myndighetsregister, vars uppgifter bedöms relevanta att komplettera den primära insamlingen med. För sådan insamling uppställs ovan krav på samtycke eller information från eller till den registrerade. Av punkten 6 framgår att även kategoriseringar av ovan nämnda uppgifter får finnas i forskningsdatabasen. Enligt punkten 7 får också identitetsbeteckningar avseende de registrerade finnas i en forskningsdatabas. Med sådana beteckningar avses kodnycklar eller motsvarande information som behövs för att identifiera en registrerad vars uppgifter är pseudonymiserade i forskningsdatabasen eller som har lämnats ut i pseudonymiserat skick. Slutligen, enligt punkten 8 , får forskningsdatabasen innehålla uppgifter om utlämnande som har skett till forskning. I realiteten handlar det om ett krav på att sådan dokumentation finns, i forskningsdatabasen eller utanför. Det handlar nämligen om sådana uppgifter som behövs för att tillgodose den registrerades rätt till information på begäran enligt 3 kap. 8 §.

10 § Genetiska uppgifter och personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får finnas i en forskningsdatabas bara om regeringen har meddelat föreskrifter om det.

Bestämmelsen rör behandlingen av genetiska uppgifter och personuppgifter om lagöverträdelser. Den behandlas i avsnitt 5.8.1. Enligt bestämmelsen får genetiska uppgifter och personuppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. lagöverträdelser, finnas i en forskningsdatabas bara om regeringen har meddelat föreskrifter om det.

298

Ds Författningskommentar

Genetiska uppgifter definieras i artikel 4.13 i dataskyddsförordningen som alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilken ger unik information om denna fysiska persons fysiologi eller hälsa, och vilka framförallt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Begreppet ska i det här sammanhanget även anses innefatta sådan genetisk information som åsyftas i lagen (2006:531) om genetisk integritet m.m. Artikel 10 i dataskyddsförordningen syftar på personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 i förordningen.

Integritetsskydd inom verksamheten

11 § Den som arbetar i verksamhet med en forskningsdatabas får ta del av personuppgifter i verksamheten bara om denne behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter med forskningsdatabasen.

Bestämmelsen reglerar begränsningen av tillgång till personuppgifter i verksamheten med en forskningsdatabas, dvs. den s.k. inre sekretessen. Den behandlas i avsnitt 5.9.1. Enligt bestämmelsen får den som arbetar i en verksamhet som för en forskningsdatabas ta del av personuppgifter i verksamheten endast om denne behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen. Bestämmelsen riktar sig omedelbart till den som arbetar i verksamheten. Den som obehörigen skaffar sig tillgång till uppgifterna kan göra sig skyldig till straffbar handling, exempelvis dataintrång enligt 4 kap. 9 c § brottsbalken. Bestämmelsen kompletteras av 2 kap. 12 §.

12 § Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i verksamheten med en forskningsdatabas. Sådan åtkomst ska begränsas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen .

Paragrafen innehåller en bestämmelse om behörighetsstyrning avseende intern elektronisk åtkomst. Bestämmelsen behandlas i avsnitt 5.9.2.

299

Författningskommentar Ds

Behörighetsstyrning är en teknisk och organisatorisk åtgärd för att skydda personuppgifter i en forskningsdatabas och verksamheten runt den. Enligt bestämmelsen ska den personuppgiftsansvarige bestämma villkoren för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i verksamheten. Med detta avses användares faktiska möjligheter att ta del av uppgifter i forskningsdatabasen genom elektronisk åtkomst. Åtkomsten ska begränsas till vad och en av anställda eller uppdragstagare i verksamheten behöver för att fullgöra sina arbetsuppgifter i verksamheten med forskningsdatabasen. Med uppdragstagare kan också avses personuppgiftsbiträde. Till skillnad från föregående paragraf riktar sig denna bestämmelse till den personuppgiftsansvarige och reglerar dennes ansvar att begränsa sina anställda och uppdragstagares interna elektroniska åtkomst till personuppgifter. I praktiken kommer det att handla om en skyldighet för den personuppgiftsansvarige att ta ställning till vilken närmare information varje befattningshavare faktiskt behöver för att kunna utföra sina arbetsuppgifter och begränsa tillgången utifrån detta. Exempelvis kan den personuppgiftsansvarige ta ställning till om tillgången till identitetsuppgifter eller kodnycklar, eller vissa andra särskilt känsliga delar av databasen, ska kräva en särskild behörighetsnivå.

13 § Den personuppgiftsansvarige ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Den personuppgiftsansvarige ska göra systematiska och återkommande kontroller av den i första stycket upprättade dokumentationen i syfte att kontrollera om någon obehörigen kommit åt personuppgifter i forskningsdatabasen.

Paragrafen reglerar dokumentation och kontroll av elektronisk åtkomst. Bestämmelsen behandlas i avsnitt 5.9.3. Enligt första stycket ska den personuppgiftsansvarige tillse att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Med detta åsyftas att det ska finnas behandlingshistorik, loggning, avseende åtkomst till personuppgifter. I andra stycket anges att den personuppgiftsansvarige ska göra systematiska och återkommande kontroller av den i första stycket upprättade dokumentationen i syfte att kontrollera om någon obehörigen kommit åt personuppgifter i forskningsdatabasen. Det är

300

Ds Författningskommentar

alltså inte tillräckligt med kontroller endast då obehörig åtkomst misstänks ha förekommit i ett konkret fall.

Radering efter begäran

14 § Den registrerade har rätt att när som helst begära att uppgifter om denne raderas från forskningsdatabasen. Vid en sådan begäran ska den personuppgiftsansvarige vara skyldig att radera personuppgifterna så snart som möjligt .

Bestämmelsen reglerar den registrerades rätt att få uppgifter raderade. Den behandlas i avsnitt 5.11. Den registrerade har rätt att när som helst begära hos ansvarigt lärosäte att uppgifter om denne raderas från forskningsdatabasen. Rätten är närmast en precisering av den rätt till radering som tillerkänns den registrerade enligt artikel 17 i dataskyddsförordningen. En begäran kan avse samtliga eller enbart vissa angivna personuppgifter i en forskningsdatabas. Den registrerade bör i samband med begäran specificera vilka uppgifter som avses med begäran. Det finns inget krav på att en begäran om radering ska göras skriftligen, men det är rimligt att den personuppgiftsansvariga kan uppställa vissa krav eller kräva förtydliganden så långt dessa gäller möjligheten för den personuppgiftsansvariga att bedöma om begäran verkligen kommer från den registrerade eller rör omfattningen av begäran. Har den personuppgiftsansvarige offentliggjort att en begäran kan göras på något annat vis än direkt hos den personuppgiftsansvariga, exempelvis till ett personuppgiftsbiträde, kan begäran ställas dit. Vid en begäran om radering är den personuppgiftsansvarige skyldig att radera personuppgifterna så snart som möjligt.

3 kap. Utlämnande av personuppgifter

Villkor för utlämnande

1 § En förutsättning för att personuppgifter ska kunna lämnas ut från en forskningsdatabas till forskningsprojekt enligt 2 kap. 2 § första stycket 2 är att både forskningen och behandlingen av personuppgifter i forskningen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, om forskningen omfattas av den lagens krav på etikprövning.

301

Författningskommentar Ds

Om forskningen ska utföras i annat land men hade krävt ett sådant godkännande som anges i första stycket om den utförts i Sverige, får utlämnande göras bara om forskningen har granskats etiskt och godkänts i ett motsvarande förfarande i det andra landet.

Bestämmelsen anger villkor för utlämnande av personuppgifter från en forskningsdatabas till forskningsprojekt. Den behandlas i avsnitt 5.12.1 och 5.12.2. I paragrafens första stycke anges villkor om etikprövning när personuppgifter lämnas ut enligt det primära ändamålet som anges i 2 kap. 2 §, dvs. från en forskningsdatabas till forskningsprojekt inom det eller de forskningsområden som regeringen har föreskrivit att den forskningsdatabasen ska skapa underlag för och lämna ut uppgifter till. Villkoret i första stycket innebär att om forskningen omfattas av etikprövningslagen, får personuppgifter lämnas ut bara om forskningen och behandlingen av personuppgifter i forskningen dessförinnan har godkänts enligt nämnda lag. Enligt 3 § i lagen krävs etikprövning och godkännande av forskning som innefattar behandling av känsliga personuppgifter enligt definitionen i artikel 9.1 i dataskyddsförordningen, liksom av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Beskrivningen av lagöverträdelser i 3 § etikprövningslagen är något vidare än vad som föreskrivs i artikel 10 i dataskyddsförordningen i det att även friande domar och administrativa frihetsberövanden omfattas av kravet på etikprövning, Vid etikprövning kan beslut om godkännande förenas med villkor som kan få betydelse för exempelvis vilka slags uppgifter som får behandlas i projektet eller vilka samkörningar som får göras, se kommentaren till 3 kap. 5 §. Det sagda medför att forskare normalt måste bifoga Etikprövningsnämnden beslut i en ansökan till forskningsdatabasen. Det krävs emellertid inte etikgodkännande för utlämnande till forskningsprojekt som inte innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m., och som följaktligen inte omfattas av etikprövningslagen. I andra stycket regleras det förhållandet att personuppgifter lämnas ut till forskningsprojekt i ett annat land. Etikprövningslagens krav på etisk granskning och godkännande gäller enligt 5 § i nämnda lag bara forskning som ska utföras i Sverige. För det fall forsknings-

302

Ds Författningskommentar

huvudmän från andra länder, exempelvis universitet i andra medlemsstater i Europeiska unionen eller i tredje land, ansöker om att få tillgång till uppgifterna i en forskningsdatabas ska dessa inte särbehandlas negativt. Det krävs emellertid vid sådana internationella förfrågningar att även dessa forskningsprojekt har genomgått en etisk granskning som kan bedömas motsvara en svensk etikprövning, om en sådan granskning hade krävts enligt etikprövningslagen om forskningen hade utförts i Sverige. Det krävs inte att förfarandet i det andra landet ska vara likadant som i Sverige. Det som krävs är att den etiska granskningen ska kunna ses som i princip likvärdig den som görs i Sverige. I detta sammanhang måste det personuppgiftsansvariga lärosätet dock följa de särskilda bestämmelser i dataskyddsförordningen som gäller i fråga om överföring av personuppgifter till tredje länder (artiklarna 44 – 50).

2 § Personuppgifter får också lämnas ut till en forskningshuvudman för forskning som fått uppgifter från en forskningsdatabas, om det behövs för att utreda oredlighet i forskning eller annan avvikelse från god forskningssed .

Paragrafen reglerar utlämnande av personuppgifter till utredningar om oredlighet i forskning eller annan avvikelse från god forskningssed. Den behandlas i avsnitt 5.12.3. Enligt bestämmelsen får personuppgifter lämnas ut till en forskningshuvudman för ett forskningsprojekt som fått uppgifter från en forskningsdatabas, om det behövs för att utreda oredlighet i forskning eller annan avvikelse från god forskningssed. Med utredning av oredlighet i forskning avses i första hand sådan utredning som krävs för prövning enligt lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning. Enligt den lagen prövas oredlighet av en särskild nämnd men forskningshuvudmän har ett initialt ansvar för att utreda om det finns misstankar om oredlighet som ska överlämnas för prövning av nämnden. Vidare är forskningshuvudmän skyldiga att lämna nämnden upplysningar och handlingar som nämnden begär. För dessa syften kan det behövas uppgifter från forskningsdatabasen för granskning och jämförelse med vad som kommit fram om forskningsprojektet i fråga. Med utredning av annan avvikelse från god forskningssed avses utredning för prövning enligt 1 kap. 3 a § högskolelagen (1992:1434) och 1 kap. 17 § högskoleförordningen (1993:100). Även i sådana fall kan forsknings-

303

Författningskommentar Ds

huvudmän behöva tillgång till uppgifterna från forskningsdatabasen. De nu nämnda regleringarna gäller bara för statliga lärosäten. Även enskilda forskningshuvudmän ges dock möjligheter att få ut uppgifter från forskningsdatabasen för utredning av liknande misstankar i forskningsprojekt i den egna verksamheten. För allt utlämnande enligt paragrafen ska uppgifterna vara behövliga för utredning inför nyss nämnda prövningar. Det kräver att forskningshuvudmännen vid sin begäran om utfående av personuppgifter enligt bestämmelsen anger varför de behöver tillgång till uppgifterna för att kunna utreda misstankar.

3 § Personuppgifter får, utöver vad som följer av 2 och 5 §§ samt 2 kap. 2 § första stycket 2, bara lämnas ut om det finns en skyldighet enligt lag eller förordning att göra det.

Bestämmelsen reglerar utlämnande på grund av uppgiftsskyldighet enligt lag eller förordning. Den behandlas i avsnitt 5.12.4. Enligt bestämmelsen får personuppgifter, utöver vad som följer av 2 och 5 §§ samt 2 kap. 2 § första stycke 2, lämnas ut endast om det finns en skyldighet enligt lag eller förordning att göra det. Det kan exempelvis handla om skyldighet att lämna uppgifter till tillsynsmyndighet eller om föreskriven uppgiftsskyldighet till annan myndighet. Vidare finns en uppgiftsskyldighet enligt dataskyddsförordningen visavi den registrerade som enligt artikel 15.3 har rätt att få en kopia av behandlade personuppgifter. Härutöver kan nämnas den skyldighet att lämna ut allmänna handlingar, till den registrerade eller annan, enligt tryckfrihetsförordningen. I 24 kap. 2 a § offentlighets- och sekretesslagen (2009:400), förkortad OSL, finns dock en sekretessbestämmelse som gäller i verksamhet som avser förande av och uttag ur en forskningsdatabas enligt denna lag. Det finns också i 24 kap. 2 b § OSL en bestämmelse om överföring av denna sekretess.

Pseudonymiserade uppgifter m.m.

4 § Utlämnande enligt 2 § och 2 kap. 2 § första stycket 2 får bara avse personuppgifter som är pseudonymiserade eller skyddade på likvärdigt sätt. Personuppgifter får dock vara direkt identifierbara vid utlämnandet om det är nödvändigt för att uppfylla ändamålet med den forskning eller den utredning som uppgifterna ska lämnas ut till.

304

Ds Författningskommentar

Paragrafen reglerar krav på pseudonymisering eller annat likvärdigt skydd vid utlämnande från en forskningsdatabas i vissa fall. Bestämmelsen behandlas i avsnitt 5.13.1. I första stycket föreskrivs en huvudregel om pseudonymisering eller annat likvärdigt skydd vid utlämnande till ett forskningsprojekt eller för utredning om oredlighet i forskning eller annan avvikelse från god forskningssed. Med begreppet pseudonymisering avses enligt artikel 4.5 i dataskyddsförordningen att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. Dessa kompletterande uppgifter ska, enligt nyss nämnd bestämmelse, förvaras separat och vara föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Vanligast förekommande är användandet av en s.k. kodnyckel, som innebär att direkta identifikatorer såsom personnummer eller namn ersätts av en annan beteckning, och där nyckeln används för att koppla beteckningen till den fysiska personens verkliga identitetsuppgifter. Det kan emellertid finnas andra alternativ, såsom randomisering eller generalisering, som innebär ett likvärdigt skydd. Andra stycket innebär ett undantag från huvudregeln, vilket medger utlämnande av direkt identifierbara personuppgifter, om det är nödvändigt för att uppfylla ändamålet med den forskning eller den utredning som uppgifterna ska lämnas ut till. För tolkning av vad som här avses med kravet på nödvändighet bör ledning sökas i dataskyddsförordningens skäl 39, där det anges att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Så kan exempelvis vara fallet om forskare i forskningsprojektet planerar att ta kontakt med forskningspersoner för att exempelvis tillfråga denne om medverkan i enkät eller dylikt. Det torde i allmänhet framgå av en vid etikprövning godkänd forskningsplan om detta avses ingå i projektet. Likaså kan framgå av ett villkor i ett beslut från Etikprövningsnämnden om en sådan del av ett forskningsprojekt inte godkänts eller att den begränsats på något sätt.

5 § Om personuppgifter som lämnats ut enligt 2 kap. 2 § första stycket 2 är pseudonymiserade eller skyddade på likvärdigt sätt, får kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnum-

305

Författningskommentar Ds

mer eller motsvarande identitetsbeteckning, lämnas ut till en annan myndighet, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till det forskningsprojekt som utlämnande har gjorts till .

Paragrafen reglerar möjligheten till s.k. sambearbetning, dvs. att direkt överföra uppgifter från en forskningsdatabas till ett myndighetsregister för att därigenom kunna lägga samman uppgifter från dessa olika uppgiftssamlingar för att nå ny kunskap. Bestämmelsen behandlas i avsnitt 5.13.2. Av bestämmelsen – som ingår i tillåtna utlämnandeändamål enligt 2 kap. 3 § – följer att det är tillåtet att kodnyckel eller liknande förteckning med kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, lämnas ut till en annan myndighet, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till samma forskningsprojekt som forskningsdatabasen har lämnat pseudonymiserade personuppgifter till. Den andra myndigheten kan ofta vara en statistikansvarig myndighet.

6 § En förteckning över kompletterande uppgifter som behövs för att identifiera en registrerad ska bevaras hos den personuppgiftsansvarige under så lång tid som den personuppgiftsansvarige anser nödvändigt.

I paragrafen stadgas en skyldighet för den personuppgiftsansvarige att bevara en förteckning över kompletterande uppgifter (kodnycklar eller liknande.) som behövs för att identifiera en registrerad. Bestämmelsen behandlas i avsnitt 5.13.3. Det handlar om bevarande för att i ett senare skede, exempelvis vid en förnyad begäran om utlämnande av uppgifter avseende samma registrerade som tidigare, kunna koppla redan utlämnade uppgifter till identifierbara personuppgifter som finns i forskningsdatabasen. Enligt bestämmelsen ska en sådan förteckning som bevaras hos den personuppgiftsansvarige under så länge som denne anser nödvändigt. Vid bedömningen av om ett bevarande är nödvändigt eller inte ska hänsyn tas dels till integritetsaspekter, dels till forskningsvärldens intressen av och önskemål om långsiktigt bevarande för att kunna genomföra longitudinella studier eller för att senare forsk-

306

Ds Författningskommentar

ningsprojekt ska kunna göra uppföljande studier av ett tidigare projekt. Det sistnämnda kräver en fungerande dialog mellan den personuppgiftsansvarige och de forskningshuvudmän som kan tänkas ha intresse av sådant långsiktigt bevarande. De skyddsåtgärder som finns – gällande bland annat sekretess, begränsad intern tillgång till uppgifter och förtydligad rätt till radering till säkerställandet av de registrerades rättigheter och friheter – medför att en lagringsskyldighet för vetenskapliga forskningsändamål är förenlig med dataskyddsförordningen.

Tystnadsplikt

7 § Den som arbetar eller har arbetat hos en forskningshuvudman får inte obehörigen röja vad denne har fått veta om enskilds personliga förhållanden genom personuppgifter som mottagits från en forskningsdatabas vid utlämnande enligt 2 § eller 2 kap. 2 § första stycket 2. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

Paragrafen reglerar tystnadsplikt för den som arbetar eller har arbetat hos en enskild forskningshuvudman som mottagit personuppgifter från en forskningsdatabas. Bestämmelsen behandlas i avsnitt 8.2. Enligt bestämmelsen får den som arbetar eller har arbetat hos en forskningshuvudman inte obehörigen röja vad denne fått veta om enskilds personliga förhållanden genom personuppgifter som mottagits från en forskningsdatabas vid utlämnande enligt 2 kap. 2 § första stycket 2 eller 3 kap. 2 §. Som obehörigt röjande kan inte anses att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning eller att uppgiften lämnas ut till den registrerade själv. Tystnadsplikten inskränker den grundlagsskyddade rätten att meddela och offentliggöra uppgifter, se 44 kap. 5 § offentlighets- och sekretesslagen (2009:400), förkortad OSL. Bestämmelsen gäller hos forskningshuvudmän som inte omfattas av bestämmelserna i offentlighets- och sekretesslagen. Det förtydligas därför att bestämmelserna i den lagen tillämpas i det allmännas verksamheten, vari i detta sammanhang inräknas de forskningshuvudmän som enligt 2 kap. 4 § OSL och bilagan till den lagen jämställs med en myndighet i sin forskningsverksamhet.

307

Författningskommentar Ds

Information om utlämnande till forskning

8 § Den registrerade har rätt att på begäran få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut .

Paragrafen reglerar den registrerades rätt att på begäran få information om till vilka forskningsprojekt uppgifter om denne har lämnats ut. Bestämmelsen behandlas i avsnitt 5.15. Bestämmelsen är en specificering av den registrerades rätt enligt artikel 15.1 c i dataskyddsförordningen, till information om de mottagare eller kategorier av mottagare till vilka personuppgifter har lämnats ut eller ska lämnas ut. I bestämmelsen förtydligas att rätten inte bara gäller vilka forskningshuvudmän som tagit emot uppgifter utan även till vilka forskningsprojekt utlämnande skett. Bestämmelsen korresponderar med 2 kap. 9 § p 8.

Direktåtkomst

9 § Personuppgifter får inte lämnas ut genom direktåtkomst annat än till den registrerade själv.

Bestämmelsen reglerar möjligheten till så kallad direktåtkomst. Den behandlas i avsnitt 5.14. Med begreppet direktåtkomst avses en speciell form av elektroniskt utlämnande av uppgifter till annan. Det åsyftar i regel att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, men utan att påverka innehållet i registret eller databasen. Av bestämmelsen följer ett förbud mot direktåtkomst med ett undantag. Den registrerade får medges direktåtkomst till personuppgifter rörande sig själv. Bestämmelsen innebär inte någon rätt för denne till direktåtkomst, utan endast en möjlighet för personuppgiftsansvariga att kunna ge det om lärosätet har de tekniska och organisatoriska möjligheterna därtill och anser det säkert och lämpligt.

308

Ds Författningskommentar

4 kap. Ytterligare föreskrifter

1 § Utöver vad som följer av bestämmelserna ovan kan regeringen med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsningar av vilka personuppgifter som får behandlas i en forskningsdatabas, 2. begränsningar i fråga om utlämnande från en forskningsdatabas, och 3. gallring av personuppgifter som inte längre behövs för att kunna lämnas ut enligt 2 kap. 2 § första stycket 2.

Bestämmelsen innehåller upplysningar om vilka föreskrifter, utöver de som redan behandlats ovan, regeringen, kan meddela i fråga om sådana forskningsdatabaser som förs enligt lagen. Det handlar om begräsningar i förhållande till de ramar som följer av lagens bestämmelser i vissa avseenden. Bestämmelsen behandlas i avsnitt 5.8.2, 5.17 och 5.18. I första punkten upplyses att regeringen med stöd av den s.k. restkompetensen enligt 8 kap. 7 § regeringsformen kan meddela föreskrifter om begränsningar av vilka personuppgifter som får behandlas i en forskningsdatabas. Det kan handla om att begränsa tillåtet innehåll i en forskningsdatabas enligt 2 kap. 9 §, exempelvis genom att för en viss forskningsdatabas inte tillåta kompletterande insamling från andra källor. Det kan också röra sig om att uppställa krav på pseudonymisering redan vid registrering i forskningsdatabasen. I andra punkten upplyses att regeringen kan föreskriva ytterligare begränsningar i fråga om utlämnande av personuppgifter från forskningsdatabasen, t.ex. genom att föreskriva att utlämnande bara får ske till forskningsprojekt som bedrivs hos vissa forskningshuvudmän eller att direkt identifierbara uppgifter inte får lämnas ut, se närmare i avsnitt 5.12.1. I tredje punkten upplyses att regeringen kan meddela föreskrifter om gallring av personuppgifter. Lagen innehåller ingen bestämmelse om gallring, vilket innebär att arkivlagstiftningens principer om bevarande är utgångspunkten för uppgifter i en forskningsdatabas. I fall där integritetsintresset väger tyngre än intresset av att uppgifterna bevaras kan emellertid regeringen meddela föreskrifter om gallring av vissa uppgifter.

309

Författningskommentar Ds

Övergångsbestämmelser

1. Denna lag träder i kraft den 1 januari 2024. 2. Genom lagen upphävs lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. 3. Bestämmelserna i 2 kap. 4 – 10 §§ gäller inte för sådana uppgifter som registrerats i en forskningsdatabas i tiden innan verksamheten med forskningsdatabasen omfattas av denna lags tillämpningsområde . Bestämmelsen i 2 kap. 7 § ska dock tillämpas i fråga om den som blir myndig först därefter.

Bestämmelsen behandlas i avsnitt 9.1. Genom införandet av lagen kan den tidsbegränsade LifeGenelagen upphävas. I avsnitt 6.2 har föreslagits att vissa av de bestämmelser som i dag finns i LifeGene-lagen i stället ska framgå i en till den föreslagna lagen anslutande förordning. Lagen är konstruerad så att både befintliga forskningsdatabaser, således inte bara LifeGene, och ännu icke existerande forskningsdatabaser ska kunna omfattas av lagens tillämpningsområde genom att regeringen i föreskrifter i förordning meddelar bestämmelser om det. För andra befintliga forskningsdatabaser än LifeGene gäller i dag att personuppgiftsbehandlingen i dessa regleras av de generella bestämmelserna i dataskyddsförordningen och dataskyddslagen. Vissa forskningsdatabaser, såsom Tvillingregistret, kan ha personuppgifter lagrade som en forskningsresurs sedan många år, långt före dataskyddsförordningens eller till och med personuppgiftslagens införande. Det är inte säkert att sådana befintliga forskningsdatabaser endast består av uppgifter som är tillåtna enligt 2 kap. 9 och 10 §§ eller att motsvarigheter till lagens krav på information och samtycke har tillämpats vid insamling och övrig behandling i forskningsdatabasen. Genom övergångsbestämmelsen i punkten 3 kommer emellertid lagens bestämmelser om samtycke och information samt tillåtet innehåll inte att gälla beträffande sådana äldre personuppgifter som behandlats redan före det att lagen görs tillämplig på forskningsdatabasen. Inte heller kommer sådana äldre uppgifter att omfattas av bestämmelsen om att den som registrerats som underårig som regel ska informeras personligen om personuppgiftsbehandlingen i forskningsdatabasen och ges tillfälle att motsätta sig den, såvida inte den registrerade fortfarande inte blivit myndig då lagen blir tillämplig. Det framgår av övergångsbestämmelsen att 2 kap. 7 § i just detta

310

Ds Författningskommentar

sistnämnda fall ändå ska vara tillämplig. Det innebär att en forskningsdatabas kan infogas i lagens tillämpningsområde utan att behöva rensa bort uppgifter eller informera (frånsett nyssnämnda undantag för underåriga) och på nytt inhämta samtycken i enlighet med vad som föreskrivs om detta i lagen om vissa forskningsdatabaser. Däremot kommer lagens bestämmelser i övrigt att gälla även för sådana äldre personuppgifter från och med den dag som en föreskrift i förordning anger att forskningsdatabasen får föras enligt lagen. Exempelvis gäller detta bestämmelserna om tillåtna ändamål, integritetsskydd inom verksamheten, den registrerades rätt att begära att uppgifter raderas och vilka utlämnanden som framgent får ske.

11.2 Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)

24 kap.

2 a § Sekretess gäller i verksamhet som avser förande av eller uttag ur en forskningsdatabas enligt lagen (2023:000) om vissa forskningsdatabaser för uppgift som avser enskilds personliga förhållanden och som kan hänföras till den enskilde. Sekretessen hindrar inte att uppgift lämnas ut i den utsträckning som framgår av den lag som avses i första stycket. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Bestämmelsen reglerar i dag sekretessen för uppgifter i verksamhet som avser förande av eller uttag ur register enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Bestämmelsen ändras så att den i stället reglerar sekretessen i verksamhet som avser förande av eller uttag ur en forskningsdatabas enligt den nya lagen om vissa forskningsdatabaser. Ändringen behandlas i avsnitt 8.1. Regleringen motsvarar i sak den tidigare lydelsen. Enligt första stycket gäller så kallad absolut sekretess för uppgift som avser enskilds personliga förhållanden och som kan hänföras till den enskilde i verksamhet som avser förande av eller uttag ur en

311

Författningskommentar Ds

forskningsdatabas enligt lagen om vissa forskningsdatabaser. Av 24 kap. 9 § första stycket framgår att sekretessen inskränker den grundlagsskyddade rätten att meddela och offentliggöra uppgifter. Trots sekretessen får enligt andra stycket uppgifter lämnas ut i den utsträckning som framgår av den ovan lagen om vissa forskningsdatabaser, se 2 kap. 2 § första stycket 2 och 3 kap. 2, 3 och 5 §§ i den lagen. Därutöver får uppgifter som inte är direkt hänförliga till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Det gäller alltså ett omvänt skaderekvisit med en presumtion för sekretess i fråga om sådana icke direkt hänförliga personuppgifter. För uppgifter som är direkt hänförliga till den enskilde, såsom exempelvis namn eller personnummer eller motsvarande identitetsbeteckning, gäller den absoluta sekretessen i första stycket. Sekretessen enligt bestämmelsen är undantagen från tillämpningsområdet för den s.k. generalklausulen i 10 kap. 27 § OSL, som anger att en sekretessbelagd uppgift får lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Sekretessen kan dock brytas i vissa andra fall som framgår i 10 kap. OSL, se exempelvis 10 kap. 23 §. I och med att sekretessen enligt första stycket är absolut kan utlämnande dock inte ske med förbehåll enligt 10 kap. 14 § OSL.

2 b § Får en myndighet en uppgift som är sekretessreglerad i 2 a § från den som bedriver verksamhet enligt lagen (2023:000) om vissa forskningsdatabaser , blir 2 a § tillämplig även hos den mottagande myndigheten.

Paragrafen innehåller en bestämmelse om överföring av sekretess. Bestämmelsen ändras med anledning av ändringen i 2 a § till att avse överföring av sekretess vid utlämnande av uppgifter från den som bedriver verksamhet enligt den nya lagen om vissa forskningsdatabaser till en myndighet. Ändringen behandlas i avsnitt 8.1. Bestämmelsen motsvarar i sak den tidigare lydelsen. Bestämmelsen innebär att om ett lärosäte, som bedriver verksamhet med en forskningsdatabas enligt den angivna lagen, lämnar ut uppgifter som är sekretessreglerade enligt 2 a § till en annan myndighet, blir sekretessbestämmelsen tillämplig också hos den mottagande myndigheten. Så kan exempelvis bli fallet om lärosätet lämnar

312

Ds Författningskommentar

ut kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, dvs. en kodnyckel eller liknande, till en annan myndighet enligt 3 kap. 5 § lagen om vissa forskningsdatabaser. Bestämmelsen om överföring av sekretess blir också tillämplig om uppgifter lämnas ut från forskningsdatabasen till forskningsprojekt som bedrivs inom en annan självständig verksamhetsgren inom lärosätet (se 8 kap. 2 §). Om uppgifter lämnas ut enligt 2 kap. 2 § första stycket 2 lagen om vissa forskningsdatabaser till ett forskningsprojekt som bedrivs vid en forskningshuvudman som tillämpar offentlighets- och sekretesslagen, kommer parallella bestämmelse om överföring av sekretessen enligt 24 kap. 2 a § att gälla, den nu kommenterade och den generella bestämmelsen om överföring av sekretess till forskningsverksamhet i 11 kap. 3 § OSL. Detta torde dock inte innebära något problem för mottagande forskningshuvudmän. Vidare kan hos forskningshuvudmannen gälla primär sekretess enligt 24 kap. 8 § jämförd med 7 § OSF. Vid konkurrens mellan den överförda sekretessen i 2 a § enligt överföringsbestämmelsen i 2 b § och en primär sekretessbestämmelse hos en mottagande myndighet tillämpas huvudregeln i 7 kap. 3 § OSL. Denna innebär att den sekretessbestämmelse enligt vilken en uppgift vid en sekretessprövning är sekretessbelagd har företräde framför en sekretessbestämmelse enligt vilken uppgiften ska lämnas ut.

8 § Sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Motsvarande sekretess gäller i annan jämförbar undersökning som utförs av Riksrevisionen, av riksdagsförvaltningen, av Statskontoret eller inom det statliga kommittéväsendet. Detsamma gäller annan jämförbar undersökning som utförs av någon annan myndighet i den utsträckning regeringen meddelar föreskrifter om det. Uppgift som behövs för forsknings- eller statistikändamål eller i en forskningsdatabas enligt lagen (2023:000) om vissa forskningsdatabaser och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detsamma gäller en uppgift som avser en avliden och som rör dödsorsak eller dödsdatum, om uppgiften be-

313

Författningskommentar Ds

hövs i ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen (2008:355). För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

Genom ett tillägg i paragrafens tredje stycke utvidgas tillämpningsområdet för undantagen från den absoluta så kallade statistiksekretessen. Ändringen behandlas i avsnitt 8.3. Enligt huvudregeln i bestämmelsens första och andra stycke gäller så kallad absolut sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde, liksom i de i andra stycket angivna undersökningarna. Det sistnämnda kan avse forskning vid lärosäten och andra myndigheter, se 7 § OSF. Första och andra styckena har inte ändrats. Tredje stycket innebär undantag från den absoluta sekretessen i första stycket. Enligt bestämmelserna i detta stycke får uppgift i vissa fall lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Det nya i bestämmelsen är undantaget för uppgift som behövs i en forskningsdatabas enligt lagen om vissa forskningsdatabaser. Undantaget innebär en prövning i två steg. Det handlar dels om forskningsdatabasens behov av uppgiften, dels om en skadeprövning enligt det föreskrivna omvända skaderekvisitet. Vid begäran från en forskningsdatabas om att utfå uppgifter ska det, enligt lagen om vissa forskningsdatabaser, vara fråga om en kompletterande insamling av uppgifter som de registrerade har samtyckt till på förhand eller informerats om och inte motsatt sig. Det är fråga om uppgifter som kompletterar redan behandlade uppgifter i forskningsdatabasen. Med att uppgiften behövs i en forskningsdatabas åsyftas att kompletteringen med de efterfrågade uppgifterna ökar eller upprätthåller kvaliteten eller det vetenskapliga värdet av forskningsdatabasen. Det ankommer på det personuppgiftsansvariga lärosätet att göra en sådan behovsprövning innan komplettering begärs. Den utlämnande myndigheten bör pröva att lärosätet har gjort en sådan behovsprövning. Den utlämnande myndigheten ska vidare pröva frågan om det står klart att uppgiften kan röjas utan att

314

Ds Författningskommentar

den enskilde eller någon närstående till denne lider skada eller men. Härvid ska beaktas att lagen om vissa forskningsdatabaser reglerar databaser som bygger på enskildas frivilliga samverkan och att det som huvudregel krävs samtycke för insamling av uppgifter från andra källor än den enskilde (se 2 kap. 4 § den lagen). När samtycke föreligger får den enskilde anses ha eftergett den sekretess som kan gälla för uppgifter från källor som samtycket omfattar, se 12 kap. 2 § OSL. I ett sådant fall behöver det inte göras någon prövning enligt 24 kap. 8 § tredje OSL före utlämnandet. En begäran om kompletterande insamling från andra källor än de som kunnat defineras i samband med att samtycke till behandling i forskningsdatabasen inhämtats får enligt 2 kap. 6 § lagen om vissa forskningsdatabaser bara göras utan samtycke om den registrerade har informerats om insamlingen och inte uttryckligen motsatt sig den (opt ut). Med tanke på att den sekretess som gäller i verksamhet med en forskningsdatabas enligt lagen om vissa forskningsdatabsser i princip motsvarar statistiksekretessen och till den möjlighet till insyn i och kontroll över personuppgiftsbehandlingen som den registrerade har enligt lagen om vissa forskningsdatabaser bör, i de fall den enskilde inte har motsatt sig den kompletterande insamlingen till forskningsdatabasen, en skadeprövning enligt det omvända skaderekvisitet normalt leda till bedömningen att det står klart att uppgifterna kan lämnas ut till forskningsdatabasen utan att den enskilde eller någon närstående till denne lider skada eller men.

44 kap.

5 § Rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter inskränks av den tystnadsplikt som följer 1. av beslut som har meddelats med stöd av 7 § lagen (1999:988) om förhör m.m. hos kommissionen för granskning av de svenska säkerhetstjänsternas författningsskyddande verksamhet, 2. av 7 kap. 1 § 1 lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap, 3. av 4 kap. 16 § försäkringsrörelselagen (2010:2043), 4. av 5 kap. 15 § lagen (1998:293) om utländska försäkringsgivares och tjänstepensionsinstituts verksamhet i Sverige , 5. av 32 § lagen (2020:62) om hemlig dataavläsning, 6. av 11 a § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen,

315

Författningskommentar Ds

7. av 4 kap. 23 a § tullagen (2016:253), och 8. av 3 kap. 7 § lagen (2023:000) om vissa forskningsdatabaser.

Paragrafen reglerar i vilka fall tystnadsplikt i vissa författningar inskränker den grundlagsskyddade rätten att meddela och offentliggöra uppgifter. Punkten 8 är ny och behandlas i avsnitt 8.2. I 3 kap. 7 § lagen om vissa forskningsdatabaser föreskrivs en tystnadsplikt för den som i arbetet hos en forskningshuvudman fått del av uppgifter som mottagits från en forskningsdatabas genom utlämnande enligt 2 kap. 2 § första stycket 2 eller 3 kap. 2 § i den lagen. Av hänvisningen i 44 kap. 2 § punkten 8 framgår att den tystnadsplikten är en sådan tystnadsplikt som inskränker rätten att meddela och offentliggöra uppgifter.

316

Förkortningar och kortformer

Dataskyddsförordningen Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG Dataskyddslagen Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Etikprövningslagen Lagen (2003:460) om etikprövning av forskning som avser människor LifeGene-lagen Lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa OSF Offentlighets- och sekretessförordningen (2009:641) OSL Offentlighets- och sekretesslagen (2009:400) Prop. Regeringens proposition RF Regeringsformen SFS Svensk författningssamling SOU Statens offentliga utredningar TF Tryckfrihetsförordningen YGL Yttrandefrihetsgrundlagen

317