SOU 2014:45

Unik kunskap genom registerforskning

Till statsrådet och chefen för Utbildningsdepartementet

Regeringen beslutade den 17 januari 2013 att tillkalla en särskild utredare med uppdrag att utreda förutsättningarna för registerbaserad forskning. Utredaren fick i uppdrag att lämna författningsförslag och andra förslag i syfte att registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet och att sambearbetning av registeruppgifter för forskningsändamål ska underlättas. Utredaren fick vidare i uppdrag att lämna författningsförslag och andra förslag i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. I uppdraget ingick också att undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning (Dir 2013:08).

Som särskild utredare anställdes förra statsrådet Bengt Westerberg från och med den 17 januari 2013. Som experter förordnades från och med den 22 januari 2013 professorn Björn Halleröd, professorn Mats G Hansson, tillsynschefen Erik Janzon, professorn Cecilia Magnusson-Sjöberg, chefsjuristen Eva Nilsson, professorn Peter Nilsson, rättschefen Karin Nylén, avdelningschefen Petra Otterblad-Olausson och docenten Magnus Stenbeck. Som sakkunniga förordnades den 5 mars 2013 kanslirådet Elin Feldt, departementssekreteraren Ann-Sofie Hollsten-Yamamoto och departementssekreteraren Maria Wästfelt. Från och med den 11 juni 2013 förordnades även kanslirådet Per Eriksson som sakkunnig. Erik Janzon ersattes den 3 september 2013 av juristen Victoria Söderqvist. Elin Feldt ersattes den 1 mars 2014 av departementsrådet Petter Odmark, som förordnades som expert.

Som sekreterare i utredningen anställdes från och med den 18 februari 2013 hovrättsassessorn Magdalena Petersson. Professorn Robert Erikson anställdes för ett särskilt uppdrag från och med den 1 augusti 2013 till och med den 30 november 2013.

Utredningen har antagit namnet Registerforskningsutredningen. Utredningen överlämnar härmed betänkandet Unik kunskap

genom registerforskning (SOU 2014:45). Utredningens uppdrag är

därmed slutfört.

Stockholm i juni 2014

Bengt Westerberg

/ Magdalena Petersson

Sammanfattning

I 2012 års forskningsproposition (prop. 2012/12:30) konstaterade regeringen att de svenska registren i många avseenden är unika. Att kombinera uppgifter från dem ger stora möjligheter för forskningen. Det finns ett antal viktiga frågeställningar som kan besvaras med hjälp av olika register och datamaterial.

Mot den bakgrunden har regeringen uppdragit åt Vetenskapsrådet att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål.

Uttalanden i propositionen är också bakgrunden till denna utredning. I utredningsdirektiven framhålls att det kan finnas rättsliga hinder för registerbaserad forskning. Mitt uppdrag har varit att analysera dessa och att lämna författningsförslag och andra förslag i syfte att

  • registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet,
  • sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och
  • göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

På den sistnämnda punkten specificeras uppdraget ytterligare i direktiven. Det talas där om ett behov av att kunna skapa ”nya databasinfrastrukturer för bestämda, men relativt allmänt hållna, forskningsändamål”. Jag ska föreslå hur sådana infrastrukturer ska kunna byggas, som kan användas av forskare i olika forskningsprojekt och

som kan uppdateras och tillföras nya uppgifter vid till exempel longitudinella studier.

Jag har även haft till uppgift att undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning.

Till min hjälp i utredningsarbetet har jag haft en sekreterare, Magdalena Petersson, som är hovrättsassessor, samt en grupp av experter och sakkunniga med företrädare för departement, myndigheter och forskarsamhället. Jag har under arbetets gång haft ett stort antal kontakter med forskare med omfattande erfarenheter av registerbaserad forskning och med flertalet berörda myndigheter.

Vad menas med register?

Med register avses i detta sammanhang i första hand strukturerade samlingar av personuppgifter som har upprättats inom myndigheter för primärt andra ändamål än forskning. Som exempel kan nämnas register hos statliga myndigheter som har tillkommit för administrativa eller statistiska ändamål och register hos regioner och landsting som har skapats för utvärdering och kvalitetssäkring av hälso- och sjukvården. Även biobanker, som är samlingar av biologiska prover från individer tagna huvudsakligen i samband med vård och behandling, är i sammanhanget av stort intresse.

Med register avses i utredningsdirektiven dock även vissa uppgiftssamlingar som primärt är skapade för forskningsändamål. Uppgifterna i dessa kan hämtas direkt från individer eller från de nämnda registren. Oftast skapas sådana forskningsregister för ett specifikt forskningsprojekt, men det förekommer också att register byggs för att kunna ge underlag för flera framtida, från början inte definierade, forskningsprojekt. I den här utredningen kallar jag sådana forskningsregister för forskningsdatabaser. De utgör en sådan infrastruktur som omnämns i utredningsdirektiven.

Varför är registeruppgifter bra för forskning?

Det är i många sammanhang en stor fördel för forskningen att få tillgång till omfattande datamaterial. Myndighetsregister som i regel innehåller uppgifter om alla invånare i landet, eller i vart fall alla som är i något avseende berörda, är ovärderliga när man önskar be-

skriva tillståndet i befolkningen. Genom att alla finns med kan även minoriteter och ovanliga företeelser fångas in. Ett exempel på det sistnämnda kan vara ovanliga sjukdomar.

Alternativet till att använda uppgifter från register är i regel att samla in uppgifter direkt från ett urval av individer. Sådana urvalsundersökningar är ibland nödvändiga eftersom alla uppgifter som forskarna är intresserade av inte finns i register. Men urvalsundersökningar kan innebära vissa problem. Ofta är de forskningspersoner som väljs ut inte särskilt representativa. Även när urvalen är representativa måste de om inte annat av ekonomiska skäl ofta begränsas och man måste dessutom alltid räkna med ett bortfall, det vill säga att några av dem som tillfrågas av olika skäl inte vill medverka. Både representativiteten, urvalets storlek och bortfallet ökar osäkerheten i forskningsresultaten. Det finns flera exempel på att slutsatser som har dragits på grundval av mindre urvalsstudier har visat sig felaktiga när de testats på hela den berörda populationen.

Även i andra sammanhang än när det gäller att studera ovanliga företeelser är forskare beroende av omfattande datamaterial. När de vill studera hur en viss åtgärd påverkar olika individer kan en urvalsstudie vara tillräcklig, men om de vill finna olika orsaker till ett komplext samhällsfenomen krävs ett mer omfattande datamaterial. Vid longitudinella studier, då man följer individer eller studerar en och samma företeelse över tid, är register en särskild tillgång. Om individerna gång på gång ska kontaktas finns en stor risk att urvalet krymper ganska snabbt, till exempel därför att de tröttnar på att delta.

Ofta är det en fördel att kunna kombinera uppgifter som forskarna själva har samlat in vid urvalsstudier med uppgifter från register. Om vissa uppgifter kan hämtas ur register kan antalet frågor som forskaren behöver ställa till sina intervjupersoner begränsas. För att få fram historiska uppgifter om en individ som ingår i ett urval kan register ofta innehålla mer pålitlig information än den individen kan ge ur minnet. För att följa upp hur det går för individer som deltagit i en urvalsstudie kan registeruppgifter användas för att slippa besvära individerna med upprepade frågor. Uppgifter om alla de olika individer som finns med i olika urvalsundersökningar kan bara återfinnas i heltäckande register.

Uppgifter om individer, också känsliga uppgifter, är ofta nödvändiga för forskningen. Det gäller inte minst inom medicinsk forskning där syftet är att förstå sjukdomars uppkomst och utveckling och att finna botemedel. Samtidigt innebär all behandling av person-

uppgifter vissa risker för individers personliga integritet. Den största risken är att någon blir utsatt för andra missaktning om hans eller hennes personliga förhållanden blir kända. Det är bakgrunden till att det finns en omfattande lagstiftning som syftar till att skydda individers personliga integritet och att hantera den avvägning mellan olika intressen som kan behöva göras.

Rättsliga förutsättningar för registerbaserad forskning

Flera internationella organisationer, Förenta nationerna (FN), Europarådet, Organisationen för ekonomiskt samarbete och utveckling (OECD) och Europeiska Unionen (EU), har utarbetat riktlinjer för hur personuppgifter får hanteras. Av särskild betydelse för svensk del är Europakonventionen om mänskliga rättigheter, som sedan 1995 är inkorporerad i svensk lag, och EU:s dataskyddsdirektiv, som i Sverige har implementerats genom personuppgiftslagen (PUL). Inom EU pågår för närvarande en diskussion om en ny dataskyddsförordning, som, om den beslutas, blir direkt tillämplig i alla medlemsländer och således för svensk del ersätter PUL. Det är oklart när ett sådant beslut kan komma att fattas och denna utredning utgår därför från gällande rätt.

I regeringsformen (RF) anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen får begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle.

PUL reglerar behandlingen av personuppgifter. Sådana får bara samlas in bara om det är lagligt och bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. För myndigheterna finns oftast det lagliga stödet för personuppgiftsbehandlingen i särskilda registerförfattningar, som bland annat anger ändamålet och vilka uppgifter som får behandlas. Behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska enligt PUL inte anses vara oförenligt med de ändamål för vilka uppgifterna samlades in. Det sistnämnda innebär att det är möjligt att i till exempel forskning sekundäranvända uppgifter som har samlats in för andra ändamål.

För att få behandla uppgifterna krävs antingen att de berörda individerna har samtyckt till behandlingen eller att den är nödvändig för att till exempel en arbetsuppgift av allmänt intresse ska kunna utföras. Forskning kan vara ett exempel på en sådan arbetsuppgift.

Vissa personuppgifter klassificeras i PUL som känsliga, och är förbjudna att behandla. Det gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa och sexualliv. Sådana uppgifter, liksom uppgifter som rör lagöverträdelser av vissa slag och biologiska prover, kan emellertid efter etikgodkännande behandlas i forskning. Etikgodkännande ges enligt lagen om etikprövning av forskning som avser människor (etikprövningslagen) av en etikprövningsnämnd, med av regeringen utsedda representanter för forskning och allmänhet. Etikprövningsnämnden ska också bedöma om samtycke ska inhämtas eller om uppgifterna kan behandlas utan samtycke. När det är fråga om omfattande uttag från myndighetsregister är praxis att inte kräva samtycke eftersom det skulle förutsätta en oproportionerlig resursinsats.

Myndigheters insamling och övriga behandling av personuppgifter motiveras ofta med att de behöver uppgifterna för att kunna fullgöra sina administrativa uppgifter. Det kan handla om att hålla reda på landets invånare, att upprätta vallängder inför allmänna val, att bedöma hur mycket skatt medborgarna ska betala och vilka bidrag de har rätt till, och så vidare. I många fall används uppgifterna för beslut som avser enskilda personer. I de fall myndigheterna har fått i uppdrag att behandla personuppgifter har fördelen med denna behandling bedömts överväga riskerna för den personliga integriteten.

Ett annat syfte med myndigheters behandling av personuppgifter är att upprätta statistik eller att utvärdera och kvalitetssäkra verksamheter. Statistikproduktion baseras ofta på uppgifter ur administrativa register, men i vissa fall samlas uppgifter in särskilt för statistiska ändamål.

Allmänna handlingar hos svenska myndigheter är i princip offentliga, men allmänhetens rätt att ta del av sådana handlingar kan begränsas om det är påkallat av hänsyn till exempelvis den enskildas personliga och ekonomiska förhållanden. I sådana fall råder ofta varierande grad av sekretess. Den starkaste sekretessen gäller för uppgifter som har samlats in för statistiska ändamål. Då är sekretessen absolut, vilket innebär att uppgifterna i princip inte lämnas ut.

Det finns emellertid även för dessa uppgifter vissa sekretessbrytande regler. Uppgifterna kan till exempel lämnas ut för forskningsändamål om det kan ske utan risk för skada eller men för den som uppgifterna avser eller dennas anhöriga. Om sekretessbelagda uppgifter lämnas ut till en annan myndighet, till exempel ett universitet eller en högskola, för forskningsändamål följer sekretessen automatiskt med. Om utlämnande sker till annan sker det i regel med särskilda förbehåll som syftar till att ge motsvarande skydd.

Det är den registerhållande myndigheten som har att pröva om personuppgifter kan lämnas ut. Vid utlämnande till forskning är det vanliga att uppgifterna lämnas ut i anonymiserad form. Det innebär att forskare inte vet vilka individer uppgifterna avser. Anonymiserade uppgifter kan vara kodade eller avidentifierade. Att uppgifterna är kodade innebär att forskaren får ut uppgifter med en icke identitetsbärande beteckning, till exempel ett löpnummer, medan myndigheten behåller en kodnyckel som kopplar löpnummer till personnummer och som gör det möjligt att senare komplettera uppgifterna. Att en sådan möjlighet finns är viktigt vid till exempel longitudinella studier. När uppgifterna är avidentifierade finns inte denna möjlighet.

Även om uppgifterna är anonymiserade kan det finnas en risk för så kallad bakvägsidentifiering, det vill säga att man genom att sammanställa en rad uppgifter om en individ kan identifiera denna. Det är förbjudet och har så vitt känt aldrig förekommit inom forskningen, men det är likväl en potentiell risk som rent av kan öka med utvecklingen av datatekniken. Därför är det viktigt att det finns ett tydligt regelverk och säkerhetsmässiga arrangemang kring personuppgifterna även i forskningsmiljöer.

I vissa fall, särskilt i medicinsk forskning, förekommer att identifierbara uppgifter lämnas ut. Syftet är ofta att forskare ska kunna kontakta individerna i fråga eller att de ska kunna kontrollera registeruppgifter med uppgifter från patientjournaler.

Integritet och registerbaserad forskning

Ansvaret för den personuppgiftsbehandling som sker inom forskningen åvilar forskningshuvudmännen, det vill säga i regel universitet och högskolor. Ansvaret är ytterst styrelsernas. Det har inte förekommit att uppgifter läckt ut från forskningsmiljöer. De regler för sekretess och säkerhetsmässig hantering som gäller är en viktig

förklaring till det. Men universitet och högskolor liksom forskare har också andra starka incitament att se till att reglerna följs, nämligen för att de ska kunna få del av uppgifter och bedriva forskning. Till det kommer att forskare inte i första hand är intresserade av individer utan av mönster i populationer.

Gällande regel i regeringsformen om den enskildes skydd gentemot det allmänna mot betydande intrång i den personliga integriteten om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden tillkom år 2011. Frågan har väckts om sekundäranvändning av personuppgifter i myndighetsregister som sker utan samtycke skulle kunna stå i strid med denna grundlagsbestämmelse. Effekten av insamlingen av uppgifter för forskning skulle, oavsett avsikten, kunna anses vara åtminstone kartläggning av enskildas personliga förhållanden.

Regeringen har i propositionen om grundlagsändringen konstaterat att man vid bedömningen av vad som är betydande intrång måste se till bland annat ändamålet med behandlingen av uppgifter. Syftet med forskning är inte att kartlägga enskilda individer utan att finna mönster i en population. Behandlingen av uppgifterna ur myndighetsregister har sin rättsliga grund i de särskilda registerförfattningar som finns för myndighetsregistren och i PUL:s bestämmelse att behandling för vetenskapliga ändamål inte är oförenligt med de ursprungliga ändamålen för behandlingen av uppgifterna.

Lagstiftarens avsikt torde inte ha varit att förhindra en sådan behandling av personuppgifter i forskningen. Regeringen har också i propositionen om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) konstaterat att den så kallade IFAU-databasen inte står i strid med grundlagen. Däremot har regeringen bedömt att det med hänsyn till att det i detta fall handlar om många uppgifter som bevaras under lång tid är rimligt att det finns ett lagstöd för databasen.

Min slutsats är att registerbaserad forskning, forskningsregister och forskningsdatabaser inte innebär betydande intrång i enskildas personliga integritet, men att det är angeläget att det finns ett tydligt lagligt stöd för denna verksamhet.

Enligt proportionalitetsprincipen ska staten inte införa restriktioner eller skyldigheter utöver vad som är nödvändigt för att uppnå målet med en åtgärd. Målet med registerbaserad forskning är att vinna kunskap om hur samhället fungerar och den åtgärd som prövas i sammanhanget alltså användningen av bland annat registeruppgifter som har samlats in för andra ändamål.

Att kunna använda registeruppgifter i forskningen har stora fördelar. Det finns kunskaper som kan uppnås genom sådan forskning, som är svårt att uppnå med andra metoder. Risken för läckor och åtföljande men för uppgiftslämnarna är liten. Det gäller särskilt när uppgifter lämnas ut i anonymiserad form, men även annars. När fördelarna vägs mot riskerna framstår registerbaserad forskning en i hög grad proportionell åtgärd.

Erfarenheter från de nordiska länderna

Förutsättningarna för registerbaserad forskning är mycket likartade i de övriga nordiska länderna. Även de har att utgå från gällande internationella regelverk. Deras motsvarigheter till svenska PUL är, liksom PUL, baserade på EU:s dataskyddsdirektiv och därmed mycket likartade. I vissa avseenden har de valt andra lösningar än Sverige för att underlätta registerbaserad forskning. Som exempel kan nämnas att man i Danmark har skapat ett väl utvecklat system för fjärråtkomst av hälsodata och att man i Norge en fristående organisation för deponering och arkivering av forskarmaterial. Sådana exempel kan tjäna som inspirationskällor när systemen ska utvecklas i Sverige.

Bakgrund, nuläge och utmaningar

Det finns fyra viktiga datakällor för registerbaserad forskning: myndighetsregister, hälso- och sjukvårdens kvalitetsregister, biobanker och forskningsregister av olika slag.

Myndighetsregistren är skapade för primärt andra ändamål än forskning. Kvalitet och dokumentation kan inte alltid möta forskningens behov. Ofta krävs bearbetning av data innan de kan användas i forskningen. Här finns en potential för utveckling.

Kvalitetsregistren inom hälso- och sjukvården är uppbyggda utifrån interventioner, sjukdomsepisoder eller kroniska sjukdomar. De är av varierande kvalitet, men en stor satsning sker nu från regeringens och huvudmännens sida att öka kvalitet och tillgänglighet. För närvarande finns ett 80-tal certifierade kvalitetsregister, vilket innebär att de lever upp till vissa kvalitetskrav. Nuvarande utvecklingsprogram avser perioden 2013–16. När det löper ut får bedömas hur man ska gå vidare.

Biobanker innehåller biologiska prover. Det finns cirka 600 biobanker i Sverige varav hälften hos hälso- och sjukvårdshuvudmännen och ett 50-tal på universitet med medicinsk forskning. En utmaning är att öka spårbarheten av biobanksprover för att de ska bli mer tillgängliga för forskning.

Forskningsregister finns av många olika slag. Flertalet har tillkommit för konkreta forskningsprojekt. Svensk Nationell Datatjänst (SND) är en nationell resurs för samordning av existerande och nya forskningsregister inom samhällsvetenskap, humaniora och medicin. SND är för närvarande ett samarbetsprojekt mellan Vetenskapsrådet och Göteborgs universitet. Ett syfte är att data som har samlats in för viss forskning ska göras tillgängliga och kunna återanvändas i nya forskningsprojekt. Datainspektionen har emellertid beslutat att SND inte har rätt att bevara register med personuppgifter, varmed avses uppgifter som på något sätt kan identifieras (till exempel där en kodnyckel finns bevarad). Det innebär en allvarlig begränsning av SND:s verksamhet.

Vid användning i forskning av känsliga personuppgifter eller biologiska prover krävs etiktillstånd. När uppgifterna ska tillhandahållas i anonymiserad form bedömer etikprövningsnämnderna riskerna som små och tillstånd beviljas rutinmässigt. Denna bedömning står väl i överensstämmelse med den som har gjorts i vissa mål och ärenden som har behandlats i domstol eller av regeringen. I Danmark och Finland har man valt att vid utlämnande av sådana data arbeta med generella etiktillstånd för vissa auktoriserade organisationer. I Sverige borde det vara möjligt att pröva en förenklad process. Många av de berörda uppfattar också att de blanketter som forskarna har att fylla i vid etikansökan är mer detaljerade än nödvändigt. Det kan finnas skäl se över dessa blanketter, till exempel inom ramen för det av Vetenskapsrådet nyligen tillsatta registerdatarådet.

Inom Statistiska centralbyrån (SCB) har under de senaste tio åren ett system för fjärråtkomst av uppgifter utvecklats. Det kallas MONA, Micro On-line Access. Det används för att tillgängliggöra data inte bara från SCB utan från flertalet statistikansvariga statliga myndigheter. Systemet innebär att forskaren från en terminal i sin arbetsmiljö kopplar upp sig mot MONA och kan bearbeta data utan att de lämnar SCB. Bearbetade data, i form av till exempel tabeller, kan senare skickas till forskaren med e-post. En utvärdering av MONA-systemet har nyligen initierats av Vetenskapsrådet. Något motsvarande system för hälsodata från Socialstyrelsen finns ännu

inte, men möjligheten att skapa ett sådant kommer att prövas inom ramen för utvärderingen av MONA.

Det synes inte finnas några rättsliga hinder för att tillhandahålla uppgifter för forskning. De problem som kan finnas ligger snarare på det administrativa planet. För SCB, och även andra myndigheter, är inte forskning en prioriterad uppgift. Statistikutredningen föreslog i december 2012 att det i SCB:s instruktion skulle skrivas in att det ska vara en prioriterad uppgift att bistå forskningen med data. Finansdepartementet har meddelat att man har för avsikt att föreslå en sådan ändring, men något beslut har ännu inte fattats. Det är angeläget att det sker snarast. Det kan också finnas skäl att göra motsvarande justering i instruktioner till andra myndigheter.

Inom Socialstyrelsen har en registerserviceenhet numera skapats. För närvarande pågår inom SCB en intern utredning som syftar till något liknande. Det är angeläget att det även inom SCB skapas en central forskningsserviceenhet.

Mycket av dagens forskning sker i internationellt samarbete. Utlämnande av data över nationsgränser är en utmaning. Det är dock komplicerade frågor som inte kunnat analyseras inom ramen för denna utredning. Diskussioner mellan de statistiska centralbyråerna i Norden har dock nyligen initierats av Nordiska Rådet och dess forskningsråd, Nordforsk, och pågår för närvarande.

Sambearbetning av data från olika register är ofta nödvändigt inom forskning. Sambearbetningen synes, även när flera myndigheter är inblandade, fungera relativt väl. Den rättsliga grunden för att lämna känsliga personuppgifter mellan statistikansvariga myndigheter för att möjliggöra sambearbetning för forskningshuvudmans räkning har i något fall ifrågasatts. Det har vidare ifrågasatts om det finns stöd i sekretesslagstiftningen för statistikansvariga myndigheterna att skicka sekretessbelagda uppgifter till en annan myndighet i syfte att möjliggöra sambearbetning av uppgifter för en tredje myndighets räkning. Min bedömning är dock att detta förfarande har stöd i nuvarande lagstiftning.

Sambearbetning skulle kunna underlättas genom utveckling av ett så kallat federerat system. Det innebär att uppgifter hämtas från olika datakällor till en federationsserver (trusted location), en institution som alla dataägare litar på och vilken de kan ge tillgång till uppgifter utan oro för spridning. Forskaren arbetar mot en sådan federationsserver på samma sätt som mot dagens MONA. Till denna federationsserver hämtas uppgifter på elektronisk väg direkt från källorna utan att någon överföring av uppgifter mellan myndig-

heterna sker. Regeringen har i forskningspropositionen uttryckt sig positivt om en sådan lösning och uttalat att den ska utredas i särskild ordning. Något sådant initiativ har emellertid inte tagits. En federerad lösning kräver en omfattande teknisk utveckling. Om en sådan ska komma till stånd krävs sannolikt ett initiativ från regeringen, eventuellt i samarbete med Umeå universitet som nyligen har inlett ett utvecklingsarbete inom området.

SND är en viktig infrastruktur för svensk forskning. Det är angeläget att SND blir en permanent verksamhet och att den får rimliga förutsättningar att sköta sina uppgifter. I dag deponerar forskare kopior på sina data hos SND. Det skulle vara en fördel om SND kunde bli en arkivmyndighet där originaldata kunde deponeras. Som arkivmyndighet skulle SND också bli personuppgiftsansvarig för de uppgifter som finns där, vilket innebär att Datainspektionens invändningar mot rådande ordning skulle kunna hanteras. I Norge och Danmark har man organiserat motsvarande verksamhet på ett annat sätt: i Norge i en självständig organisation under Utdannings- og Forskningsdepartementet och i Danmark som en del hos Statens Arkiver. Den norska lösningen förefaller vara den mest attraktiva för verksamhetens självständighet och utveckling. Regeringen bör tillsätta en utredning för att utarbeta en långsiktig lösning för SND.

Bedömningar och förslag

Etikprövningen

För att förenkla handläggningen av ärenden där syftet är att i forskningen endast använda anonymiserade uppgifter från myndighetsregister föreslås att nämnderna ska kunna delegera sådana ärenden till ordföranden.

Det föreslås vidare att forskare ska få rätt att få ett yttrande från etikprövningsnämnden över forskningsprojekt som inte faller under etikprövningslagen. Det finns i dag en möjlighet att begära ett sådant yttrande, men nämnden avgör själv om den vill avge ett yttrande eller inte.

Det föreslås också att utlämnande från forskningsdatabaser alltid ska kräva etiktillstånd, oavsett om det handlar om känsliga personuppgifter eller inte.

Kodnyckelförfarande

När uppgifter lämnas ut i anonymiserad form kan utlämnande myndighet bevara en kodnyckel som gör det möjligt att senare komplettera uppgifterna. Denna möjlighet har tillkommit främst för att möjliggöra longitudinella studier, där samma individer eller företeelser följs under lång tid, och liknande studier.

Vid longitudinella studier kommer utlämnande myndighet och forskarna överens om hur länge kodnyckeln ska bevaras. Normalt bevaras den i tre år med möjlighet till förlängning. Utlämnande myndighet kan dock vara obenägen att behålla kodnyckeln om den upplever att forskningsfrågorna förändras.

Även i andra forskningsprojekt kan en kodnyckel upprättas och bevaras, men normalt under betydligt kortare tid, vanligen tre månader. Syftet är kunna komplettera utlämnande uppgifter om något har blivit fel eller om forskaren har missat något i sin ansökan.

Det finns flera skäl för att regelmässigt bevara kodnycklar under längre tid. Att koppla bevarandet till att det är samma forskningsfrågor som ställs synes inte vara rimligt. Det är naturligt att forskningsfrågorna i en longitudinell studie successivt modifieras. Forskare kan under ett pågående projekt finna att data skulle behöva kompletteras även om detta inte förutsågs när uppgifterna begärdes ut. I all forskning är det dessutom angeläget att ge möjligheter till replikation eller till förnyad analys av samma uppgifter eller efter viss komplettering.

Det föreslås mot denna bakgrund att kodnycklar ska bevaras hos den utlämnande myndigheten under tjugo år från dagen för utlämnande av uppgifterna och med möjlighet till förlängning därefter.

En ny sekretessbestämmelse

För att upprätthålla allmänhetens förtroende för forskningen är det viktigt att regelverket tillgodoser den enskilda individens integritetsskydd. Det finns i dag flera olika bestämmelser som innebär sekretess för personuppgifter som behandlas i forskningen. Regelverket är emellertid inte lätt att överblicka, vilket kan skapa oklarhet.

I offentlighets- och sekretesslagen finns en särskild bestämmelse avseende statistiksekretess. Uppgifter som samlas in för statistiska ändamål skyddas av absolut sekretess. De skäl som i förarbetena till lagstiftningen åberopats för statistiksekretessen är tre. Offentlighets-

intresset för sådana uppgifter anses väga lätt. En sammanställning av i och för sig harmlösa uppgifter kan ibland vara integritetskänslig. Och uppgiftslämnaren ska känna sig säker på hans eller hennes uppgifter inte kommer ut. Dessa skäl talar också för ett motsvarande sekretesskydd för uppgifter som samlas in för forskning.

Mot den bakgrunden föreslås en motsvarande forskningssekretess. Det innebär att personuppgifter som samlas in för forskning alltid är skyddade av absolut sekretess. Liksom när det gäller uppgifter som samlats in för statistiska ändamål ska för dessa uppgifter insamlade för forskningsändamål finnas en sekretessbrytande bestämmelse som innebär att de, om vissa villkor är uppfyllda, kan användas för annan forskning.

Med sekretessen följer också tystnadsplikt för dem har att hantera uppgifterna.

Det är angeläget inte bara att personuppgifter skyddas av sekretess utan också att de behandlas enligt gällande regler och i tekniskt säkra system. På alla stora universitet och på flertalet högskolor finns så kallade personuppgiftsombud, som har till uppgift att se till att den personuppgiftsansvarige, det vill säga universitetet eller högskolan, följer gällande regler. I många fall synes personuppgiftsombuden inte ha de resurser och den ställning som krävs för att på ett tillfredsställande sätt fullgöra uppgiften. Det är universitetens och högskolornas styrelser som har det yttersta ansvaret för att verksamheten fungerar tillfredsställande. Regeringen föreslås i regleringsbrev till statliga universitet och högskolor uppmana dessa att lägga större vikt vid skydd och säkerhet vid behandlingen av personuppgifter, bland annat genom att stärka personuppgiftsombudets ställning och att begära återrapportering om hur skyddet hanteras.

Forskningsdatabaser

I utredningsdirektiven framhålls svårigheterna att inom ramen för gällande rätt skapa forskningsdatabaser för bestämda men relativt allmänt hållna forskningsändamål. Datainspektionen har ställt sig tveksam till forskningsdatabaser med allmänt hållna ändamål. Den har också ifrågasatt lagligheten i det samtycke som enskilda ger när de lämnar uppgifter till sådana databaser. Etikprövningslagen medger bara att etikgodkännande ges till konkreta forskningsprojekt. Utlämnande myndigheter ser sig förhindrade att lämna ut uppgifter till databaser där de konkreta forskningsfrågorna är okända. Det

saknas alltså i dag rättsliga förutsättningar för sådana forskningsdatabaser.

Regering och riksdag har i några fall stiftat särskilda lagar för att möjliggöra forskningsdatabaser. Ett exempel är den lag som reglerar den så kallade IFAU-databasen och en annan den lag som reglerar vissa register för forskning om vad arv och miljö betyder för människors hälsa (”LifeGene-lagen”). Inom SCB finns också ett par sådana databaser som delvis används för forskning.

Enligt en inventering som gjorts på uppdrag av Vetenskapsrådet finns ytterligare ett femtiotal forskningsdatabaser i Sverige. De kan till exempel ha tillkommit långt tillbaka i tiden innan nuvarande regelverk fanns på plats, ha byggts upp kring ett konkret forskningsprojekt eller godkänts genom en generös tolkning av etikprövningslagen.

Det föreslås att det införs en särskild lag om forskningsdatabaser. Tanken är att i den ska anges vissa generella regler för forskningsdatabaser, men att varje databas ska kompletteras med en regeringsförordning som reglerar vad som närmare ska gälla, till exempel ändamål och innehåll. Forskningsdatabasernas ändamål är att skapa underlag för forskning och att lämna ut uppgifter till forskningsprojekt. För utlämnande ska alltid krävas etikgodkännande.

Med forskningsdatabas avses en infrastruktur som ska kunna användas av flera olika forskare, från olika universitet och högskolor och inom olika discipliner, i framtida forskningsprojekt. Vilka projekten är vet man inte när databasen skapas.

Forskningsdatabaser ska kunna skapas vid statliga universitet och högskolor samt vid andra statliga myndigheter som har i uppdrag att bedriva forskning. Det bör uppdras åt Vetenskapsrådet att föreslå regeringen vilka forskningsdatabaser som ska finnas. Vetenskapsrådet bör också träffa avtal med värduniversiteten om finansiering, organisation och tillgänglighet. Finansieringen bör vara säkerställd för åtta år framåt. Forskningsdatabaserna ska utvärderas vart åttonde år, företrädesvis av en internationell utvärderingsgrupp.

Den personuppgiftsansvarige, alltså myndigheten, ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om databasen. Forskningsdatabasen ska administreras i en särskild avgränsad enhet.

De uppgifter som samlas i forskningsdatabasen ska kunna hämtas ur olika källor. Vissa uppgifter kan samlas in direkt från individer, andra hämtas ur befintliga register. För att säkerställa att myndig-

heterna kan lämna uppgifter till forskningsdatabaserna behövs bestämmelser om uppgiftsskyldighet för dessa. Det bör regleras i de särskilda förordningar som ska gälla för respektive forskningsdatabas vilka myndigheter som ska vara skyldiga att lämna ut uppgifter och vilka uppgifter uppgiftsskyldigheten ska omfatta.

Enskilda ska kunna lämna uppgifter och ge ett informerat samtycke till att dessa behandlas för de ändamål som anges i förordningen för forskningsdatabasen.

Uppgifterna i en forskningsdatabas ska skyddas av absolut sekretess, men med vissa undantag. Enskilda ska ha rätt att på begäran få registerutdrag för identifierbara uppgifter som har registrerats i databasen.

Nationellt biobanksregister

Svenska biobanksregistret är i dag ett regionalt system. Registret finns hos sex regionala biobankscentra, som bedrivs av regioner och landsting. Det skulle i olika sammanhang underlätta spårbarheten av biobanksprover om det fanns ett nationellt biobanksregister. Ett sådant föreslogs för några år sedan av den statliga Biobanksutredningen. Dess förslag har av olika skäl inte lett till lagstiftning.

Utredningen föreslår mot den bakgrunden att Svenskt biobanksregister görs om till ett nationellt system för registrering av biobanksprover, Nationella biobanksregistret. Det föreslås att Socialstyrelsen blir personuppgiftsansvarig för registret.

Uppgifterna i registret ska få behandlas för att underlätta spårbarhet vid vård och behandling av den registrerade, vid forskning, kvalitetssäkring och framställning av statistik och vid förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke.

De uppgifter som får registreras avser i första hand provgivarens identitet, provgivarens ställningstagande till hanteringen av proverna (samtycke), vävnadsprovernas karaktär, i vilken biobank de finns och uppgifter om diagnos och analysresultat.

Absolut sekretess ska gälla för de uppgifter som finns i registret, men med sekretessbrytande regler för till exempel forskning. Uppgifter ska också kunna lämnas ut när det handlar om den enskildes vård och behandling.

Registreringen bygger på samtycke, det vill säga att den enskilde när det biologiska provet sparas i en bank tar ställning till hur upp-

gifterna om provet får behandlas. Uppgifter om de prover som redan finns i biobanker får dock registreras utan särskilt samtycke. Det ska understrykas att de berörda har samtyckt till att proverna sparas i biobanken och hur de får användas. Avsaknaden av samtycke gäller endast själva registreringen i det nationella registret. Möjligheten att återkalla samtycke finns alltid och underlättas med den ökade spårbarhet som följer med det centrala registret.

Summary

The 2012 Research and Innovation Bill (Government Bill 2012/13:30) notes that Swedish registers are unique in many respects. Combining data from them yields great opportunities for research. There are a number of important questions that can be answered by means of various registers and bodies of data.

Against this background, the Government has commissioned the Swedish Research Council to institute a function with the task of improving access to register data and facilitating their use for research purposes.

Statements made in the bill also constitute the background to this committee of inquiry. The committee's terms of reference give prominence to the potential existence of legal impediments to registerbased research. My task has been to analyse these impediments and to submit legislative and other proposals in order to

  • increase the extent to which agencies responsible for registers may disclose data for research purposes with regard paid to the protection of the individual's privacy,
  • facilitate joint processing of register data for research purposes and
  • make possible the privacy-assured collection of personal data for registers maintained for specific and explicitly stated research purposes and for longitudinal studies confined to the scope of such purposes.

With regard to the last point, this task is further specified in the terms of reference. The terms speak of the need for being able to create “new database infrastructures for definite, but relatively general, research purposes”. I have been asked to make proposals for the building of these infrastructures that can be used by researchers in

various research projects and that can be updated and augmented with new data when performing, e.g. longitudinal studies.

I have also had the task of investigating whether the existing secrecy protection regarding data handled within research is adequate to protect the individual's privacy in research.

In the work on this inquiry, I have been assisted by Associate Judge Magdalena Petersson, in the capacity of secretary, and by an expert group with representatives from ministries, government agencies and the research community. During the work, I have had numerous contacts with researchers possessing extensive experience of register-based research and with many of the agencies concerned.

What is meant by a register?

In the present context, registers principally refer to structured collections of personal data that have been created at government agencies primarily for purposes other than research. Examples may be given of registers at central government agencies that have been created for administrative or statistical purposes and registers at regions and county councils that have been created for evaluation and quality assurance in health care. Also of great interest in this context are biobanks, which are collections of biological specimens from individuals taken mainly in connection with care and treatment.

However, in the committee's terms of reference, registers also denote certain collections of data that have been primarily created for research purposes. The data in these can be collected from individuals directly or from theagency registers in question. Research registers of this kind are usually created for a specific research project, but there are also instances of registers being constructed to provide a basis for a number of future research projects that have not initially been defined. In this inquiry, these research registers are called research databases. They are an example of the infrastructure mentioned in the terms of reference.

Why is register data good for research?

It is a great advantage in many contexts for research to have access to extensive bodies of data. Agency registers, which generally contain data on all Swedish residents, or at least all those relevant in some

respect, are invaluable when seeking to describe the state of the population. The inclusion of all residents means that minorities and unusual phenomena can also be captured. An example of the latter might be rare diseases.

As a rule, the alternative to using data from registers is the collection of data directly from a sample of individuals. Such sample surveys are sometimes necessary because registers do not contain all the data in which researchers are interested. However, sample surveys may entail certain problems. Often, the research subjects selected are not especially representative. Even when the samples are representative, they often have to be limited, if nothing else, for economic reasons, and a certain loss also has to be accommodated, i.e. that some of those approached do not wish to participate for various reasons. Representativeness, sample size and loss all increase the uncertainty of research results. There are numerous examples of conclusions that have been drawn on the basis of smaller sample studies and proven to be incorrect when tested on the entire population in question.

Researchers are also dependent on extensive bodies of data in contexts other than the study of unusual phenomena. When they want to study how a particular intervention affects different individuals, a sample study might be adequate, but if they want to identify the various causes of a complex social phenomenon, a more extensive body of data is required. In longitudinal studies, which follow individuals or study one and the same phenomenon over time, registers are a particular asset. If these involve repeated contact with the individuals, there is a great risk that the sample will dwindle fairly quickly, e.g. because they get tired of participating.

It is often advantageous to be able to combine data that researchers themselves have collected during sample studies with data from registers. If certain data can be retrieved from registers, researchers will be able to limit the number of questions that they need to ask their interviewees. To obtain historical data on an individual participating in a sample, registers can frequently contain more reliable information than the individual is able to provide from memory. To follow up on the progress of individuals who have participated in a sample study, register data can be used to avoid inconveniencing these individuals with repeated questions. Data on all the different individuals involved in various sample surveys can only be found in comprehensive registers.

Data on individuals, also sensitive data, is often necessary for research. This is especially true of medical research, whose aim is to

understand the origin and development of diseases and to find cures. At the same time, all processing of personal data entails certain risks to the personal privacy of individuals. The greatest risk is of someone being exposed to the contempt of others if his or her personal circumstances become known. This is the background to the extensive legislation that is designed to protect the personal privacy of individuals and to manage the weighing of various interests that may be required.

Legal prerequisites for register-based research

Several international organisations, the United Nations (UN), the Council of Europe, the Organisation for Economic Co-operation and Development (OECD) and the European Union (EU), have produced guidelines on how personal data must be handled. Of particular importance to Sweden is the European Convention on Human Rights, incorporated in Swedish law since 1995, and the EU Data Protection Directive, which in Sweden has been implemented through the Personal Data Act (PUL). The EU is currently discussing a new Data Protection Regulation, which, if adopted, will become directly applicable in all Member States and thus replace PUL in Sweden. It is unclear when this might be adopted, and this inquiry therefore proceeds on the basis of existing law.

The Instrument of Government states that everyone shall be protected against significant invasions of their personal privacy, if these occur without their consent and involve the surveillance or systematic monitoring of the individual’s personal circumstances. This provision may be restricted by law, but only to satisfy a purpose that is acceptable in a democratic society.

PUL governs the processing of personal data. Such data may be collected only if this is legal and only for specific, explicitly stated and justified purposes. It may not be processed for any purpose that is incompatible with that for which the information is collected. Government agencies usually have legal support for the processing of personal data in special register statutes, which, i.a. specify the purpose and the data that may be processed. Under PUL, the processing of data for historical, statistical or scientific purposes shall not be regarded as incompatible with the purposes for which the information was collected. The aforementioned means that it is

possible, e.g. in research, to make secondary use of data that has been collected for other purposes.

The processing of data for purposes other than the original requires either the consent of the persons concerned to this processing or its necessity for, e.g. being able to perform a task of public interest. Research might be an example of such a task.

PUL classifies certain personal data as sensitive and prohibited to process. This applies to data disclosing race or ethnic origin, political opinions, religious or philosophical beliefs, membership of a trade union or pertaining to health and sex life. However, following ethics approval, such data, as well as data pertaining to certain kinds of legal offence and biological specimens, may be processed in research. Ethics approval is granted pursuant to the Act concerning the Ethical Review of Research Involving Humans (Ethical Review Act) by an ethical review board consisting of government-appointed representatives of the research community and the general public. The ethical review board shall also assess whether consent should be obtained or whether the data can be processed without consent. Where utilisation of an agency register is extensive, the praxis is not to require consent, as this would presuppose a disproportionate investment of resources.

The collection and other processing of personal data by government agencies is often justified by their need of that data in being able to fulfil their administrative tasks. This may relate to keeping track of the country's residents, to producing electoral registers for general elections, to assessing how much tax citizens should pay and the grants they are entitled to, and so on. In many cases, the data is used for decisions concerning individuals. In cases where agencies have been instructed to process personal data, the benefits from this processing have been assessed to outweigh the risks to personal privacy.

Another aim involved in the processing of personal data by government agencies is the production of statistics or the evaluation and quality assurance of activities. The production of statistics is often based on data from administrative registers, but in some cases, data is collected specifically for statistical purposes.

Official documents held by Swedish agencies are in principle public, but the right of the general public to view such documents may be restricted if called for out of consideration to, e.g. the individual's personal and financial circumstances. In such cases, there are often varying degrees of secrecy. The strongest secrecy applies

to data that has been collected for statistical purposes. Here, secrecy is absolute, which means that the data is in principle not to be disclosed.

However, also for this data, there exist certain provisions that override secrecy. For example, the data may be disclosed for research purposes if this can be achieved without risk of damage or harm to the person – or relatives of the person – whom the data concerns. If secret data is disclosed to another agency, such as a university or a university college, for research purposes, secrecy automatically attaches to that data. Where the disclosure is made to another party, it is usually with special reservations designed to provide equivalent protection.

It is the duty of the agency holding the register to consider whether personal data may be disclosed. Where the disclosure is made for research, it is common for the data to be disclosed in anonymised form. This means that researchers do not know which individuals the data concerns. Anonymised data can be coded or de-identified. Coded data means that the researcher receives data with a designation, e.g. a serial number, that does not carry identity information, while the agency retains a code key that links serial numbers to personal identity numbers and that makes it possible to supplement the data later on. The existence of such a possibility is important, for example in the case of longitudinal studies. When data is de-identified, this possibility does not exist.

Even if data is anonymised, there may be a risk of ‘reverse identification’, i.e. identifying an individual by compiling a series of data about that person. This is prohibited and, as far as is known, has never occurred in research. It is nevertheless a potential risk that might even increase with advances in computer technology. For this reason, it is important to have a clear set of regulations and security arrangements regarding personal data in research environments as well.

In some cases, particularly in medical research, there are instances of the disclosure of identifiable data. Often, the purpose is to allow researchers to contact the individuals in question or to check register data with data from patient records.

Privacy and register-based research

Responsibility for the processing of personal data in research lies with the responsible research bodies; as a rule, universities and university colleges. This responsibility ultimately belongs to their boards. There have been no instances of data leaking from research environments. An important explanation for this is the rules for secrecy and secure management that are in force. But like researchers, universities and university colleges also have other strong incentives for ensuring compliance; namely, to allow them to obtain data and conduct research. In addition, researchers are not primarily interested in individuals, but in population patterns.

It was in 2011 that the current provision of the Instrument of Government was introduced regarding the individual's protection against significant invasions of personal privacy, where these occur without consent and involve the surveillance or systematic monitoring of the individual’s personal circumstances. The question has been raised of whether the secondary use of personal data in agency registers without consent could be in conflict with this constitutional provision. The effect of collecting data for research could, regardless of intention, be considered to at least constitute the mapping of personal circumstances.

The Government Bill on a reformed Constitution noted that any assessment of significant invasions must attend, inter alia, to the purpose of processing data. The aim of research is not to map individual persons, but to identify patterns in a population. The processing of data from agency registers has its legal basis in the special register statutes that exist for agency registers and in PUL's provision stating that processing for scientific purposes is not incompatible with the original purposes for the processing of that data.

The legislator's intention is not likely to have been to prevent this processing of personal data in research. Also in the bill concerning the processing of personal data at the Institute for Evaluation of Labour Market and Education Policy (IFAU), the Government noted that the ‘IFAU database’ is not in conflict with the Constitution. However, it was the Government's assessment that considering this case involves the retention of a lot of data for a long period, it is plausible that there is a legal basis for the database.

My conclusion is that register-based research, research registers and research databases do not entail significant invasions of the

personal privacy of individuals, but that it is important that there be clear legal support for this activity.

According to the proportionality principle, central government should not impose restrictions or obligations beyond what is necessary to achieve the goal of a measure. The goal of register-based research is to gain knowledge about how society works and the measure being considered in this context; that is, the use of e.g., register data that has been collected for other purposes.

There are great advantages to being able to use register data in research. There is knowledge to be gained through such research that is difficult to gain with other methods. The risk of leaks and attendant harm to respondents is small. This is particularly true when data is disclosed in anonymised form, but even otherwise. When the benefits are weighed against the risks, register-based research appears to be a largely proportionate measure.

Experience from the Nordic countries

The prerequisites for register-based research are very similar in the other Nordic countries. They too have to proceed from applicable international regulations. Their counterparts to Sweden's Personal Data Act are, like that law, based on the EU Data Protection Directive and thus very similar. In some respects, they have chosen different solutions to Sweden in order to facilitate register-based research. Examples that may be given are that Denmark has created a well-developed system for remote access to health data and that Norway has established an independent organisation for depositing and archiving research material. Such examples may serve as sources of inspiration when the systems are being developed in Sweden.

Background, present situation and challenges

There are four important sources of data for register-based research: agency registers, health care quality registers, biobanks and research registers of various kinds.

Agency registers have been created primarily for purposes other than research. It is not possible for quality and documentation to always meet the needs of research. Data often needs to be processed

before they can be used in research. There is potential for development in this respect.

Quality registers in health care are constructed on the basis of interventions, disease episodes or chronic illnesses. They are of varying quality, but a major investment is now being undertaken by the Government and health care providers to increase quality and accessibility. At present, there are around 80 certified quality registers. Certification means that they meet certain quality standards. The current development programme covers the period 2013-16. When this expires, an assessment will have to be made about how to proceed.

Biobanks contain biological specimens. There are about 600 biobanks in Sweden, of which half are with health care providers and around 50 at universities that conduct medical research. One challenge is to increase the traceability of biobank specimens to make them more available to research.

There are many different kinds of research register. Most have been created for specific research projects. The Swedish National Data Service (SND) is a national resource for the coordination of existing and new research registers in the social sciences, humanities and medicine. SND is currently a joint project between the Swedish Research Council and the University of Gothenburg. One of its aims is for data collected for specific research to be made available and to be reusable in new research projects. However, the Data Inspection Board has determined that SND does not have the right to maintain registers containing personal data, by which is meant data that can in some way be identified (e.g. where a code key is still held). This represents a serious limitation of SND's activities.

The use of sensitive personal data or biological specimens in research requires ethical permission. When data is to be provided in anonymised form, the ethical review boards assess the risks as minor and grant permission as a matter of routine. This assessment is well in line with that made in some appeal matters considered by a court or by the Government. For the disclosure of such data in Denmark and Finland, these countries have chosen to work with general ethical permissions for certain authorised organisations. In Sweden, it should be possible to test a simplified process. Many of those concerned also perceive the forms that researchers have to fill in for ethics applications to be more detailed than necessary. There may be reason to review these forms, e.g. under the Register Data Council recently created by the Swedish Research Council.

Over the past ten years, Statistics Sweden (SCB) has developed a system for remote access to data. It is called MONA, Microdata Online Access. The system is used to make data available, not only from SCB but from most central government agencies responsible for official statistics. Researchers use a terminal in their work environment to connect to MONA and can process data without this leaving SCB. Processed data, in the form of, e.g. tables, may then be sent to researchers by e-mail. An evaluation of the MONA system has recently been initiated by the Swedish Research Council. As yet, there is no corresponding system for health data from the National Board of Health and Welfare, but the possibility of creating one will be examined during the evaluation of MONA.

There appear to be no legal impediments to providing data for research. The problems that may exist are instead found at the administrative level. For SCB, and also other agencies, research is not a priority task. In December 2012, the Statistics Inquiry proposed that SCB be instructed to make it a priority to supply data for research. The Ministry of Finance has announced that it intends to propose such an amendment, but no decision has yet been made. It is urgent that this be done as soon as possible. There may also be reason to make corresponding adjustments to the instructions of other agencies.

A register service unit has now been created at the National Board of Health and Welfare. At present, SCB is conducting an internal investigation with a somewhat similar aim in view. It is urgent that SCB also should create a central research service unit.

Much of today's research takes place in international collaboration. The disclosure of data across national borders is a challenge. These are complicated issues that have not been possible to analyse within the scope of this inquiry. However, discussions between the central agencies for statistics in the Nordic countries have recently been initiated by the Nordic Council and its research council, NordForsk, and are in progress.

Joint processing of data from various registers is often necessary in research. Even when multiple agencies are involved, this joint processing appears to be functioning relatively well. Where statistical agencies disclose sensitive data among themselves to facilitate joint processing, the legal basis for doing so has been questioned on occasion. It has also been questioned if there is a legal basis with regard paid to secrecy to disclose secret data to another agency to faciliate joint processing of data on behalf of a third agency. My

conclusion is that this processing can be carried out according to existing law.

Joint processing could be facilitated through the development of a ‘federated system’. This involves the retrieval of data from various sources to a trusted location, an institution that all the data owners trust and to which they can provide access to data without concern for its being spread. Connected to a trusted location of this kind, researchers work in the same way as in the current MONA system. Data is retrieved electronically to this trusted location directly from the sources without any transfer of data among the agencies taking place. In its Research and Innovation Bill, the Government was positive towards such a solution and stated that this would be investigated separately. However, no such initiative has been taken. A federated solution requires extensive technological development. Achieving a solution of this kind is likely to require a government initiative, possibly in coopeartion with the University of Umeå which has recently initiated av development program in this field.

SND is an important infrastructure for Swedish research. It is important that SND should become a permanent activity and be given reasonable conditions to fulfil its tasks. Today, researchers deposit copies of their data with SND. It would be advantageous if SND could become an archiving agency where original data could be deposited. As an archiving agency, SND would also become the controller of personal data for the information held, which would tackle the Data Inspection Board's objections to the current order. Norway and Denmark have organised corresponding activities in another way: in Norway as an independent organisation under the Ministry of Education and Research, and in Denmark as part of the State Archives. The Norwegian solution appears to be the most attractive with respect to the independence and development of the activity. The Government should appoint a committee of inquiry to draft a long-term solution for SND.

Assessments and proposals

Ethical Review

To simplify the management of matters where the research aim is to use only anonymised data from agency registers, it is proposed that the boards be able to delegate such matters to the chair.

It is further proposed that researchers should have the right to receive an opinion from the ethical review board on research projects that do not fall under the Ethical Review Act. The opportunity to request such an opinion exists today, but the board itself determines whether or not it wants to give an opinion.

It is also proposed that disclosure from research databases should always require ethical permission, regardless of whether this involves sensitive personal data.

Code key procedure

When data is disclosed in anonymised form, the disclosing agency may retain a code key that makes it possible to supplement the data later on. This possibility has primarily arisen to enable longitudinal studies, where the same individuals or phenomena are followed for a long period, and similar studies.

In longitudinal studies, the disclosing agency and researchers agree on how long the code key is to be retained. Normally, it is retained for three years with the possibility of extension. The disclosing agency may, however, be reluctant to retain the code key if it feels that the research questions have changed.

A code key might also be created and retained for other research projects, but normally for a considerably shorter period, usually three months. The aim is to be able to supplement disclosed data if something has gone wrong or if the researcher has overlooked something in the application.

There are several reasons for the standard retention of code keys for a longer period. Linking retention to the posing of the same research questions does not seem to be reasonable. It is natural for the research questions in a longitudinal study to be successively modified. During an ongoing project, a researcher might find that data needs supplementing even if this was not anticipated when the data was requested. Besides this, it is important in all research to provide opportunities for replication or for re-analysis of the same, or supplemented, data.

In light of this, it is proposed that code keys be retained at the disclosing agency for twenty years from the date of disclosure with the possibility of prolongation.

A new secrecy provision

To maintain public confidence in research, it is important for the regulatory framework to provide for the protection of the individual's privacy. Today, there are several different provisions that entail the secrecy of personal data processed in research. However, the regulations are not easy to survey, which can create uncertainty.

The Public Access to Information and Secrecy Act contains a specific provision on statistical secrecy. Data collected for statistical purposes is protected by absolute secrecy. The preparatory works to the legislation invoke three reasons for statistical secrecy. The interest of public access to such data is considered to carry little weight. A compilation of data which is, in itself, innocuous can sometimes be sensitive with respect to privacy. And a respondent must feel confident that his or her information is not revealed. These reasons also speak in favour of a corresponding secrecy protection for data collected for research.

Against this background, a corresponding research secrecy is proposed. This entails that personal data collected for research is always protected by absolute secrecy. As is the case for data collected for statistical purposes, there should be a provision that overrides secrecy for this data collected for research purposes to the effect that it can be used for other research if certain conditions are met.

This secrecy also carries a duty of confidentiality for those handling the data.

It is not only important for personal data to be protected by secrecy, but also for it to be processed in accordance with existing rules and in technically secure systems. All major universities and most university colleges have personal data representatives, whose task is to ensure that the controller of personal data, i.e. the higher education institution, complies with existing rules. In many cases, personal data representatives do not appear to have the resources and status necessary to perform this task satisfactorily. It is the boards of the higher education institutions that have the ultimate responsibility for ensuring that this activity functions satisfactorily. I propose that the Government in its annual instructions to universities and university colleges should request them to give even more inportance to the protection and security of processing personal data, e.g. by strengthening the position of the personal data representatives, and report taken measures back to the Government.

Research databases

The committee's terms of reference give prominence to the difficulties under current law in creating research databases for definite, but relatively general, research purposes. The Data Inspection Board has taken a hesitant view towards research databases for general purposes. It has also questioned the legality of the consent given by individuals when supplying data to such databases. The Ethical Review Act only allows the granting of ethics approval to specific research projects. Disclosing agencies find themselves prevented from disclosing data to databases where the specific research questions are unknown. In other words, there are currently no legal prerequisites for such research databases.

The Government and the Riksdag have in some cases passed special enactments to make research databases possible. One example is the act governing the ‘IFAU database’ and another the act governing certain registers for research on the significance of heredity and environment for human health (the “LifeGene Act”). Statistics Sweden also has a couple of such databases that are partly used for research.

According to an inventory commissioned by the Swedish Research Council, there are about an additional fifty research databases in Sweden. These may, for example, have been created a long time ago, before the current regulations were in place, have been built around a specific research project or approved through a generous interpretation of the Ethical Review Act.

The introduction of a special act on research databases is proposed. The idea is that this will state some general rules for research databases, but that each database will be supplemented with a government ordinance to regulate what further details should apply, e.g. purpose and content. The purpose of the research databases is to create a basis for research and to disclose data for research projects. Disclosure will always require ethics approval.

A ‘research database’ is an infrastructure that will be capable of use in future research projects by several different researchers from different higher education institutions and within different disciplines. The projects are not known when the database is created.

It should be possible to create research databases at state universities, university colleges and other public agencies commissioned to do reserach. The Swedish Research Council should be commissioned to propose to the Government which research databases should

exist. The Swedish Research Council should also enter agreements with the host universities regarding funding, organisation and accessibility. Funding should be secured for eight years ahead. Research databases are to be evaluated every eight years, preferably by an international evaluation group.

The controller of personal data, i.e. the higher education institution or other agency concernded, shall restrict its employees' electronic access to personal data to what each one needs to carry out tasks relating to the database. Administration of the research database shall be performed by a special and distinct unit.

The data collected in the research database will be retrievable from various sources. Certain data can be collected directly from individuals; other data can be retrieved from existing registers. Ensuring that the agencies are able to submit data to the research databases requires provisions on the obligation to provide information with respect to these. The special ordinances that will be in force for each research database should govern which agencies will be obligated to disclose data and which data this obligation will cover.

Individuals will be able to submit data and give informed consent to its being processed for the purposes specified in the ordinance for the research database.

The data in a research database will be protected by absolute secrecy, but with certain exceptions. Individuals will have the right to obtain, upon request, an extract of identifiable data registered in the database.

National biobank register

The Swedish biobank register is today a regional system. The register is held at six regional biobank centres operated by regions and county councils. The existence of a national biobank register would facilitate the traceability of biobank specimens in a variety of contexts. A register of this kind was proposed a few years ago by the state Biobank Inquiry. Its proposals have, for various reasons, not resulted in legislation.

In light of this, the present inquiry proposes that the Swedish biobank register be remodelled into a national system for the registration of biobank specimens, the National biobank register. It is proposed that the National Board of Health and Welfare become the register's controller of personal data.

Processing of data in the register will be allowed in order to facilitate traceability in the care and treatment of the registered person, in research, quality assurement and the production of statistics and in the destruction or de-identification of tissue specimens when the registered person has withdrawn his or her consent.

The data that may be registered relates primarily to the donor's identity, the donor's position on the handling of the specimens (consent), the nature of the tissue specimens, the biobank in which they are held and data on diagnosis and analysis results.

Absolute secrecy applies to the data contained in the register, but with provisions that override secrecy for, e.g. research. It will also be possible to disclose data in matters concerning the individual's care and treatment.

Registration is based on consent, i.e., when the biological specimen is stored in a bank, the individual takes a position on how it may be processed. However, the specimens already held in biobanks may be registered without specific consent. It should be emphasised that the persons concerned have consented to the specimens being stored in the biobank and how they may be used. The absence of consent applies only to the actual registration in the national register. The opportunity to withdraw consent always exists and is facilitated by the increased traceability that comes with the central register.

1. Författningsförslag

1.1. Förslag till lag om ändring av lagen (2001:99) om den officiella statistiken

Härigenom föreskrivs att 16, 17 och 18 §§ lagen (2001:99) om den officiella statistiken ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

16 §

När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En så-

dan åtgärd får vidtas om den som uppgifterna lämnas ut till skall använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna.

När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild för forskningsändamål ska myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna i ett forskningsprojekt

eller utföra uppföljning, replikation eller granskning av samma projekt.

En förteckning över beteckning och personnummer (kodnyckel) ska bevaras hos den utlämnande myndigheten i tjugo år från utlämnandet av de uppgifter som kodnyckeln avser. Tiden för beva-

Om en uppgift rättats, blockerats eller utplånats hos den statistikansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna

skall kunna ändras hos den som

uppgifterna lämnats ut till.

randet av kodnyckeln kan därefter förlängas av den myndighet som bevarar den eller på ansökan av forskningshuvudman som använder uppgifter som kodnyckeln är kopplad till.

Om en uppgift rättats, blockerats eller utplånats hos den statistikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna

ska kunna ändras hos den som

uppgifterna lämnats ut till.

17 §

Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning eller statistik.

När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild för statistikändamål, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till har ett särskilt behov av att senare kunna komplettera uppgifterna.

Om en uppgift rättats, blockerats eller utplånats hos den statistikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till.

18 §

Den som har fått personuppgifter som avses i 16 § första stycket behöver inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter.

Den som har fått personuppgifter som avses i 16 § första stycket och 17 § första stycket behöver inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter.

Denna lag träder i kraft den 1 januari 2016.

1.2. Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor

Härigenom föreskrivs i fråga om lagen (2003:460) om etikprövning av forskning som avser människor

dels att 3 och 27 §§ ska ha följande lydelse

dels att det i lagen ska införas en ny paragraf, 5 a §, av följande

lydelse.

Nuvarande lydelse Föreslagen lydelse

3 §1

Denna lag ska tillämpas på forskning som innefattar behandling av

1. känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204), eller

2. personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen.

1. känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204),

2. personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen,

eller

3. personuppgifter i en forskningsdatabas som förs med stöd av lagen ( 0000:00 ) om forskningsdatabaser.

5 a §

En regional etikprövningsnämnd ska på begäran lämna rådgivande yttranden över forskning som avser människor i de fall forskningen inte omfattas av denna lag. Nämnden får även lämna rådgivande yttranden över

1 Senaste lydelse SFS 2008:192

arbeten som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

27 §

En avdelning är beslutför med ordföranden ensam vid – förberedande åtgärd, – rättelse av skrivfel och liknande,

– annat beslut som inte innebär något slutligt avgörande av ett ärende, och

– prövning av fråga om avvisning eller avskrivning av ärende.

Ordföranden får lämna över sådana uppgifter som avses i första stycket till en föredragande vid nämnden.

1. förberedande åtgärd,

2. rättelse av skrivfel och lik-

nande,

3. annat beslut som inte inne-

bär något slutligt avgörande av ett ärende,

4. prövning av fråga om avvis-

ning eller avskrivning av ärende,

och

5. prövning av ärende som avser forskning som endast innefattar behandling av personuppgifter som hämtats från myndighetsregister med uppgifter som primärt samlats in för andra ändamål än forskning och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde.

Ordföranden får lämna över sådana uppgifter som avses i första stycket 1–4 till en föredragande vid nämnden.

En avdelning får lämna över till ordföranden eller någon annan ledamot att efter prövning i sak avgöra ett visst ärende eller ärenden som är sådana att tidigare vägledande avgöranden kan tillämpas eller som annars är av sådant slag att de inte behöver avgöras av avdelningen.

1. Denna lag träder i kraft den 1 januari 2016.

2. Bestämmelsen i 27 § gäller i sin äldre lydelse beträffande ärenden som inkommit till etikprövningsnämnden före ikraftträdandet.

1.3. Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400)

dels att 10 kap. 23 och 27 §§, 11 kap. 3 §, 24 kap. 1 och 9 §§ samt

25 kap. 11 och 18 §§ ska ha följande lydelse,

dels att 24 kap. 4 § ska upphöra att gälla,

dels att rubriken till 24 kap. 1 § ska ha följande lydelse,

dels att det i 24 kap. ska införas en ny paragraf, 15 a §, av följande

lydelse.

Nuvarande lydelse Föreslagen lydelse

10 kap.

23 §2

Om inte annat följer av 19– 22 §§ får en uppgift som angår misstanke om ett begånget brott och som är sekretessbelagd enligt 24 kap. 2 a eller 8 §, 25 kap. 1 §, 2 § andra stycket eller 3– 8 §§, 26 kap. 1–6 §§, 29 kap. 1 §, 31 kap. 1 § första stycket, 2 eller 12 §, 33 kap. 2 §, 36 kap. 3 § eller 40 kap. 2 eller 5 § lämnas till en åklagarmyndighet, polismyndighet eller någon annan myndighet som har till uppgift att ingripa mot brottet endast om misstanken angår

Om inte annat följer av 19– 22 §§ får en uppgift som angår misstanke om ett begånget brott och som är sekretessbelagd enligt 24 kap. 1, 2 a eller 8 §, 25 kap. 1 §, 2 § andra stycket, 3– 8 eller 15 a §§, 26 kap. 1–6 §§, 29 kap. 1 §, 31 kap. 1 § första stycket, 2 eller 12 §, 33 kap. 2 §, 36 kap. 3 § eller 40 kap. 2 eller 5 § lämnas till en åklagarmyndighet, polismyndighet eller någon annan myndighet som har till uppgift att ingripa mot brottet endast om misstanken angår

1. brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år,

2. försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år, eller

3. försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, om gärningen innefattat försök till över-

2 Senaste lydelse SFS 2013:795.

föring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168).

27 §3

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Första stycket gäller inte i fråga om sekretess enligt 24 kap. 2 a och 8 §, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och 2 §§, 31 kap. 1 § första stycket, 2 och 12 §§, 33 kap. 2 §, 36 kap. 3 § samt 40 kap. 2 och 5 §§.

Första stycket gäller inte i fråga om sekretess enligt 24 kap.

1, 2 a och 8 §§, 25 kap. 1–8 och 15 a §§, 26 kap. 1–6 §§, 29 kap. 1

och 2 §§, 31 kap. 1 § första stycket, 2 och 12 §§, 33 kap. 2 §, 36 kap. 3 § samt 40 kap. 2 och 5 §§.

Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personuppgiftslagen (1998:204).

11 kap.

3 §

Får en myndighet i sin forsk-

ningsverksamhet från en annan

myndighet en sekretessreglerad uppgift, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten.

Får en myndighet en uppgift

som är belagd med sekretess enligt 24 kap. 1 § från en annan myn-

dighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten.

Första stycket tillämpas inte på en uppgift som ingår i ett beslut hos den mottagande myndigheten.

24 kap.

1 §

Psykologisk undersökning Forskning

Sekretess gäller för uppgift som

hänför sig till psykologisk undersökning som utförs för forsknings-

Sekretess gäller i forsknings-

verksamhet för uppgift som avser en enskilds personliga eller ekono-

3 Senaste lydelse SFS 2013:795.

ändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon närstående till denne lider men.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

miska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forskningsändamål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning får dock lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

Sekretess enligt första stycket gäller också i verksamhet som avser förande av eller uttag ur databaser enligt lagen ( 0000:00 ) om forskningsdatabaser.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en

enskilds personliga förhållanden, och annars i högst tjugo år.

Med forskning avses i denna paragraf detsamma som enligt lag ( 2003:460 ) om etikprövning av forskning som avser människor.

9 §4

Den tystnadsplikt som följer av 2 a och 8 §§ och den tystnadsplikt som följer av ett förbehåll som gjorts med stöd av 7 § andra meningen inskränker rätten enligt 1 kap. 1 § tryckfrihetsförordningen och 1 kap.1 och 2 §§yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

Den tystnadsplikt som följer av 1, 2 a och 8 §§ och den tystnadsplikt som följer av ett förbehåll som gjorts med stöd av 7 § andra meningen inskränker rätten enligt 1 kap. 1 § tryckfrihetsförordningen och 1 kap.1 och 2 §§yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

4 Senaste lydelse SFS 2013:795.

Den tystnadsplikt som följer av 2 § inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställighet av beslut om vård utan samtycke.

25 kap.

11 §5

Sekretessen enligt 1 § hindrar inte att uppgift lämnas

1. från en myndighet som bedriver verksamhet som avses i 1 § i en kommun till en annan sådan myndighet i samma kommun,

2. från en myndighet som bedriver verksamhet som avses i 1 § i ett landsting till en annan sådan myndighet i samma landsting,

3. till en myndighet som bedriver verksamhet som avses i 1 § eller till en enskild vårdgivare enligt vad som föreskrivs om sammanhållen journalföring i patientdatalagen (2008:355),

4. till ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen,

5. från en myndighet som be-

driver verksamhet som avses i 1 § inom en kommun eller ett landsting till annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksamhetsområdet, om det inte kan antas att den enskilde eller någon närstående till den enskilde lider men om uppgiften röjs, eller

6. till en enskild enligt vad som

föreskrivs i

5. till register som förs med stöd av lagen ( 0000:00 ) om Nationella biobanksregistret,

6. från en myndighet som be-

driver verksamhet som avses i 1 § inom en kommun eller ett landsting till annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksamhetsområdet, om det inte kan antas att den enskilde eller någon närstående till den enskilde lider men om uppgiften röjs, eller

7. till en enskild enligt vad

som föreskrivs i

– lagen (1988:1473) om undersökning beträffande vissa smittsamma sjukdomar i brottmål,

– lagen (1991:1129) om rättspsykiatrisk vård, – smittskyddslagen (2004:168), – 6 och 7 kap. lagen (2006:351) om genetisk integritet m.m.,

5 Senaste lydelse SFS 2010: 214

– lagen (2006:496) om blodsäkerhet, eller – lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

15 a §

Sekretess gäller i verksamhet som avser förande av eller uttag ur det register som förs enligt lagen ( 0000:00 ) om Nationella biobanksregistret vad gäller uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden.

Sekretessen hindrar inte att uppgift lämnas ut i den utsträckning som framgår av den lag som avses i första stycket, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

18 § 6

Den tystnadsplikt som följer av 7, 9, 16, 17 och 17 a §§ inskränker rätten enligt 1 kap. 1 § tryckfrihetsförordningen och 1 kap.1 och 2 §§yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

Den tystnadsplikt som följer av 7, 9, 15 a, 16, 17 och 17 a §§ inskränker rätten enligt 1 kap. 1 § tryckfrihetsförordningen och 1 kap.1 och 2 §§yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

Den tystnadsplikt som följer av 1–5 §§ inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställigheten av beslut om omhändertagande eller beslut om vård utan samtycke.

Den tystnadsplikt som följer av 8 § inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift i anmälan till Inspektionen för vård och omsorg eller Hälso- och sjukvårdens ansvarsnämnd.

6 Senaste lydelse SFS 2013:626.

Denna lag träder i kraft den 1 januari 2016.

1.4. Förslag till lag om ändring i patientsäkerhetslagen (2010:659)

Härigenom föreskrivs att 6 kap. 12 § patientsäkerhetslagen (2010:659) att ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

12 §

Den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården får inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses inte att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning.

Tystnadsplikt som gäller för en uppgift om en patients hälsotillstånd gäller även i förhållande till patienten själv, om det med hänsyn till ändamålet med hälso- och sjukvården är av synnerlig vikt att uppgiften inte lämnas till patienten.

Tystnadsplikt enligt första stycket hindrar inte att uppgift lämnas till register som förs med stöd av lagen ( 0000:00 ) om Nationella biobanksregistret.

För det allmännas verksamhet gäller offentlighets- och sekretesslagen (2009:400).

Denna lag träder i kraft den 1 januari 2016.

1.5. Förslag till lag (20xx:xx) om forskningsdatabaser

Härigenom föreskrivs följande.

Lagens tillämpningsområde

1 § Statliga universitet eller högskolor som omfattas av högskolelagen (1992:1434) och andra statliga myndigheter som har i uppdrag att bedriva forskning får utföra behandling av personuppgifter för de ändamål som anges i 5 §.

Lagen gäller bara om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Om personuppgifter samlas in direkt från den enskilde får personuppgifterna behandlas endast om han eller hon har fått den information som anges i 17 § och lämnat sitt uttryckliga samtycke till behandlingen. För återkallelse av ett lämnat samtycke tillämpas 12 § personuppgiftslagen (1998:204).

Definitioner

2 § I denna lag avses med

forskningsdatabas: en databas (uppgiftssamling) med uppgifter

som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt.

forskning: detsamma som enligt lag (2003:460) om etikprövning

av forskning som avser människor.

Förhållandet till personuppgiftslagen

3 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

Personuppgiftsansvar

4 § De statliga myndigheter som utför behandlingen av personuppgifter är personuppgiftsansvariga.

Ändamål

5 § Personuppgifter i en forskningsdatabas får behandlas för ändamålen att

1. skapa underlag för olika forskningsprojekt och

2. lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

6 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning.

Personuppgifter som har registrerats enligt denna lag får alltid lämnas ut till den registrerade själv, dock inte i fråga om personuppgifter som inte direkt kan hänföras till en person.

7 § Personuppgifter som behandlas för de ändamål som anges i 5 § får, utöver vad som följer av 6§, lämnas ut om det finns en skyldighet enligt lag att göra det. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

Behandlingen av personuppgifter i forskningsdatabasen

8 § Uppgifter som hämtats från andra myndighetsregister för de ändamål som anges i 5 § får behandlas under förutsättning att uppgifterna inte direkt kan hänföras till en person, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om att behandling av identifierbara uppgifter får ske.

Kodnyckelförfarande

9 § Om de personuppgifter som lämnas ut från forskningsdatabasen inte direkt kan hänföras till en enskild ska den personuppgiftsansvarige i samband med utlämnandet förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. En förteckning över beteckning och personnummer (kodnyckel) ska bevaras hos den personuppgiftsansvarige i tjugo år från utlämnandet av de uppgifter som kodnyckeln avser. Tiden för bevarandet av kodnyckeln kan därefter förlängas av den myndighet som bevarar den eller på ansökan av den forskningshuvudman som använder uppgifter som kodnyckeln är kopplad till.

Om en uppgift rättats, blockerats eller utplånats i forskningsdatabasen ska den personuppgiftsansvariga myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till.

Den som har fått personuppgifter enligt första stycket behöver inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter.

Innehåll

10 § En forskningsdatabas får innehålla endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt 5 §.

Sökbegrepp

11 § Som sökbegrepp i en forskningsdatabas får användas uppgifter som enligt 10 § får ingå i en forskningsdatabas.

Utlämnande genom direktåtkomst

12 § Utlämnande genom direktåtkomst till personuppgifter i databasen får inte förekomma.

Förbud mot bakvägsidentifiering

13 § Personuppgifter som inte direkt kan hänföras till en person och som behandlas med stöd av denna lag får inte behandlas i syfte att röja en persons identitet.

Intern elektronisk åtkomst

14 § Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om databasen.

Gallring

15 § Personuppgifter som inte längre behövs för de ändamål som avses i 5 § ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål.

Information

16 § Bestämmelserna i 26 § personuppgiftslagen (1998:204) om information efter ansökan gäller inte i fråga om personuppgifter som inte direkt kan hänföras till en person.

17 § Innan en person lämnar sitt samtycke enligt 1 § tredje stycket ska han eller hon ha informerats om

1. att det är frivilligt att lämna uppgifter,

2. för vilka ändamål behandling kan ske enligt 5, 6 och 7 §§ och vilka uppgifter som får registreras enligt 10 §,

3. de sekretess- och säkerhetsbestämmelser som gäller för databasen,

4. vem som är personuppgiftsansvarig,

5. hur länge uppgifterna kan komma att sparas,

6. rätten till rättelse av uppgifterna,

7. rätten till information enligt 26 § personuppgiftslagen (1998:204),

8. rätten till skadestånd, och

9. rätten att få uppgifter utplånade.

Rättelse och skadestånd

18 § Bestämmelserna om rättelse och skadestånd i 28 och 48 §§personuppgiftslagen (1998:204) tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med denna lag.

Ansvar

19 § Den som bryter mot 13 § ska dömas för olovlig identifiering till böter eller fängelse i högst ett år, om gärningen inte är belagd med straff i brottsbalken eller personuppgiftslagen. I ringa fall döms inte till ansvar.

Ytterligare föreskrifter

20 § Regeringen meddelar ytterligare föreskrifter om

1. vilka statliga myndigheter som får föra forskningsdatabaser enligt denna lag och vilka forskningsdatabaser enligt lagen som får föras,

2. begränsning av de i 5 § angivna ändamålen,

3. begränsningar av de uppgifter som en forskningsdatabas enligt 10 § får innehålla,

4. begränsningar av behandling av uppgifter i en forskningsdatabas,

5. begränsningar vid behandling genom utlämnande av uppgifter från en forskningsdatabas

6. uppgiftsskyldighet och

7. begränsningar i rätten till intern elektronisk åtkomst.

Denna lag träder i kraft den 1 januari 2016.

1.6. Förslag till lag (20xx:xx) om Nationella biobanksregistret

Lagens tillämpningsområde

1 § Socialstyrelsen får utföra helt eller delvis automatiserad behandling av uppgifter i Nationella biobanksregistret.

Personuppgiftsansvar

2 § Socialstyrelsen är personuppgiftsansvarig för behandlingen av personuppgifter i Nationella biobanksregistret.

Förhållande till personuppgiftslagen

3 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

Den registrerades inställning till personuppgiftsbehandling

4 § Uppgifter om vävnadsprover i en biobank enligt lag (2002:297) om biobanker i hälso- och sjukvården m.m. som behandlas när denna lag träder i kraft får inte behandlas i Nationella biobanksregistret om den registrerade motsätter sig det.

Uppgifter om vävnadsprover i en biobank som avses i första stycket som börjar behandlas efter ikraftträdandet av denna lag får inte registreras i Nationella biobanksregistret utan att den som uppgifterna avser har samtyckt till att personuppgifter behandlas enligt denna lag.

Underåriga

5 § Personuppgifter som avses i 4 § första stycket och som avser en underårig får inte behandlas i Nationella biobanksregistret om den underåriges vårdnadshavare motsätter sig det.

Personuppgifter som avses i 4 § andra stycket och som avser en underårig får inte registreras i Nationella biobanksregistret utan att

den underåriges vårdnadshavare fått sådan information som anges i 12 § och därefter lämnat sitt samtycke.

Har den underårige uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan gäller vad som sagts den underårige själv.

Ändamål

6 § Uppgifter i Nationella biobanksregistret får behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m. i syfte att möjliggöra

1. vård och behandling av den registrerade,

2. forskning, kvalitetssäkring och framställning av statistik, och

3. förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke.

7 § Uppgifter som behandlas enligt 6 § får också lämnas ut om det finns en skyldighet enligt lag att göra det. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

Innehåll

8 § Nationella biobanksregistret får endast innehålla uppgifter som avser

1. provgivares identitet,

2. vilka andra personer som har att ta ställning till bevarande av vävnadsprover,

3. ställningstaganden till bevarande av vävnadsprover,

4. vävnadsprovers identitet, karaktär och hantering,

5. vem som behandlar uppgifter eller vävnadsprover,

6. till vem vävnadsprover utlämnas eller överlåts och

7. uppgift om diagnos och analysresultat.

Sökbegrepp

9 § Som sökbegrepp i Nationella biobanksregistret får användas uppgifter som enligt 8 § får ingå i registret.

Intern elektronisk åtkomst

10 § Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret.

Direktåtkomst

11 § Utlämnande genom direktåtkomst till uppgifter i registret får inte förekomma.

Information

12 § Innan en person lämnar sitt samtycke enligt 4 § andra stycket ska han eller hon ha informerats om

1. att det är frivilligt att lämna uppgifter,

2. för vilka ändamål behandling kan ske enligt 6 och 7 §§ och vilka uppgifter som får registreras enligt 8 §,

3. de sekretess- och säkerhetsbestämmelser som gäller för registret,

4. vem som är personuppgiftsansvarig,

5. hur länge uppgifterna kan komma att sparas,

6. rätten till rättelse av uppgifterna,

7. rätten till information enligt 26 § personuppgiftslagen (1998:204),

8. rätten till skadestånd, och

9. rätten att få uppgifter utplånade.

Utplåning av uppgifter

13 § Den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. En sådan begäran ska göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den registrerade själv. Uppgifterna ska utplånas så snart som möjligt.

Rättelse och skadestånd

14 § Bestämmelserna i 28 och 48 §§personuppgiftslagen (1998:204) om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med denna lag.

Denna lag träder i kraft den 1 januari 2016.

2. Direktiv, arbetssätt och disposition

Vetenskapsrådet (VR) initierade i mitten av 00-talet en satsning på registerbaserad forskning. Resurser avsattes för att skapa en bättre infrastruktur och för forskningsprojekt baserade på registerstudier. I de senaste forskningspropositionerna, såväl 2008 som 2012, har regeringen uttalat sig positivt om registerbaserad forskning. Svensk registerforskning har i många avseenden varit framgångsrik, men dess fulla potential har enligt regeringen inte utnyttjats. Åtgärder har därför vidtagits i syfte att stimulera registerbaserad forskning.

Regeringen har uppdragit åt VR att inrätta en särskild funktion för att underlätta registerbaserad forskning. Som ett led i det arbetet har rådet under våren 2014 inrättat ett registerdataråd med representanter från berörda myndigheter och forskningen.

2.1. Direktiven

I januari 2013 beslutade regeringen om direktiv för den utredning som härmed presenterar sitt betänkande. I utredningsdirektiven framhålls att det kan finnas rättsliga hinder för registerbaserad forskning. Jag har därför fått i uppdrag att analysera dessa och att lämna författningsförslag och andra förslag i syfte att

  • registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet,
  • sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och
  • göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för särskilda och uttryckligt an-

givna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

På den sistnämnda punkten specificeras uppdraget ytterligare i direktiven. Det talas där om ett behov av att kunna skapa ”nya databasinfrastrukturer för bestämda, men relativt allmänt hållna, forskningsändamål”. Jag ska föreslå hur sådana infrastrukturer ska kunna byggas, som kan användas av forskare i olika forskningsprojekt och som kan uppdateras och tillföras nya uppgifter vid till exempel longitudinella studier.

Jag har även haft till uppgift att undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning. Direktiven återfinns i bilaga 1.

2.2. Expertgruppen

Till min hjälp i utredningsarbetet har jag haft en expertgrupp med representanter från myndigheter och forskningen. I gruppen har ingått:

Björn Halleröd, professor i sociologi vid Göteborgs universitet.

Har forskat om levnadsförhållanden, fördelning av ekonomiska resurser och ekonomisk utsatthet. Leder i dag projekt om barns levnadsförhållanden i utvecklingsländer och forskning om äldres levnadsförhållanden, det senare inom ramen för forskningscentret AgeCap (Centrum för åldrande och hälsa vid Göteborgs universitet). Har under en följd av år haft uppdrag för VR och är nu vice ordförande i Rådet för infrastruktur.

Mats G Hansson, professor i biomedicinsk etik och föreståndare

för Centrum för forskningsetik & bioetik vid Uppsala universitet. Är sedan 1998 aktiv inom forskning kring etiska aspekter av register- och biobanksbaserad forskning. Leder ett flertal arbetspaket kring sådana frågor i europeiska forskningsprojekt och inom BBMRI.se. (Biobanking and Molecular Resource Infrastructure of Sweden).

Cecilia Magnusson Sjöberg, professor vid juridiska fakulteten vid

Stockholms universitet. Har lång erfarenhet av juridiken kring informationsteknologin. Är en internationellt etablerad forskare och har varit verksam vid bland annat King’s College i London. Var tidigare innehavare av Kungliga Vetenskapsakademiens forskartjänst i rättsvetenskap. Är ämnesföreträdare för rättsinformatik på bland annat

juristprogrammet på Stockholms universitet och medverkar i flera statliga utredningar.

Eva Nilsson, chefsjurist vid Statistiska centralbyrån (SCB). Har

mångårig erfarenhet från olika myndigheter av register- och annan integritetslagstiftning. Har medverkat i ett flertal lagstiftningsarbeten inom området. Leder SCB:s Dataskyddsråd och representerar Sverige i internationella sammanhang rörande konfidentialitets- och tillgängliggörandefrågor inom det statistiska och vetenskapliga området.

Peter Nilsson, professor i klinisk kardiovaskulär forskning vid

Lunds universitet och överläkare vid Skånes universitetssjukhus i Malmö. Har mångårig erfarenhet av epidemiologisk forskning med fokus på kardiovaskulär sjukdom, fetma och diabetes. Leder det strategiska forskningsområdet Epidemiologi för Hälsa (EpiHealth) vid Lunds och Uppsala universitet. Representerar Lunds universitet i BBMRI.se och har publicerat cirka 300 originalartiklar inom olika forskningsområden.

Karin Nylén, chefsjurist vid Myndigheten för vårdanalys. Har på

VR:s uppdrag skrivit rapporten Rättsliga förutsättningar för en databasinfrastruktur för forskning. Var tidigare enhetschef vid Socialstyrelsen och dessförinnan rättssakkunnig i frågor om bland annat etikprövning, personuppgiftsbehandling och sekretess. Har även arbetat vid Brottsförebyggande rådet (BRÅ) med den typen av integritetslagstiftning.

Petter Odmark, departementsråd och analyschef vid Social-

departementet. Har en bakgrund som enhetschef på Socialdepartementet och mångårig erfarenhet från kommittéväsendet i olika utredningar på socialförsäkringsområdet. Leder som analyschef en verksamhet med fokus på kvantitativa analyser inom välfärdspolitiken och med en särskild tyngdpunkt på mikrosimulering.

Petra Otterblad Olausson, avdelningschef vid Socialstyrelsen.

Har mångårig erfarenhet av utveckling och förvaltning av nationella register, registerbaserad forskning och statistikfrågor liksom av egen registerbaserad forskning. Är ansvarig för Socialstyrelsens verksamhet som rör service till forskare och utlämnande av data för forskningsändamål. Är ledamot av beslutgruppen för nationella kvalitetsregister och VR:s registerdataråd.

Magnus Stenbeck, docent i sociologi vid Stockholms universitet.

Har mångårig erfarenhet av forskning inom samhällsvetenskap och epidemiologi. Var tidigare ansvarig för analysverksamheten vid Epidemiologiskt centrum på Socialstyrelsen. Är sedan 2007 ansvarig

för Vetenskapsrådets infrastruktursatsning gällande registerdata. Var sekreterare i statistikutredningen för delbetänkandet om registerforskning och har författat ett femtiotal publikationer inom samhällsvetenskap och epidemiologi.

Victoria Söderqvist, jurist vid SCB. Har tidigare arbetat som

jurist vid Datainspektionen och vid Karolinska institutet (KI). Har lång efterenhet av att hantera juridiska frågeställningar som uppkommer vid utförande av forskning, särskilt när det gäller behandling av personuppgifter, sekretessfrågor och upprättande av avtal för forskningsfinansiering.

I expertgruppens arbete har också tre sakkunniga från Utbildningsdepartementet medverkat:

Per Eriksson, jur.kand. och kansliråd. Maria Wästfelt, med.dr. och departementssekreterare på forsk-

ningspolitiska enheten.

Ann-Sofie Hollsten-Yamamoto, fil.kand. och departementssekre-

terare på forskningspolitiska enheten.

Expertgruppen har sammanträtt fem gånger: vid ett första tillfälle våren 2013 för brain storming kring utredningsuppdraget, därefter vid tre tillfällen för att diskutera olika underlag som har tagits fram inom och för utredningen. Vid dessa tillfällen har också externa experter medverkat. Till sist har gruppen träffats en gång för att diskutera ett utkast till betänkande.

2.3. Kontakter

Jag har under utredningsarbetets gång haft omfattande kontakter med forskare, berörda myndigheter och också företrädare för registerbaserad forskning i våra nordiska grannländer.

Jag har gjort dryga tiotalet besök vid olika universitet och träffat ett åttiotal forskare, de flesta med omfattande erfarenheter av registerbaserad forskning. Jag har haft en överläggning med styrelsen för Svensk Nationell Datatjänst (SND). Jag har vidare träffat företrädare för (i bokstavsordning) BBMRI.se, BRÅ, Centrala etikprövningsnämnden (CEPN), Datainspektionen, Forskningsrådet för hälsa, arbetsliv och välfärd (FORTE), Nationellt Biobanksråd (NBR), regionala etikprövningsnämnder, Riksarkivet, VR, Rättsmedicinalverket, Socialstyrelsen, Statens Medicinsk-Etiska Råd (SMER), SCB, Sveriges Kommuners och Landstings och regeringens gemensamma kvalitetsregisterkansli samt Uppsala biobank.

I ett par hearings har såväl forskare som myndighetsföreträdare deltagit.

Jag har besökt våra nordiska grannländer och träffat företrädare för Ministeriet for Forskning, Innovation og Videregående Uddannelser, Köpenhamns universitet, Statens Serum Institut och Danmarks statistik i Danmark, Folkehelseinstituttet i Norge och Institutet för hälsa och välfärd (Terveyden ja hyvinvoinnin laitos, THL) i Finland.

Jag har därtill deltagit i en ett antal konferenser och seminarier om registerbaserad forskning i regi av Umeå och Lunds universitet, de regionala etikprövningsnämnderna, Nordforsk, Vetenskapsrådet, SCB, Studieförbundet Näringsliv och Samhälle (SNS) och bokförlaget Borea.

På mitt uppdrag har tre underlagsrapporter skrivits för utredningen. Professorerna Robert Erikson och Måns Rosén har skrivit rapporten Stora registermaterial bidrar till bättre forskning, Anders Ekholm med flera rapporten Vad är mikrosimulering? och Joanna Stjernschantz Forsberg rapporten Om registerforskning och integritet.

2.4. Disposition

Betänkandet är disponerat på följande sätt.

I kapitel 1 redovisas författningsförslagen. I kapitel 3 ges en kort introduktion om vad som i detta sammanhang ska förstås med register. Jag beskriver också, likaledes kort, varför myndigheter skapar register med personuppgifter.

I kapitel 4 redovisar jag varför uppgifter ur register kan vara värdefulla för forskningen. Vilka alternativa metoder finns att få fram uppgifter och vilka fördelar och nackdalar finns med olika metoder?

Kapitel 5 är en omfattande genomgång av de rättsliga förutsättningarna för registerbaserad forskning.

I kapitel 6 diskuterar jag förhållandet mellan personlig integritet och registerbaserad forskning. Vilka är riskerna? Vilka värden står på spel? Hur ska man se på intresseavvägningen mellan värdet av registerbaserad forskning och riskerna för den personliga integriteten?

I kapitel 7 redovisas situationen i våra nordiska grannländer. Mycket är ganska likt i dessa, men i några avseenden finns skillnader av intresse.

Kapitel 8 är en genomgång av bakgrunden, nuläget och utmaningarna för registerbaserad forskning. Hur stora är de problem som pekas ut i utredningsdirektiven? Vilka andra problem finns? Och vilka lösningar står till buds?

I kapitel 9 återfinns mina konkreta förslag. I kapitel 10 behandlas ikraftträdande och övergångsbestämmelser. I kapitel 11 redovisas ekonomiska och andra konsekvenser av förslagen och i kapitel 12 finns författningskommentarerna.

2.5. Terminologifrågor

Låt mig också redan inledningsvis beröra ett par terminologiska frågor. Det finns en lång rad begrepp som återkommer i diskussionen om registerbaserad forskning och som inte är helt entydiga. Låt mig därför redovisa hur jag i två avseenden har valt att använda begreppen.

Anonymiserade, kodade och avidentifierade uppgifter

Uppgifter som lämnas ut från ett myndighetsregister till en forskare kan vara identifierbara, till exempel innehålla personnummer, eller vara anonyma för forskaren. För anonyma uppgifter finns olika begrepp. Jag väljer att använda begreppet anonymiserade uppgifter för alla uppgifter som forskaren inte har möjlighet att koppla till specifika individer. Uppgifterna kan vara helt avidentifierade. Då har ingen möjlighet att göra en sådan koppling. Men de kan också vara kodade. Forskaren får då ut uppgifterna med till exempel ickeidentitetsbärande löpnummer och utlämnande myndighet behåller en kodnyckel som gör det möjligt att hos myndigheten koppla löpnumren till personnummer. Då kan utlämnade uppgifter vid behov kompletteras eller uppdateras. Definitionerna sammanfattas i Figur 1.

I den internationella diskussionen används ibland begreppet pseudonymiserade i stället för kodade. I Sverige avses ibland med avidentifierade uppgifter kodade uppgifter. Det kan också förekomma att begreppet anonymiserade används i stället för avidentifierade, det vill säga för uppgifter som inte kan identifieras. Det finns även de som förespråkar att man alltid ska använda begreppen kodade och avidentifierade och inte ska ha något samlande namn för uppgifter som för forskaren är anonyma.

Begreppsförvirringen blir inte mindre av att även anonymiserade, eller till och med avidentifierade, uppgifter ibland kan återidentifieras. Det kallas bakvägsidentifiering och bygger på att man har tillräckligt många uppgifter om en individ för att identifiera honom eller henne. Alla personuppgifter som kan knytas till en levande person är personuppgifter i personuppgiftslagens mening. Även avidentifierade uppgifter kan med andra ord vara personuppgifter.

Figur 1

Forskningsregister och forskningsdatabaser

Det andra området där begreppen blir viktiga gäller register som primärt upprättas för vetenskapliga ändamål. Uppgiftskällorna för sådana register är i princip desamma: antingen får forskaren uppgifterna direkt från enskilda individer (forskningspersoner) eller så hämtas de från register eller biobanker där uppgifterna/proverna primärt samlats in för andra ändamål än forskning.

Vad som kan skilja dessa vetenskapliga register åt är om de har skapats för ett specifikt forskningsprojekt eller om avsikten är att de ska kunna användas för flera framtida forskningsprojekt som inte är definierade när registret byggs upp. De senare registren utgör med andra ord ett slags infrastruktur för framtida forskning (och de nämns som framgått särskilt i utredningsdirektiven). Register som skapas för specifika forskningsprojekt kallar jag i detta betänkande forskningsregister och register av infrastrukturkaraktär, avsedda för framtida forskning, för forskningsdatabaser. Definitionerna sammanfattas i Figur 2.

Det ska dock noteras att uppgifter i ett forskningsregister som har skapats för ett specifikt forskningsprojekt kan komma att användas i andra forskningsprojekt. I Sverige finns en särskild organisation,

Identifierbara

uppgifter

Anonymiserade

uppgifter

Kodade Avidentifierade

SND, där forskare kan deponera sina forskningsmaterial för att de ska kunna komma till användning i andra projekt.

Figur 2

2.6. Förkortningar

Till sist något om förekommande förkortningar.

De flesta namn på myndigheter, institutioner och författningar kommer i det följande att skrivas ut, men vissa förkortningar förekommer, i huvudsak följande:

AKU Arbetskraftsundersökningarna BBMRI.se Biobanking and Molecular Resource Infrastructure

of Sweden

CEPN Centrala etikprövningsnämnden DISC Data Infrastructure Committee ERIC European Research Infrastructure Consortium EU Europeiska Unionen FASIT Fördelnings Analytiskt Statistiksystem för Inkomster och Transfereringar FN Förenta Nationerna IFAU Institutet för arbetsmarknads- och utbildningspolitisk utvärdering IVO Inspektionen för vård och omsorg KI Karolinska Institutet

Forskningsregister: ett register skapat för ett specifikt

forskningsprojekt

Forskningsdatabas: ett register av infrastrukturkaraktär, avsett

att ge underlag för flera olika framtida forskningsprojekt

LIS Luxemburg Income Study LISA Longitudinell Integrationsdatabas för Sjukförsäkrings- och Arbetsmarknadsstudier MONA Microdata Online Access NBR Nationellt biobanksråd NSD Norsk samfunnsvitenskapelig datatjeneste OECD The Organisation for Economic Co-operation and Development OSF Offentlighets- och sekretessförordningen OSL Offentlighets- och sekretesslagen PKU Fenylketonuri (Phenylketonuria) PUL Personuppgiftslagen RBC Regionalt biobankscentrum RF Regeringsformen RMV Rättsmedicinalverket SBR Svenska Biobanksregistret SESIM Swedish Simulation Model SCB Statistiska centralbyrån SHARE Survey of Health, Ageing and Retirement in Europe SIMSAM Swedish Initiative for Research on Microdata in the Social and Medical Sciences SKL Sveriges Kommuner och Landsting SND Svensk Nationell Datatjänst SSB Statistisk Sentralbyrå (Norge) SSI Statens Serum Institut (Danmark) TF Tryckfrihetsförordningen THL Terrveyden ja hyvinvoinnin laitos, Institutet för hälsa och välfärd (Finland) UGU Utvärdering Genom Uppföljning

ULF Undersökningarna om levnadsförhållanden VR Vetenskapsrådet YGL Yttrandefrihetsgrundlagen

3. Vad menas med register?

Vilka faktorer påverkar uppkomsten av sjukdomar? Varför är vissa människor mer förskonade från sjukdomar än andra? Vilken betydelse har i sammanhanget ärftliga och miljömässiga faktorer? Hur kan sjukdomar förhindras? Eller om de ändå uppkommer, lindras eller i bästa fall botas? På vilket sätt bör insatserna ta hänsyn till individers olika förutsättningar? Hur kan elever med en besvärlig socioekonomisk bakgrund på bästa sätt stödjas i skolan för att få bättre utsikter till ett gott liv? Hur ska välfärdsprogram utformas för att nå bästa möjliga resultat för utsatta individer? Hur påverkar olika skatte- och bidragssystem inkomstfördelningen?

För att kunna svara på sådana frågor måste forskare i allmänhet ha tillgång till uppgifter om individer. De uppgifterna kan de få på i princip två sätt: antingen genom att samla in dem direkt från enskilda eller genom att återanvända uppgifter som redan har samlats in för andra ändamål och som återfinns i myndighetsregister av olika slag.

I det här kapitlet kommer jag att kortfattat beskriva först vad det finns för typer av register med personuppgifter, som har skapats för

andra ändamål än forskning, men som kan vara till nytta i forskningen.

I kapitel 3 kommer jag att gå närmare in på varför det i många sammanhang är värdefullt för forskningen att kunna använda uppgifter från sådana register. I slutet av det här kapitlet ska jag också i all korthet beskriva några olika typer av register som har skapats för forskning.

3.1. Vad är registerbaserad forskning?

Ett syfte med den här utredningen är att undersöka hur registerbaserad forskning ska kunna underlättas i Sverige. Vad som avses med registerbaserad forskning är inte helt entydigt, men i utredningsdirektiven framhålls:

I dataskyddssammanhang används ofta begreppen register och databaser samt andra begrepp som avser avgränsade uppgiftssamlingar. I det följande avses med register även databaser, elektroniska ärendehanteringssystem eller motsvarande samlingar av uppgifter och med registerbaserad forskning den forskning som innefattar behandling av uppgifter som forskare dels hämtat från uppgiftssamlingar hos myndigheter, dels själva samlat in genom olika mätningar eller direkt från enskilda.

Med registerbaserad forskning avses i utredningsdirektiven således

såväl forskning som använder uppgiftssamlingar av olika slag hos

myndigheter som forskning baserad på uppgifter som forskare själva har samlat in.

3.2. Vad är ett register?

Ett register är en förteckning med uppgifter.1Uppgifterna kan avse individer, men naturligtvis också mycket annat, såsom företag, fordon, läkemedel, fastigheter, trossamfund, genetiskt modifierade mikroorganismer, patent, inteckningar eller fiskevårdsområden. I den här utredningen är fokus på register med personuppgifter, men det hindrar inte att även andra register kan vara av intresse för andra typer av forskning än den som här behandlas.

Som framgår av citatet från utredningsdirektiven finns det andra begrepp som används i det närmaste synonymt med register, exempelvis databas.2 Även begreppet datalager förekommer, i synnerhet när det gäller uppgiftssamlingar för statistikändamål. Personuppgiftslagen (PUL) talar om strukturerade samlingar av personuppgifter, som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 § PUL). Detta kan ses som en beskrivning av vad ett register, eller en databas eller ett datalager, med personuppgifter är. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en person som är i livet (3 § PUL).

1 Med register avses ofta en total förteckning av objekt i en viss mängd eller population. På grund av brister i kvalitet och insamlingsmetod kan uppgifter saknas eller vara för många. Detta brukar kallas under- respektive övertäckning i ett register. 2 I 1 kap. 1 § yttrandefrihetsgrundlagen definieras databas som en samling av information lagrad för automatiserad behandling. I flera s.k. registerförfattningar används uttrycket databas som en benämning på en samling uppgifter som med hjälp av automatiserad behandling används gemensamt. Uttrycket databas har dock ifrågasatts. Skälen är att uttrycket kan leda tanken till ett visst, i tekniskt avseende avgränsat, informationssystem där informationen har strukturerats på ett visst sätt. (En databas för övervakning av och tillsyn över finansmarknaderna, SOU 2012:79)

3.3. Varför skapar myndigheter register?

Register kan upprättas av olika huvudmän, såväl offentliga som privata, ha olika syften och innehålla uppgifter av olika slag. De register som i första hand är intressanta för den här utredningen är sådana som finns hos myndigheter.

Det finns en rad skäl för myndigheter att upprätta register med personuppgifter.

  • Administration. Myndigheter måste ofta för att kunna fullgöra sina uppgifter hålla reda på vilka som är medborgare i Sverige och vilka som i övrigt har rätt att uppehålla sig i landet. Det är viktigt till exempel för att veta vilka som har rätt att rösta i allmänna val, vilka som är skattskyldiga och hur mycket de ska betala i skatt och vilka som har rätt till ersättningar och förmåner av olika slag.
  • Statistik. Vissa myndigheter har till uppgift att sammanställa statistik som speglar tillståndet och utvecklingen inom olika samhällsområden. Statistik är ett viktigt underlag för allmän information och för politiska bedömningar och beslut. Ofta hämtas de uppgifter som behövs för statistik ur register som har upprättats för administrativa ändamål, men ibland måste uppgifter samlas in direkt från enskilda.
  • Utvärdering, uppföljning och kvalitetssäkring. Myndigheter, såväl statliga som kommunala och landstingskommunala, tillhandahåller tjänster av olika slag till invånarna. För att kunna bedöma tjänsternas kvalitet, om de når sitt syfte och hur de kan utvecklas, måste ofta uppgifter från individer användas. Det sker i betydande omfattning inom exempelvis hälso- och sjukvården. Såväl Socialstyrelsen som kommunala huvudmän sammanställer uppgifter för att möjliggöra utvärdering, uppföljning och kvalitetssäkring.
  • Effektbedömningar. Regeringen, riksdagen och olika myndigheter använder ofta registeruppgifter och statistiska metoder för att försöka bedöma effekterna av planerade och gjorda insatser, till exempel med hjälp av så kallade mikrosimuleringsmodeller som förutsätter tillgång till uppgifter om individer.

Uppgifter om individer, och sammanställningar av sådana uppgifter, är således nödvändiga för att kunna styra riket, bedöma samhällsutvecklingen och kvalitetssäkra verksamheter.

Det finns ett omfattande regelverk för behandlingen av personuppgifter. Vem har rätt att samla in uppgifter? Vilket rättsligt stöd krävs för att få göra det? Hur får personuppgifterna behandlas? Vem har rätt att få tillgång till uppgifterna? I vissa fall kan det vara känsligt om personuppgifter kommer i orätta händer, till exempel sådana uppgifter som samlas in inom hälso- och sjukvården. Därför finns särskilda regler för att skydda den personliga integriteten. I kapitel 5 kommer jag att närmare redovisa gällande regelverk.

Medverkan i register kan vara obligatorisk eller frivillig. Att finnas med i register som används för administrativa ändamål är i regel obligatoriskt. Det är också obligatoriskt att medverka med vissa uppgifter som samlas in inom vården i så kallade hälsodataregister. I andra register är medverkan frivillig, till exempel i de nationella och regionala kvalitetsregister, som upprättas inom hälso- och sjukvården, och där uppgifter om olika sjukdomar och behandlingar samlas. Det gäller också så kallade biobanker där vävnadsprover från patienter i sjukvården bevaras. Det är också frivilligt att medverka i vissa undersökningar där uppgifter samlas in för statistiska ändamål, till exempel de arbetskraftsundersökningar (AKU) som görs av Statistiska centralbyrån (SCB).

3.4. Hur ser ett register ut?

Ett personregister består typiskt sett av poster och uppgifter om dessa. Ett register med individer kan se ut så här:

Uppgifter

Poster A

B

C

D

E

1 a1

b1

c1

d1

e1

2 a2

b2

c2

d2

e2

3 a3

b3

c3

d3

e3

4 a4

b4

c4

d4

e4

5 a5

b5

c5

d5

e5

Posterna (1, 2, 3, 4, 5) är i de register som här diskuteras i första hand individer. Uppgifterna, eller variablerna, (A, B, C, D, E) kan i register med individer avse till exempel kön, ålder, födelseort, bostadsort, yrke, utbildning, inkomst eller olika hälsokriterier. Den viktiga

informationen i registret är i regel de värden a1, b3, c2, d5, e4 etc., som anges i tabellens ”celler”.

När posterna är individer är de vanligen försedda med unika identitetsbeteckningar i form av personnummer för att säkert kunna identifieras. På motsvarande sätt har företag, organisationer och fastigheter specifika identitetsbeteckningar i andra register. Det är tämligen unikt för de nordiska länderna att samma identitetsbeteckningar används i snart sagt alla register. Det innebär en rad fördelar. Framförallt underlättar det spårbarheten. Det gör det exempelvis enklare för en enskild att ta reda på vilka uppgifter om honom eller henne som finns i olika register. Det gör det också förhållandevis enkelt att för en och samma individ hämta och sammanställa uppgifter från olika register.

Värdet i vissa celler är givet en gång för alla, till exempel födelseort, medan andra, såsom inkomst och hälsotillstånd, kan variera över tid. Förändringarna kan registreras löpande eller vid återkommande insamlingstillfällen. Det kan vara väsentligt att spara de historiska värdena och att registrera tidpunkterna för förändringar för att till exempel kunna följa utvecklingen över tid.

Värdena kan delvis vara ett resultat av gällande regelsystem och således ändras om reglerna ändras. När till exempel regeringen överväger att ändra skatte- eller bidragsregler är den intresserad av hur detta påverkar värdena. För att undersöka det används som nämnts ofta så kallade mikrosimuleringsmodeller som kräver en omfattande tillgång till individuppgifter.

3.5. Olika typer av myndighetsregister

3.5.1. Register för administrativa ändamål

I Sverige torde det finnas över hundra administrativa register med personuppgifter av olika slag. Ett tjugotal av dessa omfattar en stor del av befolkningen, ofta i princip alla eller alla som är berörda. Ett exempel är Skatteverkets folkbokföringsdatabas som i princip omfattar alla. Skatteverket för också skatteregistret med bland annat taxerade och pensionsgrundande inkomster. Andra exempel på administrativa register är Rikspolisstyrelsens register över nationella identitetskort och pass, Totalförsvarets pliktverks över totalförsvarspliktiga och Centrala studiestödsnämndens över personer som får studiestöd eller har studieskulder. Äktenskap och partnerskap finns

i särskilda register. I socialförsäkringsdatabasen finns flera socialförsäkringsregister samlade. Uppgifterna där används för att kunna administrera olika förmåner och bidrag.

Utöver dessa register finns ett stort antal register med andra uppgifter än sådana som är knutna till personer, till exempel företag, anläggningar och kemikalier. Även dessa regleras i författningar. Totalt finns det drygt 200 registerförfattningar.

3.5.2. Uppgiftssamlingar för statistiska ändamål

För forskningen är ofta de uppgifter som utgör underlag för den

officiella statistiken av särskilt intresse. Det är SCB och 26 andra sta-

tistikansvariga myndigheter som har i uppdrag att producera officiell statistik. En stor del, enligt vissa uppskattningar så mycket som 95 procent, av uppgifterna är sådana som ursprungligen har samlats in för administrativa ändamål. Resten samlas in direkt för statistiska ändamål. Regeringen beslutar vilka myndigheter som ska producera officiell statistik och inom vilka ämnesområden. Sammantaget ska det finnas officiell statistik inom 22 ämnesområden som här exemplifieras med tio områden där statistiken till stor del baseras på personuppgifter.3 Inom parentes ges exempel på statistikområden inom respektive ämnesområde.4

  • Arbetsmarknad (sysselsättning, förvärvsarbete och arbetstider, vakanser och arbetslöshet, arbetsmiljö, arbetsskador, löner och arbetskostnader)
  • Befolkning (befolkningens storlek och förändringar, befolkningens sammansättning)
  • Demokrati (allmänna val, partisympatier)
  • Hushållens ekonomi (inkomster och inkomstfördelning, hushållens utgifter)
  • Hälso- och sjukvård (hälsa och sjukdomar, hälso- och sjukvård, dödsorsaker)
  • Levnadsförhållanden (jämställdhet, levnadsförhållanden)

3 År 2011 fanns det inom de 22 ämnesområdena för officiell statistik 112 statistikområden och 356 statistikprodukter (i regel tabeller), SOU 2012:83. 4 www.scb.se.

  • Rättsväsende (brott, för brott lagförda, kriminalvård, återfall i brott)
  • Socialförsäkring med mera (stöd till barnfamiljer, stöd vid sjukdom och handikapp, stöd vid ålderdom)
  • Socialtjänst med mera (individ- och familjeomsorg, stöd och service till personer med funktionsnedsättning, äldre- och handikappomsorg)
  • Utbildning och forskning (skolväsende och barnomsorg, högskoleväsende, studiestöd, forskning, befolkning och utbildning)

I Statistikutredningens delbetänkande Registerdata för forskning redovisas ett femtiotal befolkningsbaserade register hos myndigheter, vilka bedömdes vara av särskilt intresse för forskningen.5 Det är huvudsakligen register som är underlag för statistik. Merparten av registren nedan finns hos SCB eller Socialstyrelsen. Vissa av dem hanteras av SCB på uppdrag av andra myndigheter, såsom Skolverket, Universitetskanslersämbetet och Arbetsmiljöverket. Här ges exempel på sådana befolkningsbaserade register. Alla är totalregister över befolkningen eller den del av befolkningen som är berörd utom de tre sistnämnda, som är baserade på ett mindre urval av befolkningen.

  • Registret över totalbefolkningen (RTB)
  • Flergenerationsregistret
  • Registret över inkomster och taxeringar
  • Registret över befolkningens utbildning
  • Skolverkets elevregister
  • Registret över betyg i årskurs 9
  • Registerbaserad arbetsmarknadsstatistik (RAMS)
  • Patientregistret
  • Cancerregistret
  • Läkemedelsregistret
  • Registret över socialtjänstinsatser till äldre och personer med funktionsnedsättning

5SOU 2012:36.

  • Registret över anmälda och uppklarade brott, misstänkta personer
  • Registret med mikrodata för analys av socialförsäkringen

(MiDAS)

  • Arbetskraftsundersökningarna (AKU)
  • Undersökningarna av levnadsförhållanden (ULF/SILC6)
  • Valundersökningarna

Ett register som ofta kommer till användning i forskning är det först nämnda i denna uppräkning, det vill säga Registret över totalbefolk-

ningen (RTB), som finns hos SCB. Som exempel på vad ett register

kan innehålla redovisas här de uppgifter om individer som finns i RTB7.

  • Personnummer, kön, ålder
  • Namn, Adress
  • Folkbokföringsförhållanden (län, kommun, församling och fastighet)
  • Civilstånd
  • Medborgarskap
  • Födelseland
  • Utländsk/svensk bakgrund
  • Födda
  • Döda
  • Civilståndsändring
  • Inrikes flyttning
  • Invandring
  • Utvandring
  • Relationer (maka/make, registrerad partner, biologiska föräldrar, adoptivföräldrar, vårdnadshavare)
  • Föräldrarnas födelseland

6 Statistics on Income and Living Conditions, SILC, är en undersökning som görs i EU:s medlemsländer av levnadsförhållanden. 7 SCB:s data för forskning 2013.

  • Grund för bosättning (för personer som beviljats uppehållstillstånd eller fått uppehållsrätt i Sverige)

Det finns också register som skapas med hjälp av uppgifter från flera andra register. Syftet kan vara att kunna följa utvecklingen inom ett visst område. Ett sådant är SCB:s Longitudinell integrationsdatabas

för sjukförsäkrings- och arbetsmarknadsstudier (LISA). I databasen

finns uppgifter om samtliga personer som är 15 år och äldre som varit folkbokförda i Sverige den 31 december det aktuella året. Genom att databasen uppdateras varje år kan utvecklingen för enskilda individer följas, till exempel perioder med förvärvsarbete, arbetslöshet och sjukdom kopplade till ett stort antal bakgrundsvariabler. Uppgifterna i LISA hämtas ur ett tiotal olika register.8

  • Registret över totalbefolkningen (RTB)
  • Folk- och bostadsräkningen 1990
  • Registerbaserad arbetsmarknadsstatistik (RAMS)
  • Registret över befolkningens utbildning
  • Registret över personer i utbildning
  • Inkomst- och Taxeringsregistret (IoT)
  • Arbetsförmedlingens sökanderegister
  • Försäkringskassans datalager (STORE-databasen)
  • Registret över företagens ekonomi
  • Registret med ekonomiska data för kommuner
  • Registret med ekonomiska data för landsting

3.5.3. Kvalitetsregister och biobanker

Utöver dessa befolkningsbaserade register hos centrala myndigheter finns ett stort antal kvalitetsregister inom hälso- och sjukvården för vilka sjukvårdshuvudmännen – landstingen – är ansvariga. Det finns ett 80-tal certifierade nationella register som samlar data om interventioner, sjukdomsepisoder eller kroniska sjukdomar.9

8 SCB:s data för forskning 2013. 9 Se vidare avsnitt 8.2.2.

Det finns också en annan form av uppgiftssamlingar som jag kommer att beröra i utredningen, nämligen biobanker. I biobanker samlas och bevaras vävnadsprover, som framförallt har tagits på patienter i hälso- och sjukvården, men i vissa fall också på individer inom ramen för forskning. Sammantaget finns i Sverige cirka 600 biobanker. En biobank är inte i sig ett register, men det finns i anslutning till biobankerna register med uppgifter om provgivarna, var i kroppen proverna är tagna, hur de förvaras med mera. I Svenska Biobanksregistret (SBR), som är under uppbyggnad, samlas uppgifter om vilka vävnadsprover på individnivå som finns i de olika biobankerna. SBR är än så länge ett regionalt och lokalt system. Det finns alltså inget centralt register med dessa uppgifter. Däremot finns det hos Inspektionen för vård och omsorg (IVO) ett register över vilka biobanker som finns i Sverige. Det registret innehåller dock inga personuppgifter.10

3.6. Register för forskningsändamål

Som jag har konstaterat behöver forskare ofta uppgifter om individer för att kunna belysa och skaffa nya kunskaper om olika samhällsfenomen. Uppgifterna kan samlas in av forskarna direkt från individerna (forskningspersonerna) eller hämtas ur uppgiftssamlingar av det slag som jag här har gett exempel på och som primärt har skapats för andra ändamål än forskning. Uppgifter från sådana källor kan sammanföras i särskilda register för forskningsändamål. När forskare samlar in uppgifter direkt från individer är uppgiftslämnarens medverkan alltid frivillig.

De flesta register som skapas för forskning är knutna till ett specifikt forskningsprojekt. Uppgifterna samlas in för att besvara vissa konkreta forskningsfrågor och förstörs eller arkiveras när projektet är slutfört. Sådana register kallar jag forskningsregister. Det finns också register som snarare kan betecknas som ett slags infrastruktur. Syftet är de ska kunna tjäna flera olika forskningsprojekt, ibland till och med inom olika vetenskapliga discipliner, som inte är kända när registret börjar byggas upp. Ett par exempel på sådana register av infrastrukturkaraktär som är i bruk är Utvärdering Genom Uppföljning (UGU), en av Sveriges äldsta forskningsdatabaser som avser utbildningsområdet och som finns vid Göteborgs universitet, och Svenska Tvillingregistret, som finns vid Karolinska Institutet. Några

10 Se vidare avsnitt 8.2.3.

sådana forskningsdatabaser har skapats efter beslut i riksdagen, till exempel IFAU-databasen, som finns hos Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) i Uppsala, och LifeGene, som är på väg att byggas upp vid Karolinska Institutet i samarbete med flera andra universitet. Sådana register av infrastrukturkaraktär, avsedda att betjäna flera framtida forskningsprojekt, har jag valt att kalla forskningsdatabaser.

3.6.1. Kodade och avidentifierade uppgifter

När forskare får ut uppgifter från myndighetsregister är dessa i regel anonymiserade. Anonymiserade uppgifter kan vara kodade eller helt avidentifierade. Att uppgifterna är kodade innebär att forskaren får ut dem anonymiserade, det vill säga utan att individerna direkt kan identifieras, men att den utlämnande myndigheten behåller en kodnyckel som gör det möjligt att senare komplettera uppgifterna. För avidentifierade uppgifter finns inte denna möjlighet. Myndigheterna kan i undantagsfall också lämna ut uppgifter med identitet till forskare. Det kan handla exempelvis om att forskarna behöver kontakta de personer uppgifterna avser eller om att uppgifter ur ett register måste kontrolleras mot eller kompletteras med uppgifter från patienters sjukjournaler.

För behandlingen av personuppgifter finns särskilda regler i PUL. Med personuppgifter avses i PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att alla kodade uppgifter är personuppgifter, men att även avidentifierade uppgifter kan vara personuppgifter om det är möjligt att med utgångspunkt i dessa återidentifiera individerna. Man måste alltså skilja mellan i vilka former uppgifter kan lämnas ut till forskare och vad som är personuppgifter.

Forskare som använder uppgifter från SCB och flera andra statistikansvariga myndigheter kan använda SCB:s så kallade MONAsystem. MONA står för Microdata Online Access. Genom MONA får användaren tillgång till uppgifter som finns i SCB:s och andra myndigheters datalager. Ett forskningsregister, med de uppgifter forskaren behöver, skapas hos SCB. Forskaren kan via Internet göra bearbetningar och har också möjlighet att bevara tabeller för vidare bearbetning, men fysiskt återfinns forskningsregistren hos

SCB. Resultaten av bearbetningarna kan dock i aggregerad form skickas via e-post till användaren.11

MONA är ett system som möjliggör fjärråtkomst till uppgifter på ett smidigt och säkert sätt. I vissa fall kan systemet dock inte tillgodose forskarens behov. Viss bearbetning av data låter sig inte göras utan att forskaren får fullständig tillgång till uppgifterna. För närvarande ges inte heller åtkomst inom ramen för MONA-systemet till de hälsodataregister som Socialstyrelsen ansvarar för. Jag ska återkomma till dessa frågor i kapitel 8.

11 www.scb.se.

4. Varför är registeruppgifter bra för forskning?

Regeringen har i de senaste forskningspropositionerna framhållit den roll som ett utnyttjande av svenska befolkningsbaserade register kan spela för kunskapsutvecklingen och forskningen. I 2008 års forskningsproposition konstaterades att ”registerhållningen över hela befolkningen och systemet med personnummer ger unika förutsättningar för att studera angelägna, tvärvetenskapliga frågor kring sambandet mellan samhällsförhållanden, ekonomi och hälsa”.1 I den senaste forskningspropositionen 2012 framhölls att ”det finns ett antal viktiga frågeställningar som kan besvaras genom forskning om man kan kombinera olika register och datamaterial”.2Regeringen noterade också att man med hjälp av så kallade mikrosimuleringsmodeller, som använder uppgifter från olika register, kan beräkna effekten av olika insatser och policyförändringar.

I det följande ska jag ge exempel på när stora datamaterial som återfinns i register av olika slag kan vara särskilt värdefulla för forskningen och också på forskning som har utnyttjat sådana material. Dessa exempel är endast tänkta som illustrationer och är inte nödvändigtvis de bästa som kan ges.

Det är viktigt framhålla att registerbaserad forskning är en sedan länge etablerad metod i Sverige. Exemplen i detta kapitel är ett uttryck för det. En omfattande forskning har kunnat bedrivas och bedrivs inom ramen för gällande regelverk. Uppgiften för denna utredning är således inte att bryta ny mark utan att undersöka vilka möjligheter som finns att underlätta för registerbaserad forskning och därmed skapa förutsättningar för en expansion av den.

Tack vare registren kan forskare i Sverige, liksom i de övriga nordiska länderna, till måttliga kostnader genomföra många studier som i andra länder kräver utomordentligt stora satsningar, om de

1Prop. 2008/09:50. 2Prop. 2012/13:30.

överhuvudtaget kan genomföras. Myndighetsregistren omfattar som regel hela befolkningen eller i vilket fall den del av befolkningen, som berörs av det förhållande som registret avser. I den mån forskarna kan utnyttja registren får de därför tillgång till uppgifter om hela (den aktuella) befolkningen.

Stora datamaterial förbättrar ofta möjligheterna att påvisa och finna orsaker till varför ekonomiska och sociala förhållanden varierar i samhället och gör det möjligt att påvisa effekter av olika åtgärder, vare sig de rör hälso- och sjukvård, socialtjänst eller ekonomiska och andra sociala interventioner. Register har även ett stort användningsområde när det gäller att kartlägga hur hälsa och sociala förhållanden utvecklas över tid och att identifiera problem som kan behöva åtgärdas.

Inledningsvis (avsnitt 4.1–4.2) beskriver jag betydelsen av att deskriptivt kunna visa på förhållanden i samhället för att därefter (4.3–4.4) komma in på förutsättningarna för en mer analytisk och orsaksinriktad forskning.3

4.1. Att följa samhällsförändringar över tid och i olika grupper

Av en rad olika skäl är det viktigt att kunna följa hur samhället förändras. Vilka positiva och negativa trender finns för hälsa och sociala förhållanden? Finns det grupper som erfar en utveckling som påtagligt avviker från den för majoriteten? Varierar hälsa och sociala förhållanden mellan olika delar av Sverige? Ges vård eller omsorg till alla på lika villkor? Har kvinnor och män samma möjligheter? Hur går det för invandrare och för barn med ensamstående föräldrar?

För att få svar på frågor som dessa behövs stora datamaterial som täcker hela landet och i vilka man kan följa utvecklingen för de enskilda individerna. För att kunna avgöra om det är 10 personer som har behandlats en gång eller en person som har behandlats 10 gånger behöver man veta vilka som har fått behandlingen. För att kunna avgöra om den del av befolkningen som har lägst inkomster består av samma individer från år till år eller om de successivt byts ut måste man kunna följa individer över tid. För att kunna beskriva förhållandena för personer med olika utbildning, födelseland och familjeför-

3 Kapitlet bygger huvudsakligen på en underlagsrapport till utredningen författad av Robert Erikson och Måns Rosén, Stora registermaterial bidrar till bättre forskning.

hållanden måste ofta uppgifter från olika register kopplas samman. I praktiken finns det inget annat sätt att få fram sådana uppgifter.

Utvecklingen av öppna jämförelser i hälso- och sjukvården är ett bra exempel på värdet av att kunna följa upp behandlingar i kliniska register. Genom att följa och mäta skilda kvalitetsindikatorer och jämföra resultaten mellan olika landsting, sjukhus och andra vårdinrättningar har man skapat incitament att höja kvaliteten. Flera exempel visar att detta arbetssätt har räddat liv och förbättrat livskvaliteten för många patienter.

Kliniska kvalitetsregister och öppna jämförelser har till exempel bidragit till stora förbättringar i hjärtinfarktvården4 och visat att vissa höftproteser är betydligt hållbarare än andra och därmed minskat behovet av reoperationer.5 Öppna jämförelser har också visat att långtidsöverlevnad och patienttillfredsställelse är bättre för patienter som vårdats på särskilda strokeenheter.6 Antalet infektioner efter kataraktoperationer har halverats och uppvisar nu en internationellt sett särklassigt låg frekvens.7

För att följa utvecklingen över tid och mellan olika grupper i samhället och för att mäta kvaliteten i vården behövs många gånger heltäckande individregister. När det gäller forskning om orsaker till sjukdomar eller effekter av åtgärder är detta ofta nödvändigt.

4.2. Beskrivning och förklaring

Innan man försöker finna en förklaring till ett samhällsfenomen måste detta beskrivas. Beskrivningen syftar till att visa att det faktiskt existerar. Innan man försöker förklara varför det finns skillnader mellan män och kvinnor måste man visa i vilka avseenden det faktiskt finns sådana skillnader. En god beskrivning är således en första förutsättning för att det ska vara meningsfullt att försöka förklara ett fenomen.

4 Stenestrand, U. et al. Hjärtinfarktvården kraftigt förbättrad 1995–2005. Kvalitetsregister, öppna redovisningar och tydliga terapimål har gett resultat. Läkartidningen 2007;104:1580-3. 5 Haller, N. P. et al. Uncemented and cemented primary total hip arthroplasty in the Swedish Hip Arthroplasty Register. Acta Ortohop 2010;81:34-41. 6 Terent, A. et al. Stroke unit care revisted: who benefits the most? A cohort study of 105 043 patients in Riks-Stroke, the Swedish Stroke Register. J Neurol Neurosurg Psychiatry 2009;80:881-7; Asplund, K. et al. Patient dissatisfaction with acute stroke care. Stroke 2009;40:3851-6. 7 Lundström, M. et al. Endophthalmitis after cataract surgery: a nationwide prospective study evaluating incidence in relation to incision type and location. Ophtomology 2007;114:866-70.

Figur 4.1 Dödsrisk (y-axeln) efter ålder (x-axeln) och utbildningsnivå för män 1991–1996

En studie av sambandet mellan utbildning och dödsrisk kan ses som ett illustrativt exempel på värdet av en beskrivning. Den är baserad på uppgifter för hela befolkningen i de aktuella åldersgrupperna.8

Att det föreligger skillnader i dödsrisk mellan grupper med lägre respektive högre utbildning går att visa med hjälp av många datamaterial, men att visa att sådana skillnader föreligger också mellan dem med olika lång högskoleutbildning kräver ett mycket stort material. Av Figur 4.1 framgår att dödsrisken för män med forskarexamen är påfallande låg liksom att skillnaderna i dödsrisker mellan utbildningsgrupperna systematiskt återkommer i alla åldersgrupper. Detta torde kunna visas bara om materialet innehåller uppgifter för hela befolkningen. I detta fall har uppgifter om utbildning hämtats från folk- och bostadsräkningen 1990 och om dödlighet från dödsorsaksregistret. Även så var, när studien gjordes, antalet kvinnor med forskarutbildning alltför litet för att dödsriskerna bland dem på ett tillförlitligt sätt skulle kunna jämföras med andra gruppers.

En så pass detaljerad jämförelse av dödsrisker mellan olika utbildningsgrupper ökar möjligheterna att i nästa steg förstå bakgrunden till skillnaderna. Ett vanligt antagande är att hälsoskillnader sammanhänger med skillnader i ekonomiska resurser. Att män med doktorsexamen hade lägre dödsrisk än dem med en lång högskoleutbildning

8 Ojämlikhet i hälsa. Ett nationellt forskningsprogram. Socialvetenskapliga forskningsrådet 1998.

0 0,02 0,04 0,06 0,08

0,1 0,12 0,14 0,16

26 31 36 41 46 51 56 61

Elementär Yrkesutb treårig teor Kort högsk Högskola forskarutb

är därför av särskilt intresse, eftersom den senare gruppen faktiskt i genomsnitt hade högre inkomster än doktorerna. Tack vare det stora materialet blir det uppenbart att en förklaring till skillnader i dödsrisk delvis måste sökas i andra förhållanden än ekonomiska resurser.

4.3. Observationsstudier och randomiserade experiment

För att få insikt om vilka konsekvenser som en viss åtgärd får har studier där försökspersoner slumpmässigt placeras i experiment- och kontrollgrupper (på engelska RCT = Randomised Controlled Trials) på goda grunder ofta ansetts vara den bästa metoden. Man ger deltagarna i experimentgruppen en viss behandling och kan därefter, genom att jämföra utfallet med motsvarande för kontrollgruppen, bedöma vad behandlingen hade för effekt. Den slumpmässiga fördelningen av personer till försöks- och kontrollgrupper, randomiseringen, gör att man på det hela taget kan utesluta att eventuella effekter beror på andra orsaker än den man önskar studera.

Ett antal omständigheter gör dock att sådana randomiserade studier inte alltid är tillräckliga eller möjliga att genomföra. Den viktigaste har att göra med vad som kallas extern validitet. Med det avses med vilken säkerhet man kan generalisera resultaten från undersökningsgruppen till hela befolkningen. I vilken utsträckning det kan ske beror vanligen på hur representativ den studerade gruppen är för befolkningen.

Några exempel på vad som kan bidra till osäkerhet på denna punkt: Även om de undersökta grupperna sinsemellan är lika har de i många fall en från befolkningen avvikande sammansättning. Deltagandet i experiment är i regel frivilligt. Det kan till exempel innebära att viktiga patientgrupper exkluderas vid klinisk forskning. Experiment inom psykologisk forskning genomförs i många fall med universitetsstuderande som försökspersoner eftersom de är lätta att rekrytera till studier. Dessa skiljer sig rimligtvis i många avseenden från den övriga befolkningen. Studier av läkemedelsverkningar görs, åtminstone inledningsvis, i regel på begränsade patientgrupper. Det kan också vara svårt att följa försökspersonerna under tillräckligt lång tid för att se de långsiktiga effekterna.

Till det kommer att kostnaden för en omfattande, randomiserad studie i många fall kan uppgå till så höga belopp att bara ett fåtal

tillförlitliga studier kan genomföras. Det finns således starka skäl att komplettera randomiserade studier, och i många fall att helt ersätta dem, med studier som utgår från uppgifter i myndighetsregister, vilka primärt har insamlats för andra ändamål än forskning.

Ett särskilt problem vid alla undersökningar baserade på urval är att alla tillfrågade inte deltar. Detta bortfallsproblem i samband med exempelvis intervju- och enkätundersökningar tenderar att växa. Även i vissa centrala undersökningar som görs av Statistiska Centralbyrån (SCB) är bortfallet förhållandevis stort vilket ökar osäkerheten i utfallet (i Arbetskraftsundersökningarna, AKU, ligger svarsfrekvensen kring 70 procent, i Undersökningarna om levnadsförhållanden, ULF, under 60 procent). En fördel med många register är att de är fullständiga vilket innebär att alla aktuella individer finns med. Det talar för att använda registeruppgifter när sådana finns att tillgå. Registeruppgifter kan emellertid också användas för att analysera bortfallet i urvalsundersökningar. Genom att jämföra ett antal uppgifter, till exempel kön, ålder, typ av bostadsort, utbildning, födelseland, civilstånd och sysselsättning, mellan dem som har svarat och dem som inte har gjort det finns en möjlighet att bedöma hur representativ svarandegruppen är.9

I många fall uppfattas det dessutom som otillräckligt att känna till vilka effekter en viss åtgärd får. En djupgående förståelse för ett samhällsfenomen kräver ofta en uppfattning om vad som kan tänkas påverka detta och det rör sig då oftast om flera faktorer. Snarare än att söka efter effekter av en åtgärd är man ute efter att förstå vilka olika faktorer som ligger bakom ett visst samhällsfenomen.

Ett exempel på hur man kan söka orsaker bakom ett fenomen är ett pågående forskningsprojekt på Karolinska Institutet (KI). Forskarna är på jakt efter olika faktorer som kan påverka uppkomsten och utbredningen av psykiska sjukdomar. De konstaterar att orsakerna till psykisk ohälsa/psykiatrisk sjuklighet är multifaktoriell med varierande inslag av genetisk sårbarhet och påverkan av omgivningsfaktorer under såväl fostertiden som senare i livet. Exempel på omgivningsfaktorer som har visat sig vara associerade med ökad risk för psykiatrisk sjukdom är svår stress och infektioner under graviditeten, tillväxthämning under fostertiden, för tidig födelse, infektioner i hjärnan under uppväxten, uppväxt i socialt utsatt miljö, cannabisbruk, hög pappaålder och immigration. Det är viktigt att

9 Se vidare avsnitt 8.3.2.

förstå mer om mekanismerna bakom dessa iakttagelser för att på sikt kunna lägga grunden för förebyggande program.10

Utbildning anses vara en viktig mekanism genom vilken ungdomar från mindre gynnade klasser kan förbättra sin sociala position. Trots stora förändringar av utbildningsfördelningen har dock den sociala rörligheten endast ökat obetydligt. Det gör det angeläget att söka efter andra och uppenbarligen mer grundläggande orsaker till social rörlighet. För att kunna göra det krävs observationer av material på befolkningsnivå.

Observationsstudier kan också vara den enda framkomliga vägen till fördjupad kunskap när det inte är möjligt eller etiskt acceptabelt att bestämma vilka som ska utsättas för en viss behandling och vilka som inte ska få den. Ofta uppfattas det som stötande att slumpmässigt lotta personer till försöks- och kontrollgrupper. Samtidigt pågår i samhället hela tiden olika ”behandlingar” vars effekter kan studeras. Behandlingarna har inte lottats fram slumpmässigt, men med tillräckligt stort underlag finns metoder att eliminera effekterna av andra omständigheter som kan påverka utfallet.

Heltäckande register utgör således viktiga baser för observationsstudier, men de kan också vara bas för randomiserade experiment.11Om man till exempel inte vet vilken av två behandlingar som är bäst utan bedömer dem som likvärdiga, kan läkaren med patientens samtycke slumpmässigt avgöra vilka som ska få behandling A respektive B. En sådan studie har gjorts i Sverige med hjälp av kvalitetsregistret för angiografi och dödsorsaksregistret. När patienter kom in för angiografi och registrerades i angiografiregistret slumpades de till att endast få ballongvidgning (PCI = Percutan Coronar Interven-

tion) eller att få ballongvidgning som föregicks av blodproppsutdrag-

ning vid akuta hjärtbesvär. Man fann att blodproppsutdragning inte reducerar risken att dö inom 30 dagar jämfört med endast ballongvidgning. Studien publicerades i den högt rankade tidskriften New

England Journal of Medicine och följdes av en kommentar om att

denna metod innebar ett paradigmskifte i forskningen.12Studien kunde med detta upplägg genomföras betydligt snabbare och för en bråkdel av vad den annars skulle ha kostat.

10 Institutionen för folkhälsovetenskap, Karolinska institutet, Ansökan om etikprövning samt intervju med Christina Dalman 2013-12-19. 11 Fröbert O. et al. Thrombus aspiration during ST-segment elevation myocardial infarction. NEJM 2013;DOI:10.1056/NEJMoa308789. 12 Lauer M. S., D'Agostino R. B. The randomized registry trial – The next disruptive technology in clinical research? NEJM 2013;DOI:10.1056/NEJMp1310102.

4.4. När behöver man stora och kanske heltäckande datamaterial?

Ett enda myndighetsregister är sällan av större intresse i forskningssammanhang. Det är möjligheten att koppla individuppgifter i olika register, och kanske än mer möjligheten att koppla uppgifter som forskare själva samlat in till uppgifter i myndighetsregister, som ger dessa register deras stora potential. Jag ska här redovisa ett antal förhållanden som gör att tillgång till stora registermaterial är ett önskvärt, och i många fall nödvändigt, villkor för tillförlitliga forskningsresultat. Det illustreras också med ett antal exempel på sådana forskningsresultat.

4.4.1. Ovanliga företeelser

Det mest uppenbara fallet då mycket stora datamaterial krävs för tillförlitliga resultat är när det endast är få personer som karakteriseras av det tillstånd man vill studera.

I ett forskningsprojekt inom ramen för en statlig utredning från början av 1990-talet kunde barn till invandrare delas upp i ett relativt stort antal grupper efter faderns ursprungsland. Som framgår av Tabell 4.1 visade det sig att det fanns stora skillnader i utbildning beroende på från vilket land, eller i några fall vilken världsdel, fadern hade kommit. Barn till fäder från Polen och Baltikum gick i cirka dubbelt så stor utsträckning som barn till infödda genom universitet, medan barn till fäder från Danmark, Finland och Jugoslavien gjorde det i endast hälften så stor utsträckning. Barn till invandrare från Grekland och Turkiet avslutade i många fall sin utbildning direkt efter grundskolan, men tog samtidigt, när hänsyn hade tagits till föräldrarnas sociala position, i stor utsträckning universitetsexamen.

En sådan beskrivning ger förutsättningar för en fördjupad analys. De låga andelarna med universitetsutbildning bland barn till invandrare från vissa länder förefaller inte bero på invandrarbakgrunden i sig, utan kan kanske snarare förklaras av dessa gruppers socioekonomiska position.

Exemplet visar att även med fullständiga material kan grupperna ibland bli små. De fanns så få individer från länderna i Latinamerika, Afrika och Asien att dessa fick klumpas ihop på världsdelsnivå i stället för landsnivå.13

13SOU 1993:85.

Tabell 4.1 Utbildning över den obligatoriska, tre/fyraårig teoretisk gymnasieutbildning och universitetsutbildning bland barn till invandrare från olika länder i förhållande till motsvarande utbildning bland barn till infödda svenskar (referens = 1.0). Relativa chanser (A) utan kontroll för bakgrundsfaktorer och (B) med kontroll för familjesammansättning, kön, födelsekohort, föräldrarnas klasstillhörighet och utbildning. Endast personer födda i Sverige åren 1953–70 (för universitet 1953–64).

Mer än obl. utbildning 3–4 årigt gymnasium Universitet

Faders ursprungsland A

B

A

B

A

B

Polen

1.09 1.07 1.81 1.53 2.27 1.91

Baltikum

1.31 1.18 1.94 1.53 2.03 1.49

Latinamerika 0.85 0.74 1.30 1.19 1.91 1.49 Grekland 0.62 0.78 0.88 1.71 0.75 1.47 Turkiet 0.55 0.64 0.59 1.16 0.60 1.26 Öv. Östeuropa 1.16 1.05 1.57 1.28 1.49 1.16 Afrika 1.07 0.70 1.67 1.12 1.96 1.13 Öv. Sydeuropa 0.97 0.89 1.27 1.40 0.90 1.06 Sverige 1.00 1.00 1.00 1.00 1.00 1.00 Västeuropa (inkl USA) 1.24 0.91 1.70 1.15 1.51 0.99 Norge 0.90 0.84 1.12 0.96 1.18 0.98 Asien + Oceanien

1.17 0.75 1.73 1.11 2.01 0.94

Jugoslavien 1.06 1.12 1.08 1.64 0.59 0.88 Finland 0.82 0.95 0.69 1.02 0.53 0.87 Danmark + Island 0.61 0.64 0.60 0.69 0.62 0.71

Not: Länderna är rangordnade efter universitetsparametern från modell B med kontroll för familjesammansättning, kön, födelsekohort, föräldrarnas klasstillhörighet och utbildning.

Detta exempel visar hur det tack vare stora datamaterial är möjligt att studera utfall även för små grupper. Ett annat visar på möjligheten att undersöka sällsynta utfall. Robert Erikson och Jenny Torssander kunde visa att skillnaderna mellan samhällsklasserna bland kvinnor var obefintliga för cancer i huden, äggstockarna och brösten medan det förelåg betydande skillnader i fråga om cancer i munhålan och svalget. I de sistnämnda fallen var risken för icke yrkesutbildade arbetare mer än en och en halv gång så hög som för högre tjänste-

män.14Att hela befolkningen utgjorde underlaget i studien gav möjlighet att skilja mellan cancer i olika organ (och även andra dödsorsaker) och att visa i vilka avseenden skillnaderna mellan samhällsklasserna var påtagliga. Därmed förbättrades också möjligheterna att förstå bakgrunden till dessa skillnader.

En dansk studie, som omfattade alla barn födda i Danmark under åren 1991–1998, gav möjlighet att pröva den på basis av några mindre studier framförda hypotesen att vaccination mot mässling, påssjuka och röda hund ökade risken för autism. Genom att sammanföra information i olika register kunde de danska forskarna identifiera 316 barn med diagnosen autism och visa att det inte fanns något samband mellan vaccinationen och denna diagnos.15 Resultatet är utomordentligt viktigt eftersom man utan denna kunskap kunde ha avstått från att vaccinera barnen, med åtföljande risker. I praktiken hade det inte varit omöjligt att få fram denna kunskap utan en heltäckande studie. En liknande studie men byggd på ett urval skulle inte kunna få tillräcklig statistisk kraft vid ett så sällsynt utfall som autism.

Ytterligare ett exempel är när man inom den medicinska forskningen önskar studera samsjuklighet. Fang Fang med flera undersökte risken för självmord och död i hjärtkärlsjukdom direkt efter en cancerdiagnos. Studien använde de svenska hälso- och sjukvårdsregistren och inkluderade alla personer som drabbades av cancer mellan 1991 och 2006. Det var bara en liten andel av cancerpatienterna som begick självmord direkt efter att de hade fått diagnosen, men jämfört med personer utan cancer hade de en klart förhöjd risk för såväl självmord som att dö i hjärtkärlsjukdom. En viktig slutsats var att nydiagnostiserade cancerpatienter behöver ett förbättrat omhändertagande.16

14 Erikson, R., Torssander, J. Social class and cause of death. The European Journal of Public Health, 2008 Vol. 18: 473–478. 15 Madsen, M. et al. A population-based study of measles, mumps, and rubella vaccination and autism N Engl J Med 2002; 347:1477–1482. 16 Fang Fang et al. Suicide and Cardiovascular Death after Cancer Diagnosis. New Engl J Med 2012:366; 14.

4.4.2. Kopplingar mellan urvalsundersökningar och registermaterial

Alla uppgifter som forskare är intresserade av finns inte i myndighetsregister. Ofta måste de därför själva samla in uppgifter direkt från individer, till exempel om livsstil eller familjehistoria för sjukdom. Men de insamlade uppgifterna kan i många fall kompletteras med uppgifter ur myndighetsregister. Det kan innebära en rad fördelar.

Forskaren kan begränsa antalet frågor till forskningspersonerna genom att hämta vissa uppgifter ur register. När det gäller uppgifter om förhållanden långt tillbaka i tiden är register ofta mer pålitliga än individernas minnesbild. Man kan också genom myndighetsregister följa utvecklingen framåt i tiden efter det att uppgifterna samlats in och på det sättet få en uppfattning om hur det går för individerna. Användningen av registeruppgifter är vid sådana longitudinella ansatser av särskilt värde (se vidare avsnitt 4.4.7).

För att kunna komplettera de uppgifter som kommer fram från olika urval av individer med uppgifter från befolkningsregister krävs att registren är fullständiga och att individerna från urvalet kan identifieras. Det är dessutom en fördel om förändringar i registret sparas så att man kan få kännedom om exempelvis när ett sjukfall har inträffat.

Genom personnummersystemet är det också lättare att via register följa individer som flyttar runt i landet. I en studie som görs i samarbete mellan SCB och pedagogiska institutionen vid Göteborgs universitet, Utvärdering Genom Uppföljning (UGU), görs ett urval av elever, vanligen i årskurs 3. Eleverna har i ett par av dessa urval hämtats från ett 30-tal kommuner. Sex år senare, när en uppföljning skulle göras, fanns samma elever spridda i cirka 200 kommuner. Utan personnummer och register hade det varit svårt att spåra dem.17

Bengt Haglund med flera kopplade samman information om att röka och använda snus från SCB:s ULF-material (en urvalsundersökning som görs av SCB) med uppgifter om sjuklighet och död i kranskärlsjukdom och stroke från slutenvårdsregistret och dödsorsaksregistret (fullständiga register som förs av Socialstyrelsen).18Medan överrisken för sjukdom och död som väntat var påtaglig för

17 Berggren, I. SCB:s elevpaneler för longitudinella studier, s. 58, i Svensson, A. (red) Utvärdering Genom Uppföljning, Göteborgs universitet 2011 18 Haglund, B., Eliasson, M., Stenbeck, M., Rosén, M. Is moist snuff use associated with excess risk of IHD and stroke? A longitudinal follow-up of snuff users in Sweden. Scand J Public Health 2007 Sep 6:1–5.

dem som rökte, kunde forskarna inte finna några överrisker bland snusare. Även om man från studien inte kan dra slutsatsen att ingen sådan överrisk finns, måste den vara mycket liten. Studien visar att om en rökare förmår att sluta röka genom att övergå till att snusa så sänker hon eller han risken för infarkt i hjärta och hjärna.

Figur 4.2 Genomsnittsbetyg (x-axeln) och övergångssannolikheter till teoretisk gymnasieutbildning (P = y-axeln) för varje betygsnivå i olika sociala klasser. Flickor födda 1972.

Robert Erikson och Frida Rudolphi kopplade uppgifter om elever från UGU-registret med registerdata om gymnasieutbildning och föräldrarnas yrken (fullständiga register som förs av SCB).19De kunde därigenom visa att i vilken utsträckning eleverna efter avslutad grundskola fortsatte med teoretiska gymnasiestudier berodde på dels hur väl de hade presterat i skolan, dels i vilken utsträckning de vid ett givet betyg valde en teoretisk linje. De klockformade kurvorna i Figur 4.2 visar betygsfördelningarna för barn till arbetare respektive högre tjänstemän, medan de S-formade visar sannolikheten att vid ett visst genomsnittsbetyg övergå till en teoretisk gymnasielinje. Som framgår fick barn från högre tjänstemannafamiljer i genom-

19 Erikson, R., Rudolphi, F. Change in social selection to upper secondary school – primary and secondary effects in Sweden. Eur Sociolo Rev, 2010, 26: 291–305.

0,0 0,1 0,2 0,3 0,4 0,5 0,6 0,7 0,8 0,9 1,0

1,0 1,3 1,5 1,8 2,0 2,3 2,5 2,8 3,0 3,3 3,5 3,8 4,0 4,3 4,5 4,8 5,0

Betyg högre tjm Betyg arbetare P (högre tjm) P (arbetare)

snitt bättre betyg i grundskolan än barn från arbetarklassen, men de S-formade kurvorna visar också att vid samma betyg fortsatte tjänstemannabarnen i större utsträckning än arbetarbarnen på en teoretisk gymnasielinje. Det är särskilt tydligt vid genomsnittliga betyg (2,8– 3,8). I den mån man önskar minska snedrekryteringen måste man således ta hänsyn både till prestationsskillnader och till skillnader i hur barn med olika social bakgrund väljer fortsatt utbildning.

4.4.3. Biobanksrelaterad medicinsk forskning

Den traditionella svenska registerforskningen kan belysa ohälsans utbredning och utveckling över tid, men också dess sociala stratifiering, dess beroende av individegenskaper, hur patienter svarar på behandling och samband som kan finnas mellan sjukdomar.20Men denna forskning behöver i många sammanhang kompletteras med uppgifter från analys av biologiska prover.

Möjligheterna att koppla ihop genetiskt material med uppgifter från register är, och kommer i framtiden än mer att vara, viktiga för att förstå hur arv och miljö interagerar. Sådana kopplingar kan till exempel göras för att hitta undergrupper som svarar, respektive inte svarar, på en viss behandling. Exempelvis visades med hjälp av Svensk Reumatologis kvalitetsregister att rökare inte svarade lika bra på behandling med biologiska läkemedel (TNF-hämmare; TNF = Tumor

Necrosis Factor) mot reumatism som icke-rökare, vilket har resulterat

i att rökstoppsprogram rekommenderas innan man startar behandling.21

Medicinens utveckling har under senare decennier varit språngartad och ny kunskap har vunnits som gör det möjligt att utveckla diagnostik, behandling och uppföljning av viktiga sjukdomsgrupper. Detta har bidragit till en bättre överlevnad och högre livskvalitet för stora patientgrupper. Men fortfarande återstår en rad vetenskapliga och kliniska problem att lösa. Man känner fortfarande inte mekanismerna i detalj bakom viktiga folksjukdomar.

Dagens framgångsrika medicinska behandling kan visserligen ofta behandla dessa sjukdomars yttringar, symptom och skadeverkningar, men det blir allt viktigare att också skapa en grundläggande förståelse för de biologiska mekanismerna bakom utvecklingen av till exem-

20 Rosén, M. Översyn av de nationella kvalitetsregistren. Guldgruvan i hälso- och sjukvården. Förslag till gemensam satsning 2011–2015. Stockholm 2010. 21 Klareskog L. et al. Smoking as a trigger for inflammatory rheumatic diseases. Curr Opin Rheumatolol 2007;19:49–54.

pel hjärtkärlsjukdomar. Även om risken att insjukna och dö i sådana sjukdomar har minskat i relation till åldern utgör de alltjämt den största kategorin av dödsorsaker i befolkningen. Problematiken är likartad när det gäller andra viktiga diagnosgrupper, såsom demenssjukdomar, cancersjukdomar och åldersdiabetes.

Den viktigaste metoden för att öka förståelsen om dessa mekanismer är genom så kallade befolkningsstudier, det vill säga genom att följa stora befolkningsgrupper över tid. Vid en inledande undersökning samlar man information om kroppsfunktioner, molekylärbiologiska karakteristika (blodprov), livsstil, social bakgrund, tidigare sjukdomar och familjehistoria. Sedan följer man individerna i olika register för sjukdomar och beräknar riskerna för sjukdomsutveckling i relation till de olika bakgrundsfaktorerna. Genom genetiska analysmetoder kan man fastställa hur kausala samband kan se ut, från genetisk markör, via epigenetisk påverkan, till olika mätbara biomarkörer och till sist manifesta sjukdomsyttringar.22Om en sådan kausalitet kan identifieras avslöjas viktiga mekanismer i sjukdomsprocessen, vilka sedan kan bli föremål för åtgärder. Med en grundläggande förståelse för biologiska sjukdomsprocesser, vilka i sig kan vara en konsekvens också av livsstil och psykosocial påverkan, kan man utveckla nya, mer effektiva, läkemedel och behandlingar, som kan sättas in tidigt, till exempel riktade vacciner.

Motsvarande studier av patienter som redan har sjukdomen ger inte ett tillräckligt underlag för att finna sjukdomsorsaker. Biologin hos dessa har ofta redan förändrats av sjukdomen och även av den behandling de har fått.

Ytterligare ett område som kommer att få växande betydelse och där samspelet mellan register och biobanker spelar en viktig roll är epigenetiken. Den utgår ifrån att icke-genetiska faktorer, såsom miljö, näringstillförsel, psykosocial stress och omvårdnaden under småbarnstiden, kan påverka de uttryck (aktiviteter) som generna får. Generna är med andra ord inte en på förhand given storhet som samspelar med miljön utan deras uttryck kan också påverkas av miljön. Med den utgångspunkten har man till exempel studerat de långsiktiga effekterna på barn till kvinnor som har utsatts för svält under graviditeten.23 En sådan effekt är ökad risk för schizofreni. Även allergier kan delvis vara en effekt av epigenetiska mekanismer. Epigenetiken

22 Burgess, S., Butterworth, A., Malarstig, A., Thompson, S.G. Use of Mendelian randomisation to assess potential benefit of clinical intervention. BMJ. 2012;345:e7325. 23 Hult, M., Tornhammar, P., Ueda, P., Cima, C., Bonamy, A.K., Ozumba, B., Norman, M. Hypertension, diabetes and overweight: looming legacies of the Biafran famine. PloS One. 2010; 5:e13582. doi: 10.1371/journal.pone.0013582.

öppnar vägar för att förstå och förbättra den sociala miljön men också för att utveckla farmakologiska behandlingar.24

4.4.4. Att följa upp konsekvenserna av tidigare händelser

Att följa upp konsekvenserna av en genomförd åtgärd är viktigt och borde göras oftare än vad som i dag är fallet. Vad en åtgärd får för konsekvenser kan dock i många fall inte avgöras förrän efter lång tid, ibland decennier. Om emellertid effekten för personer, som i någon form tidigare har utsatts för åtgärden, eller liknande åtgärder, kan bedömas med hjälp av register, kan det vara möjligt att få en indikation på vilka konsekvenserna kan bli av den aktuella åtgärden utan att man behöver vänta flera år. För att kunna göra det är det väsentligt att de register där tidigare åtgärder och konsekvenser registrerats är fullständiga.

I en studie av konsekvenserna av den svenska grundskolereformen kopplade Costas Meghir och Mårten Palme uppgifter från UGU-registret till utbildningsregistret och taxeringsregistret (fullständiga register som förs av SCB).25Genom denna sammankoppling kunde de visa att i en jämförelse mellan barn som gått i folkskola respektive enhetsskola (grundskola), fick, bland dem som hade fäder med låg utbildning, de sistnämnda i större utsträckning utbildning utöver den obligatoriska och också högre inkomster i vuxen ålder. Enhetsskolans införande innebar alltså att elever med den minst resursstarka sociala bakgrunden fick förbättrade möjligheter senare i livet.

I en amerikansk studie hävdades att gallstensoperationer ökade risken för cancer i tjocktarmen26, men Anders Ekbom med flera kunde, tack vare möjligheten att sammanställa slutenvårdsregistret med cancerregistret (fullständiga register som bägge förs av Socialstyrelsen), visa att denna oro var obefogad.27På motsvarande sätt kunde Hans Ekelund med flera visa att farhågan, enligt en brittisk fall-kontrollstudie, att injektioner av vitamin K som gavs till ny-

24 Hansson, M.G., opublicerad PM 2013-09-24. 25 Meghir, C., Palme, M. Educational Reform, Ability, and Family Background. The American Economic Review, 2005. 95(1): 414–424. 26 Linos, D., Beard, C.M., O'Fallon, W.M., Dockerty, M.D., Beart, R.W., Kurland, L.T. Cholecystectomi and carcinoma of the colon, Lancet, 1981 2: 379–381. 27 Ekbom, A., Yuen, J., Adami, H-A, McLaughlin, J.K., Chow, W-H., Persson, I., Fraumeni, J.F. Cholecystectomy and Colorectal Cancer, Gastroenterology, 1993 105: 142–147.

födda ökade risken för cancer i barndomen var obefogad.28Genom att koppla samman uppgifter från samtliga förlossningskliniker med uppgifter i cancerregistret kunde de visa att något sådant samband inte fanns.

Dessa studier visar att forskning som görs med hjälp av registeruppgifter kan ha en direkt praktisk betydelse för hälso- och sjukvårdens verksamhet.

Genom att koppla ihop olika typer av registeruppgifter har man också kunnat visa hur det går för barn i familjehems- och institutionsvård. Dels har man på detta sätt kunnat identifiera vilka bakgrundsfaktorer som påverkar risken för att barnen ska placeras i familjehems- och institutionsvård, dels har man försökt bedöma vilka effekterna blir av familjehems- och institutionsvård. Slutsatsen i Socialstyrelsens

Social rapport 2006 var att utvecklingen för de barn som hamnar i

social dygnsvård är så dyster att man måste ställa frågan om sådana interventioner över huvud taget har någon positiv påverkan på barnens utveckling.29

4.4.5. Den sociala omgivningens betydelse för individuella handlingar

Vilka vi omges av, umgås med och arbetar tillsammans med har stor betydelse för våra handlingar. För att kunna studera omgivningens påverkan på det egna beteendet behöver vi uppgifter om flera och helst alla individer i sociala nätverk. I många studier har man kunnat ta in uppgifter om exempelvis andra familjemedlemmar, men att kunna bedöma betydelsen av ett mer fullständigt socialt nätverk har sällan varit möjligt. Om emellertid registermaterial innehåller information om samtliga individer i olika sociala kontexter blir det möjligt att bättre förstå hur vi påverkas av vår sociala omgivning. På grund av svårigheterna att samla in sådana material är dock relativt få studier av detta slag genomförda.

Peter Hedström med flera kunde emellertid, med hjälp av ett material som sammanställts om alla som levde i Stockholm under 1990-talet, studera hur självmord inom familjen eller på arbets-

28 Ekelund H, Finnström O, Gunnarskog J, Källén B., Larsson Y. Administration of vitamin K to newborn infants and childhood cancer, BMJ 1993; 307:89–91. 29 Vinnerljung, B. et al. Utsatthet bland barn och unga. Social rapport 2006. Socialstyrelsen 2006.

platsen påverkar risken för att individen själv ska begå självmord.30De fann att framför allt självmord inom familjekretsen ökar risken, men att även när arbetskamrater begått självmord ökar den egna risken. Studien hade inte varit möjlig att genomföra om inte alla individer i populationen ingått i registermaterialet.

4.4.6. Policyskillnader mellan administrativa enheter

Som jag tidigare konstaterat är det ovanligt att åtgärder för enskilda som genomförs av till exempel myndigheter eller kommuner sätts in i statistisk mening helt slumpmässigt. Det förekommer dock att praxis varierar från enhet till enhet, till exempel från kommun till kommun, vilket, i en annan mening, kan sägas innebära att det för den enskilde i viss mån är slumpen som avgör vilken insats han eller hon får. Man kan hävda att det hela tiden pågår ett slags sociala experiment även om de inte utformas på ett sätt som gör att det är enkelt att mäta effekterna. Eventuella skillnader i utfall kan emellertid studeras genom jämförelser mellan exempelvis kommuner. De öppna jämförelser som tidigare har nämnts är ett bidrag till sådana jämförelser, men för att förstå innebörden av variationerna krävs givetvis djupare analyser.

Sten-Åke Stenberg kunde genom att sammanställa uppgifter från kronofogdedistrikten visa att andelen vräkningar visserligen varierade mellan kommuner, men att skillnaderna föll bort när han kontrollerade för ett antal relevanta faktorer.31Socialtjänsten i de olika kommunerna föreföll att agera ungefär lika, givet de vräkningshotades egenskaper. Stenbergs studie hade inte kunnat genomföras på ett tillförlitligt sätt om han inte fått tillgång till information om samtliga vräkningar från kronofogdedistrikten. Studien visade i detta fall således att det inte var några stora skillnader mellan kommunerna trots att den ojusterade statistiken indikerade det.

Det finns en potential att analysera sådana här ”naturliga experiment” i långt större utsträckning än vad som hittills har skett. Till exempel kan den diskussion som sedan ett drygt årtionde pågår om evidensbaserad socialtjänst tänkas stimulera sådana studier.

30 Hedstrom, P., Liu, K-Y., Nordvik, M. K. Interaction Domains and Suicide: A Populationbased Panel Study of Suicides in Stockholm, 1991–1999. Social Forces 2008, 87(2). 31 Stenberg, S-Å. Vräkt ur folkhemmet. Carlssons 2009.

4.4.7. Longitudinella studier

Vid tvärsnittsstudier kan man fånga en ögonblicksbild. Det hindrar naturligtvis inte att den kan innehålla frågor till intervjupersonerna om vad som har varit och om deras tro om framtiden. Men svaren speglar vad de just nu minns eller tror om framtiden. Både minnesbilder och framtidsförhoppningar kan förändras över tid. Vid longitudinella studier följer man samma individer över en längre tid för att fånga förändringar i deras liv eller av ett samhälle där befolkningens sammansättning förändras. Det kan handla om förändringar i allt från social status och hälsa till åsikter och värderingar. Den tid de följs kan variera från ett par år till ett helt återstående liv. Flera av de forskningsexempel som ges i detta kapitel bygger på en longitudinell design. Likväl finns det skäl att särskilt uppmärksamma registrens betydelse för longitudinell forskning.

En form av longitudinella studier är befolkningsstudier eller, som man ofta säger inom medicinsk och epidemiologisk forskning, kohortstudier. Dessa studier är prospektiva till sin karaktär, det vill säga man väljer ut en grupp individer och följer dem ett antal år framåt för att till exempel lära mer om uppkomsten av sjukdomar. I projekten LifeGene och EpiHealth är man på väg att samla in uppgifter och prover från flera tiotusentals individer och familjer för att på sikt kunna undersöka hur arv och miljö påverkar hälsan.32De uppgifter som samlas in direkt från individer kan i forskningsprojekt kompletteras med uppgifter från register.

I andra fall kan ett forskningsregister ha skapats för ett mer kortsiktigt projekt, men många år senare visa sig vara användbart för helt nya forskningsfrågor. Det kanske äldsta forskningsregistret i Sverige, och ett av de äldsta i världen, är den så kallade Malmöstudien. Den gjordes 1938 då en forskare gjorde intelligenstester på alla tioåringar i staden. Från början användes registret för att studera bland annat ”kvarsittningsfrågan” som var aktuell på 1940-talet. Senare har det använts för att studera intelligensens konstans, det vill säga effekterna av utbildning på de kognitiva färdigheterna (cognitive

skills), vart 1938 års 10-åringar senare tog vägen i arbetslivet och, i

en avhandling från 2011, sambandet mellan de kognitiva färdigheterna tidigt i livet och dödsrisker. I den sistnämnda studien följdes individerna från Malmöstudien upp med hjälp av dödsorsaksregistret.33

32 Se vidare avsnitt 8.4.2. 33 Broady, D. Longitudinella studier. PM april 1983; Lager, A. The Role of Education and Cognitive Skills in Understanding Moratlity Inequalities, Karolinska Institutet 2011.

En alternativ design för longitudinell forskning är att med hjälp av register få fram uppgifter om personers förflutna. Om man vill finna förklaringar till en sjukdom som manifesteras i dag, men som kan ha orsakats av händelser långt tillbaka i tiden, kan uppgifter från vårdregister eller gamla prover från biobanker ge viktig information. På det sättet kunde forskare finna ett samband mellan livmoderhalscancer och så kallade HPV-infektioner (HPV = Human Papilloma

Virus). Det har lett fram till utvecklingen av ett vaccin mot HPV

som i dag bara i Sverige beräknas spara ett par hundra liv per år.34

Ett liknande exempel avser patienter som nyligen fått diagnosen reumatoid artrit (RA). I Umeå finns sedan många år en biobank som ursprungligen startades med utgångspunkt i frågeställningar rörande hjärtkärlsjukdomar. Forskarna kunde i denna hitta prover från de aktuella patienterna som var tagna för 10–15 år sedan och som innehöll så kallade pre-RA-faktorer. Med hjälp av dessa prover kan man nu arbeta vidare med att försöka utveckla mediciner som kan förebygga sjukdomen långt innan den brutit ut.35

En tredje kategori av longitudinell forskning är där man helt använder redan insamlade uppgifter. Peter Fredriksson, Björn Öckert och Hessel Oosterbeek matchade UGU-data med registerdata om klasstorlek (ett fullständigt register som förs av Skolverket). Vid den tid som undersökningen avsåg var skolorna tvingade att dela på klasser som annars skulle ha fått fler än 30 elever. Forskarna kunde således jämföra elever som hade gått i skolklasser med strax under 30 elever respektive i klasser som på grund av delningen hade betydligt färre elever, och därigenom bedöma betydelsen av klasstorlek i åldrarna 10–13 år för barnens kognitiva och övriga utveckling. De fann att barn som gått i mindre klasser hade en mer positiv utveckling än barn som gått i större. Även i vuxen ålder hade barn från de mindre klasserna i genomsnitt något högre utbildning och högre inkomster.36

När longitudinella studier görs på ett begränsat urval av personer förvärras ofta det problem med bortfall som finns vid tvärsnitts-

34 Lehtinen, M., J. Dillner, P. Knekt, et al. Serologically diagnosed infection with human papillomavirus type 16 and risk for subsequent development of cervical carcinoma: Nested case-control study. British Medical Journal 1996:312(7030): 537–539; Wallin, K.L., F. Wiklund, T. Angström et al. Type-specific persistence of human papillomavirus DNA before the development of invasive cervical cancer. New England Journal of Medicine 1999:341(22): 1633–1638, National Board of Health and Welfare. 2008. Background to a human papillomavirus vaccination in Sweden. Stockholm: National Board of Health and Welfare. 35 Eriksson C. et al. Arthritis Res Ther. 2011:13(1):R30.E-pub 36 Fredriksson, P., Oosterbeek, H., Öckert, B. Långsiktiga effekter av mindre klasser, IFAU rapport 2012:5

studier och som jag tidigare har berört. Bortfallet tenderar av olika skäl att öka över tid. Därmed ökar också osäkerheten i resultaten. Detta talar för att man där det är möjligt bör göra longitudinella studier med hjälp av registeruppgifter.

4.4.8. Mikrosimulering

I utredningsdirektiven nämns att registeruppgifter kan användas för mikrosimulering.37De exempel på forskning som hittills har redovisats syftar i regel till att förstå de mekanismer som påverkar hälsa och välfärd. Vid mikrosimulering driver man förståelsen ett steg längre och försöker förutsäga möjliga eller sannolika effekter av en planerad åtgärd, exempelvis en förändring av skatter eller bidrag. Med hjälp av mikrosimuleringsmodeller kan man beräkna åtgärdens effekter både för olika typer av hushåll och för hela befolkningen.38Med mikro avses att dataunderlaget utgörs av uppgifter om individer (eller till exempel hushåll, arbetsplatser eller bostäder). Med simule-

ring avses att man undersöker hur individernas situation påverkas

av ändrade regelsystem, till exempel ändrade skatter eller bidrag.

Mikrosimuleringsmodeller har utvecklats bland annat för att kunna göra mer tillförlitliga beräkningar än vad som är möjligt när man utgår från genomsnittliga förhållanden. Ett exempel kan belysa problemet.

För några år sedan fördes en diskussion om möjligheten att genom skattesänkningar minska kostnaderna för socialbidrag. Diskussionen utgick från ett genomsnittligt hushåll som betalar inkomstskatt och också får socialbidrag. En sänkning av skatten för detta tänkta hushåll skulle således sänka behovet av socialbidrag med lika mycket. Förutsatt att skattesänkningen inte överstiger det genomsnittliga socialbidraget blir med en sådan beräkning en hundraprocentig verkningsgrad på socialbidraget av skattesänkningen. Inom ramen för en utredning om socialtjänstlagen vid slutet av 1990-talet gjordes en beräkning med hjälp av mikrosimulering. Verkningsgraden på socialbidragen blev då knappt 10 procent. Den minskade skatteintäkten resulterade med andra ord i att kostnaderna för socialbidrag minskade med bara en tiondel därav. Resultatet har sin förklaring i att de hushåll som hade socialbidrag ofta inte betalade någon skatt,

37 Anders Ekholm m fl har bidragit till utredningen med en underlagsrapport, Vad är mikrosimulering? 38 Se http://www.scb.se/Pages/Standard__195232.aspx eller http://www.stat.fi/tup/mikrosimulointi/esittely_sv.html.

något som mikrosimuleringsmodellen beaktade men inte kalkylen baserad på genomsnitt.39

Mikrosimuleringsmodeller har ofta tagits fram inom regeringsadministrationer för att beräkna effekter av planerade politiska åtgärder, men har också utvecklats och använts i forskningen. Sedan slutet av 1980-talet finns i Sverige en skatte-bidrags-modell, FördelningsAnalytiskt Statistiksystem för Inkomster och Transfereringar (FASIT), som har utvecklats, förvaltas och vidareutvecklas av SCB. Den används flitigt i Regeringskansliet för att bedöma effekterna av olika planerade reformer, men har även, om än i blygsam omfattning, använts i samhällsvetenskaplig forskning.

FASIT är en så kallad statisk tvärsnittsmodell. Det innebär att man inte antar några förändringar i beteenden över tid. För att komma åt detta problem har andra modeller av dynamisk karaktär utvecklats. I en översiktsartikel från 2013 redovisar Jinjing Li och Cathal O’Donoghue ett sextiotal så kallade dynamiska mikrosimuleringsmodeller med inriktning på ekonomi och välfärd som för närvarande används i olika delar av världen.40Några av dessa har tagits fram i Sverige, bland andra Swedish Simulation Model (SESIM). SESIM utvecklades ursprungligen inom finansdepartementet för att analysera studiemedelssystemets långsiktiga effekter, men den har senare kommit att användas för andra analyser, också av forskare. Anders Klevmarken med flera har använt den för att analysera effekter av en åldrande befolkning.41

De har till exempel i sina analyser pekat på risken för att antalet fattiga äldre (med inkomster under 50 procent av medianinkomsten) kommer att öka kraftigt fram till år 2020 för att sedan fortsätta uppåt till år 2040. De har också visat att kostnaderna för äldreomsorgen som andel av summan av de direkta skatter som hushållen betalar kan komma att öka från strax över 20 procent i dag till 25 procent år 2020 och drygt 36 procent år 2040.

Detta slags beräkningar säger naturligtvis inte hur det kommer att bli. Men de utgör ett viktigt underlag när politiken ska utformas.

Ett annat exempel på användning av mikrosimuleringsmodeller är de beräkningar som Smittskyddsinstitutet har gjort av effekterna av vaccinationskampanjen mot influensa 2009. Man sökte där med

39SOU 1999:46. 40 Li, J. & O’Donoghue. A survey of dynamic mivrosumulation models: uses, model structure and methodology, International Journal of Microsimulation 2013:6(2) 3-55. 41 Klevmarken, A., Lindgren, B. (ed). Simulating an Ageing Population. A microsimulation approach applied to Sweden. Contribution to Economic Analysis No 285, Emerald Group Publishing Lmtd, Bingley, United Kingdom 2008; ISBN 978-0-444-53253-4.

hjälp av en annan modell, Mikrosim, beräkna vad som skulle ha hänt utan vaccinering. Slutsatsen blev att vaccinationen hade sparat hundratalet liv och drygt 1 700 inläggningar i slutenvård, men också att den hade lett till cirka 150 fall av narkolepsi.42

Mikrosimuleringsmodeller kräver stora datamängder för att fungera väl. I själva verket är det just datas omfattning som bestämmer hur väl variationsanalysen kan göras. I en rapport till Finanspolitiska rådet skriver professor Daniel Waldenström: ”Om man exempelvis är intresserad av analyser av invandrare uppdelade på födelseland och ålder blir grupperna snart så små att den statistiska osäkerheten gör det svårt att dra meningsfulla slutsatser. Om undersökningen därutöver har ovanligt höga bortfall, vilket särskilt är fallet med gruppen unga invandrare, omöjliggörs praktiskt all form av statistisk analys.”43

4.5. Sammanfattning

Som har framgått av detta kapitel innebär det ofta en förutsättning, och än oftare en fördel, för forskare att ha tillgång till stora datamaterial, till exempel i form av befolkningsregister. Det ger möjligheter att få kunskaper som kan vara svåra eller omöjliga att vinna med andra forskningsmetoder.

Att använda personuppgifter av det slag som forskarna behöver kan emellertid i vissa situationer uppfattas som ett hot mot individers personliga integritet. Hur man ska se på dessa risker och den avvägning mellan intressen som måste göras ska jag återvända till i kapitel 6. Dessförinnan ska jag emellertid, i kapitel 5, redovisa de rättsliga förutsättningarna för registerbaserad forskning.

42 Vaccinationskampanjen mot influensa A(H1N1) 2009, Utvärdering av hälsoeffekter säsongerna 2009/2010 och 2010/2011. Smittskyddsinstitutet 2013; Brouwers, L., Cakici, B., Camitz, M., Tegnell, A., Boman, M. Economic consequences to society of pandemic H1N1 influenza 2009 – premininary results for Sweden. Euro Surveill. 2009:43(37):pii=19333. www.eurosurveillance.org/ViewArticle.aspx?ArticleId=19333. 43 Waldenström, D. Regeringen och ojämlikheten, En granskning av budgetens fördelningspolitiska redogörelser 1992–2011. Rapport till Finanspolitiska Rådet 2012/6.

5. Rättsliga förutsättningar för registerbaserad forskning

5.1. Inledning

I detta kapitel ska jag redovisa de bestämmelser som är av betydelse för förutsättningarna för registerbaserad forskning och som därmed är relevanta för utredningen. De bestämmelser som behandlas motsvarar i stort de som finns upptagna i kommittédirektiven (Dir. 2013:8, se bilaga 1). Målet är att ge en översiktlig beskrivning av det rättsliga regelverk som reglerar registerforskningen i dag.

Jag har i föregående kapitel visat på vinsterna för forskningen med att använda registeruppgifter. Användningen av personuppgifter för forskningsändamål kan emellertid vara känsligt för individerna. Det finns en omfattande lagstiftning som har till syfte att skydda den personliga interiteten. Samtidigt ger lagstiftningen stöd för forskare att behandla personuppgifter för forskningsändamål.

Kapitlet inleds med en genomgång av de regelverk som styr behandlingen av personuppgifter och skyddet för den personliga integriteten. Här finns reglering på både internationell och nationell nivå. Därefter beskrivs några av de internationella instrument som införts till skydd för enskilda inom hälso- och sjukvård samt forskning. För att möta Sveriges internationella åtaganden på detta område infördes 2004 en särskild lag om etikprövning av forskning som avser människor. Forskares möjlighet att få tillgång till personuppgifter och skyddet för personuppgifterna hos forskningshuvudman som är en statlig myndighet regleras av bestämmelserna om offentlighet och sekretess och av personuppgiftslagen (1998:204) (PUL). Sättet för utlämnande av personuppgifter regleras bland annat i en särskild bestämmelse i lagen (2001:99) om den officiella statistiken som beskrivs översiktligt i kapitlet. I det avslutande avsnittet redogörs närmare för de bestämmelser som bland annat rör bevarandet av allmänna handlingar, däribland forskningsunderlag.

5.2. Internationell reglering till skydd för den personliga integriteten vid behandling av personuppgifter

5.2.1. FN:s allmänna förklaring om de mänskliga rättigheterna m.m.

Den allmänna förklaringen om mänskliga rättigheter antogs år 1948 av FN:s generalförsamling. Förklaringen omfattar politiska och medborgerliga rättigheter men även sociala, ekonomiska och kulturella. Den allmänna förklaringen är inte bindande för medlemsstaterna men ses numera som ett uttryck för sedvanerättsliga regler. Skyddet för den personliga integriteten behandlas i artikel 12. Där stadgas att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Vidare anges i artikel 29 att en person endast får underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd.

FN har också antagit den internationella konventionen om medborgerliga och politiska rättigheter. Konventionen antogs 1966 och trädde i kraft 1976. För närvarande är cirka 150 stater, däribland Sverige, anslutna till konventionen. I artikel 17 i konventionen upprepas innehållet i ovannämnda artikel 12 i den allmänna förklaringen. För att öka respekten för konventionens rättigheter har vissa kontroller införts, band annat rapporteringsskyldighet för medlemsstaterna. Kommittén för mänskliga rättigheter (Human Rights Committee) har inrättats för att övervaka att medlemsstaterna efterlever sina skyldigheter enligt konventionen.

I sammanhanget bör också nämnas att FN:s generalförsamling år 1990 antog riktlinjer om datoriserade register med personuppgifter (Guidelines concerning computerized personal data files). Riktlinjerna anger tio grundläggande principer som medlemsstaterna ska ta hänsyn till vid lagstiftning avseende datoriserade register med personuppgifter. Det anges bland annat att personuppgifter inte får samlas in eller behandlas på ett olagligt sätt eller användas för syften som står i strid med FN:s stadga. Ändamålet med registret ska vara specificerat, berättigat och på något sätt uttryckligt angivet för den

som berörs. Detta är för att försäkra att alla personuppgifter som samlas in och behandlas är relevanta och adekvata för det angivna ändamålet, att uppgifterna inte används i strid med det angivna ändamålet och att uppgifterna inte bevaras längre än som krävs för att uppfylla det angivna ändamålet. Enligt riktlinjerna ska var och en ha rätt att få reda på om information om henne eller honom är registrerad och i så fall vilken. Var och en ska vidare ha rätt till rättelse eller utplåning av onödiga eller felaktiga uppgifter. Uppgifter som kan ge upphov till diskriminering, till exempel information om ras eller etniskt ursprung, sexualliv, politiska åsikter eller religiös eller filosofisk övertygelse bör inte registreras. Den som för registret ansvarar för att tillbörliga åtgärder vidtas för att skydda uppgifterna från obehörig åtkomst, missbruk och smitta av datavirus. Det ska i varje land finnas en myndighet med ansvar att övervaka att lagstiftningen på området efterlevs. Överträdelse av bestämmelserna ska leda till sanktioner.

5.2.2. Europakonventionen

Den europeiska konventionen av den 4 november 1950 om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) inkorporerades i svensk rätt den 1 januari 1995 och gäller sedan dess som lag i Sverige. Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med Sveriges åtaganden på grund av konventionen.

Det är framför allt artikel 8 i konventionen som har betydelse för skyddet av den personliga integriteten. I bestämmelsen anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Av andra punkten följer att en offentlig myndighet inte får inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förbyggande av oordning eller brott eller till skydd för hälsa och moral eller för andra personers fri och rättigheter.

Behandling av personuppgifter kan falla inom tillämpningsområdet för artikel 8 i Europakonventionen, dock endast i de fall behandlingen avser uppgifter om privatliv, familjeliv, hem eller korrespondens. Artikel 8 innebär att staten ska avhålla sig från ingrepp i den skyddade rättigheten, men också en skyldighet för staten att

vidta åtgärder för att skydda den enskildes privata sfär.1 Bestämmelsen innebär således en skyldighet att upprätthålla skyddet för privatlivet genom lagstiftning, men kan också medföra en skyldighet för myndigheter att agera i enskilda fall.

För att vara förenligt med artikel 8 måste ett ingrepp i den konventionsskyddade rättigheten ha stöd i inhemsk lag. Lagen ska vara tillgänglig för allmänheten och utformad med sådan precision att inskränkningarna är förutsebara.2Ingreppet ska vidare vara nödvändigt. Det krävs således att det finns ett ”angeläget samhälleligt behov”. Slutligen ska inskränkningen i den grundläggande rättigheten stå i rimlig proportion till det syfte som ska tillgodoses genom inskränkningen. Varje konventionsstat har viss frihet att avgöra om en inskränkning är nödvändig, men Europadomstolen förbehåller sig rätten att övervaka om friheten utnyttjas på ett rimligt sätt.

5.2.3. Europarådets Dataskyddskonvention

Europarådets ministerkommitté antog år 1981 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter, den så kallade dataskyddskonventionen. Konventionen trädde i kraft den 1 oktober 1985. Samtliga medlemsstater i EU har ratificerat konventionen. Konventionen är bindande för de länder som tillträtt den. Till konventionen ansluter en rad rekommendationer om hur personuppgifter bör behandlas inom olika områden, till exempel rekommendation nr R (83) 10 till skydd för personuppgifter som används för vetenskaplig forskning och statistik. Rekommendationerna är inte direkt bindande.

Konventionen har enligt artikel 1 till syfte att säkerställa respekten för grundläggande fri- och rättigheter, särskilt rätten till personlig integritet i samband med automatisk databehandling av personuppgifter.3Konventionens tillämpningsområde är enligt artikel 2 automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet. Den centrala delen av konventionen är kapitel II (artikel 4–11) som innehåller de grundläggande principerna för dataskydd. Det finns bland annat krav på att personuppgifter

1 Danelius, H., Mänskliga rättigheter i europeisk praxis, 4 uppl., 2012, s. 347 f. 2 Danelius, H., Mänskliga rättigheter i europeisk praxis, 4 uppl., 2012 s. 351. 3 Begreppet ”automatisk databehandling” behandlas i avsnitt 5.3.4.4.

som undergår automatisk databehandling ska erhållas och behandlas på ett korrekt och lagligt sätt, vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras och inte bevaras längre tid än nödvändigt (artikel 5). Uppgifter som avslöjar ras, politiska åsikter, hälsa och sexualliv samt att någon dömts för brott får inte behandlas om inte nationell lag ger ett ändamålsenligt skydd (artikel 6). Konventionen innehåller också bestämmelser om bland annat krav på säkerhetsåtgärder, information till den registrerade samt sanktioner och rättsmedel.

Europarådet inledde år 2010 en översyn av konventionen som fortfarande pågår.

5.2.4. OECD:s riktlinjer

Inom Organisationen för ekonomiskt samarbete och utveckling (OECD) har en expertgrupp utarbetat riktlinjer avseende integritetsskyddet och flödet av personuppgifter över gränserna: Guidelines

Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd. Samtidigt antogs

en rekommendation till medlemsländernas regeringar att beakta riktlinjerna i nationell lagstiftning. Sverige har liksom samtliga andra medlemsländer godtagit rekommendationerna och därmed åtagit sig att följa riktlinjerna. Syftet med dessa är att försöka undvika de risker för intrång i den personliga integriteten och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, deras natur eller det sammanhang i vilket de används.4 Riktlinjerna är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn och avser både uppgifter som lagras automatiskt och uppgifter som förs manuellt. Riktlinjerna är att uppfatta som minimiregler. Det är således inget som hindar att det nationella skyddet görs mer omfattande än riktlinjerna anger. Riktlinjerna innehåller en särskild avdelning som anger åtta grundläggande principer till skydd för den personliga integriteten på det nationella planet. Här anges bland annat att personuppgifter ska vara relevanta för de ändamål för vilka de ska användas och vara riktiga och fullständiga samt hållas aktuella. En annan grundläggande princip är att de ändamål för vilka personuppgifterna samlades in ska vara preciserade senast vid insamlingen.

4SOU 1997:39 s. 170 f.

5.2.5. Europeiska unionens stadga om de grundläggande rättigheterna

Vid Europeiska rådets möte i Nice år 2000 antog medlemsstaterna Europeiska unionens stadga om de grundläggande rättigheterna (EUstadgan).5 Stadgans syfte är att kodifiera de grundläggande fri-och rättigheter som EU redan dessförinnan har erkänt. I stadgan anges de grundläggande rättigheterna under sex huvudrubriker: värdighet, frihet, jämlikhet, solidaritet, medborgarskap och rättvisa. Liksom Europakonventionen förbjuder stadgan bland annat tortyr, slaveri och tvångsarbete och ger ett skydd för människans rätt till frihet och säkerhet och rätten till en rättvis rättegång. Stadgan innehåller dessutom ytterligare rättigheter som inte finns med i Europakonventionen, till exempel personuppgiftsskydd och rätten till god förvaltning.

När det gäller skyddet för den personliga integriteten anges i stadgan att var och en har rätt till fysisk och mental integritet (artikel 3). Alla har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7) samt skydd för personuppgifter som rör honom eller henne (artikel 8). I artikel 8 anges vidare att personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till insamlade uppgifter och att få rättelse av dem. I artikeln stadgas också att en oberoende myndighet ska kontrollera att reglerna efterlevs.

Enligt artikel 35 har var och en rätt till tillgång till förebyggande hälsovård och till medicinsk vård på de villkor som fastställs i nationell lagstiftning och praxis. En hög nivå av skydd för människors hälsa ska säkerställas vid utformning och genomförande av all unionspolitik och alla unionsåtgärder.

Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna numera är rättligt bindande när EU-institutionerna och medlemsländerna tillämpar EU:s lagar och regler.6

5SOU 2010:4 s. 104. 6Prop. 2007/08:168 s. 58.

5.2.6. Sammanfattning

Av redogörelsen framgår att Sverige förbundit sig att säkerställa respekten för grundläggande fri- och rättigheter, däribland rätten till personlig integritet i samband med automatisk databehandling av personuppgifter. När det gäller hur skyddet för den personliga integriteten i samband med databehandling ska utformas är det vissa principer som återkommer i de olika dokumenten och riktlinjerna. Av central betydelse är kravet att personuppgifter endast får samlas in för ett eller flera angivna ändamål. Uppgifterna ska erhållas och behandlas på ett korrekt och lagligt sätt, vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras och inte bevaras längre tid än nödvändigt. Uppgifter av särskilt känslig natur, vanligtvis sådana som avslöjar ras eller etnicitet, politiska åsikter, facklig tillhörighet, hälsa och sexualliv eller att någon har dömts för brott, får endast behandlas under särskilda omständigheter som regleras i lag. Vanligtvis finns också krav på bestämmelser om bland annat säkerhetsåtgärder, information till den registrerade samt sanktioner och rättsmedel. I sammanhanget bör påpekas att det i vissa av de angivna dokumenten också finns rättigheter som delvis måste tillgodoses genom forskning, till exempel rätten till förebyggande hälsovård och till medicinsk vård i EU-stadgan.

De principer som redovisas ovan återkommer i dataskyddsdirektivet som redovisas i avsnitt 5.3.2.

5.3. Nationell reglering till skydd för den personliga integriteten vid behandling av personuppgifter

5.3.1. Regeringsformen

Regeringsformen (RF) innehåller vissa grundläggande bestämmelser till skydd för den personliga integriteten. Enligt målsättningsstadgandet i 1 kap. 2 § första stycket ska den offentliga makten utövas med respekt band annat för den enskilda människans frihet. I fjärde stycket samma paragraf anges att det allmänna ska värna om den enskildes privat- och familjeliv. Målsättningsstadgandet anger några av de viktigaste målen för samhällets verksamhet men har inte någon bindande verkan för det allmänna.7Bestämmelsen kan således inte ligga till grund för några individuella rättigheter. I 2 kap. 4 och 5 §§

7Prop. 1975/76:209 s. 128, prop. 2009/10:80 s. 173.

finns bestämmelser om förbud mot allvarliga fysiska integritetsintrång såsom döds- och kroppsstraff och enligt 2 kap. 6 § är var och en skyddad gentemot det allmänna mot påtvingade kroppsliga ingrepp.

För att stärka skyddet för den personliga integriteten infördes den 1 januari 2011 ett nytt andra stycke i 2 kap. 6 § RF. I bestämmelsen anges att var och en är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen får enligt 2 kap. 20 § RF begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning.

I förarbetena till grundlagsändringen anförs att resultatet av Integritetsskyddskommitténs kartläggning och analys av lagstiftning som rör den personliga integriteten ger belägg för slutsatsen att lagstiftning som innefattar intrång i den enskildes personliga integritet i viss utsträckning uppvisar brister, bland annat i att de avvägningar mellan olika motstående intressen som normalt ska göras i lagstiftningsärenden i vissa fall är bristfälligt redovisade.8Det anförs vidare att kommittén konstaterar att grundlagarna starkt betonar vikten av yttrande- och informationsfrihet och att den fria åsiktsbildningen intar en privilegierad ställning. När det gäller grundlagsbestämmelser som har betydelse för integritetsskyddet finns endast förbud mot politisk åsiktsregistrering och ett förbud mot husrannsakan, hemlig avlyssning med mera utan stöd i lag, bestämmelser vars främsta syfte är att skydda den fria åsiktsbildningen. Kommittén konstaterar att lagstiftaren inte lägger tillräcklig vikt vid integritetsskyddsaspekterna när ny lagstiftning arbetas fram.

I propositionen anförs att respekten för individens självbestämmande är grundläggande för en demokrati. Vidare anges att vikten av respekt för individens rätt att själv förfoga över och ta ställning till det allmännas tillgång till sådan information som rör hans eller hennes privata förhållanden kommer att betonas på ett tydligare sätt om skyddet för den personliga integriteten i 2 kap. RF stärks. En

8Prop. 2009/10:80 s. 176.

sådan förstärkning kan även förväntas främja intresset av en fri åsiktsbildning och antas öka Sveriges trovärdighet som fördragsslutande part till Europakonventionen. Målet med regleringen är enligt propositionen att tvinga lagstiftaren att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen och att öka förutsättningarna för att avvägningarna i fråga om identitetsintrånget blir mer ingående belysta.9

Bestämmelserna i 2 kap. 6 § andra stycket RF medför att behandlingar av information om enskildas personliga förhållanden som sker utan den enskildes samtycke som innebär övervakning eller kartläggning av den enskilde och som innebär ett betydande intrång i den personliga integriteten måste anges i lag. Med enskildas personliga förhållanden avses enligt förarbetena vitt skilda slag av information som är knuten till den enskildes person, till exempel uppgifter om namn och andra personliga identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel.10Även fotografisk bild samt uppgifter som inte är direkt knutna till den enskildes privata sfär, exempelvis uppgift om anställning, omfattas av uttrycket. Även en uppgift om en persons ekonomi torde omfattas.

När det gäller frågan om samtycke anförs i motiven att integritetsskyddet bör ta sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande.11 Om åtgärderna däremot förutsätter den enskildes godkännande kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att det bör omfattas av ett stärkt grundlagsskydd. Detta gäller oberoende av vilka slags uppgifter åtgärden eller behandlingen avser. PUL bör enligt förarbetena kunna tjäna som vägledning vid bedömningen av vad som krävs för att en åtgärd ska falla utanför grundlagsskyddet redan på grund av att den vidtas med den enskildes samtycke.

Avseende begreppen övervakning och kartläggning anförs i förarbetena att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om beskattning eller liknande, i många fall kan anses innebära kartläggning av enskildas förhållanden även om avsikten inte är att kartlägga enskilda.12 Så torde fallet vara i fråga om ett stort antal uppgifts-

9Prop. 2009/10:80 s. 177. 10 Ibid. 11Prop. 2009/10:80 s. 178 f. 12Prop. 2009/10:80 s. 180.

samlingar som det allmänna förfogar över. En mycket stor mängd information som rör enskildas personliga förhållanden finns till exempel lagrad i Skatteverkets, Tullverkets, Försäkringskassans och Kronofogdemyndighetens olika databaser. Även Statistiska centralbyrån (SCB) och andra statistikansvariga myndigheter lagrar och bearbetar stora mängder uppgifter om enskildas personliga förhållanden i sina databaser.13 Flera av dessa uppgiftssamlingar omfattar en stor andel av landets hela befolkning och flera av dem innehåller också till viss del mycket integritetskänsliga uppgifter. Myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering förekommer inom i stort sett all statlig och kommunal förvaltning. Särskilda föreskrifter som anger de närmare förutsättningarna för informationshanteringen finns för till exempel socialtjänsten, studiestödsverksamheten, Kriminalvården och den brottsbekämpande verksamheten hos såväl polismyndigheterna, Tullverket och åklagarmyndigheterna som Skatteverket och Kustbevakningen samt hos domstolarna. I flertalet fall är uppgifterna tillgängliga för myndigheterna på sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat. Det förekommer även att uppgiftssamlingar inrättas och utformas i syfte att fungera som mer utpräglade personregister. Som exempel nämns polisens belastningsregister. Vidare konstateras att en rad åtgärder som innefattar insamling av information om enskildas personliga förhållanden i andra situationer kan anses innebära övervakning, till exempel hemlig kameraövervakning, teleavlyssning och teleövervakning. Det betonas att det är åtgärdens effekter som är av avgörande betydelse vid bedömningen av om den ska anses falla under grundlagsbestämmelsens tillämpningsområde, inte det huvudsakliga syftet med åtgärden.

Grundlagsskyddet omfattar endast betydande integritetsintrång och i förarbetena betonas att grundlagsbestämmelsen bara omfattar vissa kvalificerade intrång i den personliga integriteten.14 Vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även

13 Se kapitel 3. 14Prop. 2009/10:80 s. 183.

hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. I detta sammanhang anförs det att konstitutionsutskottet i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling framfört att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i form av lag och att regeringen vid flera tillfällen har instämt i denna bedömning.15 Regeringen har också uttalat att behovet av lagstiftning är särskilt stort om uppgifterna sprids externt i en inte obetydlig omfattning.16

Vid bedömningen av vad som kan anses utgöra ett betydande intrång bör flera omständigheter vägas in. Förutom de ovan angivna nämns i förarbetena att även omfattningen av utlämnandet av uppgifter till andra som sker utan omedelbart stöd av offentlighetsprincipen kan vara av betydelse vid bedömningen. Däremot bör den närmare avgränsningen av grundlagsbestämmelsens tillämpningsområde inte påverkas av sekretesslagstiftningens utformning. Den omständigheten att sekretesslagstiftningen innehåller en presumtion för offentlighet, det vill säga ett rakt skaderekvisit, för uppgifter i en viss myndighets verksamhet bör således inte i sig utgöra skäl för bedömningen att myndighetens behandling av uppgifterna faller utanför det utvidgade grundlagsskyddet. Även om intresset av insyn är så stort att det inte är motiverat att införa långtgående begränsningar i allmänhetens rätt att få tillgång till handlingar, kan uppgifterna och hanteringen av dem således vara så integritetskänslig att den bör omfattas av grundlagsskyddet. Det förhållandet att de uppgifter som behandlas av en myndighet omfattas av sekretess med ett omvänt skaderekvisit bör inte heller utgöra en omständighet som med automatik innebär att en bestämmelse om uppgiftsskyldighet måste anses omfattas av den nya grundlagsbestämmelsens tillämpningsom-

15Prop. 1990/91:60 s. 58, bet. 1990/91:KU 11 s. 11, bet. 1997/98:KU 18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även till exempel prop. 1990/91:60 s. 58, prop. 1997/98:108 s. 39 och prop. 2011/12:176 s.20. 16Prop. 1990/91:60 s. 58.

råde. Även andra omständigheter måste beaktas vid bedömningen av hur långtgående intrång uppgiftsskyldigheten innebär när ställning tas till om föreskrifterna omfattas av den nya bestämmelsen. En sådan omständighet kan vara på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnade uppgifter.

I förarbetena anges att det är förenat med svårigheter att peka ut vilka specifika företeelser som är av sådant slag att de innebär ett betydande intrång i integriteten.17I sista hand är det riksdagen som får avgöra vilka företeelser som är av så ingripande karaktär att de inte bör kunna begränsas på annat sätt än genom lag.

5.3.2. Dataskyddsdirektivet

5.3.2.1 Syfte

Inom EU regleras behandling av personuppgifter i Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, det så kallade dataskyddsdirektivet. Syftet med direktivet är enligt artikel 1.1 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Det anges i artikel 1.2 att medlemsstaterna inte får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna på grund av detta skydd. Målet med direktivet är att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter mellan medlemsländerna.18 Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen.

5.3.2.2 Huvuddragen i direktivet

Huvuddragen i direktivet är sammanfattningsvis följande.19 Direktivet är tillämpligt på all behandling av personuppgifter som sker helt eller delvis på automatisk väg. Direktivet omfattar även icke automatisk behandling av personuppgifter om de ingår eller är avsedda att

17Prop. 2009/10:80 s. 185. 18Prop. 1997/98:44 s. 34. 19Prop. 1997/98:44 s. 35

ingå i ett register. Med register avses i sammanhanget varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.20Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten, till exempel den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straffrättens område och inte heller på register för privat bruk. Även behandling av personuppgifter för uteslutande journalistiska, konstnärliga och litterära ändamål undantas.

Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska inte anses oförenlig med dessa ändamål, förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder.

Personuppgifter får behandlas när den enskilde lämnat sitt samtycke. Därutöver får personuppgifter behandlas endast när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en författningsreglerad förpliktelse att behandling av uppgifterna ska ske, när det är nödvändigt för att skydda den enskildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller om det i övrigt skett en intresseavvägning som resulterat i att behandling av personuppgifter ska få ske.

Medlemsstaterna ska förbjuda behandling av känsliga personuppgifter, det vill säga uppgift som avslöjar ras21, religion, politisk åsikt, facklig tillhörighet eller som rör hälsa och sexualliv. Det finns dock vissa undantag från denna huvudregel, bland annat vid den enskildes uttryckliga samtycke, för ideella föreningars medlemsregister och för hälso- och sjukvårdens administration. Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet än dem som anges i direktivet, dock endast under förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma på vilka villkor nationella identifikationsnummer får behandlas.

20 I punkt 27 i ingressen till direktivet anges att innehållet i ett register måste vara strukturerat enligt särskilda kriterier som avser den enskilda personen, för att lätt ge tillgång till personuppgifterna. Akter eller grupper av akter eller deras omslag som inte är strukturerade efter särskilda kriterier faller inte inom direktivets tillämpningsområde. 21 Användningen av begreppet ”ras” kommenteras i avsnitt 5.3.4.8.

När personuppgifter samlas in ska den registrerade informeras om bland annat vem som är registeransvarig och vad uppgifterna ska användas till. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige emellertid inte lämna någon information, om den registrerade redan känner till informationen eller om det skulle visa sig omöjligt eller innebära en arbetsinsats som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Den registrerade har också rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller vidare regler om säkerhet vid behandlingen.

All behandling av personuppgifter ska enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter från anmälningsskyldigheten. Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att tillsynsmyndigheten först gett tillstånd till detta.

Den registrerade ska ha rätt att få sina rättigheter enligt den nationella lagen prövad av tillsynsmyndigheten och av domstol. Tillsynsmyndigheten ska vara ett oberoende organ. Den ska ha undersökningsbefogenheter och befogenheter att effektivt ingripa mot otillåten behandling av personuppgifter.

Överföring av personuppgifter till ett tredje land, som i detta sammanhang innebär ett land utanför EU, får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå.

5.3.2.3 Kompletterande rättsakter

Inom EU finns också vissa kompletterande rättsakter till dataskyddsdirektivet, bland annat rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) med särskilda regler om skydd för personuppgifter i frågor som rör polisiärt och straffrättsligt samarbete.

5.3.2.4 Reformarbete

Europeiska kommissionen presenterade i november 2010 meddelandet Ett samlat grepp på skyddet av personuppgifter i Europeiska

unionen (KOM/2010/0609) som innehöll en strategi för att stärka

EU:s regler om dataskydd. Både rådet och parlamentet uttryckte sitt stöd för kommissionens strategi. I januari 2012 lade kommissionen fram ett förslag till reform av EU:s regler om skydd för personuppgifter. Förslaget innebär bland annat att dataskyddsdirektivet ska ersättas av en allmän dataskyddsförordning. En förordning har direkt effekt i medlemsländerna. Det innebär att förslaget, om det genomförs, inte bara kommer att ersätta dataskyddsdirektivet utan även PUL.

I Europaparlamentet behandlades förslaget i LIBE-utskottet (Committee for Civil Liberties, Justice and Home Affairs). Rapportören Jan Philipp Albrecht lade fram ett förslag till betänkande i december 2012. Ett förslag med parlamentets ändringar antogs av parlamentet den 12 mars 2014 med 621 ja-röster mot 10 nej-röster och 22 nedlagda. I Ministerrådet behandlar rådsarbetsgruppen för dataskydd (DAPIX) kommissionens förslag. Ett stort antal möten har hållits under våren 2014. Det grekiska ordförandeskapet planerar att nå en partiell allmän inriktning om kapitlet som rör överföring av personuppgifter till tredje land till ministermötet i juni 2014. På grund av valet till Europaparlamentet i maj 2014 kommer förhandlingar mellan Ministerrådet och Europaparlamentet att inledas tidigast under andra halvan av 2014.

5.3.3. Kommissionens förordning om tillgång till konfidentiella uppgifter för vetenskapliga syften

EU-kommissionen antog 2013 en förordning om tillämpning av Europaparlamentets och rådets förordning om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften.22I ingressen (preamble) till förordningen slås fast att rättvisande svar på många ekonomiska, sociala, miljörelaterade och politiska frågor endast kan nås med hjälp av relevanta och detaljerade uppgifter som möjliggör djupgående analyser. Kvaliteten på och

22 Kommissionens förordning (EU) nr 557/2013 av den 17 juni 2013 om tillämpning av Europaparlamentets och rådets förordning (EG) nr 223/2009 om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften och om upphävande av kommissionens förordning (EG) nr 831/2002.

aktualiteten hos de detaljerade uppgifter som är tillgängliga för forskning har därför blivit ett viktigt inslag i en vetenskapligt underbyggd förståelse och styrning av samhället. Vidare anges att forskarvärlden därför bör få bättre möjligheter att ta del av konfidentiella uppgifter som används för utveckling, framställning och spridning av europeisk statistik, för analys i den vetenskapliga utvecklingens intresse, utan att det äventyrar den höga skyddsnivå som krävs för konfidentiella statistikuppgifter. I förordningen fastställs villkoren för när tillgång till konfidentiella uppgifter som översänts till EU:s statistikmyndighet Eurostat får beviljas för att möjliggöra statistiska analyser för vetenskapliga syften. I förordningen anges också reglerna för samarbetet mellan Eurostat och de nationella statistikansvariga myndigheterna för att underlätta sådan tillgång.

Enligt artikel 3 ska vissa krav vara uppfyllda för att Eurostat ska få lämna ut uppgifter för forskningsändamål. Den som begär tillgång till uppgifterna ska vara en erkänd forskningsenhet och ett lämpligt forskningsförslag ska lämnas in. I ansökan ska anges vilken typ av konfidentiella uppgifter för vetenskapliga syften som begärs. Tillgången ska ges antingen genom kommissionen (Eurostat) eller genom en annan åtkomstplats som kommissionen (Eurostat) godkänt. Den nationella statistikansvariga myndighet som lämnat uppgifterna ska också ge sitt medgivande till utlämnande. I artikel 4 anges vilka kriterier en forskningsenhet ska uppfylla för att bli en erkänd forskningsenhet. Förordningen innehåller också definitioner av vissa begrepp samt bestämmelser om vad forskningsförslag ska innehålla, de nationella statistikansvariga myndigheternas ståndpunkt, lämpliga skyddsåtgärder, tillgången till konfidentiella uppgifter genom åtkomstplatser och organisatoriska frågor. Till förordningen hör särskilda riktlinjer23 med närmare bestämmelser om den praktiska tillämpningen av förordningen när det gäller bland annat bedömning av forskningsenheter, upprättande av forskningsförslag och godkännande av åtkomstplatser och lämpliga säkerhetsåtgärder.

23 Guidelines for the assessment of research entities, reserach proposals and access facilities.

5.3.4. Personuppgiftslagen

5.3.4.1 Personuppgiftslagens syfte och förhållande till annan lagstiftning

Dataskyddsdirektivet har genomförts i svensk rätt genom PUL och personuppgiftsförordningen (1998:1191), PUF. PUL följer i stort sett dataskyddsdirektivets text och disposition och innehåller bland annat bestämmelser om behandling av personuppgifter, personuppgiftsansvar, information till den registrerade, skadestånd och straff. Syftet med PUL är, enligt 1 §, att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Av 2 § PUL framgår att lagen är subsidiär i förhållande till andra författningar. Det innebär att om det finns en annan lag eller förordning som avviker från PUL, ska de bestämmelserna tillämpas i stället. Sådana avvikande bestämmelser finns ofta i så kallade registerförfattningar som reglerar inrättandet och förfarandet av viktigare register på det offentliga området. Även bestämmelser som föreskriver att myndigheter eller enskilda får eller ska lämna ut uppgifter avses i paragrafen. Bestämmelser om så kallad uppgiftsskyldighet går således före bestämmelserna i PUL.

5.3.4.2 Några viktiga begrepp

3 § PUL innehåller definitioner av vissa grundläggande begrepp. Avsikten är att definitionerna i PUL ska ha samma innebörd som enligt dataskyddsdirektivet.24

Behandling (av personuppgifter) avser varje åtgärd eller serie av

åtgärder som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Som exempel på behandling anges i bestämmelsen insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller sambearbetning, blockering, utplåning eller förstöring. Så snart personuppgifter på något sätt hanteras är det enligt förarbetena fråga om en behandling som faller inom PUL:s tillämpningsområde, om behandlingen är automatisk eller avser ett manuellt personregister.25 Avsikten är att alla former av hantering ska omfattas.

24SOU 1997:39 s. 327. 25SOU 1997:39 s. 332.

Mottagare definieras som den till vilken personuppgifter lämnas

ut. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare.

Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Definitionen av personuppgifter innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Det bör dock tilläggas att en uppgift om en avliden person i vissa fall kan säga något om en levande person och därmed också utgöra en personuppgift. I förarbetena anförs att en uppgift om en persons arvsanlag (DNA) kan vara en uppgift som avser flera personer eftersom denna uppgift i kombination med andra uppgifter kan ge upplysning om den personens föräldrar och avkomma.26

Enligt förarbetena omfattas även kodade personuppgifter av PUL, så länge någon kan göra uppgifterna läsbara och därmed identifiera individer.27 Även sådana uppgifter som i sig är anonyma men som möjliggör identifikation genom så kallad bakvägsidentifikation av en fysisk person omfattas. I förarbetena tolkas begreppet så att det endast krävs att en fysisk person kan identifieras med hjälp av uppgifterna, inte att den personuppgiftsansvarige själv förfogar över samtliga uppgifter som gör identifieringen möjlig. I förarbetena anges som exempel ett trafikföretag som kan registrera när ett personligt och numrerat så kallat månadskort används vid resor. Även om trafikföretaget inte registrerat vem som innehar månadskortet, kan det ändå vara fråga om en personuppgift eftersom den uppgiften kan finnas registrerad på något annat håll, till exempel hos den skola eller socialförvaltning som delat ut kortet.

Som exempel på personuppgifter kan nämnas personnummer, registreringsnummer för fordon, kundnummer och lägenhetsnummer.

Personuppgiftsansvarig är den som ensam eller tillsammans med

andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Så snart det förekommer en behandling av personuppgifter i lagens mening finns det en eller flera personuppgiftsansvariga för den behandlingen. Den personuppgiftsansvarige har ett skadeståndssanktionerat ansvar för att behandlingen av personuppgifter sker i enlighet med bestämmelserna i PUL. Som huvudregel kan därför bara fysiska personer, juridiska personer, utländska

26SOU 1997:39 s. 338. 27 Ibid. I förarbetena används begreppet krypterade i stället för kodade.

filialer eller myndigheter betraktas som personuppgiftsansvariga, inte några andra ”organ” som saknar rättskapacitet och således inte kan ådömas skadestånd.28

Personuppgiftsbiträde är den som behandlar personuppgifter för

den personuppgiftsansvariges räkning. Både fysiska och juridiska personer kan vara personuppgiftsbiträde. Den personuppgiftsansvarige har skadeståndsansvar gentemot de registrerade för personuppgiftsbiträdets behandling av personuppgifter. Personuppgiftsbiträden har inte enligt lagen något eget skadeståndsansvar gentemot de registrerade, men de kan genom avtal eller allmänna regler bli skadeståndsskyldiga gentemot den personuppgiftsansvarige för sina handlingar.

Ett personuppgiftsombud är en fysisk person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt.

Den registrerade är den som en personuppgift avser. Av defini-

tionen av personuppgifter framgår att den registrerade måste vara en fysisk person som är i livet.

Med samtycke avses enligt definitionen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt.29Vid en tvist torde dock den personuppgiftsansvarige ha bevisbördan för att den registrerade har lämnat sitt samtycke. Ett skriftligt samtycke kan därför ändå vara lämpligt.

Enligt definitionen ska det vara den registrerade som blir informerad och godtar behandlingen av sina personuppgifter. Det är således den registrerade själv som ska lämna sitt samtycke. Att till exempel en organisation som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar är inte tillräckligt. Samtycket måste vara individuellt.30

Frågan om samtycket i alla lägen måste avges personligen, det vill säga av den registrerade själv, har diskuterats i förarbetena.31Datalagskommittén konstaterade att det verkar klart att ett ombud, en ställföreträdare eller en god man kan framföra den registrerades frivilliga, särskilda och informerade viljeyttring till den personuppgiftsansvarige (eller dennes ombud), och enligt kommittén bör ett

28SOU 1997:39 s. 336. 29SOU 1997:39 s. 341. 30 Ibid. 31 Ibid.

ombud eller en ställföreträdare kunna lämna samtycke på den registrerades vägnar.

Det har inte ställts upp några särskilda, rättsliga krav för att någon ska få avge ett samtycke. Det anges i förarbetena att ett samtycke ska vara en informerad viljeyttring från den registrerade och att den som faktiskt kan tillgodogöra sig information om vad en behandling innebär och som faktiskt kan avge en frivillig viljeyttring, som innebär att han eller hon godtar behandlingen, kan lämna ett rättsligt giltigt samtycke. Det anses naturligt att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respekterar individen i den meningen att den som förstår vad det handlar om får bestämma själv.32Frågan om när någon har sådan mognad att han eller hon förstår vad samtycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare bör kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen viljeyttring.

Datalagskommittén tar vidare upp frågan om vad kravet på frivillighet innebär. I förarbetena nämns som exempel den situation att samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade ska få något som han eller hon önskar eller behöver, till exempel ett telefonabonnemang, en livsnödvändig sjukvårdsbehandling eller en anställning. Det konstateras att om situationen är sådan att den registrerade i praktiken inte kan avstå, kan samtycket inte gärna vara ”frivilligt”. Det anförs dock att undantag får göras om det kan visas att den registrerade skulle ha lämnat samtycket även utan ”tvånget”. Även omständigheten att en registrerad kan ha en underordnad eller beroende ställning i förhållande till den personuppgiftsansvarige bör beaktas vid bedömningen av om ett samtycke har lämnats frivilligt.

Kravet på att samtycket ska vara särskilt medför att ett generellt samtycke till uppgiftsbehandling inte accepteras. Den registrerade ska informeras om vilken eller vilka behandlingar som ska göras och de är dessa, och inga andra, som det särskilda samtycket avser.33Definitionen av begreppet samtycke innebär också att ett så kallat hypotetiskt samtycke inte kan godtas. Med hypotetiskt samtycke avses att man på olika grunder antar att individen i fråga skulle ha samtyckt om han eller hon hade ställts inför frågan.

32 Ibid. 33SOU 1997:39 s. 342.

Tillsynsmyndigheten är den myndighet som regeringen utser för

att utöva tillsyn. Enligt 2 § PUF är Datainspektionen tillsynsmyndighet.

5.3.4.3 Det territoriella tillämpningsområdet

Det följer av 4 § PUL att lagen gäller för sådana personuppgiftsansvariga som är etablerade i Sverige. Det framgår vidare av bestämmelsen att lagen som huvudregel också tillämpas när den personuppgiftsansvarige är etablerad i en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige. Undantag gäller dock om utrustningen bara används för att överföra uppgifter mellan två sådana länder.

5.3.4.4 Behandling av uppgifter som omfattas av lagen

Det framgår av 5 § PUL vilka personuppgifter som omfattas av lagen. Bestämmelsen har följande lydelse.

5 §

Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad.

Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

I bestämmelsens första stycke slås det fast att lagen gäller för all behandling av personuppgifter som är helt eller delvis automatiserad. Enligt förarbetena är behandling i datorer av personuppgifter som finns i datorformat (i binär form), inklusive överföringen av personuppgifter till sådant format, som regel att betrakta som automatiserad behandling.34 Så snart en personuppgift har kommit in i en dator eller motsvarande maskin skulle det alltså vara fråga om sådan automatiserad behandling som omfattas av lagen. Av punkt 14 och 15 i ingressen till dataskyddsdirektivet framgår att även ljud- eller bilduppgifter om fysiska personer omfattas om det sker med hjälp av automatisk databehandling eller om uppgifterna ingår eller

34SOU 1997:39 s. 344.

avses att ingå i ett register. Däremot är det enligt förarbetena mera osäkert om och i vilken utsträckning reglerna om automatiserad behandling ska tillämpas på behandling av personuppgifter som inte finns i datorformat, till exempel bilder och ljud avseende individer som tas upp och lagras i något analogt format, såsom på ett negativ eller ett ljud- eller videoband.

Även delvis automatiserad behandling av personuppgifter omfattas av lagen. Det innebär bland annat att lagen tillämpas redan när någon samlar in personuppgifter manuellt, till exempel via enkäter, med syfte att senare registrera uppgifterna i datorformat. Det innebär vidare att muntligt utlämnande eller utlämnande på papper av personuppgifter som finns i datorformat omfattas av lagen. Det gör även manuell, intern användning av sådana personuppgifter.35

Av 5 § andra stycket PUL framgår att lagen i vissa fall gäller även för sådan behandling av personuppgifter som inte är automatiserad. Den behandling som avses är manuellt behandlade personuppgifter som ingår i eller är avsedda att ingå i ett register. I lagen används inte begreppet register utan i stället definitionen av ett register, det vill säga en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Ett register är enligt förarbetena en samling av personuppgifter.36Samlingen ska, för att utgöra ett register, innehålla uppgifter om fler än en person. En omfattande samling uppgifter om en enda person är således inte något register. För att något ska kunna sägas vara en samling krävs det vidare en viss beständighet. En hög med lösa papper på ett skrivbord omfattas således inte, även om papperen tillfälligtvis råkar vara sorterade i bokstavsordning efter efternamn. Däremot krävs det inte att alla handlingar i ett register finns på ett och samma ställe. Om personuppgifter i pappershandlingar som är utspridda, till exempel på olika håll i landet eller inom ett företag, är tillgängliga med hjälp av ett centralt index, kan det ändå vara fråga om ett enda register. Ett annat exempel är att ett företag kan ha ett kortregister som innehåller kundernas namn och en hänvisning till det ställe, till exempel en filial, där kundens akt med ytterligare personuppgifter finns.

35 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 122 f. 36SOU 1997:39 s. 339.

Uppgiftssamlingen måste också vara strukturerad.37Det innebär att uppgifterna måste vara sorterade enligt något slags system. Det krävs dessutom att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Man måste alltså kunna söka bland uppgifterna i samlingen för att det ska vara fråga om ett register. Av punkt 15 och 27 i ingressen till dataskyddsdirektivet framgår att kriterierna ska avse enskilda personer och vara utformade för att lätt ge tillgång till personuppgifterna. Ett manuellt register som visserligen innehåller personuppgifter men som inte är sökbart med hjälp av någon personuppgift (namn, personnummer et cetera) omfattas således inte. Det kan till exempel vara fråga om akter som har ordnats efter löpnummer utan möjlighet att söka fram uppgifter om enskilda personer.

I dataskyddsdirektivet och PUL talas det om kriterier i pluralis. Enligt förarbetena skulle det innebära att registret måste vara sökbart på mer än ett kriterium. En förteckning i bokstavsordning över personer skulle således inte vara ett register, om namnet är den enda sökingången. Om alla kriterier eller bara ett kriterium måste avse personuppgifter är dock mera oklart.38

5.3.4.5 Undantag från personuppgiftslagen

Undantag för behandling av personuppgifter i ostrukturerat material

Enligt 5 a § PUL behöver vissa i bestämmelsen angivna hanteringsregler i PUL inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, så kallat ostrukturerat material. Av andra stycket i samma bestämmelse framgår att sådan behandling emellertid inte får utföras om den innebär en kränkning av den registrerades personliga integritet.

Bestämmelsen infördes den 1 januari 2007 som ett resultat av en översyn av PUL. Personuppgiftslagsutredningens uppdrag var att analysera förutsättningarna för en reglering med inriktning på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet var att underlätta vardaglig hantering av person-

37SOU 1997:39 s. 339. 38SOU 1997:39 s. 340.

uppgifter samtidigt som den enskilde skulle ges ett effektivt skydd mot missbruk av uppgifterna.39

Bestämmelsen innebär en förenklad reglering för behandling av personuppgifter i ostrukturerat material såsom löpande text samt ljud och bild. Behandling får i sådana fall i princip utföras fritt så länge det inte uppkommer en kränkning av den registrerades personliga integritet.

Med ostrukturerat material avses sådant som inte framstår som något regelrätt personregister eller någon annan form av system som upprättats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. I det undantagna området ingår till exempel produktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller ska infogas i en databas med en personuppgiftsanknuten struktur såsom ett ärendehanteringssystem.40

Enligt bestämmelsens andra stycke får en sådan behandling av personuppgifter i ostrukturerat material som avses i första stycket inte utföras om den innebär en kränkning av den registrerades personliga integritet. Det har inte ansetts möjligt eller lämpligt att i lagen införa en uttömmande uppräkning av alla de fall av behandling av personuppgifter som kan utgöra missbruk av personuppgifter och därmed en kränkning av en enskilds personliga integritet. Det konstaterades i förarbetena att det är bäst att ha en allmänt hållen bestämmelse om vad som utgör missbruk, som mot bakgrund av förarbetena får uttolkas i rättspraxis och vägledning från till exempel Datainspektionen.41 Det har således lämnats åt rättstillämpningen att i varje enskilt fall, med beaktande av samtliga omständigheter, väga det intrång som kan ha skett i den personliga integriteten mot eventuella motstående intressen. I förarbetena lämnas ändå vissa riktlinjer för behandling av personuppgifter i ostrukturerat material. Av dessa framgår bland annat att personuppgifter inte ska behandlas för otillbörliga syften, så som förföljelse eller skandalisering, eller att man inte utan godtagbara skäl ska samla en stor mängd uppgifter om en person.42

39SOU 2004:6 s. 33. 40SOU 2004:6 s. 12, prop. 2005/06:173 s. 21. 41SOU 2004:6 s. 144. 42SOU 2004:6 s. 148, prop. 2005/06:173 s. 29.

Det bör i sammanhanget noteras att undantagsbestämmelsen i 5 a § PUL i princip aldrig torde bli tillämplig vid behandling av personuppgifter för registerforskning.

Undantag för privat behandling av personuppgifter

Det framgår av 6 § PUL att lagen inte gäller för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur.

Förhållandet till tryck- och yttrandefriheten

Enligt 7 § PUL tillämpas inte bestämmelserna i lagen i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen (TF) eller yttrandefrihetsgrundlagen (YGL).

Genom bestämmelsen undantas den grundlagsskyddade rätten att framställa yttranden. Undantaget gäller för behandling av personuppgifter som syftar till att framställa ett sådant yttrande som avses i TF eller YGL, till exempel en tryckt skrift eller ett radioprogram. Behandling som syftar till att uppgifter samlas in av till exempel en journalist för att göra ett TV-program eller av en författare omfattas av undantaget.43 Även behandling av personuppgifter i utkast, koncept eller minnesanteckningar som upprättas i syfte att framställa ett yttrande omfattas. Det gör även behandling för bevarande och spridning av redan grundlagsskyddat material, till exempel klipparkiv.

Den behandling av personuppgifter som sker inom statistisk och vetenskaplig verksamhet har ofta som mål att utmynna i en publikation av resultaten. Regeringen har dock gjort den bedömningen att även om forskningsresultat ofta offentliggörs i olika publikationer, så kan inte forskningen sägas syfta till ett offentliggörande i grundlagens mening utan i stället till att nå ett visst resultat. Den bedrivna forskningen kan därför enligt regeringen inte anses åtnjuta grundlagsskydd under åberopande av att forskningsresultaten ska publiceras.44

43SOU 1997:39 s. 258 ff. 44Prop. 2002/03:50 s. 119, jämför Ds 2001:62 s. 54 och 128.

Bestämmelsen innebär vidare undantag för den grundlagsskyddade rätten att sprida yttranden, meddelarfriheten och anskaffarfriheten.

Enligt bestämmelsens andra stycke ska vissa bestämmelser i PUL inte tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Bestämmelsen innebär att endast de bestämmelser i lagen som rör säkerhet ska tillämpas på sådan behandling. I förarbetena betonas att det är viktigt att det även vid behandling för journalistiska ändamål eller konstnärligt eller litterärt skapande finns en lämplig säkerhetsnivå så att personuppgifter inte till exempel läcker ut eller annars sprids på ett icke avsett vis.45

Förhållandet till offentlighetsprincipen

Det följer av 8 § PUL att lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt bestämmelserna om offentlighetsprincipen i 2 kap. TF att lämna ut personuppgifter.

Offentlighetsprincipen beskrivs närmare i avsnitt 5.6.2. Den innebär kortfattat bland annat en rätt för var och en att hos myndigheter ta del av allmänna handlingar med personuppgifter i den utsträckning handlingarna inte innehåller uppgifter som är sekretessbelagda. Av betydelse för principen är också myndigheternas skyldighet enligt lag och andra författningar att bevara allmänna handlingar. Den som begär att få ta del av allmänna handlingar har vidare i allmänhet rätt att få vara anonym. Offentlighetsprincipen innebär således att myndigheterna i vissa fall är skyldiga att ge ut personuppgifter till en obestämd krets av mottagare som kan utnyttja uppgifterna för okända ändamål.46

Förhållandet mellan dataskyddsdirektivet och offentlighetsprincipen diskuterades i förarbetena till PUL.47 Att personuppgifter lämnas ut med stöd av den grundlagsfästa offentlighetsprincipen är enligt propositionen i och för sig att anse som en sådan behandling av personuppgifter som omfattas av direktivet. En myndighets utlämnande av personuppgifter med stöd av offentlighetsprincipen kan dock inte anses vara oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. Offentlighetsprincipen framgår av

45Prop. 1997/98:44 s. 52. 46 Öman, S. och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 184. 47Prop. 1997/98:44 s. 43 ff.

grundlagen och får anses utgöra en integrerad del av all förvaltningsverksamhet som myndigheterna ägnar sig åt. I propositionen anfördes ett antal ytterligare skäl för tolkningen att offentlighetsprincipen inte var oförenlig med dataskyddsdirektivet. Lagrådet invände mot att direktivet gick att förena med offentlighetsprincipen och anförde bland annat att det mot bakgrund av syftet med direktivet (skapandet av en gemensam hög skyddsnivå som skapar förutsättningar för ett fritt flöde av uppgifter mellan länderna) inte är sannolikt att EG-domstolen skulle godta en tolkning av direktivet i den riktning som regeringen har gjort och att det finns en påtaglig risk för att domstolen skulle finna offentlighetsprincipen oförenlig med direktivet. För att vara säker på att den svenska lagstiftningen står sig vid en prövning i EG-domstolen ansåg Lagrådet att bestämmelserna i TF och den dåvarande sekretesslagen (1980:100) behövde ändras.

Regeringen delade inte Lagrådets farhågor rörande EG-direktivets förenlighet med offentlighetsprincipen och anförde att det rörde sig om en svensk grundlagsskyddad rättighet med lång tradition som är en viktig del av det svenska statsskicket. Vidare anfördes att den svenska offentlighetsprincipens starka ställning och grundläggande betydelse för det svenska förvaltningssystemet också är väl känd i de övriga medlemsstaterna. Under det förhandlingsarbete som ägde rum efter att Sverige blivit medlem i EU förändrades direktivet på flera punkter av särskilt stor betydelse för frågan om hur det förhåller sig till offentlighetsprincipen. Det förslag till direktiv som Datalagsutredningen hade att ta ställning till skiljde sig alltså på avgörande punkter från direktivet i dess slutliga form. Det anförs vidare att det är av betydelse att förändringarna till stor del föranleddes av den svenska inställningen och att förändringarna alltså syftade till att göra det möjligt för medlemsstaterna att förena regler om skydd för personuppgifter med en offentlighetsprincip. Detta har slagits fast i punkt 72 i ingressen till direktivet.48Konstitutionsutskottet gjorde liksom regeringen bedömningen att det inte fanns någon bestämmelse i direktivet som inte gick att förena med offentlighetsprincipen, men framhöll att man först genom EG-domstolens prövning kan veta hur EG-direktivet egentligen ska tolkas och tillämpas.49

48 I punkt 72 anges att direktivet gör det möjligt att vid genomförandet av dessa bestämmelser ta hänsyn till principen om allmänhetens rätt till tillgång av allmänna handlingar. 49 1997/98:KU 18 s. 26 f.

Förhållandet till arkivlagstiftningen

Enligt 8 § andra stycket PUL hindrar inte bestämmelserna i lagen att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.

Utgångspunkten i arkivlagstiftningen är att bevara uppgifter och att inte korrigera dem på ett sådant sätt att ursprungsuppgifterna utplånas. Myndigheternas skyldighet att spara allmänna handlingar i arkiv innebär att en stor mängd personuppgifter bevaras för evigt. Frågan är hur arkivlagens krav på bevarande kan förenas med PUL:s krav på att uppgifter som inte längre behövs för sitt ändamål ska förstöras och att uppgifter ska vara riktiga och aktuella.

I förarbetena till PUL anfördes att de ändamål som bevarandet av myndighetsarkiven ska tillgodose kan hänföras till vad som i EGdirektivet kallas ”historiska, statistiska och vetenskapliga ändamål”.50Det är således inte nödvändigt att myndigheterna redan när personuppgifterna samlas in uttryckligen anger arkivering och bevarande som ett ändamål för behandlingen. Är en myndighets primära hantering av uppgifterna tillåten, kan det inte anses oförenligt med den primära hanteringen att bevara uppgifterna. Det kan inte heller anses oförenligt med de ursprungligen angivna ändamålen att myndigheten efter en tid lämnar över sina handlingar till en arkivmyndighet för långtidsförvaring. Myndigheterna är rättsligt förpliktade att bevara allmänna handlingar och bevarandet är också en arbetsuppgift av allmänt intresse. Den behandling av icke känsliga personuppgifter som bevarandet utgör är således enligt propositionen tillåten enligt dataskyddsdirektivet. För myndigheternas bevarande av känsliga personuppgifter behövs det däremot ett undantag enligt artikel 8.4. I propositionen anförs att de svenska myndigheternas bevarande även av känsliga personuppgifter utgör ett sådant viktigt allmänt intresse som berättigar en medlemsstat att göra ett undantag. Detta undantag måste omfatta också den insamling och det långtidsbevarande av personuppgifter som sker vid de särskilda arkivmyndigheterna som tar emot arkivmaterial från myndigheter och enskilda.

Lagrådet uttalade att undantagen i fråga om bevarande och arkivering av allmänna handlingar endast var motiverade med hänsyn till undantagens betydelse för offentlighetsprincipen och drog slutsatsen att undantagen stred mot det övergripande syftet med direktivet. Regeringen ansåg dock att offentlighetsprincipen var förenlig med direktivet och att undantagen var av väsentlig betydelse för offent-

50Prop. 1997/98:44 s. 47 f.

lighetsprincipen. Det ansågs dessutom att det var ett viktigt allmänt intresse i sig att de syften som ligger till grund för arkiven, och som redovisats ovan, kan tillgodoses.

Lagrådet har även i senare lagstiftningsärenden haft invändningar i fråga om bevarande av allmänna handlingar enligt arkivlagstiftningen.51

Regeringens möjlighet att meddela föreskrifter om undantag

8 a § PUL bemyndigar regeringen att meddela föreskrifter om undantag från en rad bestämmelser i PUL om det är nödvändigt med hänsyn till vissa intressen, såsom rikets säkerhet, försvaret, allmän säkerhet och skyddet för fri- och rättigheter.

5.3.4.6 Krav på behandlingen av personuppgifter

9 § PUL innehåller vissa grundläggande krav på behandlingen av personuppgifter. Bestämmelsen har följande lydelse.

9 §

Den personuppgiftsansvarige skall se till att

a. personuppgifter behandlas bara om det är lagligt, b. personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed,

c. personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål,

d. personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in,

e. de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen,

f. inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen,

g. de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella,

h. alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och

i. personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

I fråga om första stycket d gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte

51Prop. 1997/98:108 s. 126 f. och 59 f.

skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål.

Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.

Det är den personuppgiftsansvarige som ansvarar för att kraven är uppfyllda, även om den personuppgiftsansvarige anlitat ett personuppgiftsbiträde eller utsett ett personuppgiftsombud. Uppfylls inte kraven är behandlingen olaglig. Bestämmelsen är tillämplig även om den registrerade gett sitt samtycke till att personuppgifter behandlas i strid med bestämmelsen. Den registrerades samtycke befriar alltså inte den personuppgiftsansvarige från att se till att kraven i bestämmelsen är uppfyllda.

Enligt 9 § punkt a och b har den personuppgiftsansvarige ansvar för att personuppgifter endast behandlas om det är lagligt och alltid behandlas på ett korrekt sätt och i enlighet med god sed. När det är lagligt att behandla personuppgifter framgår av PUL, till exempel 10 och 13–20 §§, och anknytande lagstiftning.52I vilka fall det är olagligt att behandla personuppgifter kan vidare framgå av annan lagstiftning, till exempel brottsbalken och marknadsföringslagen. Dessa rättskällor kan också ange riktlinjer för vad som är ett korrekt sätt att behandla personuppgifter. Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bland annat de mer preciserade föreskrifter som kan utfärdas med stöd av PUL, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgiftsansvariga som regel beter sig.53

En av de centrala bestämmelserna i PUL är 9 § punkt c, enligt vilken personuppgifter enbart får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Bestämmelsen innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in.54Ändamålen måste då anges uttryckligen.

52SOU 1997:39 s. 350. 53Prop. 1997/98:44 s. 14354SOU 1997:39 s. 350, prop. 1997/98:44 s. 120 f.

Det finns inte något krav på att ändamålsangivelsen ska nedtecknas. Bestämmelserna i 23–25 §§ PUL om skyldigheten att lämna information till den registrerade när personuppgifterna samlas in medför emellertid ofta att ändamålen måste uppges redan när behandlingen påbörjas. Den personuppgiftsansvarige är vidare alltid skyldig att uppge ändamålen antingen i en anmälan till tillsynsmyndigheten (36 § PUL) eller till var och en som begär en sådan upplysning (42 § PUL). Om den personuppgiftsansvarige har anmält ett personuppgiftsombud till Datainspektionen behöver den personuppgiftsansvarige inte göra en anmälan enligt 36 § PUL. Det följer dock av 39 § PUL att personuppgiftsombudet ska göra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och att förteckningen ska omfatta åtminstone de uppgifter som en anmälan enligt 36 § PUL skulle ha innehållit. Även här ska ändamålen med behandlingen således anges. Ändamålen ska vidare anges i ett sådant besked som den personuppgiftsansvarige är skyldig att tillhandahålla den registrerade enligt 26 § PUL. Bestämmelsen medför en skyldighet för den personuppgiftsansvarige att en gång per år till den som ansöker om det lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter om den sökande behandlas ska beskedet, utöver ändamålet med behandlingen, innehålla bland annat uppgift om vilka uppgifter som behandlas och varifrån de hämtats.

Ändamålen ska vidare vara särskilda. Det innebär enligt förarbetena att en alltför allmänt hållen ändamålsangivelse inte godtas.55 Hur pass detaljerad ändamålsangivelsen ska vara för att uppfylla lagens krav på att vara särskild får emellertid avgöras i praxis. Enligt förarbetena till lagen (2001:454) om behandling av personuppgifter inom socialtjänsten kan man när det gäller tolkningen av begreppet särskilda få viss ledning av kraven i artikel 6 i Dataskyddsdirektivet och 9 § punkten e och f i PUL att personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålet med behandlingen och att inte fler uppgifter får behandlas än som är nödvändigt med hänsyn till ändamålet med behandlingen.56Om inte ändamålet har en viss grad av precision kan det vara svårt att avgöra om personuppgifterna är adekvata och relevanta eller om för många personuppgifter behandlas. Kan man inte avgöra vilka personuppgifter som behövs för att ändamålet ska kunna uppfyllas är ändamålet inte särskilt utan allmänt. Det är möjligt att ange flera ända-

55 Ibid. 56SOU 1999:109 s. 156.

mål när uppgifterna samlas in, även om de olika ändamålen inte är förenliga med varandra.

De ändamål som personuppgifterna ska samlas in för ska också vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av PUL och anknytande lagstiftning. Det anförs i förarbetena att det är osäkert om bestämmelsen om berättigade ändamål har någon självständig betydelse.57Den har dock tagits med i den svenska lagen för säkerhets och fullständighets skull.

Enligt 9 § punkt d får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Denna så kallade finalitetsprincip är av central betydelse vid behandling av personuppgifter. Den innebär att det, när behandling för nya ändamål ska ske, måste göras en prövning av om dessa ändamål är oförenliga med de ursprungligen angivna. Bestämmelsen gör det extra viktigt att tänka efter före och vid insamlingen av uppgifterna ange alla de ändamål för vilka man kan tänkas behöva använda de insamlade uppgifterna.58Vad som är oförenligt med de ursprungliga ändamålen får enligt förarbetena bestämmas genom praxis och kompletterande föreskrifter.59Det bör dock finnas ett visst spelrum vid tolkningen av begreppet oförenligt.60 Senare behandling behöver alltså inte direkt motsvaras av ett från början angivet ändamål.

Det anges inte i förarbetena till PUL vad som ska beaktas vid prövningen av om de nya ändamålen är oförenliga med ursprungligen bestämda. I förarbetena till lagen (2001:454) om behandling av personuppgifter inom socialtjänsten uttalades följande.

Enligt utredningens uppfattning bör man vid denna ”oförenlighetsprövning”, hypotetiskt utgå från hur en registrerad typiskt sett (inte den registrerade i det enskilda fallet) skulle se på saken. Kommer man vid en sådan bedömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. Detta är, menar utredningen, en rimlig utgångspunkt med tanke på syftet bakom EG-direktivet, dvs. att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatlivet, i samband med behandling av personuppgifter. Vid sådant förhållande blir det fråga om en restriktiv tillämpning av bestämmelsen i 9 § första stycket d personuppgiftslagen och utrymmet för att be-

57SOU 1997:39 s. 350. 58 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 203. 59SOU 1997:39 s. 351. 60SOU 1999:105 s. 253.

handla redan insamlade personuppgifter för andra ändamål blir följaktligen litet.61

Behandlingen av personuppgifterna för de nya ändamålen måste, liksom behandlingen för de ursprungliga, vara tillåten enligt 10 § och, om det rör sig om känsliga personuppgifter, dessutom enligt 13–20 §§.62Det krävs inte i sig att den registrerade samtycker till behandlingen för de nya ändamålen eller att ny information till de registrerade lämnas enligt bestämmelserna i 23–25 §§.

Även ett utlämnande av personuppgifter till någon annan är en typ av behandling och måste vara förenligt med de ursprungliga ändamålen. Den som utlämnar personuppgifterna måste beakta vad den som vill ha ut uppgifterna ska använda dem till och jämföra den tilltänkta användningen med de ursprungliga ändamålen. Det är därför inte möjligt att kringgå finalitetsprincipen genom att en personuppgiftsansvarig lämnar ut uppgifterna till någon annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga.63Det bör dock noteras att den som fått ut uppgifterna inte är bunden av de ändamål som den utlämnande personuppgiftsansvarige bestämt utan bara av de ändamål som han eller hon själv har bestämt för sin behandling innan de begärdes ut.

Finalitetsprincipen har också betydelse för möjligheten att sambearbeta uppgifter. Med sambearbetning av uppgifter avses maskinell bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat personregister hos den registeransvarige eller hos annan registeransvarig.64 PUL innehåller inte något uttryckligt förbud mot sambearbetning av uppgifter. Däremot begränsar bestämmelsen i praktiken möjligheten till sambearbetning, eftersom en uppgift inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Ändamålsbestämmelsen anger således inte bara ramen för vilka uppgifter som får behandlas utan också när sambearbetning av uppgifter får ske.65

Artikel 29-gruppen66har i april 2013 gett ut en rapport avseende ändamålsprincipen (the principle of purpose limitiation), det vill

61SOU 1999:109 s. 160. 62SOU 1997:39 s. 351. 63 Ibid. 64Prop. 2002/03:135 s. 58 f. 65Prop. 2000/01:126 s. 33 f. och 59 f, prop. 2001/02:144 s. 41, prop. 2004/05:70 s. 75. 66 Artikel 29-gruppen (Article 29 Working Party on Data Protection) består av en företrädare för varje nationell tillsynsmyndighet i EU-medlemsstaterna, en företrädare för EUkommissionen samt den europeiske datatillsynsmannen. Gruppen har bildats för att dataskyddsdirektivet ska tillämpas på ett enhetligt sätt i medlemsstaterna och har fått sitt namn av artikel 29 i dataskyddsdirektivet. I artikel 30 finns bestämmelser om gruppens uppgifter.

säga artikel 6 b i dataskyddsdirektivet som motsvarar 9 § punkt c och d i PUL.67Rapporten innehåller en utförlig analys av principen och syftar till att förtydliga dess betydelse och erbjuda riktlinjer för hur den ska tillämpas i praktiken. I rapporten konstateras att principen förbjuder behandling som är oförenlig med det ursprungliga syftet i stället för att kräva att det senare syftet ska vara förenligt med det ursprungliga. Denna formulering är avsedd att skänka viss flexibilitet till systemet. Senare behandling för ett annat ändamål behöver inte nödvändigtvis vara oförenligt med det första ändamålet. Detta får avgöras från fall till fall. Vid denna ändamålsprövning ska främst förhållandet mellan det ursprungliga ändamålet och det senare ändamålet beaktas. Vidare ska det sammanhang som uppgifternas samlades in i och de rimliga förväntningarna från dem som uppgifterna rör beaktas. Hänsyn måste också tas till vilken typ av uppgifter det rör sig om och vilken effekt vidare behandling kan få för dem som uppgifterna rör. Vilka säkerhetsåtgärder den personuppgiftsansvarige vidtagit för att garantera korrekt behandling och förhindra oriktig behandling är också av betydelse.

Det följer av 9 § punkt e att de personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Det innebär enligt förarbetena att uppgifternas beskaffenhet måste korrespondera med det mål man vill uppnå med behandlingen.68Enligt punkt f får inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Det är i första hand den personuppgiftsansvarige som har att bedöma vilka uppgifter som är adekvata och relevanta i förhållande till de ändamål han eller hon har bestämt för behandlingen samt hur många personuppgifter som krävs för att uppnå ändamålet med behandlingen.69 Det ligger dock på den personuppgiftsansvarige att förklara varför de olika uppgifterna behövs för att uppfylla ändamålen med behandlingen.

Det är vidare den personuppgiftsansvarige som har ansvar för att de behandlade personuppgifterna enligt 9 § punkt g är riktiga och, om det är nödvändigt, aktuella.

Gruppen är rådgivande och oberoende och förutom att verka för en enhetlig rättstillämpning ska gruppen bland annat yttra sig till EU-kommissionen om skyddsnivån i gemenskapen och i tredje land samt ge råd till kommissionen om förslag till ändringar av direktivet. Dessutom ska gruppen avge yttranden om branschöverenskommelser som utarbetas inom EU. 67 Opinion 03/2013 on purpose limitation (00569/13 EN WP 203). 68SOU 1997:39 s. 126. 69 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 210 f.

Den personuppgiftsansvarige ska, enligt 9 § punkt h, självmant vidta rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I förarbetena betonas i detta sammanhang vikten av att de behandlade uppgifterna håller en hög kvalitet eftersom användningen av felaktiga, missvisande eller ofullständiga uppgifter kan förorsaka registrerade och andra stora skador och stor förtret i övrigt.70Sådana problem kan enligt förarbetena förebyggas genom en sund källkritik och noggrannhet samt genom att det dokumenteras varifrån olika uppgifter har hämtats.

Enligt 9 § punkt i får personuppgifter inte bevaras länge än nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras.71Det är det ursprungliga ändamålet som bestämdes vid insamlingen som avgör hur länge personuppgifterna får bevaras i identifierbart skick.72Enligt 8 § andra stycket ska bestämmelserna i PUL inte hindra att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.

I 9 § andra–fjärde styckena PUL finns särskilda bestämmelser som avser behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Bestämmelserna medför att behandling av personuppgifter för dessa ändamål har en särskild position.

Behandling för historiska ändamål syftar i första hand på bevarandet av personuppgifter i arkiv.73 Det följer av 8 § andra stycket PUL att bestämmelserna i lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Undantaget för behandling av personuppgifter för historiska ändamål har således störst betydelse för enskilda arkiv, till exempel arkiv som förs av föreningar och företag.74För att undantagsbestämmelsen ska vara tillämplig på enskilda arkiv krävs enligt förarbetena en nedtecknad plan för bevarande av viss kvalitet med syfte att bevara uppgifterna för överskådlig framtid.75

Med behandling för statistiska ändamål avses enligt förarbetena i första hand framställning av numeriska sammanställningar av elemen-

70SOU 1997:39 s. 351. 71SOU 1997:39 s. 351. 72 Öman, S. och Lindblom, H.-O. Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 213. 73SOU 1997:39 s. 353 ff. 74 Öman, S., och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 221. 75SOU 1997:39 s. 354 f.

tära observationer som kan hänföras till händelser, flöden eller tillstånd och verksamhet för att göra sådana sammanställningar.76

Med behandling för vetenskapliga ändamål menas enligt förarbetena sådan behandling som har koppling till den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut.77Även vetenskapligt utförda epidemiologiska undersökningar omfattas. Släktforskning faller däremot utanför, liksom annan forskning eller utredningsverksamhet av mera privat natur. Utgångspunkterna är att det måste finnas ett samhällsintresse av att forskningen bedrivs och att den måste vara vetenskaplig i någon mening.

Enligt andra stycket ska en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Det innebär att personuppgifter kan användas för vetenskaplig forskning och statistik oavsett för vilka ändamål uppgifterna ursprungligen samlades in. Personuppgifter som samlats in för ett visst forsknings- och statistikprojekt kan således senare också användas i ett annat sådant projekt.78

Det följer av tredje stycket att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som följer av första stycket i. Personuppgifterna får emellertid inte bevaras under en längre tid än vad som behövs för dessa ändamål.79Personuppgifter som inte längre behövs för de ursprungligen bestämda ändamålen får således bevaras för att användas för historiska, statistiska eller vetenskapliga ändamål. När uppgifterna har använts färdigt för dessa ändamål måste de emellertid avidentifieras eller utplånas. Vid vetenskaplig forskning finns dock särskilda krav på dokumentation och reproducerbarhet. Det innebär att personuppgifter som använts i ett forskningsprojekt kan behöva bevaras under lång tid efter det att projektet avslutats. Personuppgifter som använts färdigt för statistiska eller vetenskapliga ändamål får bevaras i arkiv för historiska ändamål.

Enligt fjärde stycket får personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål användas för att vidta åtgärder i fråga om den registrerade endast om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till

76Prop. 1997/98:44 s. 127. 77SOU 1993:10 s.198, SOU 1997:39 s. 302, prop. 1997/98:44 s. 127. 78SOU 1997:39 s. 309 f. 79 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 222 f.

den registrerades vitala intressen. Det följer av 8 § andra stycket PUL att bestämmelsen inte gäller för en myndighets användning av personuppgifter i allmänna handlingar. Huvudregeln är således att den personuppgiftsansvariga ska kunna visa att den enskilde har lämnat sitt samtycke för att personuppgifterna ska få användas för att vidta åtgärder. Personuppgifterna får emellertid alltid användas för att vidta åtgärder om det finns synnerliga skäl med hänsyn till den enskildes vitala intressen. Ett exempel på ett sådant tillfälle är enligt förarbetena att en forskare som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom upptäcker att det faktiskt finns ett sådant samband och därför varnar de registrerade som har fått medicinen så att de kan låta undersöka sig och få behandling.80

5.3.4.7 När behandling av personuppgifter är tillåten

9 § PUL anger de krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. För att behandling av personuppgifter ska vara tillåten måste dessutom något av de förhållanden som anges i 10 § PUL vara för handen. Bestämmelsen har följande lydelse.

10 §

Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att

a. ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas,

b. den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet,

c. vitala intressen för den registrerade skall kunna skyddas, d. en arbetsuppgift av allmänt intresse skall kunna utföras, e. den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller

f. ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.

80Prop. 1997/98:44 s. 121.

Bestämmelsen anger uttömmande i vilka fall personuppgifter över huvud taget får behandlas. Personuppgifter får således inte behandlas i några andra fall än dem som anges i bestämmelsen. Vid behandling av känsliga personuppgifter, uppgifter om lagöverträdelser med mera, personnummer eller samordningsnummer krävs det dessutom att behandlingen är tillåten enligt de bestämmelser som gäller för behandling av sådana uppgifter (13–22 §§ PUL).

Samtycke

Uppgifter får för det första behandlas om den enskilde lämnat sitt samtycke till behandlingen. Vad som krävs för ett godkänt samtycke diskuteras i avsnitt 5.3.4.2 som behandlar 3 § PUL.

Utöver de fall där den enskilde lämnat sitt samtycke får personuppgifter behandlas i de sex fall som räknas upp i punkterna a–f. Under de förhållanden som anges där får personuppgifter således behandlas oberoende av den registrerades samtycke.

Nödvändighetskravet

I de fall den registrerade lämnat sitt samtycke till en behandling krävs det inte att behandlingen är nödvändig. I övriga fall måste behandlingen vara nödvändig för olika syften. Den närmare innebörden av nödvändighetskravet är inte helt klar.81 Som anförs i förarbetena kan de flesta arbetsuppgifter rent faktiskt utföras manuellt utan sådan behandling som omfattas av lagen även om det kostar mycket mer och tar betydligt längre tid än att behandla personuppgifterna automatiskt.82Enligt Datalagskommittén kan nödvändighetskravet inte rimligen innebära att det ska vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av lagen. Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt utan att personuppgifter behandlas, kan det inte anses nödvändigt att behandla personuppgifterna. Det kanske går nästan lika bra att använda avidentifierade83 uppgifter. Det räcker sannolikt

81 Frågan diskuteras vidare i avsnitt 8.3.2.1. 82SOU 1997:39 s. 359. 83 I betänkandet används begreppet ”anonyma”, men här torde uppgifter där det inte längre är möjligt att identifiera personen avses. Sådana uppgifter utgör inte längre personuppgifter i PUL:s bemärkelse.

att det innebär en påtaglig förenkling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg.84

Behandling för att utföra en arbetsuppgift av allmänt intresse

Den bestämmelse i 10 § PUL som är av särskilt intresse när det gäller registerbaserad forskning är bestämmelsen i punkt d som reglerar möjligheten att behandla personuppgifter utan den enskildes samtycke om det är nödvändigt för att en arbetsuppgift av allmänt intresse ska kunna utföras. I förarbetena anges arkivering, forskning och framställning av statistik som exempel på sådana uppgifter av allmänt intresse.85Arbetsuppgiften kan utföras av en myndighet eller ett enskilt subjekt. Att någon själv kan tjäna pengar på att utföra arbetsuppgiften utesluter inte enligt Datalagskommittén att den ändå kan vara av allmänt intresse, såsom när uppgifter som tidigare skötts av det allmänna läggs ut på privata företag som drivs i vinstsyfte. Bedömningen av om arbetsuppgiften är av allmänt intresse måste göras mot bakgrund av verksamhetens syfte.86

Behandling av personuppgifter efter en intresseavvägning

En annan bestämmelse som kan ha betydelse i sammanhanget är bestämmelsen om en intresseavvägning i punkt f. Enligt denna bestämmelse får personuppgifter behandlas om behandlingen är nödvändig för att ett ändamål ska kunna tillgodoses som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut. Det krävs dock att detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelsen är ett slags generalklausul som möjliggör befogad behandling när ingen av de andra bestämmelserna i paragrafen är tillämplig.

I förarbetena anges att det ligger i sakens natur att behandlingen bara får avse uppgifter om sådana registrerade vars intresse inte väger lika tungt som den personuppgiftsansvariges.87Om en registrerad meddelar den personuppgiftsansvarige att han eller hon inte vill att behandlingen fortsätter, får den registrerades intresse av att slippa

84SOU 2001:32 s. 95, SOU 2001:100 s. 90. 85SOU 1997:39 s. 361. 86Prop. 2000/01:105 s. 36. 87SOU 1997:39 s. 362.

fortsatt behandling som regel anses väga över den personuppgiftsansvariges intresse av fortsatt behandling; bara i synnerliga undantagsfall bör den personuppgiftsansvariges intresse av behandlingen anses väga över intresset hos en registrerad som uttryckligen motsatt sig behandlingen. Finns inte längre förutsättningar för att behandla personuppgifterna enligt någon annan bestämmelse måste de behandlade uppgifterna förstöras eller avidentifieras; även lagring av personuppgifter anses nämligen som en form av behandling.

5.3.4.8 Förbud mot behandling av känsliga personuppgifter

Enligt 13 § PUL råder ett principiellt förbud mot att behandla känsliga personuppgifter. Vilka personuppgifter som definieras som känsliga anges uttömmande i bestämmelsen. Bestämmelsen har följande lydelse.

13 §

Det är förbjudet att behandla personuppgifter som avslöjar a. ras eller etniskt ursprung, b. politiska åsikter, c. religiös eller filosofisk övertygelse, eller d. medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv.

Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter.

Utgångspunkten är således att det är förbjudet att behandla uppgifter av den art som anges i bestämmelsen. I 14–20 §§ finns emellertid vissa undantag. Bestämmelsen är inte heller tillämplig vid behandling av personuppgifter i ostrukturerat material enligt i 5 a § PUL. Det bör dock noteras att känsliga personuppgifter inte får behandlas i ostrukturerat material om det innebär en kränkning av den registrerades personliga integritet (5 a § andra stycket PUL).

Ras eller etniskt ursprung

Det är för det första förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung. Enligt kommissionens förklaring till förslaget till dataskyddsdirektiv inkluderar uppgift om ras eller

etniskt ursprung även uppgift om hudfärg.88 Uppgifter om namn och språkkunskaper tillsammans har ansetts utgöra indirekta upplysningar om en persons etniska ursprung.89I propositionen avseende genomförande av tredje penningtvättsdirektivet konstaterades att bilden i en passhandling i förening med namn och uppgift om medborgarskap kan avslöja såväl ras som etniskt ursprung.90 Datainspektionen anger i sin rapport 2002:2 angående behandling av elevers uppgifter i grundskolan att en uppgift om en persons modersmål i vissa fall kan vara en uppgift som indirekt avslöjar etniskt ursprung.91Datainspektionen anger vidare i rapport 2002:3 angående behandling av personuppgifter hos rekryteringsföretag att en uppgift om medborgarskap i vissa fall kan avslöja ras eller etniskt ursprung.92Regeringen har dock bedömt att en isolerad uppgift om medborgarskap inte avslöjar vare sig ras eller etniskt ursprung.93

I sammanhanget bör noteras att riksdagen har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och från biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor.94 Användningen av ordet ras i författningstexter riskerar enligt riksdagen att underblåsa fördomar. Riksdagen har dock konstaterat att den inte har möjlighet att besluta att ordet ska utmönstras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella överenskommelser eller författningar som genomför EG-direktiv. I propositionen En reformerad grundlag (prop. 2009/10:80) föreslog regeringen att begreppet ras utmönstras ur regeringsformen. Riksdagen antog förslaget och i regeringsformen används i dag i stället uttrycket “etniskt ursprung, hudfärg eller annat liknande förhållande” (2 kap. 12 och 24 §§ RF). Det är regeringens ambition att se över frågan om huruvida ordet ras bör utmönstras i all lagstiftning.95

88SOU 1993:10 Bilaga s. 177, SOU 1997:39 s. 131. 89SOU 2001:32 s. 124, SOU 2001:100 s. 93 f. och SOU 2003:40 s. 180. 90Prop. 2008/09:70 s. 142. 91 Datainspektionens rapport 2002:2 s. 8. 92 Datainspektionens rapport 2002:3 s. 8. 93Prop. 2001/02:144 s. 41. 94 Bet. 1997/98:KU 29 s. 7. 95Prop. 2009/10:85 s. 123 och prop. 2011/12:45 s. 94.

Politiska åsikter samt religiös eller filosofisk övertygelse

Förbudet gäller vidare behandling av personuppgifter som avslöjar en persons politiska åsikter samt religiösa eller filosofiska övertygelse. Enligt kommentaren till PUL bör man kunna tolka begreppet politiska åsikter restriktivt så att det inte innefattar åsikter om alla samhälleliga eller andra mänskliga förhållanden.96Som exempel på en uppgift som avslöjar en persons politiska åsikter anges uppgift om att någon är medlem i ett politiskt parti. En uppgift om medlemskap i en partipolitiskt obunden intresseorganisation är emellertid, enligt kommentaren, inte att betrakta som en känslig personuppgift.

När det gäller religiös eller filosofisk övertygelse anges i förarbetena att en uppgift om att någon inte har någon religiös tro, liksom information om aktiviteter som hör samman med sådan övertygelse, ska anses utgöra en känslig personuppgift i lagens bemärkelse.97

Medlemskap i fackförening

Med fackförening avses sådana sammanslutningar av arbetstagare som avses i 6 § lagen (1976:580) om medbestämmande i arbetslivet, det vill säga sådan sammanslutning av arbetstagare som enligt sina stadgar ska tillvarata arbetstagarnas intressen i förhållandet till arbetsgivaren. Uppgift om medlemskap i arbetsgivarorganisation eller arbetslöshetskassa omfattas inte av definitionen i PUL.98

Uppgifter som rör hälsa och sexualliv

När det gäller uppgifter om hälsa omfattas alla uppgifter som rör en persons tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol.99Enligt kommissionens förklaring till förslaget till dataskyddsdirektiv skulle uppgifter om varje indikation på drog- eller alkoholmissbruk anses röra hälsa.100 EU-domstolen har slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personupp-

96 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 284 f. 97SOU 1997:39 s. 131 f. 98 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 285. 99SOU 1997:39 s. 132. 100SOU 1993:10 Bilaga s. 177.

gift om hälsa.101Vidare har Högsta domstolen ansett att en uppgift om att en anställd har samarbetssvårigheter sammantagen med en uppgift om att personen är sjukskriven är att bedöma som uppgifter som rör hälsa enligt 13 § PUL.102

Uppgifter om läkemedel och andra varor som förskrivits en enskild har ansetts röra dennes hälsa och därför utgöra känsliga personuppgifter103. Datainspektionen har gjort bedömningen att redan en uppgift om att någon är eller har varit på läkarbesök är en känslig personuppgift.104 Datainspektionen har vidare ansett att en uppgift om att någon är handikappad105är en uppgift som rör hälsa.106 I samma beslut kom Datainspektionen även fram till att redan en uppgift om att någon är registrerad som medlem i De Handikappades Riksförbund107, där inspektionen antog att det stora flertalet medlemmar är handikappade, måste behandlas som en känslig personuppgift.

När det gäller uppgifter som rör sexualliv anför Datalagskommittén att en isolerad uppgift om vilket kön en person har inte kan anses utgöra en uppgift som rör dennes sexualliv.108 Inte heller en uppgift om civilstånd kan i sig anses vara en sådan uppgift som rör den registrerades sexualliv. Kommittén bedömer däremot att en uppgift om att någon har bytt kön är en uppgift som kan anses röra den personens hälsa eller sexualliv.

Datalagskommittén tar också upp frågan om hur man ska bedöma om avbildningar av personer, till exempel fotografier, utgör känsliga personuppgifter i bestämmelsens bemärkelse.109Det får enligt kommittén anses osäkert om en bild på den som är fysiskt handikappad eller ser sjuk ut innefattar uppgifter som rör personens hälsa. Kommittén ansåg det dock rimligt att bilder på människor i mera ”normala” sammanhang inte avslöjar några känsliga personuppgifter.

101 Dom den 6 november 2003 i mål C-101/01 och RH 2004:51. 102NJA 2005 s. 361. 103Prop. 2008/09:145 s. 305. 104 Datainspektionens beslut 2009-12-14, dnr 1409-2009. 105 I Datainspektionens beslut används ordet ”handikappad”. Ordet har i dag ersatts med begreppet ”person med funktionsnedsättning”. 106 Datainspektionens beslut 2008-10-15, dnr 1176-2008. 107 Förbundet heter i dag Delaktighet Handlingskraft Rörelsefrihet. 108SOU 1997:39 s. 368. 109SOU 1997:39 s. 368.

5.3.4.9 Undantag från förbudet mot behandling av känsliga personuppgifter

Det följer av 14 § PUL att det trots förbudet i 13 § PUL är tillåtet att behandla känsliga personuppgifter i de fall som anges i 15–19 §§ PUL. Så kan till exempel ske om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 § PUL). Att samtycket ska vara ”uttryckligt” innebär att det kommer till uttryck på något sätt som en utomstående kan iaktta.110En bestämmelse som kan ha betydelse i forskningssammanhang är 18 § PUL som rör behandling av personuppgifter för hälso- och sjukvårdsändamål. Denna verksamhet gränsar många gånger till forskningsverksamhet. 18 § PUL har följande lydelse.

18 §

Känsliga personuppgifter får behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för

a) förebyggande hälso- och sjukvård,

b) medicinska diagnoser,

c) vård eller behandling, eller

d) administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet.

Känsliga personuppgifter får enligt första stycket behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för vissa i bestämmelsen uppräknade syften. Behandlingen av de känsliga personuppgifterna ska vara nödvändig för något eller några av de uppräknade syftena. Innebörden av nödvändighetskravet har redovisats ovan.

Uppräkningen av syften i första stycket täcker i praktiken nästan all behandling av personuppgifter som förekommer inom hälso- och sjukvården. Undantagets räckvidd preciseras inte närmare i förarbetena till lagen.111 Det har dock i senare lagstiftningsärenden ansetts rimligt att inte ge bestämmelsen en alltför snäv räckvidd och

110 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar (25 september 2013), kommentaren till 3 §. 111Prop. 1997/97:44 s. 68 f och 126 f.

att även aktiviteter inom hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas.112

För att möjliggöra behandlingen av personuppgifter i register med det övergripande syftet att förbättra kvaliteten på individnivå inom svensk hälso- och sjukvård finns i dag en särskild reglering av nationella och regionala kvalitetsregister inom hälso- och sjukvården i patientdatalagen (2008:355) (se avsnitt 5.3.6.3).

Det följer av andra stycket att den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt alltid får behandla sådana känsliga personuppgifter som omfattas av tystnadsplikten. Bestämmelsen ger således möjlighet för personer som har sådan sträng tystnadsplikt som normalt gäller inom hälso- och sjukvårdsverksamhet att behandla känsliga personuppgifter. Enligt andra stycket får vidare den som inte är yrkesmässigt verksam inom hälso- och sjukvårdsområdet men som ändå har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet alltid behandla dessa uppgifter om en liknande tystnadsplikt gäller för honom eller henne i fråga om uppgifterna. Bestämmelsen kan bli aktuell till exempel när känsliga personuppgifter från en myndighet inom hälso- och sjukvården lämnas till forskningsverksamhet.113

Det undantag från förbudet mot behandling av känsliga personuppgifter som är av störst betydelse i registerforskningssammanhang finns i 19 § PUL och rör forskning och statistik. Bestämmelsen har följande lydelse.

19 §

Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

Känsliga personuppgifter får behandlas för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.

Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt andra stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning.

112Prop. 2005/06:70 s. 144. 113Prop. 1997/98:44 s. 126.

Personuppgifter får lämnas ut för att användas i sådana projekt som avses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt.

Av bestämmelsens första, andra och tredje stycke framgår när känsliga personuppgifter får behandlas för forsknings- och statistikändamål utan uttryckligt samtycke. Av fjärde stycket framgår att personuppgifter får lämnas ut till vissa statistikprojekt.

Tidigare gällde samma regler för användande av känsliga personuppgifter vid forskning som vid statistik. I samband med införandet av lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) den 1 januari 2004 infördes en särskild reglering för forskning i bestämmelsens första stycke. Enligt bestämmelsen får känsliga personuppgifter behandlas för forskningsändamål endast om behandlingen godkänts enligt etikprövningslagen.

Enligt 6 § första stycket etikprövningslagen får forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser med mera som avses i 21 § PUL genomföras bara om behandlingen har godkänts vid en etikprövning enligt etikprövningslagen. Etikprövningslagen tillämpades ursprungligen bara om forskningspersonen inte hade lämnat sitt uttryckliga samtycke till behandlingen av personuppgifterna. Efter en lagändring som trädde i kraft den 1 juni 2008 tillämpas lagen emellertid numera även när det finns samtycke. Det framgår av bestämmelsens ordalydelse att det är själva behandlingen av personuppgifter som ska godkännas. Det är således inte tillräckligt att forskningen i sig har godkänts vid etikprövningen.

Bestämmelserna i etikprövningslagen behandlas närmare i avsnitt 5.5.

I bestämmelsens andra stycke finns det en allmän avvägningsnorm som anger när känsliga personuppgifter får behandlas för statistikändamål. Enligt bestämmelsen krävs det för det första att behandlingen av känsliga personuppgifter är nödvändig på det sätt som sägs i 10 § PUL. Det krävs vidare att samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.

För att göra en avvägning enligt normen måste det ske en helhetsbedömning av samtliga omständigheter.114Vid bedömningen bör

114Prop. 1997/98:44 s. 127.

man enligt förarbetena beakta bland annat statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vilken utsträckning den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna snedvrida undersökningsresultatet. Vid intresseavvägningen bör också beaktas om de berörda fått information av något slag, till exempel via anslag eller annonser. Andra faktorer som bör vägas in är i vilken utsträckning den som begär det ska ha rätt att bli struken och hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer.

Det är i första hand den personuppgiftsansvarige som ska tillämpa avvägningsnormen på eget ansvar. Det har överlämnats åt rättstillämpningen att med användande av den allmänna normen och efter rådande värderingar i samhället avgöra vilka behandlingar som kan tillåtas. Det har i dessa bedömningar betonats att normen ger uttryck för en restriktiv tillämpning.115

Enligt tredje stycket ska förutsättningarna i andra stycket anses uppfyllda om behandlingen har godkänts av en forskningsetisk kommitté. Bestämmelsen gällde tidigare behandling för både forskningsändamål och för statistikändamål. När etikprövningslagen infördes ändrades bestämmelsen i 19 § PUL så att behandling av känsliga personuppgifter endast får behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. I förarbetena till etikprovningslagen anfördes att reglerna i 19 § andra och tredje stycket PUL för statistikprojekt borde kvarstå oförändrade.116Skälet till detta var att Riksförsäkringsverket, Folkhälsoinstitutet, Statens institutionsstyrelse och Socialstyrelsen tillsammans hade startat en forskningsetisk kommitté som har möjlighet att bedöma statistikprojekt. Någon sådan kommitté finns emellertid inte i dag och det saknas således möjlighet till etikgodkännande av statistikprojekt.

Enligt fjärde stycket får personuppgifter lämnas ut för att användas för statistikändamål om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen ska läsas mot bakgrund av 24 § första och andra styckena PUL.117 Där anges att om personuppgifter samlats in från någon annan källa än den registrerade ska den personuppgiftsansvarige självmant lämna den registrerade

115 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 321. 116Prop. 2002/03:50 s. 174. 117Prop. 2002/03:50 s. 197.

information om behandlingen av uppgifterna när de registreras. Sådan information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i lag eller annan författning. Bestämmelsen i 19 § fjärde stycket PUL är just en sådan bestämmelse om utlämnande av personuppgifter till statistikprojekt. Bestämmelsen medför att den som samlar in personuppgifter från något annat håll än den registrerade för att använda i ett statistikprojekt inte behöver följa bestämmelserna om information om behandlingen till den registrerade enligt 24 § PUL.

Det bör betonas att bestämmelsen inte medför någon skyldighet att lämna ut personuppgifter. Den innebär endast att det är tillåtet enligt PUL för den som innehar uppgifterna att lämna ut dem.118Om något annat följer av regler om sekretess och tystnadsplikt får uppgifterna dock inte lämnas ut.

5.3.4.10 Behandling av personuppgifter om lagöverträdelser m.m.

Behandling av personuppgifter som rör lagöverträdelser med mera finns i 21 § PUL. Bestämmelsen har följande lydelse.

21 §

Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.

Personuppgifter som avses i första stycket får dock behandlas för forskningsändamål av andra än myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet i första stycket.

Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta

sådana beslut.

Vid behandling av personuppgifter om lagöverträdelser med mera är det inte tillräckligt att kraven i 21 § PUL är uppfyllda. Även de grundläggande kraven på behandling av personuppgifter i 9 § PUL måste beaktas och behandlingen måste vara tillåten enligt 10 § PUL. Innefattar behandlingen sådana känsliga personuppgifter som avses i 13 § PUL måste även bestämmelserna i 13–20 §§ följas.

118Prop. 1997/98:44 s. 128.

Enligt huvudregeln i första stycket får endast myndigheter behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Detta gäller även om den enskilde har lämnat sitt samtycke till annan behandling.

Bestämmelsen är för det första tillämplig vid personuppgifter om lagöverträdelser som innefattar brott, det vill säga i de fall ett straff är föreskrivet för överträdelsen.119En uppgift om att någon har eller kan ha begått ett visst brott utgör en uppgift om en lagöverträdelse, även om det inte finns någon dom. Bestämmelsen är vidare tillämplig på uppgifter om domar i brottmål. Här avses bland annat uppgift om att någon är dömd för brott även om det inte framgår vilket, samt uppgift om att någon frikänts. Med straffprocessuella tvångsmedel avses till exempel häktning, beslag och kvarstad i brottmål. Att någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1991:1128) om psykiatrisk tvångsvård är exempel på uppgifter om administrativa frihetsberövanden.

I andra stycket finns ett undantag från huvudregeln att personuppgifter om lagöverträdelser med mera endast får behandlas av myndigheter. Enligt bestämmelsen får enskilda behandla sådana uppgifter för forskningsändamål, under förutsättning att behandlingen har godkänts enligt etikprövningslagen.

Regeringen eller den myndighet som regeringen bestämmer har i tredje stycket bemyndigats att meddela föreskrifter om undantag från förbudet i första stycket. I bestämmelsen avses generella undantag, inte undantag i enskilda fall. Regeringen har enligt 9 § PUF bemyndigat Datainspektionen att meddela sådana föreskrifter. Datainspektionen har meddelat föreskrifter om undantag genom DIFS 1998:3, som ändrats genom DIFS 2010:1. Datainspektionen får också i enskilda fall besluta om undantag från förbudet.

Av fjärde stycket framgår att regeringen eller, om regeringen så bestämmer, tillsynsmyndigheten kan besluta om undantag från första stycket även i enskilda fall. Regeringen har enligt 9 § PUF bemyndigat Datainspektionen att meddela sådana beslut.

119SOU 1997:39 s. 380, prop. 1997/98:44 s. 129.

5.3.4.11 Behandling av uppgifter om personnummer

Behandling av personnummer och samordningsnummer utan den enskildes samtycke regleras i en särskild bestämmelse. Bestämmelsen har följande lydelse.

22 §

Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till

a. ändamålet med behandlingen, b. vikten av en säker identifiering, eller c. något annat beaktansvärt skäl.

Dataskyddsdirektivet ställer krav på att medlemsländerna ska reglera användningen av personnummer i lag. Medlemsländerna får däremot fritt besluta hur de materiella reglerna ska utformas.

Paragrafen innebär att uppgifter om personnummer eller samordningsnummer120utan samtycke bara får behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. För att en behandling av en uppgift om personnummer eller samordningsnummer ska få genomföras krävs dessutom att de grundläggande kraven i 9 § är uppfyllda och att behandlingen är tillåten enligt 10 §.

Det anfördes i förarbetena till motsvarande bestämmelse i datalagen att användningen av personnummer i registersammanhang alltid bör prövas från integritetssynpunkt, och att ”onödig” användning ska betraktas som ett integritetsintrång.121 Registreringen ska vara påkallad av ett godtagbart skäl och det ska vara ett skäl som objektivt framstår som befogat. Den registeransvarige har bevisbördan för att personnummer ska få finnas i ett personregister. Fall då det kan finnas sådana objektiva skäl är bland annat vissa forskningsregister och andra register där det är särskilt viktigt med en säker identifiering, till exempel för att tillgodose framtida forskningsbehov.

Datainspektionen har i ett flertal fall intagit en restriktiv inställning till användandet av personnummer i personregister.122I vissa sammanhang, som till exempel inom sjukvården, skatteförvaltningen och polis- och rättsväsende har registrering av personnummer godkänts på grund av förväxlingsrisken. Däremot har det inte ansetts

120 Den som obegränsat skattskyldig men inte folkbokförd i Sverige får från Skatteverket ett samordningsnummer. 121Prop. 1990/91:60 s. 69. 122 Öman, S. och Lindblom H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 355.

motiverat att registrera personnummer i medlemsregister som syftar till att den enskilde ska få erbjudanden och förmåner.

5.3.4.12 Skyldigheter enligt personuppgiftslagen

PUL medför vissa skyldigheter för den personuppgiftsansvarige. Den personuppgiftsansvarige ska, om personuppgiften samlas in från personen själv, självmant lämna den registrerade information om behandlingen av uppgifterna (23 § PUL). Om uppgifterna har samlats in från någon annan källa ska sådan information lämnas till den registrerade när uppgifterna registreras (24 § PUL). Med begreppet ”när uppgifterna registreras” avses enligt kommentaren när de matas in i en dator eller sorteras in i ett sådant manuellt register som omfattas av lagen.123Enligt Datainspektionens allmänna råd bör information lämnas snarast och senast fyra veckor efter det att uppgifterna har registrerats, om inte uppgifterna dessförinnan behandlas på annat sätt än genom att lagras.124

Den information som lämnas till den registrerade ska innehålla uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som kan behövas för att den registrerade ska kunna ta tillvara sina rättigheter under behandlingen (25 § PUL). Den personuppgiftsansvarige är också skyldig att till den som ansöker om det en gång per år gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte (26 §). Behandlas sådana uppgifter ska information lämnas om vilka uppgifter som behandlas, varifrån de har hämtats, ändamålen med behandlingen och vem som tagit emot dem. På begäran av den registrerade är den personuppgiftsansvarige skyldig att snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PUL eller föreskrifter som meddelats med stöd av PUL (28 § PUL). Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § PUL). Datainspektionen får i enskilda fall besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige ska vidta (32 § PUL). Datainspektionen har möjlighet att förena ett sådant beslut med vite.

123 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011 s. 378. 124 Information till registrerade enligt personuppgiftslagen – Datainspektionens allmänna råd, s. 7.

Den personuppgiftsansvarige ska göra en skriftlig anmälan till Datainspektionen innan en behandling av personuppgifter som är helt eller delvis automatiserad påbörjas (36 § PUL). Om den personuppgiftsansvarige har utsett ett personuppgiftsombud och anmält detta till inspektionen behöver sådan anmälan emellertid inte göras (37 § PUL). Personuppgiftsombudet ska dock föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits.

5.3.4.13 Rättelse, skadestånd och straff

Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem (45 § PUL). Datainspektionen får ansöka hos förvaltningsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas (47 § PUL).

Enligt 48 § PUL är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL har orsakat.

I 49 § PUL finns bestämmelser om straff vid överträdelse av vissa bestämmelser i PUL. Den som uppsåtligen eller av grov oaktsamhet till exempel behandlar personuppgifter i strid med 13–21 §§ PUL kan dömas till böter eller fängelse i högst sex månader, eller vid grovt brott högst två år.

5.3.5. Övriga registerförfattningar

5.3.5.1 Inledning

PUL innehåller generella regler om behandling av personuppgifter. Som framgår av 2 § PUL är lagen subsidiär i förhållande till andra författningar, vilket innebär att om det i en annan lag eller i en förordning finns bestämmelser som avviker från PUL:s bestämmelser ska de bestämmelserna gälla. Det finns över 100 olika författningar

som innehåller bestämmelser om behandling av personuppgifter som kompletterar PUL.125Dessa brukar kallas särskilda registerförfattningar. De särskilda registerförfattningarnas huvudsakliga syfte är att reglera inrättandet och användningen av viktiga register eller andra personuppgiftssamlingar inom den offentliga sektorn.126Författningarna är avsedda att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter då det finns behov av att avvika från eller komplettera det integritetsskydd som PUL ger. Utgångspunkten är att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag.127Vid införandet av PUL anfördes i propositionen att det traditionella svenska systemet med särreglering i särskilda författningar var att föredra framför generella undantag från PUL.128Vidare anfördes att det i stort sett bara var verksamhet inom den offentliga sektorn som skulle kunna undantas från PUL, och eftersom det inom den sektorn ofta förekommer stora mängder känsliga personuppgifter som har hämtats in med straffsanktionerad uppgiftsplikt bedömdes det särskild viktigt med ett starkt integritetsskydd. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som PUL ger garanteras att behovet av särregler alltid övervägs noga i den ordning som krävs för författningsgivning. Vidare anfördes att målsättningen är att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen fann ingen anledning att ändra på det målet.

När föreligger skäl att införa en särskild registerförfattning? En omständighet som talar för att det bör införas en särreglering i form av en särskild registerlag är att en särskild författning under vissa förutsättningar anses innebära en bättre garanti för utformningen av integritetsskyddet.129Ett annat skäl för en särskild registerlag kan vara att en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt PUL. Vidare kan en särskild registerlag vara motiverad när det finns anledning att avvika från eller precisera regleringen i PUL eller när PUL:s bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser. Det kan också bli aktuellt när det finns anledning att begränsa

125 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 686. 126SOU 2012:90 s. 51. 127Prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och 1997/98:44 s. 41. 128Prop. 1997/98:44 s. 41. 129SOU 2012:90 s. 52.

möjligheten till behandling av uppgifter av integritetsskäl eller när det finns anledning att vara särskilt tydlig gentemot allmänheten.

5.3.5.2 Något om registerförfattningarnas struktur

Det finns i dag ingen klar uppfattning om hur många olika särskilda registerförfattningar det finns.130Författningarna är uppbyggda på olika sätt och saknar en gemensam begreppsstruktur. Sören Öman har dock i artikeln Särskilda registerförfattningar försökt att göra en sammanställning av några vanliga typer av bestämmelser i de särskilda registerförfattningarna. Som underlag för genomgången har bland annat 18 angivna särskilda registerförfattningar använts. Öman konstaterar att de särskilda registerförfattningarna för myndigheters behandling av personuppgifter normalt brukar innehålla vissa typer av bestämmelser, men att utformningen av bestämmelserna varierar och att inte alla registerförfattningar innehåller alla typer av bestämmelser.131

Tillämpningsområde

Varje författning har ett visst tillämpningsområde, som vanligtvis brukar anges i en inledande bestämmelse.132Det normala är att det i bestämmelsen anges att författningen gäller vid behandling av personuppgifter i en viss myndighets eller vissa myndigheters verksamhet av visst slag. Det vanligaste är att författningen gäller för samma slags behandling som PUL, det vill säga behandling som är helt eller delvis automatiserad eller annan (manuell) behandling som avser personuppgifter som ingår i eller är avsedda att ingå i register. Ibland anges det att vissa bestämmelser i författningen bara gäller automatiserad behandling.

Författningarna gäller vanligtvis för behandling av personuppgifter i enlighet med PUL:s definition. I vissa fall har tillämpningsområdet utsträckts till att även gälla avlidna eller juridiska personer. Ibland finns det detaljerade regler om vilka uppgifter som får behandlas om en viss kategori av personer.

När det gäller hur verksamheten anges kan det ske på olika sätt. Det kan hända att författningen hänvisar till verksamhet som myn-

130 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 686. 131 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 690. 132 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 691 f.

digheten ska bedriva enligt andra författningar, till exempel verksamhet enligt lagstiftningen om socialtjänsten. Det förekommer ibland också mer allmänna beskrivningar av verksamheten, till exempel beskattningsverksamheten, men då brukar verksamheten konkretiseras i förarbetena. Utanför tillämpningsområdet faller regelmässigt verksamhet som avser myndigheternas interna administrativa verksamhet.

Författningarnas förhållande till PUL och dataskyddsdirektivet

De särskilda registerförfattningarna gäller före PUL:s bestämmelser, men får inte stå i strid med dataskyddsdirektivet. Direktivet gäller inte för sådan verksamhet som inte omfattas av EU-rätten och inte heller för sådana behandlingar som rör allmän säkerhet, försvar, statens säkerhet och straffrätt. Registerlagar som faller utanför EU-rättens tillämpningsområde behöver således inte vara förenliga med dataskyddsdirektivet. Utgångspunkten är emellertid att de särskilda registerförfattningarna så långt som möjligt ska stämma överens med PUL och därmed också med dataskyddsdirektivet.133

Personuppgiftsansvaret och ändamålen med behandlingen

De särskilda registerförfattningarna innehåller vanligtvis bestämmelser om ändamålen med behandlingen. Ibland delas ändamålen in i primära och sekundära.134De primära ändamålen avser myndighetens eget behov av att behandla personuppgifter, till exempel för att kunna handlägga myndighetens ärenden. De sekundära ändamålen avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Huvudregeln är att behandling för att lämna ut personuppgifter till annan enligt de sekundära ändamålen bara får avse personuppgifter som myndigheten samlat in och behandlat för sina primära ändamål. Myndigheten får således inte samla in personuppgifter som den inte behöver för sin egen verksamhet.

När det gäller frågan hur preciserad en ändamålsbestämmelse i en registerförfattning ska vara har regeringen i prop. 1997/98:97 om polisens register anfört att syftet med en ändamålsbestämmelse är att ange en yttersta ram inom vilken uppgifterna får behandlas och

133 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 694 f. 134 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 699 f.

att det ligger i sakens natur att ändamålsbestämmelser ofta måste formuleras tämligen generellt.135

Enligt definitionen i PUL är den personuppgiftsansvarige ensam eller tillsammans med andra ansvarig för att bestämma ändamålen med och medlen för behandlingen av personuppgifter. I de särskilda registerförfattningarna anger man regelmässigt de tillåtna ändamålen med behandlingen. På inrådan av Lagrådet började man därför införa uttryckliga bestämmelser i de särskilda registerförfattningarna om vilken myndighet som är personuppgiftsansvarig.136

Vilka personuppgifter som får behandlas

De särskilda registerförfattningarna innehåller i regel någon form av bestämmelse om vilka personuppgifter som får behandlas.137 Av författningarna, ibland kompletterade av PUL, framgår att personuppgifter får behandlas bara om det är nödvändigt för de angivna ändamålen. Ibland finns det särskilda bestämmelser om en databas med uppgifter som används i verksamheten. Ibland finns det dessutom en förordning med detaljerade bestämmelser om vilka uppgifter som får finnas i registret eller databasen.

För behandling av känsliga personuppgifter enligt 13 § PUL och uppgifter om lagöverträdelser med mera enligt 21 § PUL finns det vanligtvis vissa begränsningar. Det anges till exempel att uppgifterna bara får behandlas om det är nödvändigt med hänsyn till ändamålet med behandlingen och att de inte får användas som sökbegrepp, det vill säga för att få fram listor på personer med de egenskaper som avspeglas i uppgifterna.138

Direktåtkomst

Registerförfattningar innehåller inte sällan särskida bestämmelser om direktåtkomst. Begreppet direktåtkomst är ett av de begrepp som kan ha olika innebörd i olika registerförfattningar. Med direktåtkomst avses vanligtvis att någon (här kallad mottagarmyndighet) har direkt tillgång till någon annans (här kallad värdmyndighet) register eller databaser och på egen hand kan söka efter information,

135Prop. 1997/98:97 s. 121. 136 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 697. 137 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 702. 138 Öman, S., Särskilda registerförfattningar i Festskrift till Peter Siepel, 2006, s. 704.

dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att värdmyndigheten inte har någon kontroll över vilka uppgifter som mottagarmyndigheten vid ett visst tillfälle tar del av.139 Direktåtkomst kan till exempel ske genom att mottagarmyndigheten ges elektronisk tillgång till hela eller delar av värdmyndighetens elektroniska informationssamlingar.140Det finns också myndigheter som har gemensamma register och där de deltagande myndigheterna behandlar sina egna uppgifter men också har möjlighet att ta del av uppgifter som andra myndigheter har registrerat i registret.

Direktåtkomst anses innebära särskilda risker för otillbörliga integritetsintrång. Det beror på bestämmelserna om elektroniska upptagningar i TF. När det gäller elektroniska upptagningar är huvudregeln att en sådan anses förvarad hos en myndighet om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (2 kap. 3 § andra och tredje stycket TF). Det saknar betydelse var den begärda elektroniska handlingen rent fysiskt befinner sig. Frågan om en elektronisk handling ska anses förvarad hos en myndighet ska i stället avgöras utifrån myndighetens möjligheter att förfoga över upptagningen. Det finns två undantag från huvudregeln, som avser sammanställningar av uppgifter ur en eller flera upptagningar för automatiserad behandling, så kallat potentiella handlingar.141 Dels anses en potentiell handling förvarad hos myndigheten endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder (2 kap. 3 § andra stycket andra meningen TF). Dels anses en potentiell handling inte förvarad hos en myndighet om sammanställningen innehåller personuppgifter som myndigheten enligt lag eller förordning saknar befogenhet att tillgängliggöra. Denna regel brukar kallas begränsningsregeln.

En handling ska, för att vara allmän i TF:s bemärkelse, vara antingen inkommen eller upprättad hos myndigheten. En upptagning anses inkommen till en myndighet när någon har gjort den tillgänglig för myndigheten med hjälp av tekniskt hjälpmedel som

139 Se till exempel prop. 2004/05:164 s. 83, 2009/10:85 s. 168 och 2011/12:45 s. 133. 140SOU 2012:90 s. 82. 141 En potentiell handling anses utgöra en handling hos myndigheten oavsett om sammanställningen gjorts tidigare eller om myndigheten själv har behov av att göra en sådan sammanställning eller inte. Bestämmelsen ger uttryck för likställighetsprincipen, som innebär att allmänheten ska ha tillgång till datalagrad information i samma utsträckning som myndigheten.

myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Bestämmelsen innebär att en upptagning för automatiserad behandling som av en myndighet tillförts ett informationssystem som är gemensamt för flera myndigheter ska anses som inkommen hos alla myndigheter som har tillgång till systemet. I TF görs det ingen skillnad mellan den elektroniska information som en myndighet själv har samlat in och den information från en annan myndighet som den har direktåtkomst till. Sammanställningar av uppgifter ur en värdmyndighets upptagningar för automatiserad behandling som genom direktåtkomst görs tekniskt tillgängliga för en mottagarmyndighet utgör således som huvudregel allmänna handlingar hos mottagarmyndigheten. Det saknar betydelse om mottagarmyndigheten rent faktisk använder sig av möjligheten. Det räcker att den finns för att uppgiften ska anses utgöra allmän handling hos mottagarmyndigheten. Det medför att om någon begär att få ut en allmän handling som är en så kallad potentiell handling från mottagarmyndigheten är denna skyldig att göra de sökningar i och bearbetningar av värdmyndighetens information som kan ske med rutinbetonade åtgärder. Det är oklart vilken betydelse så kallade absoluta sökförbud kan ha, det vill säga förbud i en värdmyndighets registerförfattning mot användning av vissa sökbegrepp, för att begränsa mottagarmyndighetens skyldighet.142Men det är klart att en motttagarmyndighet är skyldig att göra en sökning och ta fram och lämna ut en potentiell handling, även om den i sin egen verksamhet är förhindrad på grund av sök- eller ändamålsbegränsningar i författningen att utnyttja direktåtkomst.

Andra typer av bestämmelser

Många särskilda registerförfattningar innehåller bestämmelser om tillåtna sökbegrepp, som begränsar myndighetens möjlighet och skyldighet att ställa samman personuppgifter. De kan också innehålla bestämmelser om information, samtycke och sambearbetning. Alla dessa typer av bestämmelser påverkar möjligheten för forskare att få tillgång till uppgifter och på vilket sätt det kan ske.

142SOU 2012:90 s. 115 f.

5.3.5.3 En översyn av registerlagstiftningen

Flera statliga utredningar, bland annat Integritetsskyddskommittén och E-offentlighetskommittén, har föreslagit att de särskilda registerförfattningarna ska ses över. Det har anförts att registerförfattningarna saknar en sinsemellan enhetlig struktur och att olika begrepp används för att beskriva samma sak. År 2011 tillsattes en utredning för att se över den så kallade registerlagstiftningen. Utredningen har tagit sig namnet Informationshanteringsutredningen. I delbetänkandet Överskottsinformation vid direktåtkomst (SOU 2012:90) redovisades vissa delfrågor. Enligt de ursprungliga direktiven skulle utredningen göra en översiktlig inventering av gällande registerförfattningar och inom tre olika verksamhetsområden närmare analysera hur de är uppbyggda och tillämpas.143 Utredningens uppdrag har nu ändrats och arbetet ska i stället koncentreras på att utreda förutsättningarna för att skapa en generell, enhetlig och samlad reglering för myndigheternas personuppgiftsbehandling och lämna författningsförslag till en sådan.144 Utredningen ska härvid bland annat beakta den pågående översynen inom EU av regleringen om skyddet för personuppgifter.

5.3.6. Exempel på register som kan användas vid forskning

5.3.6.1 Inledning

Vissa av de särskilda registerförfattningarna reglerar register som kan användas i forskning. Nedan följer en översiktlig genomgång av några av dessa.

5.3.6.2 Hälsodataregister

En central förvaltningsmyndighet inom hälso- och sjukvården får enligt 1 § lagen (1998:543) om hälsodataregister utföra automatiserad behandling av personuppgifter i hälsodataregister. Personuppgifter i ett hälsodataregister får behandlas för framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar. Enligt 6 §

143 Kommittédirektiv Integritet, effektivitet och öppenhet i en modern e-förvaltning, (Dir. 2011:86) s. 19 f. 144 Dir. 2014:31.

samma lag är den som bedriver verksamhet inom hälso- och sjukvård skyldig att lämna uppgifter till ett hälsodataregister för dessa ändamål. Uppgifterna samlas in utan den enskildes samtycke.

Regeringen får bland annat meddela föreskrifter om vilka myndigheter som får föra hälsodataregister, begränsning av ändamålen och begränsningar av de uppgifter ett hälsodataregister får innehålla. Regeringen har med stöd av denna bestämmelse utfärdat flera förordningar om hälsodataregister. Exempel på sådana register där personuppgifterna bland annat får behandlas för forskningsändamål och för epidemiologiska undersökningar är cancerregistret och patientregistret.145Båda dessa register förs av Socialstyrelsen. Även personuppgifter i läkemedelsregistret, register över insatser inom den kommunala hälso- och sjukvården och tandhälsoregistret hos Socialstyrelsen får användas för forskningsändamål.146

5.3.6.3 Kvalitetsregister

Med kvalitetsregister avses enligt 7 kap. 1 § patientdatalagen en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska vidare möjliggöra jämförelser inom hälso- och sjukvården på nationell eller regional nivå.

Bestämmelser om hanteringen av personuppgifter i nationella och regionala kvalitetsregister finns i 7 kap. patientdatalagen. Patientdatalagen innehåller en samlad reglering av informationshanteringen inom hälso- och sjukvård som ska tillämpas av alla vårdgivare, både i offentlig och privat verksamhet. Om inte annat följer av patientdatalagen eller föreskrifter som meddelats med stöd av lagen gäller bestämmelserna i PUL. Till exempel är definitionerna i 3 § PUL, rätten till registerutdrag enligt 26 § PUL och bestämmelserna om säkerhetsåtgärder i PUL tillämpliga även inom vård och omsorg.

Inom hälso- och sjukvården förs kvalitetsregister på flera olika nivåer. De kan föras alltifrån lokalt inom en offentlig eller privat

145 Förordning (2001:709) om cancerregister hos Socialstyrelsen och förordning (2001:707) om patientregister hos Socialstyrelsen. 146 Förordning (2005:363) om läkemedelsregister hos Socialstyrelsen, förordning (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården och förordning (2008:194) om tandhälsoregister hos Socialstyrelsen.

vårdgivares verksamhet till nationellt med hela landet som upptagningsområde.147

5.3.6.4 Lokala kvalitetsregister

Ett lokalt kvalitetsregister innebär att personuppgifter från en eller flera vårdenheter hos samma vårdgivare samlas in till ett gemensamt register i syfte att utveckla och säkra kvaliteten i verksamheten. Samma juridiska person är således ansvarig för hanteringen av uppgifterna. Lokala kvalitetsregister regleras av patientdatalagens allmänna bestämmelser.

Samtycke

Behandling av personuppgifter i ett lokalt kvalitetsregister får utföras även om den enskilde motsätter sig behandlingen (2 kap. 2 § patientdatalagen).

Ändamål

Av 2 kap. 4 § patientdatalagen framgår för vilka ändamål vårdgivare får behandla personuppgifter inom hälso- och sjukvården. Enligt fjärde punkten får personuppgifter behandlas för att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten.

Personuppgiftsansvar

Vårdgivaren är personuppgiftsansvarig för behandlingen av personuppgifter (2 kap. 6 § patientdatalagen).

Personuppgifter som får behandlas

En vårdgivare får endast behandla sådana personuppgifter som behövs för de ändamål som anges i 2 kap. 4 § patientdatalagen. Uppgifter om lagöverträdelser med mera enligt 21 § PUL får endast

147Prop. 2007/08:126 s. 177, se även avsnitt 8.2.2.

behandlas om det är absolut nödvändigt för ett sådant ändamål (2 kap. 7 § patientdatalagen).

Rätt till information

Den som är personuppgiftsansvarig ska se till att den registrerade får information om personuppgiftsbehandlingen (8 kap. 6 § patientdatalagen). Informationen ska innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kategorier av uppgifter som behandlas, den uppgiftsskyldighet som kan följa av lag eller förordning och de sekretess- och säkerhetsbestämmelser som gäller. Den personuppgiftsansvarige ska vidare informera om rätten enligt 4 kap. 4 § patientdatalagen att i vissa fall begära att uppgifter spärras, rätten enligt 4 kap. 5 § patientdatalagen att få information om direktåtkomst och elektroniska åtkomst, rätten att ta del av uppgifter enligt 26 § PUL samt rätten till rättelse och underrättelse av tredje man enligt 28 § PUL. Den registrerade ska slutligen få information om rätten till skadestånd vid behandling av personuppgifter i strid med patientdatalagen, vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling, vad som gäller i fråga om bevarande och gallring samt huruvida personuppgiftsbehandlingen är frivillig eller inte.

Bevarande och gallring

Personuppgifter i kvalitetsregister är allmänna handlingar. När det gäller bevarande och gallring av uppgifter i lokala kvalitetsregister gäller arkivlagens bestämmelser (se avsnitt 5.8).

Sekretess

Kvalitetsregisteruppgifter hämtas vanligtvis från patientjournaler eller annan dokumentation som förs i samband med den individinriktade hälso- och sjukvården. Uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden hos hälso- och sjukvård i offentlig regi skyddas av hälso- och sjukvårdssekretess enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400) (OSL). Uppgifter i ett kvalitetsregister används inte i den direkta vården av patient. I för-

arbetena till vårdregisterlagen anges att sekretessen enligt 7 kap. 1 c § sekretesslagen, nuvarande 25 kap. 1 § OSL gäller inom den offentligt bedrivna hälso- och sjukvården oavsett om uppgifterna finns i ett vårdregister eller behandlas för bland annat kvalitetssäkring.148Det innebär att 25 kap. 1 § OSL är tillämplig även för uppgifter i ett kvalitetsregister.

5.3.6.5 Regionala och nationella kvalitetsregister

I de regionala och nationella kvalitetsregistren samlas personuppgifter och annan information som rapporterats till registret från flera vårdgivare inom ett landsting, inom en eller flera av landets sjukvårdsregioner eller hela landet.149 I de regionala och nationella kvalitetsregistren är det således olika juridiska personer som är personuppgiftsansvariga för hantering av personuppgifterna. Dessa register regleras av särbestämmelserna i kap. 7 patientdatalagen.

Samtycke

Det följer av 7 kap. 2 § patientdatalagen att personuppgifter inte får behandlas i ett nationellt eller regionalt kvalitetsregister om den enskilde motsätter sig det. Det krävs således inget uttryckligt samtycke från den enskilde för registrering.150I praktiken innebär det att så kallat ”optout” oftast är tillräckligt för personuppgiftsbehandling i ett kvalitetsregister. Den enskildes integritet skyddas genom möjligheten att motsätta sig behandling efter att den enskilde fått information om behandlingen. Om den enskilde motsätter sig personuppgiftsbehandlingen sedan den påbörjats ska uppgifterna utplånas ur registret så snart som möjligt.

Kvalitetsregisters ändamål

Det primära ändamålet med behandling av personuppgifter i nationella och regionala kvalitetsregister ska vara att systematiskt och fortlöpande utveckla vårdens kvalitet (7 kap. 4 § patientdatalagen), det vill säga att följa upp medicinsk och annan kvalitet på själva

148Prop. 1997/98:108 s. 78. 149Prop. 2007/08:126 s. 177. 150Prop. 2007/08:126 s. 186 f.

vårdinsatserna. Med vård avses i detta sammanhang individinriktad patientverksamhet, det vill säga vård, undersökning och behandling inom hälso- och sjukvården.151

Av 7 kap. 5 § framgår att personuppgifter som behandlas för kvalitetssäkring också får behandlas för vissa sekundära ändamål. Uppgifterna får enligt bestämmelsen behandlas för framställning av statistik och för forskning inom hälso- och sjukvårdsområdet. Uppgifterna får även lämnas ut till tredje man som avser att använda uppgifterna för kvalitetssäkring, framställning av statistik eller forskning inom hälso- och sjukvård. Personuppgifter får vidare behandlas för att fullgöra en uppgiftsskyldighet som följer av lag och förordning. Undantag gäller dock för sådan uppgiftsskyldighet som följer av 6 kap 5 § OSL, se avsnitt 5.6.3.8.

Några andra ändamål än de ovan angivna är inte tillåtna. Det är således inte tillåtet att behandla personuppgifter för andra ändamål även om dessa inte är oförenliga med det ändamål för vilket uppgifterna samlades in, det vill säga kvalitetssäkring. Den finalitetsprincip som gäller vid behandling av personuppgifter enligt PUL gäller således inte vid behandling av personuppgifter i nationella eller regionala kvalitetsregister.

Som framgår ovan medger bestämmelsen att personuppgifter som samlats in för kvalitetssäkringsändamål även används för forskning inom hälso- och sjukvård. Med forskning avses även epidemiologiska studier.152

Personuppgiftsansvar

Kvalitetsregistren bygger på att vårdgivare, både privata och offentliga, rapporterar in vissa uppgifter till dessa. Den inrapporterande vårdgivaren har så kallat lokalt personuppgiftsansvar och ansvarar för att insamling och inrapportering av personuppgifter sker på ett korrekt sätt. Vårdgivaren ska också hålla reda på vilka personuppgifter som behandlas var och ansvara för informationen till patienten.

Det följer av 7 kap. 7 § patientdatalagen att det endast är myndigheter inom hälso- och sjukvården som får vara centralt personuppgiftsansvariga, det vill säga personuppgiftsansvariga för central behandling av personuppgifter i ett nationellt eller regionalt kvalitetsregister. Regeringen eller den myndighet som regeringen bestäm-

151Prop. 2007/08:126 s. 179. 152Prop. 2007/08:126 s. 180.

mer får emellertid besluta att även annan får vara personuppgiftsansvarig. Skälet till bestämmelsen är enligt förarbetena att det framstår som mindre lämpligt att stora samlingar av integritetskänsliga personuppgifter samlas i enskild verksamhet utan att förutsättningarna för detta närmare övervägs eller anges.153 Sedan personuppgifterna kommit in till den centrala myndighet, i regel ett landsting, som ansvarar för kvalitetsregistret som helhet ansvarar den myndigheten för den fortsatta behandlingen, till exempel för säkerhetsfrågor och för att felaktiga uppgifter rättas.

Personuppgifter som får behandlas

Enligt 7 kap. 8 § patientdatalagen får endast sådana personuppgifter som behövs för det primära ändamålet, kvalitetssäkring av vård, tas in i ett nationellt eller regionalt kvalitetsregister. Av propositionen framgår att tolkningen av vad som behövs för ändamålet kvalitetssäkring kan ske inom ganska vida ramar.154Det betonas att personuppgifter som inte direkt behövs för kvalitetssäkringsändamål utan endast skulle vara bra att ha i framtida forskningsprojekt inte får samlas in. Inskränknigen torde dock sakna praktik betydelse.

Den registrerades personnummer eller namn får behandlas endast om det inte är tillräckligt att använda kodade personuppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde. Känsliga personuppgifter enligt 13 § PUL och som inte rör hälsa samt personuppgifter om lagöverträdelser medmera som avses i 21 § PUL får behandlas endast om regeringen i det enskilda fallet medger det. Enligt 6 § patientdataförordningen (2008:360) får även Datainspektionen pröva frågor om medgivande till behandling efter att ha hört Socialstyrelsen. Av bestämmelsen i 2 kap. 3 § patientdatalagen följer att andra känsliga personuppgifter än sådana som rör hälsa ändå kan behandlas i ett kvalitetsregister om den enskilde lämnat ett uttryckligt samtycke till behandlingen. I förarbetena betonas att det i information till den enskilde klart bör framgå att ett uttryckligt samtycke omfattar just dessa slags personuppgifter.155

153Prop. 2007/08:126 s. 183. 154Prop. 2007/08:126 s. 185. 155 Ibid.

Rätt till information

Innan personuppgifter behandlas i ett nationellt eller regionalt kvalitetsregister ska den enskilde enligt de allmänna bestämmelserna om information i 8 kap. 6 § patientdatalagen få information om bland annat vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kategorier av uppgifter som behandlas, rätten till registerutdrag enligt 26 § PUL och de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen. Därutöver ska den enskilde enligt särbestämmelsen i 7 kap. 3 § patientdatalagen också upplysas om rätten att när som helst få uppgifter om sig själv utplånade ur registret. Patienten ska vidare få reda på i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal, till exempel om uppgifter inhämtas genom sambearbetning med andra register.156 Slutligen ska patienten informeras om vilka kategorier av mottagare som personuppgifter kan komma att lämnas ut till, till exempel om uppgifterna kan komma att lämnas ut för forskningsändamål. Om det inte är möjligt att lämna informationen innan behandlingen påbörjas ska den lämnas så snart som möjligt därefter.

Det har överlåtits till den personuppgiftsansvarige att själv bestämma hur informationen ska ges. I propositionen anges det dock att det åligger den personuppgiftsansvarige att se till att informationen är utformad på ett sätt som kan förstås av patienten.157

Om ett kvalitetsregister först i ett senare skede avses användas för ett nytt ändamål eller sambearbetas utan att de registrerade blivit informerade om detta vid registreringen är det enligt propositionen tillräckligt att tydlig information om det nya ändamålet eller sambearbetningen lämnas, exempelvis på en webbplats eller i en tidningsannons.158Det bör noteras att det nya ändamålet måste ligga inom ramen för det ursprungliga ändamålet med behandlingen.

Bevarande och gallring

Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska enligt 7 kap. 10 § patientdatalagen gallras när de inte längre behövs för ändamålet kvalitetssäkring. En stor del av värdet med ett kvalitetsregister är emellertid att det ger möjlighet till uppföljning vid

156Prop. 2007/08:126 s. 191. 157 Ibid. 158 Ibid.

ett senare tillfälle. Arkivmyndigheten i det landsting eller den kommun till vilken den personuppgiftsansvarige hör har därför fått möjlighet att föreskriva att personuppgifter i ett nationellt eller regionalt kvalitetsregister ska bevaras under längre tid för historiska, statistiska eller vetenskapliga ändamål.

Sekretess

Som anförs ovan hämtas uppgifter till kvalitetsregister från patientjournaler eller annan dokumentation som förs i samband med den individinriktade hälso- och sjukvården. Uppgifterna hos den inrapporterande vårdenheten skyddas således av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. I förarbetena till patientdatalagen diskuterades om uppgifter i regionala och nationella kvalitetsregister skyddas av hälso- och sjukvårdssekretessen, eftersom det i dessa fall inte är samma myndighet som är vårdgivare och som för registret. I propositionen konstateras att vårdgivarna enligt 31 § hälso- och sjukvårdslagen och 16 § tandvårdslagen (1985:125) är skyldiga att genomföra systematisk och fortlöpande säkring av kvaliteten i hälso- och sjukvårdsverksamheten.159Därför bör kvalitetssäkring i form av kvalitetsregister ses som en integrerad del av sådan hälso- och sjukvårdsverksamhet som avses i 25 kap. 1 § OSL, oavsett om ett kvalitetsregister är nationellt, regionalt eller lokalt. Visserligen lämnas patientuppgifter ut till annan offentlig vårdgivare när de inrapporteras till ett kvalitetsregister som förs centralt utanför den egna myndighetsorganisationen. Uppgifterna härrör emellertid från en individinriktad verksamhet av samma slag som bedrivs av den mottagande myndigheten. Trots att det inte finns någon direkt vårdrelation mellan den mottagande registerföraren och patienten lämnar uppgifterna inte den sektor av faktisk hälso- och sjukvårdsverksamhet som omfattas av tillämpningsområdet för 25 kap. 1 § OSL. Slutsatsen är att sekretessbestämmelsen är tillämplig beträffande samtliga uppgifter i ett kvalitetsregister vari flera vårdgivare deltar och inte bara beträffande de uppgifter som härrör från samma myndighetsorganisation som ansvarar för den centrala registerföringen.

Det följer av 25 kap. 11 § 4 OSL att sekretessen inte hindrar att uppgift lämnas till ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen.

159Prop. 2007/08:126 s. 195.

5.3.6.6 Biobankslagen

Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (biobankslagen) reglerar hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. Med biobank avses enligt 1 kap. 2 § biobankslagen biologisk material från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör.

Lagen är tillämplig på en biobank som inrättats i Sverige i en vårdgivares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Lagen är också tillämplig på vävnadsprover som lämnats ut från sådana biobanker för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och vilka även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Lagen ska också gälla i tillämpliga delar för vävnadsprover som tas och samlas in för transplantationsändamål enligt lagen (1995:831) om transplantation m.m. Lagen är inte tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas en längre tid.

En biobank får enligt 2 kap. 2 § biobankslagen användas för vård och behandling och andra medicinska ändamål i en vårdgivares verksamhet. Därutöver får en biobank endast användas för ändamål som avser kvalitetssäkring, utbildning, forskning, klinisk prövning, utvecklingsarbete eller annan därmed jämförlig verksamhet. Om en biobank inrättas för ändamål som avser forskning eller klinisk prövning får det ske först efter prövning och godkännande av en nämnd för forskningsetik (etikprövningsnämnd). Biobanken får i sådana fall inte användas för annat ändamål än det för vilket det inrättats utan att nämnden godkänt detta.

I 3 kap. biobankslagen finns bestämmelser om samtycke och information vid insamling och bevarande i en biobank och i 4 kap. regleras utlämnande av vävnadsprover. I biobankslagen finns också bestämmelser om en särskild biobank, PKU-biobanken, som avser vävnadsprover från nyfödda barn.160

160 Fenylketonuri (Phenylketonuria, PKU) är en ärftlig, medfödd ämnesomsättningssjukdom som utan behandling leder till allvarlig hjärnskada. Alla barn erbjuds provtagning i samband med födelsen. Med behandling utvecklas barnet normalt (Socialstyrelsen).

Bestämmelserna i biobankslagen beskrivs närmare i avsnitt 9.5.

5.3.6.7 Rättspsykiatriskt forskningsregister

Rättsmedicinalverket (RMV) är central förvaltningsmyndighet för rättspsykiatrisk undersökningsverksamhet, rättsmedicin, rättskemi och rättsgenetik. Enligt 2 § förordning (2007:976) med instruktion för Rättsmedicinalverket ska RMV bland annat svara för rättspsykiatriska undersökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. RMV ska enligt samma bestämmelse utföra rättsmedicinska obduktioner och andra rättsmedicinska undersökningar och svara för rättsmedicinsk medverkan i övrigt på begäran av domstol, länsstyrelse, allmän åklagare eller polismyndighet. Ytterligare en uppgift som myndigheten särskilt ska svara för är utvecklingsarbete och stöd åt forskning av betydelse för verksamheten. För att tillgodose behovet av information för forskning och utvecklingsarbete inom rättspsykiatrin har med stöd av en särskild lag det rättspsykiatriska forskningsregistret inrättats. Enligt 1 § lagen (1999:353) om rättspsykiatriskt forskningsregister är RMV personuppgiftsansvarig för registret. Registret får användas endast för behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts enligt lagen om etikprövning av forskning som avser människor (se avsnitt 5.4). Registret får även användas för RMV:s uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete) (3 §).

Enligt uppgift från RMV har insamlandet av uppgifter med stöd av lagen om rättspsykiatriskt forskningsregister upphört. Det beror delvis på tekniska problem vid överföring av uppgifter från Socialstyrelsen och Kriminalvården. Vidare har det framkommit att registret inte är ändamålsenligt för forskning inom rättspsykiatri. De uppgifter som lagras i databasen bedöms inte vara de som behövs för forskning och analys inom området. Eftersom uppgifter inte får överföras förrän det finns en lagakraftvunnen dom kan det ta lång tid innan alla uppgifter hamnar i registret. Det uppfattas också som en brist att inga uppgifter från de mål där åtalet ogillats får föras in i registret.

5.4. Internationella dokument till skydd för den enskilde inom hälso- och sjukvård samt forskning

5.4.1. Europarådets konvention om mänskliga rättigheter och biomedicin

5.4.1.1 Inledning

Europarådets ministerkommitté antog den 19 november 1996 en ny konvention om mänskliga rättigheter och biomedicin (Konvention angående skydd av de mänskliga rättigheterna och människans värdighet med avseende på tillämpningen av biologi och medicin). Sverige undertecknade konventionen 1997 men den har inte ratificerats. Ett hinder mot ratificering av biomedicinkonventionen är de krav som ställs avseende den rättsliga reglering som rör beslutsoförmögna.161Konventionens syfte är att skydda människor i samband med hälso- och sjukvård samt forskning.162Den innehåller bland annat principer om information och samtycke, ställföreträdare för inte beslutskompetenta personer, gendiagnostik och genterapi, forskning och försök på människor samt tagande och användning av biologiskt material från människor.

5.4.1.2 Syfte

Enligt artikel 1 första stycket ska konventionsstaterna skydda alla människors värdighet och identitet och utan diskriminering garantera varje människa respekt för hennes integritet och andra grundläggande fri- och rättigheter i samband med tillämpning av biologi och medicin. I inledningen till konventionen hänvisas till ett flertal olika internationella dokument där individuella och sociala mänskliga rättigheter redan erbjuds skydd, såsom FN:s allmänna förklaring om de mänskliga rättigheterna och Europakonventionen. I inledningen betonas också den snabba utvecklingen inom det bio-

161 Regeringen tillsatte i juni 2012 en utredning som ska lämna förslag till en enkel och ändamålsenlig reglering avseende personer som på grund av att de är beslutsoförmögna helt eller delvis saknar möjlighet att fullt ut vara delaktiga eller på annat sätt utöva sitt självbestämmande i situationer då detta förutsätts inom hälso- och sjukvård, tandvård eller forskning som avser människor och biologiskt material från människor (Dir 2012:72). Utredningen har antagit namnet Utredningen om beslutsoförmögna personers ställning i hälso- och sjukvård, tandvård, socialtjänst och forskning och ska redovisa sitt resultat senast den 1 januari 2015. 162Prop. 2002/03:50 s. 68.

medicinska området, den fara som kan uppkomma genom missbruk av vetenskapen och samhällets ansvar för att biomedicinska framsteg utnyttjas till förmån för hela mänskligheten, både nuvarande och kommande generationer. Behovet av internationellt samarbete och en allmän debatt förs också fram.

5.4.1.3 Människans företräde

I konventionens inledning betonas att framstegen inom biologi och medicin bör användas till gagn för mänskligheten. Detta får dock inte ske på bekostnad av den enskilda människans intresse. Artikel 2 slår fast den viktiga principen att (den enskilda) människans intressen och välfärd ska ha företräde framför samhällets eller vetenskapens egna intressen.

5.4.1.4 Yrkesåliggande och etiska regler

Enligt artikel 4 ska alla åtgärder inom hälso- och sjukvård, inklusive forskning, genomföras i enlighet med tillämpliga yrkesåligganden och professionell standard. Bestämmelsen motsvarar i stort sett den svenska lagstiftningens krav på att hälso- och sjukvårdspersonalen ska utföra sitt arbete i överensstämmelse med vetenskap och beprövad erfarenhet, vilket kommer till uttryck i 2 kap. 1 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område.163

5.4.1.5 Bestämmelser som rör forskning

Det följer av artikel 15 att vetenskaplig biologisk och medicinsk forskning ska bedrivas fritt men samtidigt på ett sådant sätt att den inte kommer i konflikt med konventionens bestämmelser eller med andra regler till skydd för människan. Det finns inte någon definition av begreppet forskning. Det anförs i förarbetena till etikprövningslagen att gränsdragningen mellan etablerade behandlingsmetoder och forskning ibland är svår att göra.164

I artikel 16 i–v anges de allmänna förutsättningarna för att forskning på människor ska godkännas. I bestämmelsen stadgas att det inte ska finnas något likvärdigt alternativ till forskning på män-

163Prop. 2002/03:50 s. 69 f. 164Prop. 2002/03:50 s. 70.

niskor. Det innebär dels att forskningen inte får genomföras om liknande resultat kan erhållas på annat sätt, dels att en mera ingripande metod inte får tillåtas om en mindre ingripande åtgärd kan användas för att få fram motsvarande kunskap.165 De eventuella risker försökspersonen utsätts för får inte stå i bristande proportion till den potentiella nyttan med forskningen. Forskningen måste ha godkänts av ett behörigt organ efter en oberoende prövning av dess vetenskapliga värde. Vid prövningen ska bedömas hur viktigt syftet med forskningen är. Vidare ska en tvärvetenskaplig granskning av projektets etiska försvarlighet göras. Försökspersonerna måste vara informerade om sina rättigheter och det skydd de åtnjuter. Det krävs vidare att försökspersonen har lämnat ett uttryckligt och specificerat samtycke till att medverka i en specificerad åtgärd och att samtycket har dokumenterats. Underförstått (hypotetiskt) samtycke är således otillräckligt i samband med forskning på människor. Vad gäller dokumentation rekommenderas skriftlighet, men i undantagsfall kan muntligt samtycke godtas. Ett samtycke får återkallas när som helst.

5.4.1.6 Skydd för personer som inte kan lämna samtycke

Artikel 6 innehåller bestämmelser till skydd för personer som inte själva har förmåga att lämna samtycke. Huvudregeln är att forskning på dessa personer endast får genomföras om forskningen är till direkt fördel för den åtgärden avser. När forskningen avser underårig som inte anses beslutskompetent måste tillstånd till åtgärden lämnas av den underåriges ställföreträdare (vårdnadshavaren) eller av en myndighet, person eller annat organ, i enlighet med vad som är föreskrivet i lag. I takt med stigande ålder och mognad ska allt större hänsyn tas till barnets egna synpunkter och önskemål.

I de fall forskning ska utföras på vuxna personer som på grund av sjukdom, psykisk störning eller liknande saknar förmåga att ge sitt samtycke till ett ingrepp krävs det att samtycke lämnas av patientens ställföreträdare eller av föreskriven myndighet, person eller organ. Den berörda personen ska så långt möjligt delta i samtyckesförfarandet.

Eftersom skyddet för personer som inte kan lämna sitt samtycke vid forskning är särskilt påkallat, finns i artikel 17 vissa kompletterande förutsättningar som måste vara uppfyllda. Enligt huvudregeln i artikel 17 punkten 1 krävs att forskningsresultatet kan förväntas

165Prop. 2002/03:50 s. 70.

bli till konkret och direkt nytta för försökspersonens hälsa. Bestämmelsen anses innehålla ett krav på proportionalitet mellan denna förväntade nytta och eventuella risker för försökspersonen.166Vidare krävs det att jämförbara resultat inte kan nås genom forskning på människor som har förmåga att lämna samtycke. Från huvudregeln i artikel 17 punkt 1 om krav på direkt nytta för försökspersonen medges dock i punkt 2 vissa undantag under följande förutsättningar. Den aktuella forskningens mål måste vara att genom en markant förbättring av den vetenskapliga förståelsen av den enskildes tillstånd, sjukdom eller störning bidra till att uppnå resultat som kan medföra nytta, antingen för den berörda försökspersonen eller för andra personer som kan hänföras till samma grupp i fråga om ålder, sjukdom eller tillstånd. Detta innebär bland annat att ett friskt barn kan medverka i forskning som förväntas vara till nytta för andra barn, eller att forskning på åldersdementa kan tillåtas i syfte att få fram bättre metoder att behandla andra personer med åldersdemens. Forskningen får inte medföra mer än minimal risk och minimalt obehag för den berörda individen.167

5.4.1.7 Konventionens krav

Konventionen avses omfatta alla medicinska och biologiska åtgärder med människor, bland annat forskningsrelaterade åtgärder. I artikel 1 andra stycket förpliktas konventionsstaterna att vidta nödvändiga åtgärder avseende nationell rätt för att genomföra bestämmelserna i konventionen. Konventionsstaterna ska se till att det finns ett lämpligt skydd för att med kort varsel kunna förhindra eller stoppa ett brott mot rättigheterna och principerna i konventionen (artikel 23). Enligt artikel 24 ska parterna också sörja för att lämpliga sanktioner tillämpas i händelse av brott mot bestämmelserna i konventionen. Vissa materiella rättigheter som skyddas i konventionen får inskränkas i nationell lag, under förutsättning att inskränkningen är nödvändig i ett demokratiskt samhälle med hänsyn till den allmänna säkerheten, förebyggandet av brott, folkhälsan eller skyddandet av annans fri- och rättigheter (artikel 26). Vissa av konventionens rättigheter är emellertid undantagna från möjligheten till inskränkningar. Ett sådant undantag gäller de särskilda skyddsreglerna för personer som medverkar i forskning.

166Prop. 2002/03:50 s. 71. 167 Ibid.

Artikel 27 tillåter konventionsstaterna att införa ett mer långtgående skydd än som fastställs i konventionen.

5.4.1.8 Tolkning av konventionen

Det är inte möjligt att med stöd av konventionen föra talan vid Europadomstolen i ett enskilt fall. Europadomstolen kan emellertid enligt artikel 29 ge vägledning i rättsfrågor som rör tolkning av konventionen. Sådana uttalanden kan ske på begäran av konventionsstaternas regeringar och Europarådets styrkommitté för bioetikfrågor.

5.4.1.9 Rapporter om konventionens tillämpning

Det följer av artikel 30 att Europarådets generalsekreterare har möjlighet att ålägga en konventionsstat att avge en rapport om hur konventionens bestämmelser implementerats i nationell rätt. Några egentliga sanktioner mot en stat som inte följer sina åtaganden enligt konventionen finns dock inte.

5.4.2. Helsingforsdeklarationen

Vid sidan av de internationella överenskommelserna på detta område finns en mängd forskningsetiska principer som påverkar förutsättningarna att bedriva forskning. De viktigaste internationella forskningsetiska riktlinjerna för medicinsk forskning på människor är Helsingforsdeklarationen. Deklarationen antogs av World Medical Association 1964 som en reaktion på de oacceptabla medicinska försök som utfördes i Nazityskland under andra världskriget. Deklarationen innehåller grundläggande etiska principer i syfte att vägleda läkare och andra som medverkar i medicinsk forskning som omfattar människor. Sådan forskning innefattar forskning på identifierbart mänskligt material eller uppgifter som kan hänföras till identifierbara personer.

En av de grundläggande principerna i deklarationen är att omsorgen om dem som är föremål för undersökningen alltid måste gå före vetenskapens och samhällets intressen vid medicinsk forskning på människor (artikel 8). Enligt artikel 9 är den läkare som är inblandad i forskning ansvarig för att skydda forskningspersonens liv, hälsa, värdighet, integritet, rätt till självbestämmande, privatliv

och skydd för privata uppgifter. Ansvaret för forskningspersonerna ligger alltid på läkarna, aldrig på den enskilde även om denne lämnat sitt samtycke. Artikel 24 stadgar att alla tänkbara försiktighetsåtgärder måste vidtas för att respektera deltagarnas privatliv och behandla patientinformation konfidentiellt. När det gäller personer som kan lämna samtycke är huvudregeln att deltagande i medicinsk forskning alltid ska vara frivilligt (artikel 25). Enligt artikel 32 ska samtycke normalt inhämtas från den enskilde vid insamling, analys, lagring eller återanvändning av identifierbara prover och data. I de fall det är omöjligt eller opraktiskt att få ett samtycke eller det skulle hota studien att begära ett sådant får forskningen utföras utan samtycke från den enskilde. Då krävs i stället ett godkännande från en forskningsetisk kommitté.

5.5. Etikprövningslagen

5.5.1. Syfte

För att Sverige skulle kunna ratificera Europarådets konvention om mänskliga rättigheter och biomedicin krävdes en rättslig reglering av den forskningsetiska granskningen. I syfte att uppfylla de krav som bland annat ställdes i konventionen infördes den 1 januari 2004 lagen om etikprövning av forskning som avser människor, etikprövningslagen. Lagen innehåller bestämmelser om etikprövning av forskning som avser människor och biologiskt material från människor. Den innehåller också bestämmelser om samtycke till sådan forskning. Syftet med lagen är enligt 1 § etikprövningslagen att skydda den enskilda människan och respekten för människovärdet vid forskning.

5.5.2. Vissa definitioner

I 2 § etikprövningslagen definieras vissa centrala begrepp.

Forskning definieras som vetenskapligt experimentellt eller teore-

tiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå omfattas inte. Enligt förarbetena avses ett systematiskt och metodiskt sökande efter ny kunskap och nya idéer, både när det sker utan någon bestämd tillämpning i sikte (grundforskning) och när det sker med en be-

stämd tillämpning i sikte (tillämpad forskning).168 Lagens forskningsbegrepp inbegriper också utvecklingsarbete på vetenskaplig grund. Enligt förarbetena avses därmed ett idérikt och systematiskt utnyttjande av vetenskaplig och annan kunskap för att åstadkomma nya produkter, nya processer, nya system eller väsentliga förbättringar av existerande system.

Enligt 31 § hälso- och sjukvårdslagen (1982:763) ska kvaliteten inom hälso- och sjukvårdsverksamheten systematiskt och fortlöpande utvecklas och säkras. Sådan verksamhet anses inte utgöra forskning i lagens mening.169 Ibland ingår vetenskapligt utvecklingsarbete i myndigheternas arbete med uppföljning. I dessa fall får man se till syftet med det vetenskapliga utvecklingsarbetet. Om syftet är myndighetsinternt utvärderingsarbete blir etikprövningslagens bestämmelser inte tillämpliga. Avsikten är att forskningsbegreppet ska omfatta allt det som omfattas av motsvarande begrepp enligt 19 § PUL.

En forskningshuvudman är den statliga myndighet eller fysiska eller juridiska person inom vars verksamhet forskningens utförs. Inom staten utförs forskning främst vid universitet och högskolor, men även vissa andra myndigheter som till exempel Brottsförebyggande rådet (BRÅ) bedriver forskning.170

Med forskningsperson avses den levande människa som forskningen avser.

Med behandling av personuppgifter avses sådan behandling som anges i 3 § PUL.

5.5.3. Tillämpningsområde

I 3 och 4 §§ etikprövningslagen anges vilken forskning som omfattas av lagen. Den bestämmelse som har störst betydelse vid registerforskning är 3 §. Bestämmelsen har följande lydelse.

168Prop. 2002/03:50 s. 91 och 192. 169 Ibid. 170Prop. 2002/03:50 s. 192.

3 §

Denna lag ska tillämpas på forskning som innefattar behandling av

1. känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204), eller

2. personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen.

Bestämmelsen är tillämplig på forskning som avser uppgifter om levande människor inom alla vetenskapliga områden. Av första punkten framgår att lagen gäller för forskning som innefattar behandling av känsliga personuppgifter enligt 13 § PUL, det vill säga personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa och sexualliv. I andra punkten anges att även forskning som innefattar behandling av personuppgifter om lagöverträdelser som innefattar brott med mera enligt 21 § PUL omfattas av lagens tillämpningsområde.

När lagen infördes krävdes ingen etikprövning vid forskning som innefattade behandling av känsliga personuppgifter eller lagöverträdelser med mera om försökspersonen hade gett sitt uttryckliga samtycke till behandlingen. Bestämmelsen har emellertid ändrats och sedan den 1 juni 2008 krävs en godkänd etikprövning vid all forskning som innebär behandling av de i paragrafen angivna kategorierna av personuppgifter, oavsett om samtycke har lämnats eller inte. Skälet till ändringen var enligt förarbetena att det är fråga om personuppgifter som är potentiellt integritetskränkande och regeringen ansåg att en etikprövning bör göras för att säkerställa skyddet för medverkande personer.171Det faktum att personerna själva har haft möjlighet att ta ställning till behandlingen av personuppgifterna vid inhämtandet av godkännande ansågs inte utgöra tillräcklig grund för att undandra dessa ärenden från den kontroll som en etikprövning innebär.

Enligt 4 § gäller lagen även för forskning som innebär ett fysiskt ingrepp på en levande eller avliden person, utförs enligt en metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt eller som innebär en uppenbar risk för sådan skada. Lagen gäller vidare studier på biologiskt material från en levande eller avliden person, vilket innebär att det behövs etikgodkännande för att använda material från en biobank i ett forskningsprojekt. Vid forskning

171Prop. 2007/08:44 s. 25.

på levande personer enligt denna bestämmelse krävs det att forskningspersonen fått information om forskningsprojektet och att personen lämnat sitt samtycke till att delta i projektet (16–22 §§ etikprövningslagen).

Det kan i sammanhanget nämnas att Sverige har ovanligt hög detaljeringsgrad när det gäller omfattningen av etikprövningslagens tillämpningsområde.172I många andra länders lagstiftning beskrivs tillämpningsområdet på ett mer övergripande sätt, till exempel att etikprövning ska göras vid ”medicinsk forskning” eller ”biomedicinsk forskning på människor”. I annan lagstiftning, såsom i den danska och finska, omfattar etikprövningen endast forskning som innefattar försök på levande och döda människor, inte behandling av personuppgifter. Den svenska etikprövningslagen är inriktad på att skydda de människor som medverkar i forskningen oavsett forskningsområde.

Det följer av 5 § etikprövningslagen att lagen ska tillämpas på forskning som ska utföras i Sverige.

Enligt 4 a § förordning (2003:615) om etikprövning av forskning som avser människor får en regional etikprövningsnämnd lämna rådgivande yttranden över forskning som avser människor i de fall forskningen inte omfattas av etikprövningslagen. Nämnden får också lämna rådgivande yttranden över arbeten som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

5.5.4. Godkännande

I 6 § etikprövningslagen finns den centrala bestämmelsen om att den forskning som lagen omfattar inte får utföras utan ett etikgodkännande. Forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser med mera enligt 13 och 21 §§ PUL får dessutom utföras bara om behandlingen av personuppgifter har godkänts vid en etikprövning. Bestämmelsen har följande lydelse.

172Prop. 2007/08:44 s. 32 f.

6 §

Forskning som avses i 3–5 §§ får utföras bara om den har godkänts vid en etikprövning. Ett godkännande får förenas med villkor. Ett godkännande skall avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskningen får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behandlingen har godkänts vid etikprövningen.

Ett godkännande upphör att gälla, om inte forskningen har börjat utföras senast två år efter det att beslutet om godkännande vann laga kraft.

Ett godkännande enligt denna lag medför inte att forskningen får utföras, om den strider mot någon annan författning.

Enligt förarbetena avses med begreppet att utföra forskning själva genomförandefasen, det vill säga att forskningen påbörjas genom att forskningspersoner rekryteras och material samlas in, att konkreta försök utförs och att den kunskap som kommer fram analyseras och bearbetas.173 Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller på annat sätt avgränsad forskning. Ett projekt är ofta avgränsat med avseende på den vetenskapliga frågeställningen, antalet forskningspersoner, finansiering eller på något annat sätt. Det framgår av förarbetena att den forskning som ska etikprövas måste vara avgränsad i någon mening för att kunna godkännas vid etikprövningen.174 Några generella, principiella godkännanden till att under oöverskådlig framtid få utföra forskning på ett visst material, inom ett visst område eller liknande godkännande kan inte lämnas. En prövning från etiska utgångspunkter anses inte kunna isoleras till enstaka moment i forskningen utan måste bygga på en helhetsbedömning av just den forskning som en viss ansökan avser. Vid prövningen beaktas den aktuella forskningens frågeställningar, syfte, vetenskapliga värde, utförande, risker för forskningspersoner eller för synen på människovärdet, tilltänkta kontakter med forskningspersoner samt forskningsledningens och de deltagande forskarnas kompetens.

I första stycket anges vidare att forskning bara får innefatta behandling av sådana personuppgifter som avses i 3 § om behandlingen har godkänts vid etikprövningen. Innan etikprövningslagen infördes fick känsliga personuppgifter enligt en avvägningsnorm i 19 § första stycket PUL behandlas för forskningsändamål, om behandlingen var nödvändig på det sätt som anges i 10 § PUL och om samhällsintresset av det forsknings- och statistikprojekt där behand-

173Prop. 2002/03:50 s.195. 174 Ibid.

lingen ingick klart vägde över den risk för otillbörligt intrång i den enskildes personliga integritet som behandlingen kunde innebära. Etikprövningslagen medförde att etikprövning av forskning där känsliga personuppgifter ingår blev obligatorisk och möjligheten för forskningshuvudmannen att själv tillämpa avvägningsnormen i 19 § PUL försvann. Följden blev att nämnderna vid etikprövning av forskning som innehåller känsliga personuppgifter också har att ta ställning till behandlingen av känsliga personuppgifter. Vid denna prövning ska nämnden tillämpa i princip samma avvägningsnorm som tidigare fanns i 19 § första stycket PUL.175

Ett beslut vid etikprövning av forskning kan innebära att ansökan avslås, godkänns eller godkänns under vissa villkor. Vid etikprövning av forskning som avser att behandla känsliga personuppgifter eller som berör lagöverträdelser med mera ska det enligt förarbetena ingå att bedöma förutsättningarna för behandlingen av personuppgifterna utan samtycke.176Om nämnden kan konstatera att samtycke bör inhämtas trots att den sökande anser att det inte är nödvändigt eller att formerna för information till forskningspersonerna bedöms bristfälliga har nämnden möjlighet att avslå ansökan. Nämnden kan också besluta om villkor för ett godkännande. För att tillgodose integritetsaspekterna kan nämnden förena beslutet med särskilda villkor, exempelvis krav på samtycke. Även andra villkor, till exempel rätt för forskningspersonen att få uppgifter strukna eller formerna för rekrytering av forskningspersonerna, kan ställas upp som förutsättningar för godkännande.

Av bestämmelsens andra stycke framgår att ett etikgodkännande är begränsat i tid. Genomförandefasen ska ha påbörjats senast två år efter det att beslutet om godkännande vann laga kraft. Planeringsarbete och ordnande av finansiering räknas inte till genomförandefasen.177

I tredje stycket finns en erinran om att etikprövningen inte innebär en prövning av några andra bestämmelser som kan påverka om och hur forskning får genomföras.

175Prop. 2002/03:50 s. 173176Prop. 2007/08:44 s. 26. 177Prop. 2002/03:50 s. 195.

5.5.5. Utgångspunkter för etikprövningen

I 7–11 §§ etikprövningslagen anges de allmänna utgångspunkter som gäller vid etikprövningen. Bestämmelserna har sin bakgrund i artikel 16 i Europarådets konvention om mänskliga rättigheter och biomedicin. Syftet med bestämmelserna är att skydda både människovärdet i stort och den enskilde forskningspersonens välbefinnande.178

Enligt 7 § etikprövningslagen får forskning godkännas bara om den kan utföras med respekt för människovärdet. Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför samhällets och vetenskapens behov (8 § etikprövningslagen). Bestämmelserna innebär att välfärden för de människor som deltar i eller på annat sätt ingår i forskning ska gå före samhällets och vetenskapens intressen.179 De medför också enligt förarbetena att man vid etikprövningen bör se längre än till de direkta riskerna för de medverkande. Som exempel på fall där det kan bli aktuellt anges i propositionen forskning som kan innebära genetisk påverkan på kommande generationer.180 I propositionen påpekas att dessa krav kan tala både för och emot forskningen, eftersom människans välfärd i stort ofta gynnas av att forskningen kommer till stånd. Det framhålls också att det från samhällelig synpunkt är mycket viktigt att det skapas möjlighet att genom forskning utveckla ny kunskap.

Av avvägningsregeln i 9 § etikprövningslagen följer att forskning får godkännas endast om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Det anförs i förarbetena till bestämmelsen att det ligger i sakens natur att riskerna i normalfallet måste vara begränsade och att sökanden måste visa att värdet av forskningen verkligen är så högt att det väger tyngre än intresset av att forskningspersonerna skyddas mot risker.181Enligt propositionen ska avvägningen ske i två steg.182Först ska en bedömning av forskningens vetenskapliga bärkraft göras. Forskningen ska kunna generera kunskap som är väl underbyggd. Prövningen avser även till exempel om de metoder som används ger tillförlitliga svar på forskningens

178Prop. 2002/03:50 s. 196. 179Prop. 2002/03:50 s. 98. 180 Ibid. 181Prop. 2002/03:50 s. 196. 182Prop. 2002/03:50 s. 98 f.

frågeställningar eller det problem eller förhållande som forskaren vill belysa. Det anges vidare att som allmänt krav på forskning där människor ska ingå bör gälla att forskningen ska kunna innebära teoretisk och/eller praktisk nytta för samhället och mänskligheten i stort. Efter bedömningen av forskningens vetenskapliga bärkraft ska en avvägning göras mellan riskerna för skada eller obehag och det väntade värdet av den kunskap forskningen sannolikt kan ge. Vid denna så kallade risk-värde-bedömning fastställs om forskningen berör en sådan frågeställning som motiverar ett mänskligt deltagande och om den kan besvara eller belysa frågeställningen på ett korrekt sätt. Vid denna avvägning får riskerna, som det anges i förarbetena, inte stå i bristande proportion till forskningens potentiella allmängiltiga värde.

Forskning får inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet (10 § etikprövningslagen). Forskningen bör således bara få genomföras om det inte finns några alternativa likvärdiga metoder som inte innefattar försök på människor eller om det kan utföras annan forskning som visserligen innefattar risker för människor men som innebär mindre risker än i det projekt som ansökan avser.183 Behandling av känsliga personuppgifter eller personuppgifter som rör lagöverträdelser med mera får godkännas bara om den är nödvändig för att forskningen ska kunna utföras (10§ etikprövningslagen andra stycket). Nödvändighetskravet i bestämmelsen motsvarar det som gäller enligt PUL, till exempel enligt 10 § PUL, se avsnitt 5.3.4.7.184

Forskning får godkännas bara om den ska utföras av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs (11 § etikprövningslagen).

5.5.6. Utlämnande av personuppgifter

Enligt 12 § etikprövningslagen får personuppgifter lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen har koppling till 24 § PUL. Av bestämmelsen följer att den personuppgiftsansvarige självmant ska informera den registrerade om att uppgifter om honom eller henne behandlas, om uppgifterna samlats in från någon annan källa

183Prop. 2002/03:50 s. 100. 184Prop. 2002/03:50 s. 196.

än den registrerade själv. Det skulle i praktiken innebära att en forskare vid behandling av registeruppgifter som hämtats från myndighetsregister alltid skulle behöva informera de registrerade om behandlingen. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Bestämmelsen i 12 § etikprövningslagen är en sådan bestämmelse som medför att en forskare inte automatiskt behöver informera den registrerade om sin behandling.185Däremot kan etikprövningsnämnden ställa villkor om att information ändå ska lämnas till den registrerade.

5.5.7. De regionala etikprövningsnämnderna

Det är forskningshuvudmannens ansvar att ansöka om etikprövning (23 § etikprövningslagen). Etikprövning ska enligt 24 § etikprövningslagen ske vid en regional nämnd. Etikprövningsnämnden prövar även inrättande av biobanker enligt lagen om biobanker i hälso- och sjukvården m.m. i de fall biobanken ska användas för ändamål som avser forskning eller klinisk prövning (2 kap. 3 § biobankslagen)(se avsnitt 5.3.6.6).

Etikprövningen sker i dag vid sex regionala nämnder, som är indelade i två eller flera avdelningar. Minst en avdelning på varje ort prövar ärenden inom det medicinska vetenskapsområdet medan en avdelning prövar ärenden som rör övrig forskning. Varje avdelning består av en ordförande, som är eller har varit ordinarie domare, och femton ledamöter, av vilka tio ska ha vetenskaplig kompetens och fem ska företräda allmänna intressen. De regionala nämndernas kanslier ligger vid universiteten i Göteborg, Linköping, Lund, Umeå och Uppsala och vid Karolinska Institutet (KI) i Stockholm.

Om en nämnd finner att forskningen ger upphov till etiska frågor av ny eller principiell karaktär bör nämnden enligt 28 § etikprövningslagen inhämta yttrande från Vetenskapsrådet (VR) eller andra behöriga myndigheter. Om nämnden är oenig finns en möjlighet att i vissa fall lämna över ärendet för avgörande till Centrala etikprövningsnämnden (29 § etikprövningslagen).

185Prop. 2002/03:50 s. 197.

5.5.8. Centrala etikprövningsnämnden

Om en regional nämnd har avgjort ett ärende och beslutet har gått forskningshuvudmannen emot kan huvudmannen överklaga beslutet hos Centrala etikprövningsnämnden. Centrala etikprövningsnämnden prövar som ovan nämnts även ärenden som en regional nämnd överlämnat på grund av oenighet.

Enligt etikprövningslagen får forskning som faller inom lagens tillämpningsområde inte påbörjas innan den har godkänts av en nämnd. För att detta krav ska upprätthållas krävs en fungerande tillsyn.186Centrala etikprövningsnämnden har uppgiften att utöva tillsyn över efterlevnaden av etikprövningslagen och de föreskrifter som meddelats med stöd av lagen. Tillsynsansvaret omfattar den forskning som inte täcks av det tillsynsansvar som Inspektionen för vård och omsorg (IVO), Läkemedelsverket och Datainspektionen har, bland annat medicinsk grundforskning som bedrivs av annan huvudman än vårdgivare inom hälso- och sjukvården, till exempel i anslutning till lärosätenas medicinska institutioner. Tillsyn kan bli aktuellt vid misstanke att forskning som omfattas av lagen bedrivs utan godkännande eller att forskning bedrivs i strid med villkor som meddelats i samband med ett godkännande.

Centrala etikprövningsnämnden har sitt kansli vid VR i Stockholm. Nämnden består av en ordförande, som är eller har varit ordinarie domare, och sex övriga ledamöter varav fyra ska ha vetenskaplig kompetens och två ska företräda allmänna intressen.

5.5.9. Straff

Den som uppsåtligen byter mot kravet på godkännande enligt 6 § första stycket etikprövningslagen kan enligt 38 § dömas till böter eller fängelse i högst sex månader. I ringa fall döms dock inte till ansvar. Till ansvar döms inte heller om gärningen är straffbelagd enligt någon annan författning.

186Prop. 2002/03:50 s. 163 f.

5.6. Offentlighet och sekretess

5.6.1. Inledning

Vilka möjligheter har forskare att ta del av uppgifter från myndigheter? I Sverige gäller offentlighetsprincipen, som bland annat medför en grundläggande rätt för envar att ta del av allmänna handlingar hos en myndighet. Utgångspunkten är således att den som så önskar, däribland forskare, ska kunna ta del av samtliga allmänna handlingar som förvaras på en myndighet.187I sekretesslagstiftningen finns emellertid undantag från huvudregeln om handlingsoffentlighet som medför att allmänhetens, och däribland forskarnas, möjlighet att ta del av allmänna handlingar begränsas. Bestämmelserna om offentlighet och sekretess är således av avgörande betydelse för forskarnas möjlighet att få ta del av myndigheternas uppgifter. De reglerar också skyddet för de uppgifter forskningshuvudmannen förvarar hos sig.

5.6.2. Offentlighetsprincipen

5.6.2.1 Rätten att ta del av allmänna handlingar

Enligt 2 kap. 1 § TF har varje svensk medborgare, till främjande av ett fritt meningsutbyte och en allsidig upplysning, rätt att ta del av allmänna handlingar.188Med handling avses enligt 2 kap. 3 § TF framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Ordet handling betyder således inte enbart ett papper med skrift eller en bild på utan också till exempel en bandinspelning eller en upptagning för automatiserad behandling. En handling innehåller information av något slag.

En handling är allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten (2 kap. 3 § första stycket TF). Det är vanligtvis inte svårt att avgöra om en vanlig pappershandling är att anse som förvarad hos en myndighet. När det gäller information som är lagrad på en hårddisk kan det emellertid vara besvärligare att bedöma. Själva hårddisken med upptagningen för automatiserad behandling kan finnas hos en myndig-

187 Principen medför dock inte någon skyldighet för myndigheten att lämna ut allmän handling i elektronisk form. 188 Rätten avser enligt lagtexten svenska medborgare men ska tillämpas även för andra.

het samtidigt som en annan myndighet har möjligheter att se informationen på bildskärmar eller få utskrifter av upptagningen direkt på egna skrivare. För denna typ av handlingar finns en särskild regel i 2 kap. 3 § andra stycket första meningen TF. Enligt bestämmelsen ska en upptagning anses förvarad hos en myndighet om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller uppfattas på annat sätt. Bestämmelsen innebär att en upptagning för automatiserad behandling som huvudregel anses förvarad både hos den myndighet där upptagningen rent fysiskt finns och hos den myndighet som har åtkomst till upptagningen. Dessutom anses en upptagning för automatiserad behandling förvarad hos en myndighet, om myndigheten kan få utskrifter av upptagningen från någon annan som har hand om upptagningen för myndighetens räkning, till exempel en annan myndighet som ansvarar för databehandling som är gemensam för ett antal myndigheter. Myndigheten behöver alltså inte ha direktåtkomst till upptagningen. Denna regel innebär också att information som rent fysiskt befinner sig utanför Sverige eller för vilken det överhuvudtaget inte går att avgöra var den finns kan vara förvarad hos en eller flera svenska myndigheter.189

Som redovisats ovan finns det två undantag från huvudregeln. Det första finns i 2 kap. 3 § andra stycket andra meningen TF. Enligt denna bestämmelse ska en sammanställning av uppgifter ur en upptagning för automatiserad behandling, en så kallad potentiell handling, anses förvarad hos myndigheten bara om myndigheten kan göra sammanställningen med rutinbetonade åtgärder.190Krävs en mera kvalificerad, konstruktiv insats, till exempel i form av nyskrivning av datorprogram, är upptagningen inte att betrakta som förvarad på myndigheten.191Enligt förarbetena avses med rutinbetonade åtgärder en begränsad arbetsinsats som inte är förknippad med några nämnvärda kostnader.192Bedömningen av om en åtgärd är rutinbetonad får göras med hänsyn till såväl den allmänna tekniska utvecklingen som den tekniska kompetensen och den tekniska utvecklingen hos myndigheten i fråga.

Det bör i sammanhanget förtydligas att för så kallade färdiga elektroniska handlingar gäller huvudregeln i 2 kap. 3 § andra stycket

189 Lenberg, E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo) kommentaren till 2 kap. 3 § tryckfrihetsförordningen. 190Prop. 2001/02:70 s. 20. 191Prop. 1975/76:160 s. 90. 192Prop. 2001/02:70 s. 22 och 37.

första meningen TF. Med uttrycket färdig elektronisk handling avses handlingar i elektronisk form med ett bestämt, fixerat innehåll som går att återskapa gång på gång.193Exempel på sådana handlingar är e-brev samt promemorior, protokoll och beslut i elektronisk form. Färdiga elektroniska handlingar ska således anses förvarade hos myndigheten även om det krävs mer än rutinbetonade åtgärder för att göra dem tillgängliga.194

Det andra undantaget från huvudregeln finns i 2 kap. 3 § tredje stycket TF. I bestämmelsen anges att en sammanställning av uppgifter ur en upptagning för automatiserad behandling inte anses förvarad hos en myndighet om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig. Denna så kallade begränsningsregel gäller även om sammanställningen kan tas fram med rutinbetonade åtgärder.

Regeln innebär att sammanställningar av uppgifter ur upptagningar som en myndighet av hänsyn till skyddet för enskildas integritet inte har rätt att ta fram i sin egen verksamhet inte heller är tillgängliga för allmänheten. En förutsättning för att undantaget ska vara tillämpligt är att det gäller personuppgifter. Med begreppet personuppgifter avses här detsamma som i PUL, dock med den skillnaden att begreppet i TF också omfattar avlidna personer.195

5.6.2.2 I vilken form ska uppgifterna ges ut?

Den som önskar ta del av en allmän handling har rätt att göra det på två olika sätt. Sökanden kan ta del av handlingen genom att myndigheten tillhandahåller den på stället (2 kap. 12 § första stycket TF). Sökanden kan också ta del av handlingen genom att mot en avgift få den utlämnad i avskrift eller kopia (2 kap. 13 § första stycket TF).

Bestämmelserna i TF medför således ingen generell skyldighet för en myndighet att lämna ut en uppgift i elektronisk form. I vissa registerförfattningar finns bestämmelser som reglerar om och i vilka fall personuppgifter får utlämnas i elektronisk form. En myndighet kan också välja att lämna ut allmänna handlingar i elektronisk form i enlighet med förvaltningslagens bestämmelser om serviceskyldighet.196En förutsättning för detta är att inga hinder för ut-

193Prop. 2001/2002:70 s. 20 f. 194Prop. 2001/02:70 s. 38. 195 Ibid. 196SOU 2010:4 s. 77.

lämnande finns i den registerförfattning som gäller för myndigheten. Regeringen har i olika sammanhang uppmanat myndigheterna att lämna ut handlingar på elektronisk väg, även om ingen sådan legal skyldighet föreligger.197

5.6.2.3 Begränsning av rätten att ta del av allmänna handlingar

Som anges ovan medför offentlighetsprincipen att envar har rätt att ta del av allmänna handlingar hos en myndighet. Huvudregeln är således att registeruppgifter som ingår i allmänna handlingar omfattas av offentlighetsprincipen och ska lämnas ut av myndigheten när någon, till exempel en forskare, önskar ta del av dem.

Rätten att ta del av allmänna handlingar får begränsas på de sätt som framgår av 2 kap. 2 § TF. Bestämmelsen har följande lydelse.

2 kap. 2 § TF

Rätten att taga del av allmänna handlingar får begränsas endast om det är påkallat med hänsyn till

1. rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation,

2. rikets centrala finanspolitik, penningpolitik eller valutapolitik,

3. myndighets verksamhet för inspektion, kontroll eller annan tillsyn,

4. intresset att förebygga eller beivra brott,

5. det allmännas ekonomiska intresse,

6. skyddet för enskilds personliga eller ekonomiska förhållanden,

7. intresset att bevara djur- eller växtart. Begränsning av rätten att taga del av allmänna handlingar skall angivas noga i bestämmelse i en särskild lag eller, om så i visst fall befinnes lämpligare, i annan lag vartill den särskilda lagen hänvisar. Efter bemyndigande i sådan bestämmelse får dock regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet.

Utan hinder av andra stycket får i bestämmelse som där avses riksdagen eller regeringen tilläggas befogenhet att efter omständigheterna medgiva att viss handling lämnas ut.

Sekretessregleringen är en undantagsreglering i förhållande till offentlighetsprincipen. Sekretess ska därför gälla för uppgifter endast om det finns ett särskilt skyddsvärt intresse. I bestämmelsens första stycke finns en uttömmande uppräkning av vilka intressen som får skyddas genom att allmänna handlingar hålls hemliga, de så kallade

197 Se bland annat prop. 2001/02:70 s. 34.

sekretessgrunderna. Allmänna handlingar får således inte hållas hemliga för att skydda några andra intressen än dem som räknas upp.

Den sekretess som kan bli aktuell vid uttag ur myndigheternas register för forskning är främst sådan sekretess som har sin grund i punkten 6, det vill säga sekretess till skydd för enskilds personliga och ekonomiska förhållanden.

Vilka handlingar som är hemliga ska enligt andra stycket anges i en särskild lag. Den lag som avses är offentlighets- och sekretesslagen, OSL. OSL innehåller bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar, gemensamt betecknat som sekretess (1 kap. 1 § andra stycket OSL). Utgångspunkten är att det av OSL ska framgå alla de fall då allmänna handlingar är hemliga.198 Punkterna 1–5 och 7 i 2 kap. 2 § TF motsvaras av 15–20 kap. i OSL. Punkten 6 som reglerar skyddet för enskilds personliga eller ekonomiska förhållanden motsvaras av femte avdelningen (21–40 kap.) i OSL. Det är tillåtet att ta in bestämmelser om hemliga handlingar i andra lagar, men då ska OSL hänvisa dit.

Regeringen ges i andra stycket rätt att besluta om kompletterande föreskrifter. Sådana regeringsföreskrifter finns samlade i offentlighets- och sekretessförordningen (2009:641), OSF.

I det tredje stycket har regeringen och riksdagen fått befogenhet att genom särskilda föreskrifter i sekretessbestämmelserna ge dispens från sekretessen.

5.6.3. Offentlighets- och sekretesslagen

5.6.3.1 Sekretessbestämmelsernas uppbyggnad

OSL innehåller bestämmelser om myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handlingar (1 kap. 1 § OSL). Som anges ovan innehåller lagen också bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna handlingar.

OSL utgör ett undantag från offentlighetsprincipen och sekretess ska därför gälla endast om det finns ett särskilt skyddsvärt intresse. Utgångspunkten är att sekretess endast ska gälla i den omfattning som är nödvändig för att skydda det intresse som föranlett bestämmelsen.199För att så tydligt som möjligt klargöra sekretessens om-

198 Lenberg, E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo), kommentaren till 2 kap. 2 § tryckfrihetsförordningen. 199SOU 2003:99 s. 79.

fattning är sekretessbestämmelserna som regel utformade med hjälp av tre olika slags rekvisit. Dessa anger föremålet för sekretessen, sekretessens räckvidd och sekretessens styrka.200Med föremålet för sekretessen avses vilket slags uppgift som sekretessregleringen avser, till exempel personliga och ekonomiska förhållanden. Sekretessen räckvidd anger inom vilken verksamhet eller i vilken typ av ärenden sekretessbestämmelsen gäller. I undantagsfall hänvisas också till en viss bestämd myndighet. Om inget annat anges är bestämmelsen tillämplig inom hela den offentliga förvaltningen. Sekretessens styrka anges genom ett skaderekvisit.

Skaderekvisit

Som anförts ovan medför offentlighetsprincipen att sekretess ska gälla endast i den omfattning som är nödvändig för att skydda det intresse som ligger till grund för bestämmelsen.201Ett sätt att åstadkomma detta är att använda så kallade skaderekvisit, det vill säga särskilda rekvisit som anger vilken styrka sekretessen har. Det finns i huvudsak två olika typer av skaderekvisit, det raka och det omvända. Vid ett rakt skaderekvisit är utgångspunkten offentlighet. Det uttrycks i lagtexten genom att sekretess gäller om det kan antas att en viss skada inträffar om uppgiften röjs. Vid ett omvänt skaderekvisit föreligger en presumtion för att uppgifterna omfattas av sekretess. Sekretessen uttrycks i dessa fall genom att sekretess gäller om det inte står klart att uppgiften kan röjas utan skada och men. I vissa fall kan sekretessen vara absolut. Det innebär att någon skade- och menprövning inte ska göras och att uppgiften inte kan lämnas ut.

Förbehåll

En myndighet ska också alltid ta ställning till om uppgifter som är sekretessbelagda ändå kan lämnas ut med förbehåll. Av 10 kap. 14 § OSL följer att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en sekretessbestämmelse hindrar att en uppgift lämnas ut kan undanröjas genom ett förbehåll som inskränker rätten att lämna uppgiften vidare eller utnyttja den ska

200SOU 2003:99 s. 78. 201SOU 2003:99 s. 131.

myndigheten göra ett sådant förbehåll när uppgiften lämnas ut. Bestämmelsen ska bara tillämpas vid utlämnande till enskilda.

Skada och men

Vad avses med uttrycket ”skada och men” i OSL? Enligt förarbetena till den tidigare sekretesslagen (1980:100) avser begreppet ”skada” ekonomisk skada.202 Begreppet ”men” ansågs lämpligt att använda avseende integritetskränkningar. Uttrycket ”men” har, enligt förarbetena, en mycket vid innebörd. I första hand åsyftas sådana skador som att någon blir utsatt för andras missaktning om dennes personliga förhållanden blir kända. Redan den omständigheten att vissa personer känner till en för någon enskild ömtålig uppgift kan anses vara tillräckligt för att medföra men. Den berörda personens egen upplevelse ska vara utgångspunkten vid en bedömning av om men föreligger. Vid bedömningen bör dock viss hänsyn kunna tas till gängse värderingar i samhället.

Enskilds personliga eller ekonomiska förhållanden

Begreppet ”enskilds personliga och ekonomiska förhållanden” är hämtat från 2 kap. 2 § första stycket 6 TF. I förarbetena till sekretesslagen anfördes att det inte var nödvändigt att göra någon analys av begreppets innebörd.203 Innebörden av begreppet personliga förhållanden får i stället bestämmas med ledning av vanligt språkbruk. I propositionen anges som exempel på personliga förhållanden en persons adress eller yttringar av ett psykiskt sjukdomstillstånd. Uppgifter om en persons ekonomi faller också under begreppet personliga förhållanden. Personliga och ekonomiska förhållanden bör emellertid enligt förarbetena hållas isär, bland annat för att sekretessregleringen också avser juridiska personer, som ju inte kan säga ha några ”personliga förhållanden”.

För att en enskild ska lida skada eller men krävs det att uppgifterna är hänförliga till en viss individ.204Det innebär enligt förarbetena att man i allmänhet bör kunna lämna ut så kallade avidentifierade

202Prop. 1979/80:2 Del A s. 83, SOU 2003:99 s. 138 ff. 203Prop. 1979/80:2 Del A s. 84. 204Prop. 1979/80:2 Del A s. 84.

uppgifter utan risk för att skada eller men uppkommer.205 Sekretessen gäller nämligen endast när det finns ett samband mellan en individ och uppgiften. I propositionen anförs det vidare att det i enstaka fall kan tänkas att en avidentifiering inte är tillräcklig för att hindra att sambandet mellan individen och uppgiften spåras. Huruvida en sådan risk föreligger får bedömas efter omständigheterna i del enskilda fallet.

Överföring av sekretess och primär och sekundär sekretess

Det är en grundläggande princip i sekretessregleringen att sekretess inte överförs automatiskt mellan myndigheter.206 En sekretessbestämmelse som gäller för en uppgift hos en myndighet blir inte utan särskild reglering tillämplig hos en annan myndighet när uppgiften lämnas dit. Detta beror bland annat på att behovet av och styrkan i en sekretess inte kan bestämmas enbart med hänsyn till sekretessintresset.207Detta måste i varje sammanhang vägas mot intresset av insyn i myndigheternas verksamhet. Denna avvägning kan resultera i en annan bedömning utanför det område där en sekretessregel gäller. Kravet på offentlighet kan således innebära att de uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda.

För att uppgiften hos den mottagande myndigheten ska omfattas av sekretess krävs det att det finns en sekretessbestämmelse som är tillämplig för den mottagande myndigheten, så kallad primär sekretess. Med en primär sekretessbestämmelse avses enligt 3 kap. 1 § OSL en sekretessbestämmelse som en myndighet ska tillämpa på grund av att bestämmelsen riktar sig direkt till myndigheten eller omfattar viss verksamhetstyp eller ärendetyp som hanteras hos myndigheten eller omfattar vissa uppgifter hos myndigheten. Ett alternativ är att det finns en särskild överföringsbestämmelse som medför att sekretessen sprids utanför sitt ursprungliga tillämpningsområde, en sekundär sekretess. Enligt definitionen i 3 kap. 1 § OSL är en sekundär sekretessbestämmelse en bestämmelse om sekretess som en myndighet ska tillämpa på grund av en bestämmelse om överföring av sekretess.

205 Avidentifierade uppgifter får här förstås som vad som i denna utredning benämns anonymiserade uppgifter, det vill säga även kodade uppgifter. 206Prop. 2008/09:150 s. 315. 207Prop. 1979/80:2 Del A s. 75 f.

Om det finns flera primära sekretessbestämmelser till skydd för samma uppgift hos en myndighet ska myndigheten tillämpa den bestämmelse som ger det starkaste sekretesskyddet.208 I de fall en uppgift överförs från en myndighet till en annan och det finns en primär sekretessbestämmelse som är tillämplig på uppgiften hos den mottagande myndigheten gäller den bestämmelsen före en sekundär sekretessbestämmelse. Detta gäller oavsett den primära sekretessens styrka, det vill säga även om det skulle innebära ett svagare skydd än den sekundära bestämmelsen skulle ha gjort.209

5.6.3.2 Myndigheternas sekretessprövning

Enligt 2 kap. 14 § TF är det alltid den myndighet som förvarar en handling som ska pröva om den kan lämnas ut. En allmän handling som får lämnas ut ska tillhandahållas genast eller så snart som möjligt (2 kap. 12 § TF), vilket innebär att en begäran att ta del av handlingen ska prövas skyndsamt av myndigheten.210

När någon, till exempel en forskare, begär ut en uppgift ur en myndighets register ska myndigheten inledningsvis ta ställning till om uppgiften finns i en allmän handling. Om så är fallet medför offentlighetsprincipen som framgått ovan att handlingen som huvudregel är offentlig och ska lämnas ut. Uppgiften kan emellertid omfattas av sekretess. Myndigheten ska då bedöma om uppgiften kan hänföras till en enskild och om det innebär skada och men för den enskilde eller dennes närstående om uppgiften lämnas ut, en så kallad skade- och menprövning eller utlämnandeprövning. Om en skade- och menprövning resulterar i slutsatsen att de uppgifter som begärs ut omfattas av sekretess får uppgifterna inte lämnas ut. Det kan emellertid finnas sekretessbrytande bestämmelser som är tillämpliga och som bryter igenom sekretesskyddet och medger att uppgifterna ändå får lämnas ut.

I vissa fall är sekretessen absolut. Någon skade- och menprövning ska då inte göras. Uppgifterna kan dock eventuellt ändå lämnas ut med stöd av en sekretessbrytande bestämmelse.

Det bör noteras att det endast är specifika uppgifter som kan skyddas av sekretess, inte de handlingar i vilka uppgifterna förekommer. I de fall vissa uppgifter i en handling får lämnas ut och andra

208Prop. 1979/80:2 Del A s. 70, prop. 2008/09:150 s. 316. 209 Ibid. 210SOU 2010:4 s. 63.

inte ska de uppgifter som inte kan lämnas ut strykas över eller uteslutas på annat sätt, så att handlingen i övrigt kan lämnas ut (2 kap. 12 § första stycket TF).

Om myndigheten kommer fram till att de begärda uppgifterna inte går att lämna ut ska myndigheten meddela den som har begärt uppgifterna sin bedömning och skälen till att handlingen eller delar av den inte lämnas ut. Den enskilde har rätt till ett skriftligt avslagsbeslut. En myndighets beslut att inte lämna ut en handling till den enskilde, att lämna ut en handling med förbehåll eller att avslå den enskildes begäran att själv använda tekniska hjälpmedel för att ta del av upptagningar för automatiserad behandling överklagas enligt huvudregeln till kammarrätten (6 kap. 8 § första stycket OSL). Även i de fall klaganden är en juridisk person eller kommunal myndighet ska beslutet överklagas till kammarrätten. Av tredje stycket följer att beslut av en tingsrätt och som gäller handling i domstolens rättsskipande eller rättsvårdande verksamhet dock överklagas till hovrätten. Ett avslagsbeslut som meddelats av en statlig myndighet som lyder under regeringen överklagas av en annan sådan myndighet till regeringen (6 kap. 8 § fjärde stycket OSL).

5.6.3.3 Utlämnandeprövningen

Vad ska myndigheterna beakta vid utlämnandeprövning vid rakt respektive omvänt skaderekvisit? Vid rakt skaderekvisit finns det som ovan anförts en presumtion för offentlighet. Den som ska tillämpa det raka skaderekvisitet kan göra sin bedömning inom ganska vida ramar.211Prövningen ska göras utifrån själva uppgiften och någon bedömning av det enskilda fallet behöver inte alltid göras. Det är i stället uppgiften i sig som är avgörande för om ett utlämnande kan vara ägnat att skada det intresse som ska skyddas av sekretessen. Om uppgiften är sådan att den typiskt sett skulle betraktas som harmlös ska den normalt falla utanför sekretessen. Om uppgiften i stället är sådan att den lätt kan komma att missbrukas ska den i de flesta fall omfattas av sekretess. Det är således arten av den uppgift som efterfrågas som är av avgörande betydelse.

En grundsats som hör samman med offentlighetsprincipen är att den som begär en uppgift hos en myndighet inte ska behöva legitimera sig och tala om varför han eller hon vill ta del av en viss upp-

211Prop. 1979/80:2 Del A s. 80, SOU 2003:99 s. 131.

gift.212Enligt 2 kap. 14 § tredje stycket TF får en myndighet inte på grund av att någon begär att få ta del av en handling efterforska vem han eller hon är eller i vilket syfte handlingen begärs i större utsträckning än som behövs för att myndigheten ska kunna pröva om det föreligger hinder att lämna ut handlingen. Ett rakt skaderekvisit innebär vanligtvis att den som gör skadebedömningen inte behöver frångå denna princip. Vem som begär uppgiften och vad den ska användas till ska som huvudregel inte inverka på bedömningen. Frågan om vem som begär en uppgift eller ändamålet med begäran kan emellertid ändå få betydelse när sekretessfrågan ska avgöras. Om det i ett särskilt fall framgår att den som begär att få ut en uppgift för vilken det gäller sekretess enligt ett rakt skaderekvisit kommer att använda uppgiften till skada eller men för den uppgiften rör gäller sekretess just för den uppgiften. Utgångspunkten är dock inte att tjänstemannen själv ska försöka utröna om omständigheterna är sådana som beskrivits i ett visst utlämnandefall. En sådan åtgärd bör enligt förarbetena endast förekomma om det finns särskild anledning till det.

Vid ett omvänt skaderekvisit är, som framgått ovan, sekretess huvudregel. I sådana fall har tillämparen i praktiken ett begränsat utrymme för sin bedömning.213För att kunna bedöma om en uppgift omfattas av sekretess vid tillämpningen av ett omvänt skaderekvisit måste hänsyn tas till samtliga omständigheter i det enskilda fallet. Många gånger måste handläggaren ta reda på mottagarens identitet och avsikter för att kunna avgöra om uppgifterna ska lämnas ut. Upplysningar om sökandens identitet och avsikter kan dock medföra att det framstår som oskadligt att lämna ut uppgifterna.

5.6.3.4 Massuttag

Det omvända skaderekvisitet kan medföra problem vid så kallade massuttag, det vill säga uttag av en stor mängd uppgifter. Möjligheten till massuttag är en förutsättning för registerforskning och sådana uttag sker i dag ofta av uppgifter som skyddas av statistiksekretess. Vid massuttag är det vanligtvis omöjligt att avgöra vilken risk för skada eller men som föreligger för varje enskild person. I förarbetena till sekretesslagstiftningen finns vissa uttalanden som rör massuttag. Det anförs att situationen i sådana fall är sådan att tjänstemannen

212Prop. 1979/80:2 Del A s. 81, SOU 2003:99 s. 132. 213Prop. 1979/80:2 Del A s. 82, SOU 2003:99 s. 132.

av naturliga skäl inte kan bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift.214Kunskaper om beställarens identitet och avsikt med uppgifterna i förening med den skaderisk som typiskt sett är förbunden med uppgifter som avses med beställningen bör enligt förarbetena vara ett fullt tillräckligt underlag för en sekretessbedömning. Dessa förarbetsuttalanden talar för att det är möjligt med en sekretessprövning vid massuttag. Uttalandena i förarbetena följer emellertid i anslutning till uttalanden om det raka skaderekvisitet.215Det har lett till en diskussion inom den juridiska doktrinen om förarbetsuttalandena gäller även vid omvänt skaderekvisit. I diskussionen har framförts att det inte kan tas för givet att uttalanden om massuttag ska anses gälla även uppgifter som är skyddade av den starkare sekretessen.216Andra menar däremot att det är möjligt att efter en objektiv prövning lämna ut uppgifter även genom massuttag vid ett omvänt skaderekvisit.217Förekomsten av bestämmelsen om statistiksekretess visar detta, eftersom sådana uttag i regel sker genom massuttag. Det har anförts att lagstiftarens tanke inte kan ha varit att den utlämnande myndigheten ska göra en individuell prövning i dessa fall. Ett omvänt skaderekvisit betyder inte, har det anförts, att den enskildes inställning måste efterforskas i varje enskilt fall, utan avgörande är vem som begär ut uppgifterna, för vilket syfte och vilket sekretesskydd uppgifterna har hos mottagaren. En annan tolkning av förarbetena är inte möjlig. Uppgifter som regleras med omvänt skaderekvisit skulle annars inte kunna lämnas ut eftersom en skadeprövning inte kan genomföras av resursskäl.

5.6.3.5 Sekretess som kan gälla hos de myndigheter från vilka forskare begär uppgifter

Det är i huvudsak OSL och OSF som styr i vilka fall en myndighet får lämna ut uppgifter för forskning och andra ändamål. Här följer en översiktlig genomgång av några av de bestämmelser som reglerar möjligheten för forskare att få del av uppgifter.

214Prop. 1979/80:2 Del A s. 81. 215 Ibid. 216 Rynning, E.,Förvaltningsrättslig tidskrift 2003, s. 107. 217 von Essen, U.,Förvaltningsrättslig tidskrift 2003, s. 206 f, Ekroth,J., Förvaltningsrättslig tidskrift, 2005, s. 418.

Statistiksekretess

Den sekretess som oftast är aktuell när en forskare begär ut uppgifter från en myndighet är den så kallade statistiksekretessen, som regleras i 24 kap. 8 § OSL. Bestämmelsen har följande lydelse.

24 kap 8 §

Sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Detsamma gäller annan jämförbar undersökning som utförs av Riksrevisionen eller riksdagsförvaltningen eller, i den utsträckning regeringen meddelar föreskrifter om det, av någon annan myndighet. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detsamma gäller en uppgift som avser en avliden och som rör dödsorsak eller dödsdatum, om uppgiften behövs i ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

Enligt bestämmelsens första mening gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. Statistik kan framställas för att användas som underlag för ett beslut i ett ärende hos en myndighet. Det är emellertid inte sådan verksamhet som avses. I stället är det fråga om en mera allmänt utredande verksamhet utan anknytning till något särskilt ärende.218Bestämmelsen reglerar sekretessen hos många av de myndigheter som ansvarar för register som är intressanta för registerbaserad forskning. Som exempel kan nämnas den statistikproduktion som sker vid statistikansvariga myndigheter, såsom SCB, Socialstyrelsen, BRÅ och Försäkringskassan.219

Enligt bestämmelsen andra mening gäller sekretess även för med statistik jämförbar undersökning inom Riksrevisionen eller riksdagsförvaltningen. Även myndigheter under regeringen har möjlighet att sekretessbelägga uppgifter i andra med statistik jämförbara undersökningar, förutsatt att regeringen föreskrivit det. Regeringen har

218Prop. 1979/80:2 Del A s. 263. 219SOU 2012:83 s. 138 f.

med stöd av bestämmelsen meddelat föreskrifter om sekretess i 7 § OSF.

I 7 § OSF regleras sekretess för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden i en mängd myndigheter avseende vissa särskilda undersökningar. För dessa uppgifter gäller föreskrifterna i 24 kap. 8 § första stycket tredje meningen och andra stycket OSL, om inte en längre gående begränsning i sekretessen anges i bestämmelsen. Till exempel gäller sekretess för uppgifter om enskildas personliga förhållanden i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier som utförs av sjukvårdsinrättningar, utbildningsanstalter och forskningsinrättningar.

I prop. 2013/14:162 föreslås vissa ändringar i statistiksekretessen. Bland annat föreslås att så kallade andra jämförbara undersökningar som utförs inom det statliga kommittéväsendet och av Statskontoret ska omfattas av statistiksekretess utan att regeringen meddelar föreskrifter om det. Den andra ändringen innebär att paragrafen delas upp i fler stycken, i syfte att göra bestämmelserna mer överskådliga och lättare att tillämpa. Lagändringarna föreslås träda i kraft den 1 augusti 2014.

Statistiksekretessen gäller oavsett varifrån uppgiften härrör eller hur den kommit till myndigheten.220 Det är alltså inte ändamålet med uppgiften utan verksamheten vari den förekommer som är avgörande. Det kan leda till att en uppgift hos en myndighet är offentlig inom en handläggande avdelning men sekretessbelagd inom en avdelning som framställer statistik. En uppgift som är offentlig hos en myndighet som samlat in den av administrativa skäl blir sekretessbelagd hos en annan myndighet som hämtar in uppgiften för att upprätta statistik.

Sekretessen gäller för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Härigenom skyddas inte bara sådana uppgifter som innehåller identitetsbeteckningar som namn och personnummer på en enskild utan även uppgifter som på något sätt kan hänföras till en viss enskild.221

Bestämmelsen innehåller inte något skaderekvisit. Statistiksekretessen är således absolut och det är som huvudregel förbjudet att lämna ut några som helst uppgifter. Skälen till den starka statistiksekretessen diskuteras i förarbetena till den tidigare sekretesslagen. I propositionen konstateras att det i fråga om statistikuppgifter finns

220Prop. 1979/80:2 Del A s. 263. 221 Ibid.

en intressekonflikt mellan önskemålet om allmän insyn i statistiskt primärmaterial och hänsynen till den enskildes integritet.222 Ett skäl att ha en långtgående sekretess är att offentlighetsintresset på denna punkt ter sig förhållandevis svagt. Integritetsintresset är däremot påtagligt. Det anges vidare i propositionen att registeruppgifter från exempelvis SCB visserligen var för sig är tämligen harmlösa, men att en sammanställning av sådana uppgifter ofta är integritetskänslig. Behovet av ett starkt sekretesskydd beträffande statistiken beror också, enligt propositionen, på att statistikkvaliteten blir dålig om inte den enskilde uppgiftslämnaren är säker på att hans uppgifter inte kommer ut.

Det finns fyra undantag från regeln om absolut sekretess. Det undantag som är mest relevant i forskningssammanhang är det som anges i bestämmelsens tredje mening. Där anges att uppgifter som behövs för forsknings- eller statistikändamål får lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. I dessa fall gäller således ett omvänt skaderekvisit. Möjligheten till utlämnande för forskningsändamål är avsedd att tillämpas mycket restriktivt.223

Det andra undantaget som kan bli aktuellt vid uttag av uppgifter för forskningsändamål framgår av samma mening i bestämmelsen. Där anges att uppgift som inte genom namn, annan identitetsbeteckning eller därmed jämförbart förhållande är direkt hänförlig till den enskilde får lämnas ut. Det får dock endast ske under förutsättning att det står klart att uppgiften kan röjas utan att den enskilde eller denne närstående lider skada eller men. Undantaget infördes för att tillgodose behovet av detaljerad statistik.224 Bestämmelsen avser inte endast utlämnande till forsknings- och statistikändamål, utan är generellt tillämplig. Med ”därmed jämförbart förhållande” åsyftas enligt förarbetena bilnummer, telefonnummer, anställningsnummer, fastighetsbeteckning och så vidare. Begreppet enskild omfattar också avliden.

222Prop. 1979/80:2 Del A s. 262. 223Prop. 1994/95:200 s. 38. 224Prop. 1979/80:2 Del A s. 264.

Hälso- och sjukvårdssekretess

En viktig källa till information för forskare, främst på det medicinska området, är personuppgifter som hämtas från journaler eller från ett nationellt, regionalt eller lokalt kvalitetsregister. Sådana uppgifter skyddas av sekretess enligt 25 kap. 1 § OSL. Bestämmelsen har följande lydelse.

25 kap. 1 §

Sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Detsamma gäller i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning, insemination, befruktning utanför kroppen, fastställande av könstillhörighet, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar.

Första stycket gäller inte om annat följer av 7, 8 eller 10 § eller 26 kap. 6 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Med uttrycket hälso- och sjukvård avses för det första den öppna och slutna sjukvård för vilken grundläggande bestämmelser finns i hälso- och sjukvårdslagen (1982:763).225Hit hör också förebyggande medicinska hälsovård, till exempel verksamhet på mödra- och barnavårdscentralerna och inom psykiatrisk barn- och ungdomsvård. Också tandvården hör till hälso- och sjukvården. Bestämmelsen omfattar vidare verksamhet som utgör en del i annan typ av förvaltning, till exempel elevhälsan inom skolväsendet, eller sjukvård inom socialtjänsten, kriminalvården eller försvarsmakten. Vidare omfattas företagshälsovården i det allmännas verksamhet.

Bestämmelsen är endast tillämplig på sådan hälso- och sjukvård och annan medicinsk verksamhet som är individuellt inriktad. Miljö- och samhällsmedicin och annan förebyggande hälsovård av mera generell karaktär faller således utanför tillämpningsområdet.

Sekretessen enligt 25 kap 1 § OSL tar sikte på den hälso- och sjukvård som bedrivs av det allmänna i sjukhus och andra vårdinrättningar samt verksamheten vid inrättningar för öppen vård till exempel distriktsläkarmottagningar och folktandvårdskliniker. Utanför bestämmelsens tillämpningsområde faller däremot verksamhet vid sjukhus och andra liknande inrättningar som drivs av enskilda.

225Lenberg E. m.fl., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo) kommentaren till 25 kap. 1 §.

För sådan verksamhet gäller i stället föreskrifterna om tystnadsplikt i patientsäkerhetslagen (2010:659).

Sekretessregleringen gäller också ”i annan medicinsk verksamhet”. Med detta uttryck avses verksamhet som inte primärt har vård- eller behandlingssyfte, till exempel verksamhet som bedrivs hos Rättsmedicinalverket. I lagtexten exemplifieras sådan verksamhet med rättsmedicinsk och rättspsykiatrisk undersökning, insemination, befruktning utanför kroppen, fastställande av könstillhörighet, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar.

Sekretessen i 25 kap. 1 § OSL ska iakttas av all den personal som är verksam inom det allmännas hälso- och sjukvård, oavsett om verksamheten avser det egentliga vårdarbetet eller administrativt, ekonomiskt eller tekniskt arbete. Bestämmelsen är således tillämplig för exempelvis läkare, sjuksköterskor och barnmorskor men även för apotekare, arbetsterapeuter, logopeder, läkarsekreterare, psykologer, kuratorer, psykoterapeuter, sjukgymnaster, sjukhusfysiker, sjukvårdsbiträden, skriv- och ambulanspersonal, telefonister och vaktmästare.

Sekretessen omfattar uppgift om enskildas hälsotillstånd eller andra personliga förhållanden. Bestämmelsen avser uppgifter om den vårdbehövande eller därmed jämställda personer samt uppgifter som en vårdbehövande lämnar om andra personer, exempelvis närstående, grannar eller arbetskamrater.226

Enligt 25 kap. 1 § gäller sekretess om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Det föreligger således en presumtion för att uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden i hälso- och sjukvården, till exempel uppgifter i kvalitetsregister (se avsnitt 5.3.6.3) inte ska lämnas ut. Frågan om uppgifter kan lämnas ut måste avgöras efter en skadeprövning från fall till fall, med beaktande av samtliga omständigheter. Om uppgifter lämnas ut från den allmänna hälso- och sjukvården till forskningsändamål följer det av 11 kap. 3 § OSL att hälso- och sjukvårdssekretessen blir tillämplig på uppgiften även hos den mottagande myndigheten. Om det finns en primär sekretessbestämmelse hos den mottagande myndigheten ska dock den gälla i första hand.

226 Lenberg E. m.f., Offentlighets- och sekretesslagen En kommentar (1 januari 2013, Zeteo), kommentaren till 25 kap. 1 §.

Sekretess på grund av behandling i strid med personuppgiftslagen

En annan sekretessbestämmelse som aktualiseras oavsett från vilken myndighet forskare begär ut data är 21 kap. 7 § OSL. Bestämmelsen har följande lydelse.

21 kap. 7 §

Sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen.

Uttrycken personuppgift och behandling i bestämmelsen har samma innebörd som i PUL. Med personuppgifter avses således all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Till skillnad från sekretessbestämmelser som gäller till skydd för ”uppgift om enskilds personliga förhållanden” kan sekretessen enligt denna paragraf således inte gälla till skydd för avlidna. Uttrycket ”behandling” definieras i 3 § PUL (se avsnitt 5.3.4.2).

Bestämmelsen är tillämplig hos sådana myndigheter som är personuppgiftsansvariga eller som annars har tillgång till personuppgifter. Paragrafen innehåller ett förbud att lämna ut personuppgifter om det kan antas att uppgifter efter utlämnandet kommer att behandlas i strid med bestämmelserna i PUL. Om det är fråga om känsliga personuppgifter hänvisar PUL till etikprövningslagen. Det krävs således även att bestämmelserna i etikprövningslagen är uppfyllda för att sekretess inte ska gälla. Bestämmelsen innebär att den utlämnande myndigheten måste undersöka hur uppgifterna kommer att behandlas hos den som har begärt ut dem, till exempel hos den forskningshuvudman som uppgifterna ska lämnas ut till.

Bestämmelsen har utsatts för kritik. Problemen med bestämmelsen diskuteras bland annat i E-offentlighetskommitténs slutbetänkande Allmänna handlingar i elektronisk form – offentlighet och inte-

gritet.227I betänkandet konstateras att den sekretess som föreskrivs

i 21 kap. 7 § OSL är försedd med ett rakt skaderekvisit. Detta innebär att utgångspunkten är att uppgifterna ifråga är offentliga och att sekretess endast gäller om det kan antas att viss skada uppstår om uppgiften lämnas ut. Avsikten vid användningen av raka skaderekvisit är att skadebedömningen ska kunna göras med utgångspunkt i själva uppgiften och att myndighetens tjänstemän inte

227SOU 2010:4 s. 320 ff. Se också JO:s yttranden dnr 1102-2004 och 1849-2004.

ska behöva ta reda på vem som begär ut en uppgift eller ändamålet med begäran. Beträffande sekretessen i 21 kap. 7 § OSL har emellertid inte arten av den uppgift som begärs utlämnad direkt betydelse för prövningen av skaderekvisitet och därmed för frågan om när myndigheten får efterforska vad sökanden ska använda uppgifterna till. I stället är det avgörande för om en efterforskning bör göras om det på grund av någon omständighet kring sökandens begäran kan antas att sökande kommer att hantera uppgifterna på ett sätt som strider mot PUL. Kommittén konstaterar att sekretessbestämmelsen i 21 kap. 7 § OSL inskränker den enskildes möjligheter att åberopa sin rätt enligt 2 kap. 14 § tredje stycket TF att inte behöva uppge sitt namn eller sitt syfte med att önska studera en viss handling. För att offentlighetsprincipen ska kunna upprätthållas effektivt är det av vikt att den enskilde kan förbli anonym.

Kommittén framför vidare att bestämmelsen i 21 kap. 7 § OSL bryter mot systematiken i OSL genom att skaderekvisitet tar sikte på skada eller men som kan tänkas uppkomma på grund av att den som fått del av uppgiften kan komma att bryta mot bestämmelserna i PUL. Utgångspunkten är annars att skaderekvisiten tar sikte på skada eller men som kan uppkomma genom själva utlämnandet av uppgifterna. Vidare har det framförts att den praktiska tillämpningen av bestämmelsen är problematisk. Den som ska tillämpa bestämmelsen måste göra mer eller mindre väl underbyggda antaganden om avsikt och syfte hos den som begär att få ut uppgifter för vilka ingen sekretess råder i övrigt. En utlämnande myndighet tvingas göra antaganden om en ännu inte påbörjad behandling av personuppgifter omfattas av PUL och om den i så fall kan tänkas strida mot lagens bestämmelser. Kommittén anför att detta inte bara öppnar för skönsmässiga bedömningar utan också strider mot huvudprincipen att offentlighetsprincipen förutsätter att myndigheten inte ska efterforska vem sökanden är eller hur han eller hon tänker använda uppgifter ur en allmän handling efter utlämnandet. Enligt kommittén har det från myndighetshåll påpekats att bestämmelsen är svår att tillämpa. Det är svårt att bedöma om PUL över huvud taget kommer bli tillämplig på den behandling som sökanden kan antas företa och bedöma hur en tillämpning av PUL skulle kunna tänkas utfalla i det enskilda fallet. Det anförs att många myndigheter uppfattar denna prövning som komplicerad och att den ger utrymme för subjektiva bedömningar.

Trots att kommittén kunde instämma i den kritik som framförts mot bestämmelsen ansåg den inte att det var lämpligt att upphäva

bestämmelsen utan lämnade i stället förslag till förtydligande av sekretessbestämmelsen i 21 kap. 7 § OSL.228

Räckvidden av bestämmelsen i 21 kap. 7 § OSL diskuteras även i VR:s rapport Rättsliga förutsättningar för en databasinfrastruktur för

forskning.229Det anförs att en behandling av personuppgifter är i

strid med PUL inte bara om den saknar laglig grund utan även om exempelvis informationskrav och säkerhetskrav inte uppfylls. Det kan därför diskuteras hur långt den utlämnande myndigheten ska orientera sig i forskarens verksamhet och dessa omfattande frågor, särskilt med tanke på att bestämmelsen innehåller ett rakt skaderekvisit. Det anförs att det finns olika uppfattningar bland de statistikansvariga myndigheterna i denna fråga.

5.6.3.6 Sekretessbrytande bestämmelser

Som huvudregel gäller sekretess även mellan myndigheter (8 kap. 1 § OSL). Det har dock ansetts att sekretessregleringen inte bör hindra myndigheterna från att utväxla uppgifter i de fall där intresset av att uppgifterna lämnas ut bör ha företräde framför det intresse som sekretessen ska skydda. Ett antal sekretessbrytande bestämmelser och undantag från sekretessen har därför införts i lagen. De flesta av dem är samlade i 10 kap. OSL. Även om sekretess gäller för en viss uppgift enligt någon annan bestämmelse i lagen får handlingen ändå lämnas ut om någon av bestämmelserna i 10 kap. OSL är tillämplig. Till exempel hindrar inte sekretess att en uppgift lämnas till en annan enskild eller till en myndighet om den enskilde samtycker till det (10 kap. 1 § OSL) eller om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet (10 kap. 2 § OSL).

Sekretessbrytande bestämmelser och undantag för forskningsändamål

Det finns inte någon allmän bestämmelse i OSL som medger undantag från sekretess för forskningsändamål. I förarbetena till den tidigare sekretesslagen diskuterades möjligheten att införa en särskild dispensbefogenhet för forskningsändamål.230 En sådan reglering ansågs

228SOU 2010:4 s. 333 f. 229 Rättsliga förutsättningar för en databasinfrastruktur för forskning 11:2010 Vetenskapsrådet s. 90. 230Prop.1979/80:2 Del A s. 347.

emellertid inte nödvändig. Det motiverades med att om den efterfrågade uppgiften är hemlig enligt en sekretessbestämmelse som innehåller ett skaderekvisit torde skadeprövningen ofta kunna resultera i ett utlämnande av uppgiften. Är mottagaren en offentlig institution eller tjänsteman överförs sekretessen till institutionen (nuvarande 11 kap. 3 § OSL) och en enskild forskare kan åläggas tystnadsplikt (med stöd av nuvarande 10 kap. 14 § OSL). Vidare anfördes att forskningens behov kan tillgodoses genom särskilda föreskrifter och att forskningen i vissa fall får tillgång till uppgifter med stöd av den så kallade generalklausulen (nuvarande 10 kap. 27 § OSL). Det konstaterades också att forskningen i vissa fall kan få tillgång till uppgifter efter dispens från regeringen (enligt nuvarande 10 kap. 6 § OSL). Någon särskild dispensbefogenhet för forskningsändamål ansågs därför inte behövas.

Här följer en genomgång av de sekretessbrytande bestämmelser och undantag som kan bli tillämpliga vid utlämnande av uppgifter för forskningsändamål.

Generalklausulen

Som anfört ovan gäller som huvudregel sekretess mellan myndigheter (8 kap. 1 § OSL). För att inte oförutsedda hinder ska uppkomma i myndigheternas verksamhet har emellertid en generalklausul med följande lydelse införts.

10 kap. 27 §

Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Första stycket gäller inte i fråga om sekretess enligt 24 kap. 8 §, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och 2 §§, 31 kap. 1 § första stycket, 2 och 12 §§, 33 kap. 2 §, 36 kap. 3 § samt 40 kap. 2 och 5 §§.

Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personuppgiftslagen (1998:204).

Bestämmelsen medger att sekretessbelagda uppgifter lämnas till en annan myndighet om intresset av att uppgifterna lämnas har företräde framför det intresse som sekretessen ska skydda. Det krävs dock att det är uppenbart att intresset av att en uppgift lämnas ut har företräde framför det intresse som sekretessen ska skydda för

att generalklausulen ska bli tillämplig. Bestämmelsen kan inte tillämpas vid alla typer av sekretess. Vissa områden, såsom hälso- och sjukvård och socialtjänst, är helt undantagna från bestämmelsens tillämpningsområde. Den kan inte heller tillämpas vid statistiksekretess enligt 24 kap. 8 § PUL. Enligt tredje stycket gäller bestämmelsen inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av PUL.

Av förarbetena framgår att generalklausulen särskilt ger utrymme för informationsutbyte när det är fråga om myndigheter med samma sakliga behörighet men med skilda lokala kompetensområden eller myndigheter som har närbesläktade funktioner och som båda har rättslig befogenhet att direkt begära in de utväxlade uppgifterna.231Av särskilt intresse för denna framställning är att det i förarbetena också anges att bestämmelsen är möjlig att tillämpa vid utlämnande av uppgifter till forskning.232

När det gäller bland annat generalklausulen anfördes det i förarbetena att möjligheterna att utväxla uppgifter mellan myndigheter får utnyttjas mer sparsamt och med större försiktighet om informationen inte är sekretesskyddad hos den mottagande myndigheten. Detta gäller särskilt i fråga om uppgifter som är hemliga med hänsyn till enskilds intressen.233Om en uppgift inte skyddas av sekretess hos den mottagande myndigheten kan risken för skada ska uppkomma vara så stor att uppgiften inte bör lämnas ut.234Uppgifter som en enskild person har lämnat i förtroende kan det finnas särskild anledning att inte lämna ut.

Förbehåll

I 10 kap. 14 § OSL finns en regel som medger att uppgifter som omfattas av sekretess kan lämnas ut med så kallat förbehåll. Bestämmelsen har följande lydelse.

10 kap. 14 §

Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja

231Prop. 1979/80:2 Del A s. 326 f. 232Prop. 1979/80:2 Del A s. 347. 233Prop. 1979/80: 2 Del A s. 77. 234Prop. 1979/80: 2 Del A s. 91.

den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde.

Att den tystnadsplikt som uppkommer genom ett sådant förbehåll som anges i första stycket inskränker den rätt att meddela och offentliggöra uppgifter som följer av 1 kap. 1 § tryckfrihetsförordningen och 1 kap.1 och 2 §§yttrandefrihetsgrundlagen följer av 13 kap. 5 § andra stycket.

Bestämmelsen ger myndigheten möjlighet att lämna ut uppgifter som är sekretessbelagda till en enskild, under förutsättning att den risk för skada, men eller annan olägenhet som hindar att uppgifterna lämnas ut kan undanröjas genom att ett förbehåll uppställs vid utlämnandet. Ett förbehåll kan också ställas upp om den som uppgiften rör samtycker till att en sekretessbelagd uppgift lämnas ut under förutsättning av sådant förbehåll. Ett förbehåll får ställas upp endast om förbehållet behövs för att undanröja den skaderisk som annars skulle utgöra ett hinder mot utlämnande och om förbehållet, sammanvägt med andra omständigheter, är tillräckligt för att undanröja risken. Förbehållet bör vara så preciserat att den enskilde kan bedöma hur han eller hon kan utnyttja de uppgifter som lämnas ut. Ett förbehåll kan till exempel gälla förbud mot vidarespridning av handlingens innehåll eller mot publicering av namn eller hemliga uppgifter ur handlingen.

Förbehållet innebär att den som tar emot uppgifterna har tystnadsplikt. Om den som förbehållet riktar sig mot inte följer villkoren i förbehållet kan ansvar för brott mot tystnadsplikten bli aktuellt (20 kap. 3 § brottsbalken).

Bestämmelsen om förbehåll är endast tillämplig vid utlämnandet till enskild, inte till en annan myndighet. Förbehållet kan därmed inte rikta sig till en person som vill ta del av uppgifterna i egenskap av offentlig funktionär eller anställd vid en myndighet. Handlingar eller uppgifter som utlämnas till en myndighet omfattas i sådana fall i stället av den sekretess som gäller hos den myndigheten och i vissa fall av sekundär sekretess. I forskningssammanhang kan således förbehåll endast användas vid forskning som bedrivs av enskild huvudman.

Dispensmöjligheter

I förarbetena till sekretesslagen anförs att det finns behov av undantag från sekretess i särskilda fall.235De enskilda sekretessbestämmelserna kan inte utformas så att varje tänkbart behov av utlämnande beaktas. Därför infördes en regel enligt vilken regeringen har möjlighet att i ett enskilt fall medge dispens från sekretess enligt vilken sekretessbestämmelse som helst. Bestämmelsen har följande lydelse.

10 kap. 6 §

Regeringen får för ett särskilt fall besluta att en sekretessbelagd uppgift i ett regeringsärende får lämnas ut. Regeringen får även i övrigt för ett särskilt fall besluta om undantag från sekretess, om det är motiverat av synnerliga skäl.

Om ingen annan sekretessbrytande bestämmelse är tillämplig kan det således bli aktuellt för den som begär ut uppgifter för forskningsändamål att ansöka om dispens hos regeringen. För att regeringen ska kunna medge dispens krävs det dock att det är påkallat av synnerliga skäl. Det framgår av förarbetena att det är fråga om en undantagsbestämmelse som ska användas med stor restriktivitet, åtminstone när enskilda intressen berörs.236I förarbetena anges dock särskilt att bestämmelsen kan bli tillämplig vid utlämnande för särskilt angelägna forskningsändamål.237

Regeringen har enligt 10 kap. 7 § OSL möjlighet att förena ett beslut om dispens med förbehåll som inskränker mottagarens rätt att förfoga över uppgiften.

5.6.3.7 Bestämmelser om skydd för enskild inom forskning och statistik

Enligt kommittédirektiven är det, för att bibehålla allmänhetens förtroende för forskningen, av stor vikt att regelverket tillgodoser den enskilda individens integritetsskydd. Det är i detta sammanhang av central betydelse att de uppgifter forskaren förfogar över omfattas av ett fungerande sekretesskydd. Här följer exempel på ett antal

235Prop. 1979/80:2 Del A s. 346. 236 Ibid. 237Prop. 1979/80:2 Del A s. 347.

sekretessbestämmelser som kan bli aktuella vid olika sorters forskning.

Uppgifter som rör enskildas hälsa eller sexualliv

Enligt 21 kap. 1 § OSL gäller sekretess för uppgift som rör en enskilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, könsbyte, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs.

Som exempel på uppgifter som kan omfattas av bestämmelsen anges i förarbetena uppgifter om könsbyten, transsexualitet, HIV eller psykiska sjukdomar i vissa fall.238Efter beaktande av omständigheterna i det enskilda fallet kan även mindre känsliga uppgifter än de som nämnts sekretessbeläggas med stöd av bestämmelsen. Bedömningen påverkas av olika faktorer, såsom om den enskilde är underårig eller vuxen, i vilken verksamhet uppgiften finns och av vem eller under vilka förhållanden uppgiften begärs utlämnad. Prövningen är vidare beroende av den enskildes egen inställning, till exempel om den enskilde själv har berättat i media att han eller hon har bytt kön.

Bestämmelsen är en primär sekretessbestämmelse och dess räckvidd har inte begränsats till någon särskild verksamhet eller myndighet. Den ska således tillämpas av alla myndigheter och andra organ som ska tillämpa OSL och medför ett minimiskydd för känsliga uppgifter om enskildas hälsa och sexualliv inom hela den offentliga sektorn.239 I bestämmelsens andra stycke görs vissa undantag från sekretessen, till exempel vid en förhandling om tvångsmedel och i vissa typer av mål vid domstol.

Sekretess till skydd för enskild inom forskning och statistik

I 24 kap. OSL finns vissa sekretessbestämmelser särskilt till skydd för enskild inom forskning och statistik.

Enligt 24 kap. 1 § gäller sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften

238Prop. 2005/06:161 s. 97. 239Prop. 2005/06:161 s. 31.

rör eller någon närstående till denne lider men. Alla slags uppgifter som hänför sig till sådana undersökningar kan vara föremål för sekretess. Ett omvänt skaderekvisit gäller, det vill säga det råder en presumtion för sekretess.

I samband med att lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa infördes i december 2013 infördes även en sekretessbestämmelse i 24 kap. 2 a § OSL. Enligt bestämmelsen gäller sekretess i verksamhet som avser förande av eller uttag ur register enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa för uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde. Sekretessen är således som huvudregel absolut. Sekretessen hindrar dock inte att uppgift lämnas ut i den utsträckning som framgår av lagen. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

I 24 kap. 4 § finns en bestämmelser om sekretess i den verksamhet som bedrivs av Institutet för språk och folkminnen (tidigare Språk- och folkminnesinstitutet; SOFI). Enligt bestämmelsen gäller sekretess för uppgift i en upptagning som har dialektologiskt eller etnologiskt innehåll och som har gjorts eller anskaffats för vetenskapligt ändamål, om det kan antas att den som har lämnat uppgiften eller som uppgiften avser eller någon närstående till denne lider men om uppgiften röjs.

Sekretess gäller enligt 24 kap. 5 § OSL hos universitet och högskolor för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat som har lämnats eller kommit fram vid sådan forskning som efter överenskommelse bedrivs i samverkan med en enskild, om det måste antas att den enskilde har deltagit i samverkan under förutsättning att uppgiften inte röjs.

En viktig bestämmelse i forskningssammanhang är den så kallade statistiksekretessen i 24 kap. 8 § OSL. Bestämmelsen har behandlats i avsnitt 5.6.3.5. Statistiksekretessen tar i första hand sikte på uppgifter som avser en enskilds personliga eller ekonomiska förhållanden i sådan verksamhet som avser framställning av statistik. Enligt bestämmelsen har emellertid även myndigheter under regeringen möjlighet att sekretessbelägga uppgifter i andra jämförbara undersökningar, om regeringen har föreskrivit det. Regeringen har med stöd av bestämmelsen meddelat föreskrifter om sekretess i 7 § OSF

avseende enskildas personliga eller ekonomiskas förhållanden hos vissa angivna myndigheter och utredningar. Bland annat föreskrivs sekretess för sociologiska, psykologiska, pedagogiska eller andra beteendevetenskapliga eller samhällsvetenskapliga studier på utbildningsanstalter och forskningsinrättningar.

Överföring av sekretess

I de fall det inte finns någon primär sekretessbestämmelse som är tillämplig på uppgifterna som behandlas i ett visst forskningsprojekt kan det finnas en sekretess som genom bestämmelsen om överföring av sekretess har förts över från den myndighet från vilken uppgifterna är hämtad. Bestämmelser om överföring av sekretess finns i 11 kap. OSL. Överföring av sekretess i forskningsverksamhet regleras särskilt i 11 kap. 3 § OSL. Bestämmelsen har följande lydelse:

11 kap. 3 §

Får en myndighet i sin forskningsverksamhet från en annan myndighet en sekretessreglerad uppgift, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten.

Första stycket tillämpas inte på en uppgift som ingår i ett beslut hos den mottagande myndigheten.

Denna bestämmelse är central för sekretesskyddet för personuppgifter i forskningssammanhang. Den innebär att en myndighet som i sin forskningsverksamhet får en sekretessreglerad uppgift från en annan myndighet ska tillämpa samma sekretessbestämmelse på uppgiften som den utlämnande myndigheten. I de fall uppgifter har överlämnats från till exempel hälso- och sjukvården till en annan myndighet för dess forskningsverksamhet gäller således den starka hälso- och sjukvårdssekretessen även hos den mottagande myndigheten. Det innebär också att den absoluta sekretess som gäller enligt 24 kap. 8 § OSL, statistiksekretessen, överförs till en mottagande myndighet.

I de fall en uppgift för vilken överförd sekretess gäller begärs ut från den mottagande myndigheten, till exempel forskningshuvudmannen som använder uppgiften i sin forskningsverksamhet, ska den mottagande myndigheten göra en självständig bedömning av om uppgiften omfattas av sekretess eller inte (2 kap. 14 § första stycket TF).

Paragrafens andra stycke innebär att den överförda sekretessen inte blir tillämplig på en uppgift som ingår i ett beslut hos den mottagande myndigheten.

Överföring av sekretess från register som förs med stöd av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa

I 24 kap. 2 b § OSL finns en särskild bestämmelse om överföring av sekretess när en myndighet får en uppgift som är sekretessreglerad i 2 a § från den som bedriver verksamhet enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Sekretessen blir då tillämplig även hos den mottagande myndigheten.

5.6.3.8 Uppgiftsskyldighet mellan myndigheter

I 6 kap. 5 § OSL finns en bestämmelse om informationsskyldighet mellan myndigheter. Bestämmelsen har följande lydelse.

6 kap. 5 §

En myndighet ska på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång.

Den skyldighet som följer av bestämmelsen är mera vidsträckt än skyldigheten gentemot allmänheten som följer av TF. Skyldigheten gäller varje uppgift som myndigheten förfogar över, alltså inte bara uppgifter ur allmänna handlingar.

I de fall en myndighet begär ut en uppgift som är sekretessbelagd och en sekretessbrytande bestämmelse är tillämplig innebär den sekretessbrytande bestämmelsen i kombination med 6 kap. 5 § OSL att den myndighet som förfogar över uppgiften är skyldig att lämna ut den. I vilken form uppgifterna kan lämnas avgörs, om det är fråga om personuppgifter, av bestämmelserna i PUL.

Denna skyldighet anses utgöra en precisering av den allmänna samverkansskyldighet som gäller för myndigheterna enligt 6 § förvaltningslagen (1986:223). Det har ifrågasatts om denna skyldighet står i strid med den så kallade finalitetsprincipen i dataskyddsdirektivet. Som nämns tidigare innebär denna princip att en personuppgift inte

får behandlas för ett ändamål som är oförenligt med det ändamål för vilket uppgiften samlades in. Offentlighets- och sekretesskommittén anförde emellertid i sitt huvudbetänkande att regering och riksdag redan vid PUL:s tillkomst tagit ställning till att bestämmelsen i nuvarande 6 kap. 5 § OSL inte strider mot dataskyddsdirektivet.240Enligt kommittén ska således ett utlämnande av uppgifter till en annan myndighet anses vara förenligt med finalitetsprincipen om utlämnandet är tillåtet enligt sekretesslagen. Kommittén ansåg dock att det skulle kunna uppstå en normkollision mellan 6 kap. 5 § OSL och en registerförfattning, om ändamålsregleringen i den senare författningen är utformad så att den utesluter en tillämpning av finalitetsprincipen. I en sådan situation får enligt kommittén ändamålsregleringen i registerförfattningen anses utgöra lex specialis i förhållande till 6 kap. 5 § och ett utlämnande av uppgifter i strid med ändamålsregleringen skulle därmed utgöra en otillåten behandling av uppgifterna. Enligt utredningen var det dock oklart om det fanns några registerförfattningar som på detta sätt uteslöt en tillämpning av finalitetsprincipen.

5.7. Lagen om den officiella statistiken

5.7.1. Inledning

Den officiella statistiken regleras genom lagen om den officiella statistiken, statistiklagen. Lagen kompletteras av förordningen (2001:100) om den officiella statistiken. Regeringen beslutar inom vilka områden det ska finnas officiell statistik och vilka myndigheter som ska ansvara för denna, så kallade statistikansvariga myndigheter (1 § andra stycket). Ansvaret för den officiella statistiken är fördelat på ett större antal statliga myndigheter. Vilka de statistikansvariga myndigheterna är och vilka ansvarsområden respektive myndighet har regleras i en bilaga till förordningen om den officiella statistiken. SCB är den dominerande statistikproducenten och svarar för en stor del av den officiella statistiken. Exempel på andra statistikansvariga myndigheter är Försäkringskassan, Socialstyrelsen och BRÅ.

240SOU 2003:99 s. 231 ff.

5.7.2. Utlämnande av uppgifter i vissa fall

I 16 § statistiklagen finns en bestämmelse som möjliggör för en statistikansvarig myndighet att i samband med ett utlämnande förse ett anonymiserat material med ett icke informationsbärande löpnummer. Bestämmelsen har följande lydelse.

16 §

När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till skall använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna.

Om en uppgift rättats, blockerats eller utplånats hos den statistikansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna skall kunna ändras hos den som uppgifterna lämnats ut till.

Bestämmelsen är avsedd att tillämpas vid longitudinella studier, det vill säga mätning av utvecklingen över tiden av en och samma företeelse, och sådana likartade studier.241När en statistikansvarig myndighet lämnar ut anonymiserat material till sådana studier kan materialet förses med ett löpnummer. För att materialet ska kunna uppdateras vid ett senare tillfälle bevarar myndigheten en nyckel i form av en företeckning för att översätta löpnummer till personnummer. Förteckningen ska bevaras hos den utlämnande myndigheten och endast kunna användas för ett och samma material. Ett löpnummerförfarande får endast tillämpas om uppgifterna ska användas för forskning eller statistik och det finns ett behov av att senare komplettera uppgifterna. De uppgifter som lämnas ut enligt 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning eller statistik (17 § statsitiklagen).

I förarbetena till bestämmelsen framhålls att myndigheten i varje enskilt fall ingående ska pröva om löpnummerförfarandet ska tillåtas med hänsyn till samtliga relevanta faktorer.242Regeringen anför vidare att metoden ska kunna användas vid longitudinella och liknande studier så länge samhällets behov av studien är väl dokumenterat. Den ska endast tillåtas under förutsättning att sekretess-

241Prop. 2000/01:27 s. 52 f. 242Prop. 2000/01:27 s. 53 f.

och integritetsskyddet vidmakthålls på samma nivå som hos den utlämnande myndigheten. Om det kan ske utan påvisbara nackdelar ur kvalitetssynvinkel bör det utlämnade materialet bestå av ett urval av personer.

Den som har fått personuppgifter som avses i 16 § första stycket behöver inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter (18 § statistiklagen).

Utformningen av bestämmelserna i 16–18 §§ statistiklagen avser enligt propositionen att skapa en säker metod för att kunna komplettera material som i sig inte ska kunna hänföras till enskilda individer eller företag.243Det ska inte vara möjligt för mottagaren att på något sätt identifiera de individer som ingår i materialet. I sammanhanget nämns att det i 6 § i lagen finns ett förbud mot olovlig identifiering.

De uppgifter som lämnas ut enligt bestämmelsen får som angetts ovan endast användas för specifika statistik- och forskningsändamål. Avsikten med denna utformning är att säkerställa att uppgifterna blir omfattade av statistiksekretessen hos den mottagande myndigheten.244 Det ankommer på den utlämnande myndigheten att bevaka att statistiksekretessen blir tillämplig hos mottagaren.

5.8. Arkivlagen

5.8.1. Inledning

Forskning som bedrivs i allmän regi styrs, liksom all annan offentlig verksamhet, av offentlighetsprincipen. Principen medför, som beskrivits ovan, bland annat en rätt för allmänheten att ta del av allmänna handlingar. En förutsättning för att offentlighetsprincipen ska kunna utnyttjas är att handlingarna bevaras hos myndigheterna och en god offentlighetsstruktur. Redan bestämmelserna i TF kan sägas medföra en skyldighet att allmänna handlingar i princip ska bevaras, ordnas så att det går att hitta bland dem och vårdas så att

243Prop. 2000/01:27 s. 72 f. 244Prop. 2000/01:27 s. 73.

de inte skingras och förstörs.245Enligt 2 kap. 18 § TF ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar meddelas i lag. Bestämmelser om myndigheternas skyldighet att bevara allmänna handlingar och på vilket sätt det ska ske finns i arkivlagen (1990:782), arkivförordningen (1991:446) och Riksarkivets föreskrifter (RA-FS och RA-MS). I dessa bestämmelser anges bland annat hur en handling ska framställas, förvaras och skyddas. Där finns också bestämmelser om gallring och avhändande av allmänna handlingar.

En förutsättning för registerbaserad forskning är att de personuppgifter som samlats in dokumenteras och bevaras så att de kan återanvändas av andra. Som anges ovan är utgångspunkten att allmänna handlingar ska bevaras. Bevarandet av handlingar kan emellertid också, för dem vars uppgifter ska bevaras, ses som ett hot mot den personliga integriteten.

5.8.2. Arkivens syfte

En myndighets arkiv bildas av allmänna handlingar från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § TF (minnesanteckningar) som myndigheten beslutar ska tas om hand för arkivering. Enligt 3 § arkivlagen ska myndigheternas arkiv som huvudregel bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen och forskningens behov.

5.8.3. Gallring

Enligt 10 § arkivlagen får allmänna handlingar gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. Vid gallringen ska det dock beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår ska kunna tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen och forskningens behov. Det följer av 14 § arkivförordningen att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Detta medför till exempel att universitet och högskolor i allmän regi som

245Prop. 2001/02:70 s. 35.

bedriver forsking inte självständigt kan bestämma vilka handlingar som ska arkiveras utan måste följa det regelverk som gäller för arkivering och gallring.

Allmänna bestämmelser om gallring finns i Riksarkivets föreskrifter och allmänna råd om arkiv hos statliga myndigheter (RA-FS 1991:1, ändr. RA-FS 1997:4). Där anges att myndigheterna fortlöpande är skyldiga att pröva förutsättningarna för gallring (7 kap. 1 §). Den fortlöpande prövningen kan underlättas om myndigheten, i samråd med arkivmyndigheten, har fastställt övergripande riktlinjer för vilka typer av handlingar som kan komma i fråga för bevarande respektive gallring (7 kap. 1 § Riksarkivets allmänna råd). Riktlinjerna ska ta sin utgångspunkt i arkivlagens bevarandemål och en bedömning av vilka handlingar som är centrala för myndighetens verksamhet. Om myndigheten efter prövning anser att det finns handlingar som bör gallras ska en framställning om gallring göras till arkivmyndigheten (7 kap. 2 § ). Framställningen bör innehålla en beskrivning av de handlingar som föreslås till gallring, uppgift om handlingarnas omfattning, användning och betydelse samt en motivering till gallringsförslaget. Riksarkivet fattar därefter beslut om gallringsföreskrifter. Föreskrifterna kungörs i serien Riksarkivets myndighetsspecifika föreskrifter om gallring och annan arkivhantering (RA-MS) När gallring har beslutats ska myndigheten verkställa gallring på föreskrivet sätt (6 § arkivlagen).

En av de viktigaste föreskrifterna är RA-FS 1997:6 som gäller gallring av handlingar av tillfällig eller ringa betydelse. Enligt föreskrifterna ska myndigheten själv ta ställning till vilka handlingar som är av tillfällig och ringa betydelse med hänsyn till de bevarandemål som anges. För universitet och högskolors del är det dokumentation av undervisningen och forskningen som är av betydelse. I sammanhanget bör även högskolornas och universitetens tredje uppgift uppmärksammas, det vill säga att samverka med det omgivande samhället och informera om sin verksamhet samt att verka för att forskningsresultat vid högskolan kommer till nytta dela med sig av kunskap, uppmärksammas (1 kap. 3 § andra högskolelagen). Även denna uppgift har betydelse för hur gallring ska ske.

5.8.4. Riksarkivets föreskrifter för forskningsverksamhet

Riksarkivet har utfärdat föreskrifter och allmänna råd om gallring av handlingar i statliga myndigheters forskningsverksamhet.246 Föreskrifterna gäller oberoende av vid vilken myndighet forskningens bedrivs och oberoende av på vilka media handlingarna upprättats.

Av 6 § i föreskrifterna framgår att handlingar som innehåller grundläggande syfte, metod och resultat ska undantas från gallring. Vidare ska enligt 7 § handlingar som har ett fortsatt inomvetenskapligt värde eller värde för annat forskningsområde som bedöms vara av stort vetenskapshistoriskt, kulturhistoriskt eller personhistoriskt värde eller som bedöms vara av stort allmänt intresse bevaras. Som exempel på sådana handlingar anges i bilagan till föreskrifterna handlingar som utgör särskilt omfattande primärmaterial, insamlat genom försök, mätningar, enkäter, intervjuer och så vidare, som är unikt eller som endast med stor möda kan återskapas. Här anges även register och databaser avseende data med särskilt hög täckningsgrad och kontrollerbarhet.

Enligt 8 § i föreskrifterna får ingen gallring verkställas förrän myndigheten prövat om handlingar ska undantas från gallring enligt 7 §.

5.8.5. Arkivering av digitala handlingar

Långtidslagring av elektroniska handlingar ställer andra krav på myndigheterna än traditionella arkivmaterial. För att läsbarheten hos handlingarna ska bestå krävs att de framställs i material som tillåter överföring till nya databärare under bevarandetiden. Riksarkivets föreskrifter och allmänna råd om elektroniska handlingar (RA-FS 2009:1) innehåller bestämmelser om hantering av elektroniska handlingar. Riksarkivets föreskrifter och allmänna råd om tekniska krav på elektroniska handlingar anger vilka format och standarder som är godkända för framställning och bevarande av digitala handlingar.

All förstöring av allmänna handlingar och uppgifter i allmänna handlingar utgör gallring. Så är även fallet om data dessförinnan har förts över till en ny databärare om överföringen medför förlust av information eller sökmöjligheter. För gallring krävs stöd i lag, förordning eller myndighetsföreskrifter. Enligt 4 kap. 6 § RA-FS 2009:1

246 Riksarkivets föreskrifter (1999:1) och allmänna råd om gallring av handlingar i statliga myndigheters forskningsverksamhet och föreskrifter om ändring av dessa föreskrifter (2002:1).

får elektroniska handlingar inte gallras om det medför risk för informationsförlust i de handlingar som ska sparas.

5.8.6. Förhållande till personuppgiftslagen

Det följer av 9 § PUL att en personuppgift inte får bevaras längre än nödvändigt med hänsyn till ändamålet för vilket personuppgifterna samlades in. TF:s och arkivlagens bestämmelser har dock företräde framför PUL:s bestämmelser. Enligt 8 § första stycket PUL ska bestämmelserna i PUL inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF. Det anges vidare i 8 § andra stycket PUL att bestämmelserna i lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Myndigheterna ska således i första hand tillämpa bestämmelserna om bevarande av allmänna handlingar enligt arkivlagen.

5.8.7. Sekretess

I 11 kap. 6 § finns en särskild bestämmelse om överföring av sekretess när uppgifter överlämnas från en myndighet till en arkivmyndighet. Får en arkivmyndighet för arkivering från en annan myndighet en uppgift som är sekretessreglerad där blir sekretessbestämmelsen tillämplig på uppgiften även hos arkivmyndigheten.

6. Integritet och registerbaserad forskning

I direktiven till utredningen anges att jag ska undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet. Syftet med detta kapitel är att föra en principiell diskussion om enskilda individers personliga integritet1 och hur den kan tänkas påverkas i samband med registerbaserad forskning.2 I kapitlen 8 och 9 ska jag återkomma till några mer konkreta överväganden om vad som kan göras för att stärka skyddet av den personliga integriteten i forskningen.

Den statliga Integritetsskyddskommittén pekade i ett delbetänkande från 2007 på en rad frågor som kan ställas för att belysa hur olika förslag påverkar integriteten:

Vilken art av integritetsförluster kan uppkomma, dvs. vilka slags förluster rör det sig om; hur stor är risken för olika kategorier av medborgare att råka ut för integritetsförluster; vilken omfattning kan skadorna väntas medföra; kan alla medborgare drabbas eller bara de som tillhör en viss grupp; vad kan de tillämpande myndigheterna respektive medborgarna själva göra för att begränsa integritetsförlusterna; hur förhåller sig de beräknade förlusterna till andra integritetsförluster?3

Integritetsskyddskommittén framhåller att det har ett ”betydande egenvärde att lagstiftaren noggrant, uppriktigt och med pedagogisk klarhet redovisar sina skäl och värderingar. I vårt land bjuder traditionen att dessa överväganden redovisas i förarbetena till lagstiftningen, i första hand i propositioner och utskottsbetänkanden men

1 Här diskuteras personlig integritet, men i andra sammanhang kan man också tala om integritet för t.ex. mindre företag. Begreppet integritet kan också användas i andra betydelser än det som åsyftas i detta kapitel. 2 Ett viktigt underlag för kapitel har Joanna Stjernschantz Forsberg bistått med genom en rapport till utredningen, Om registerforskning och integritet. Jag vill också tacka Kjell Asplund, Göran Collste, Sven Ove Hansson, Erik Lempert, Elisabeth Rynning och Nils-Eric Sahlin som har gett värdefulla kommentarer till den rapporten. 3SOU 2007:22 Del I s.451.

också i det utredningsmaterial som föregår departementsbehandlingen”.

Denna utredning är förhoppningsvis första steget i en sådan kedja som ska leda till proposition, utskottsbetänkande och så småningom riksdagsbeslut. Jag ska här redovisa en rad principiella överväganden om integritet vid registerbaserad forskning och hoppas därmed kunna bidra till den klarhet som Integritetsskyddskommittén efterlyser. De frågor kommittén reser är en viktig utgångspunkt.

6.1. Vad är integritet?

Den första frågan som finns skäl att ställa är vad som ska förstås med integritet.

Integritetsskyddskommittén, som arbetade 2004–2008, är den senaste i en lång rad av statliga utredningar som har behandlat integritetsfrågor. Kommittén konstaterar att frågan om vad som egentligen ska avses med integritet har återkommit i flera av dessa utredningar, men menade samtidigt att en sådan begreppsanalytisk infallsvinkel har sina begränsningar:

Ett skäl härtill är att det … är svårt för att inte säga omöjligt att komma fram till en entydig och allmänt accepterad definition av begreppet personlig integritet. Ett annat skäl är att man inte genom att bestämma innebörden av detta begrepp ens teoretiskt kan få svar också på frågan om vad det är som skall skyddas. Den sistnämnda frågan kan nämligen inte besvaras utan att man samtidigt bedömer omfattningen och tyngden av de motstående legitima intressen som kan finnas, såsom intresset av offentlighet och brottsbekämpning.

Utformandet av ett integritetsskydd, i Sverige såväl som på andra håll, synes heller inte i praktiken har tagit sin utgångspunkt i en viss definition av begreppet integritet, utan arbetet har varit inriktat på att från fall till fall förbjuda sådana företeelser som inte ansetts försvarbara med hänsyn till dels den skada de skulle innebära för den personliga integriteten, dels den skada som ett upprätthållande av integriteten skulle åsamka andra beaktansvärda intressen. I rättsordningen har med andra ord den faktiska omfattningen av den skyddade personliga integriteten kommit att bestämmas inte genom sofistikerade definitioner utan genom summan av ett stort antal skyddsregler av mycket varierande slag.4

4SOU 2007:22 Del I s. 52.

Några år tidigare skrev en annan utredning inom området, Integritetsutredningen, efter att ha gått igenom åtskillig svensk och utländsk litteratur på området följande:

… som en klar gemensam nämnare framstår i vart fall uppfattningen att begreppet personlig integritet innebär att alla människor har rätt till en personlig sfär där ett oönskat intrång, såväl fysiskt som psykiskt kan avvisas. De flesta människor har också en bestämd uppfattning om vad personlig integritet innebär för deras egen del och de uttrycker detta mestadels på motsvarande sätt som nyss nämnts. Men uppfattningen om storleken på den privata sfären kan variera kraftigt mellan olika människor beroende framför allt på deras kulturella, etniska, religiösa och sociala bakgrund. Omfånget av den personliga sfären uppfattas inte heller som statiskt, inte ens för den egna individen, utan kan förändras med hänsyn till bl.a. vunna erfarenheter och den aktuella situationen. 5

Integritetsskyddskommittén redovisar också visst material som togs fram vid en nordisk konferens år 1967 i Internationella juristkommissionens regi.6Resultatet vid konferensen blev en resolution som vunnit internationell uppmärksamhet. Enligt den innebär rätten till privatliv i allmänhet en rätt för individen att leva sitt eget liv med ett minimum av inblandning från myndigheter, allmänhet och andra individer. Kommittén refererar en underlagsrapport till konferensen som hade författats av professor Stig Strömholm. Strömholm konstaterar att jurister ofta har resignerat inför uppgiften att ge en positiv bestämning av integritetsbegreppet. I stället har man valt att göra förteckningar över de handlingar som kan anses utgöra integritetskränkningar. Enligt Strömholm kan kränkningarna indelas i tre huvudgrupper: 1) intrång i en persons privata förhållanden, 2) insamlande av uppgifter om en persons privata förhållanden och 3) offentliggörande eller annat utnyttjande av material om en persons privata förhållanden. Mer konkret kräver, enligt Strömholm, följande grupper av handlingar beaktande:

1. tillträde till och genomsökande av privata lokaler eller annan egen-

dom,

2. kroppsundersökning,

3. medicinska undersökningar, psykologiska tester osv.,

5SOU 2002:18 s. 53. 6SOU 2007:22 Del I s. 56-58.

4. intrång i en persons privata sfär genom skuggning, spionerande,

telefonterror o.d.,

5. ofredande genom företrädare för massmedierna, till exempel i

form av ”snokreportage”, men även påträngande och brutala intervjuer av olycksoffer, dessas anhöriga eller eljest personer, som har svårt att värja sig,

6. olovlig ljudupptagning, fotografering eller filmupptagning,

7. brytande av brevhemlighet,

8. telefonavlyssning,

9. utnyttjande av elektronisk avlyssningsapparatur, 10. spridande av förtroliga uppgifter (till exempel genom advokater,

läkare, själasörjare), 11. avslöjande inför offentligheten av annans privata förhållanden, 12. olika former av utnyttjande av annans namn, bild eller liknande

identifieringsmedel, 13. missbruk av annans ord eller meddelanden (exempelvis genom

förvrängda eller helt uppdiktade intervjuer), 14. angrepp på annans heder och ära.

Ytterligare en aspekt på integritetsbegreppet lyfts fram av Integritetsskyddskommittén med referens till fil. dr. Ludvig Beckman.7Han har pekat på ”den personliga integritetens paradox”.8Personlig integritet kan enligt Beckman syfta inte bara på skyddet för privatlivet, utan handlar också om respekten för individen som en individ med förmåga att fatta egna och självständiga beslut. I vilka fall kan det vara acceptabelt att individen tillåts fatta självständiga beslut som kan tänkas kränka privatlivet? Beckman nämner ett par typfall där sådana frågor måste ställas: den som frivilligt går upp i en boxningsring eller prostituerar sig. Jag avstår i detta sammanhang från synpunkter på den fria viljan i olika

7 Beckman är numera professor vid statsvetenskapliga institutionen vid Stockholms universitet. 8SOU 2007:22 Del I s.62.

beslutssituationer. Men denna integritetens paradox är inte ointressant när jag senare kommer in på forskning och integritet.9

Som framgår av Strömholms ”kränkningsförteckning” spänner integritetsfrågorna över vitt skilda områden. I den allmänna debatten aktualiseras integritetsaspekter i diskussioner om alltifrån kroppsundersökningar till kameraövervakning och telefonavlyssning, alltifrån registrering i samband med att man använder betalkort och internetvanor till direktreklam – och, som är i fokus i detta kapitel, forskning. Visserligen kan det sägas finnas en gemensam kärna, intresset av att skydda individers privata sfär, men det finns också många olikheter. När samma begrepp återkommer i de olika kontexterna innebär det en risk för att dessa olikheter inte tillräckligt beaktas.

Jämför exempelvis telefonavlyssning med rapportering av uppgifter till cancerregistret. Då det gäller telefonavlyssning vet individen inte om att den sker, syftet är att få fram information som ska kunna användas mot personen i fråga. Att uppgifter om cancerpatienter rapporteras till cancerregistret hålls inte hemligt för patienterna, öppen information finns tillgänglig om vad som rapporteras och uppgifterna ska snarast användas för att hjälpa den enskilde och andra som drabbas av samma sjukdom.

Integritetsskyddskommittén valde att avgränsa sin behandling av integriteten till vad den kallar den personliga integriteten i ideell mening, alltså inte fysiska kränkningar av olika slag. Den avgränsningen ter sig naturlig också vid en granskning av integritetsfrågorna i anslutning till registerforskning. Det är alltså information om den enskilde som är i blickpunkten för diskussionen. Kommittén ställde sig följande frågor:10

  • Hur skyddas enskilda personer mot olovlig insamling av uppgifter om deras privata förhållanden och hur avgränsas ”lovligt” uppgiftsinsamlande …?
  • Hur skyddas enskilda personer mot olovligt offentliggörande eller annan negativ användning av uppgifter om deras privata förhållanden och hur avgränsas vad som i detta sammanhang är ”lovligt” …?

9 Beckman, L., Staten måste agera på etikens slagfält, Axess juni 2005, refererad i Skyddet för den personliga integriteten. Kartläggning och analys. SOU 2007:22 I:62; en liknande diskussion förs i Hansson, MG, Integritet, Carlssons 2006. 10SOU 2007:22 Del I s. 64.

  • Hur regleras skyddet mot intrång i någon enskilds privata sfär … där syftet är att inhämta information om den enskilde, och hur avgränsas sådana ”lovliga” intrång?
  • Hur skyddas identifieringsdata som namn, bild och liknande?

Jag kommer i det följande att utgå från den pragmatiska syn på integritet som Integritetsskyddskommittén intog och de frågor som den belyste i sitt delbetänkande.

6.2. Rättsligt skydd för personlig integritet

Jag har i kapitel 5 redovisat de rättsliga förutsättningarna för att behandla personuppgifter i allmänhet och inom forskning i synnerhet. Det framgår att det finns en rad bestämmelser som syftar till att skydda enskilda individers integritet.

Regeringsformen (RF) fick den 1 januari 2011 en ny bestämmelse i 2 kap. 6 § som innebär att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet måste enligt 2 kap. 20 § första stycket RF göras genom lag.11 Det har bedömts att grundlagsändringen kan komma att medföra att viss personuppgiftsbehandling som för närvarande regleras i förordningar i framtiden kan behöva regleras i lag.

I personuppgiftslagen (PUL) preciseras villkoren för att få samla in och använda personuppgifter. PUL, som är subsidiär, kompletteras av lagar och förordningar som reglerar personuppgiftsbehandling inom särskilda områden, till exempel patientdatalagen och polisdatalagen. Ytterst styrs möjligheterna att behandla personuppgifter av EU:s dataskyddsdirektiv. Personuppgifter får bara behandlas om det finns lagligt stöd för behandlingen, får bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får inte behandlas för något ändamål som är oförenligt med detta. Fler uppgifter får inte behandlas än vad som är nödvändigt med hänsyn tilländamålet med behandlingen. Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om be-

11 Se avsnitt 5.3.1.

handlingen är nödvändig för vissa angivna syften, till exempel för att en arbetsuppgift av allmänt intresse ska kunna utföras.12

För känsliga personuppgifter gäller dessutom att behandling är förbjuden om den inte omfattas av undantagen i PUL som tillåter behandling eller är tillåten enligt annan lag eller förordning.13

Enligt tryckfrihetsförordningen (TF) har varje svensk medborgare, i praktiken alla Sveriges invånare, till främjande av ett fritt meningsutbyte och allsidig upplysning rätt att ta del av allmänna handlingar. Det är den så kallade offentlighetsprincipen. Men av TF framgår också att denna rätt får begränsas om det är påkallat med hänsyn till bland annat skyddet för enskilds personliga och ekonomiska förhållanden. Uppgifter om enskilda kan omfattas av olika grader av sekretess vilket regleras närmare i offentlighets- och sekretesslagen (OSL).14

Naturligtvis kan en enskild person uppfatta det som en integritetskränkning redan att någon har tillgång till dennas känsliga personuppgifter, men att så är fallet är en ofrånkomlig följd av att myndigheter ofta behöver sådana uppgifter för att kunna fullgöra sina uppgifter. Jag har redovisat en rad skäl för varför myndigheter behandlar personuppgifter, till exempel för administrativa ändamål, för att få underlag för officiell statistik och för utvärdering, uppföljning och kvalitetssäkring inom till exempel hälso- och sjukvården.15Eftersom behandling av personuppgifter, även känsliga sådana, är nödvändig för vissa ändamål blir regler om sekretess och andra skyddsåtgärder särskilt viktiga när det handlar om att skydda den enskildes integritet.

6.3. Rättslig grund för myndighetsregister

Regeringen har i propositionen om PUL uttalat att målet är att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag.16Myndigheters personuppgiftshantering regleras således i allmänhet i särskilda registerförfattningar, beslutade av riksdagen eller regeringen. Som tidigare

12 Se avsnitt 5.3.4.7. 13 Se avsnitt 5.3.4.8. 14 Se avsnitt 5.6.3.1. 15 Se avsnitt 3.3. 16Prop. 1997/98:44 s. 41.

framgått finns det över hundra register med personuppgifter som regleras i sådana författningar.17

Låt mig exemplifiera med en sådan registerförfattning, som ger grund för behandling av personuppgifter med ett tydligt administrativt syfte, lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Personuppgifter får enligt 1 kap. 4 § behandlas för tillhandahållande av information som behövs för 1. samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter,

2. handläggning av folkbokföringsärenden,

3. fullgörande av underrättelseskyldighet enligt lag eller förordning,

4. framställning av personbevis och andra registerutdrag,

5. aktualisering, komplettering och kontroll av personuppgifter,

6. uttag av urval av personuppgifter, och

7. tillsyn, kontroll, uppföljning och planering av folkbokförings-

verksamheten.

För dessa ändamål får ett antal uppgifter samlas i ett register som kallas personuppgiftsdatabasen:

1. person- eller samordningsnummer,

2. namn,

3. födelsetid,

4. födelsehemort,

5. födelseort,

6. adress,

7. folkbokföringsfastighet, lägenhetsnummer, folkbokföringsort,

distrikt och folkbokföring under särskild rubrik,

8. medborgarskap,

9. civilstånd, 10. make, barn, föräldrar, vårdnadshavare och annan person som den

registrerade har samband med inom folkbokföringen,

17 Se avsnitt 3.5.1.

11. samband enligt 10 som är grundat på adoption, 12. inflyttning från utlandet, 13. avregistrering enligt 19–21 §§folkbokföringslagen (1991:481), 14. anmälan enligt 5 kap. 2 § vallagen (2005:837), 15. gravsättning, 16. personnummer som personen har tilldelats i ett annat nordiskt

land, och 17. uppehållsrätt för en person som är folkbokförd.

Det är uppenbart att dessa uppgifter behövs hos Skatteverket för att hålla reda på vilka som bor i Sverige och vilka som är svenska medborgare. Vissa av dessa uppgifter kan av enskilda upplevas som känsliga, men riksdagen har likväl funnit att det är viktigt att de finns registrerade. En avvägning har alltså skett mellan olika intressen. Motsvarande förhållanden gäller för andra administrativa register.

Ett annat ändamål med myndighetsregister är att tillhandahålla uppgifter som kan utgöra underlag för statistik. Statistik är en mycket viktig informationskälla i en demokrati och tillgången till statistik kan ses som en rättighet för alla medborgare. Den officiella statistiken ger en övergripande bild av samhället och ökar medborgarnas möjlighet till insyn. Statistiken används också som grund för politiska beslut, för den allmänna debatten, för forskning, för utvärdering med mera.18 Den officiella statistiken har en särställning bland den statistik som tas fram av myndigheter. Den regleras i en särskild lag, lagen om den officiella statistiken.19 Den officiella statistiken är tillgänglig för allmänheten, till exempel på nätet.20Det har uppdragits åt 27 statistikansvariga myndigheter, av vilka Statistiska centralbyrån (SCB) har de mest omfattande uppgifterna, att ansvara för denna. Vilka myndigheter som ska vara ansvariga för officiell statistik, och inom vilka ämnesområden det ska finnas officiell statistik, beslutas av regeringen.21

Den absoluta merparten av underlaget för den officiella statistiken hämtas ur administrativa register, såsom Skatteverkets folkbokföringsdatabas, men i vissa fall samlas uppgifterna för statistiska

18SOU 2012:83 s. 102. 19 Se avsnitt 5.7. 20 www.scb.se. 21 Några av den officiella statistikens ämnesområden redovisas i avsnitt 3.5.2.

ändamål in direkt från enskilda och företag.22För den ekonomiska statistiken samlas en hel del uppgifter in från företag och kommuner. Dessa är enligt lagen om officiell statistik skyldiga att lämna uppgifter (uppgiftsskyldighet). Från enskilda samlas uppgifter in till bland annat SCB:s arbetskraftsundersökningar (AKU) och undersökningar om levnadsförhållanden (ULF). De vänder sig till ett urval av den svenska befolkningen och deltagandet är frivilligt.23

För att statistiken ska bli pålitlig och verkligen ge en sann bild av förhållandena i samhället är det angeläget att den bygger på uppgifter om hela befolkningen eller på representativa urval. Genom att i hög grad använda uppgifterna från administrativa register kan det målet säkrare nås. Dessa omfattar i regel hela, eller hela den berörda delen, av befolkningen. När det gäller statistik som baseras på urvalsundersökningar finns ett problem med bortfall.24

Åter andra register skapas för att fullgöra uppgifter som anges i hälso- och sjukvårdslagen. Av den framgår att kvaliteten i verksamheten systematiskt och fortlöpande ska utvecklas och säkras. Landstingen och kommunerna ska också medverka vid finansiering, planering och genomförande av klinisk och folkhälsovetenskaplig forskning.25 För att understödja detta arbete förs olika register med uppgifter om patienter.

I de så kallade hälsodataregistren, som förs av Socialstyrelsen, är deltagandet obligatoriskt, men uppgifterna till registren tillhandahålls av vårdgivarna och inte av de enskilda patienterna. Hälsodataregistren skapas med stöd av hälsodatalagen samt av regeringen utfärdade förordningar för varje register.26Det har, med hänsyn till att uppgiftslämnandet är obligatoriskt, ifrågasatts om denna lagkonstruktion är förenlig med den nya lydelsen i RF. Frågan övervägs för närvarande inom Regeringskansliet.

I nationella och regionala kvalitetsregister är deltagandet däremot frivilligt. I dessa fall samlas uppgifter normalt in vid patientbesök i hälso- och sjukvården. Uppgifterna registreras utan den enskildes uttryckliga samtycke, men den enskilde har rätt att motsätta sig registrering med följd att uppgifter om honom eller henne inte får

22SOU 2012:83 s. 151. 23 Tidigare förelåg i ett sammanhang uppgiftsskyldighet för enskilda hushåll i Sverige, nämligen vid folk- och bostadsräkningarna (FoB). Varje FoB grundade sig på en lag. Den sista FoB:en genomfördes 1990. Numera hämtas motsvarande uppgifter från register. Det kan nämnas att Statistisk Sentralbyrå i Norge har möjlighet att föreskriva om uppgiftsskyldighet också för enskilda. Det har man gjort i ett fall, när det gäller arbetskraftsundersökningarna. 24 Se avsnitt 4.3, även avsnitt 8.3.2. 25 Hälso- och sjukvårdslag (1982:763), 26 § 26 Se avsnitt 5.3.6.2.

registreras, eller, om så redan har skett, ska utplånas (så kallad optoutmodell).27När det gäller biobanker ska patienterna informeras om att de kan samtycka till att prover sparas för deras framtida vård, för kvalitetssäkring inom hälso- och sjukvården och för forskning, eller att proverna kan sparas med restriktioner vad gäller användningen, eller att de ska förstöras. De bör också informeras om att de vid ett samtycke nu har möjligheter när som helst dra tillbaka detta.28 Erfarenhetsmässigt är det bara en liten minoritet som har några erinringar mot att uppgifter/prover sparas och används.29

6.4. Alla har rätt att få ut uppgifter som gäller dem själva

Den enskilde har rätt att från registerhållare begära ett så kallat registerutdrag. I det ska den personuppgiftsansvarige ge information om vilka uppgifter som finns registrerade, varifrån uppgifterna har hämtats, ändamålet med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnats ut. En begäran om registerutdrag måste göras skriftligen. På begäran av den registrerade är den personuppgiftsansvarige skyldig att snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PUL. Enligt PUL är den personuppgiftsansvarige också skyldig att ersätta den registrerade för skada eller kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL har orsakat.30

6.5. Integritetskränkningar genom spridning av uppgifter m.m.

En av de frågor Integritetsskyddskommittén menar att man bör ställa är hur de eventuella integritetsförlusterna i en verksamhet förhåller sig till andra integritetsförluster. Innan jag går närmare in på

27Prop. 2012/13:163, s 13. 28 Socialstyrelsens föreskrifter och allmänna råd (SOSFS 2002:11) om biobanker i hälso- och sjukvården m.m. 4 kap. 3 §. 29 Hansson, MG., Where should we draw the line between quality of care and other ethical concerns related to medical registries and biobanks?, Theor Med Biotech (2012) 33:313-323. DOI 10.1007/s11017-012-9229-x.; Nilstun, T. och Hermerén, G., Human tissue samples and ethics – attitudes of the general public in Sweden to biobank research. Medicine, Health Care and Philosophy (2006) 9:81-86. DOI 10.1007/s11019-005-7984-4. 30 Se avsnitt 5.3.4.12-13.

frågorna kring integritet och registerforskning kan det därför finnas skäl att kort påminna om vissa andra företeelser i samhället.

Som framgått innebär sekretessreglerna en begränsning av offentlighetsprincipen. Men det finns uppgifter om enskilda som inte skyddas av sekretess. Det gäller till exempel uppgifter om tilltalade i domar från våra domstolar. Våren 2014 fick företaget Lexbase stor medial uppmärksamhet.31Företaget hade begärt ut ett stort antal domar och gjorde dem lätt tillgängliga på nätet. Många reagerade mot det sätt på vilket Lexbase spred uppgifter på nätet och inom en dryg vecka hade närmare 250 anmälningar inkommit till Justitiekanslern.32 Justitiekanslern har emellertid inte funnit skäl att väcka åtal. Datainspektionens generaldirektör konstaterade i en tidningsartikel att inspektionen inte hade möjligheter att ingripa eftersom Lexbase hade grundlagsskydd genom ett så kallat frivilligt utgivningsbevis.33 På webbsidan annonseras att ”med Lexbase sökverktyg undersöker du huruvida en person eller ett företag förekommer i databasen, det vill säga om personen eller företaget varit inblandat i brottsmål eller tvistemål”.34 Och Lexbase är inte unikt. Det finns andra databaser som tillhandahåller en liknande service (Infotorg Juridik, Lex Press, Norstedts Juridik, JP Infonet).35

Det finns en lång rad företeelser i samhället som på olika sätt kan hota den personliga integriteten. Aktiviteter på Internet – e-post, surfning eller fildelning – registreras på olika ställen, till övervägande del helt utanför den enskildes kontroll. Oskyddad kommunikation kan inte bara avlyssnas, den kan också sparas vid så kallade noder som passeras på vägen. Den som publicerar något på Internet eller oskyddat kommunicerar över nätet, avhänder sig i viss mån kontrollen över informationen. Användarnas utnyttjande av sökmotorer på Internet ger samtidigt kunskap om vad de intresserar sig för, något som utnyttjas inom bland annat reklambranschen. Lagrade trafikdata från nätet gör det möjligt att rekonstruera kommunikationsvägar och kartlägga kommunikationsmönster. De kan i vissa fall användas för att kontrollera vem som har kommunicerat med vem och på vilket sätt. Även system som kartlägger rent fysiska kommunikationer tilldrar sig allt större intresse från trafikföretag, arbets-

31 Skriverierna började i Dagens Nyheter 2014-01-27 med artikeln ”Grannens domar kan läsas på nätet”. 32 ”Svårt för JK att väcka åtal mot Lexbase”, DN 2014-02-07. 33 Svahn Starrsjö, K. Grundlagen missbrukas och måste ändras snarast, Dagens Nyheter 2014-01-28. 34 Lexbase.se 35 Kindbom, M. Lexbase-stängning stoppar inte kränkningarna, SvD 2014-02-07.

givare, försäkringsbolag och statliga organ. Med utvecklad teknik är det möjligt att i detalj registrera fordons förflyttningar, förarens körstil och varjehanda händelser. Alla dessa data ger möjligheter till detaljerade kartläggningar av individernas kommunikation och förflyttningar, eventuellt också av vanor och personligheter. Det finns också en ökad efterfrågan på tjänster som på olika sätt tillåter användare av nättjänster att uppträda under falsk identitet eller anonymt.36Under anonymitetens täckmantel kan till exempel uppgifter om andra spridas. Många av de uppgifter om oss som samlas in förutsätter formellt samtycke, men de flesta torde vara omedvetna om att de har gett ett sådant, till exempel när ett abonnemang tecknas med en leverantör.

Vi riskerar ständigt att hamna på bild och få uppleva att bilderna sprids på nätet. Visserligen finns det många människor som alldeles frivilligt berättar på Facebook om varje steg de tar, men självfallet kan spridning av uppgifter av detta slag av många andra upplevas som integritetskränkande. I en opinionsundersökning som SCB 2006 gjorde på uppdrag av Integritetsskyddskommittén menade en stor majoritet att företag och privatpersoner kränkte andra människors integritet genom kartläggning av köpvanor, påträngande marknadsföring och smygfotografering.37

Att den tekniska utvecklingen rymmer stora risker för den personliga integriteten är naturligtvis inget argument för minskat integritetsskydd vid forskning. Men för att rätt kunna värdera de risker som kan vara förknippade med forskning är det viktigt att se dem i relation till utvecklingen i andra avseenden.

6.6. Registerbaserad forskning

Som framgår av utredningsdirektiven avses med registerbaserad forskning i detta sammanhang såväl sekundäranvändning av uppgifter som primärt samlats in för andra ändamål som användning av uppgifter och prover i en forskningsdatabas som har skapats för forskningsändamål. Uppgifter i myndighetsregister som har samlats in med primärt andra ändamål än forskning kan som jag tidigare har redovisat vara till stor nytta även i forskningen. Många forskningsfrågor kan genom användning av registeruppgifter belysas och analy-

36SOU 2007:22 Del I s. 67-71. 37SOU 2007:22, Del II bilaga.

seras med betydligt större säkerhet och till lägre kostnader än om andra metoder hade använts.38

Denna insikt kommer på olika sätt till uttryck också i lagstiftningen. I PUL konstateras visserligen att personuppgifter som samlats in för ett ändamål inte får användas för något ändamål som är oförenligt med detta, men samtidigt slås fast att behandling av uppgifterna för vetenskapliga ändamål inte anses som oförenligt med det ursprungliga ändamålet.39I OSL sägs att även uppgifter som omfattas av statistiksekretess (absolut sekretess) får lämnas ut för forskningsändamål om det står klart att det kan ske utan skada eller men för den enskilde.40I hälsodatalagen, som reglerar hälsodataregistren, i patientdatalagen, som reglerar kvalitetsregistren, och i biobankslagen, som reglerar biobankerna hos sjukvårdshuvudmännen, nämns också forskning som ett av de tänkta ändamålen med uppgifts- och provsamlingarna.

Alla uppgifter som en forskare kan behöva finns dock inte i register eller biobanker. Då tvingas de själva samla in de nödvändiga uppgifterna eller proverna. I regel måste det då ske från ett urval av den aktuella populationen. Deltagandet är i dessa fall alltid frivilligt. Ingen tvingas svara på frågor från eller lämna prover till en forskare.

De uppgifter som forskare samlar in, såväl från myndighetsregister som direkt från uppgiftslämnare, är delvis av känslig natur. I PUL pekas vissa kategorier av uppgifter ut som är känsliga. Men det är självklart att den enskilde kan uppleva även många andra uppgifter som lika känsliga, till exempel om vilka resultat de har uppnått i skolan.41 Samtidigt låter sig många samhälls- och individuella processer, till exempel utvecklingen av hälsa, endast förstås om det är möjligt att observera och analysera uppgifter på individnivå. För att kunna förstå hur förhållanden vid en tidpunkt påverkar villkoren senare i livet är det nödvändigt att kunna koppla samman uppgifter om enskilda individer från olika tidsperioder i deras liv.42

38 Se kap 4. 39 Se avsnitt 5.3.4.6. 40 Se avsnitt 5.6.3.5. 41 Hälsodata anses också av människor i allmänhet som känsliga enligt den opinionsundersökning som SCB gjorde på uppdrag av Integritetsskyddskommittén. Nästan 60 procent av de svarande instämde i detta. Enligt PUL är också fackföreningstillhörighet en känslig uppgift. Här har dock de svarande en helt annan värdering. Endast 11 procent ansåg att det var en mycket känslig uppgift medan 70 procent ansåg att den inte var särskilt känslig eller inte alls känslig. En uppgift som enligt PUL inte är känslig är betygen i skolan. Det ansåg dock nästan 40 procent av de svarande vara en känslig uppgift. Majoriteten tyckte dock inte att det var särskilt känsligt. SOU 2007:22 Del II bilaga. 42 Erikson, R. och Andersson-Rydell, L., Nationell samordning av frågeundersökningar och längdsnittsstudier. Vetenskapsrådet 2014.

Ibland ställs forskares intresse av data mot individernas intresse av att skydda sin integritet. Men forskarnas och individernas intressen kan också i hög grad sammanfalla. Att förstå mer om sjukdomars uppkomst och utveckling, och att kunna hitta medel som kan lindra eller bota, ligger självfallet inte främst i forskarnas intresse, utan i hela samhällets och de enskilda människornas. Det gäller dem som redan har drabbats av sjukdomar – det är ingen tillfällighet att patientorganisationer ofta är varma anhängare av forskning och också av användningen av känsliga hälsodata43 – men också alla andra eftersom ingen av oss vet vem som i framtiden kan komma att drabbas av olika sjukdomar och behöva hjälp. Att forskningen ska kunna bidra till att utveckla hälso- och sjukvården är dessutom inte bara en framtidsdröm, det har i mycket hög grad redan skett och sker varje dag.

De flesta vill, den dag behovet finns, kunna få del av medicinska framsteg. Man kan således konstatera att det här möjligen kan råda en konflikt, eller i varje fall en spänning, mellan individers olika önskningar, att få del av medicinska framsteg och att skydda integritetskänsliga uppgifter. Jag menar att det ligger i allas intresse att forskningen underlättas och det kan till och med ses som en moralisk förpliktelse att bidra till det, i synnerhet om bidraget är förenat med en mycket ringa personlig uppoffring eller risk, till exempel när det endast handlar om återanvändning av uppgifter eller prover som redan har samlats in. Sambandet är tydligt på det medicinska området, men samma sak gäller för forskning som syftar till ökad förståelse för samhällsutvecklingen i stort och vilka interventioner som eventuellt kan bidra till människors ökade välfärd.

6.7. Risker med myndighetsregister

Integritetsskyddskommittén menade att man i en utredning bör ställa sig frågor om vilken art av integritetsförluster som kan uppkomma, hur stor risken är att medborgare kan råka ut för integritetsförluster och vilken omfattning eventuella skador kan väntas medföra. Jag ska i detta och nästa avsnitt diskutera detta, i detta när det gäller behandling av personuppgifter hos myndigheter och i nästa när det gäller behandling av personuppgifter vid registerbaserad forskning.

43 Det tar sig konkret uttryck i att många patientorganisationer har egna forskningsfonder för att finansiera främst medicinsk forskning.

De personuppgifter som myndigheter samlar in syftar ofta till att få en tydlig bild av befolkningen, till exempel genom den personuppgiftsdatabas som jag tidigare har redovisat, men i många fall används de också som underlag för myndighetsutövning, det vill säga som grund för beslut som berör enskilda. Exempelvis kan Skatteverket avgöra vilka yrkanden i självdeklarationen från enskilda som ska godkännas och inte, vilken den beskattningsbara inkomsten och den pensionsgrundande inkomsten är och hur mycket skatt som ska betalas. Försäkringskassan kan besluta om rätten till förmåner och hur stora de ska vara. Mycket i myndighetsutövningen följer naturligtvis entydiga regler, men i vissa fall blir det också fråga om bedömningar. Exempelvis måste Försäkringskassan bedöma vilka individer med allvarliga funktionsnedsättningar som har respektive inte har rätt till personlig assistans. För att kunna besluta om det måste de ha tillgång en rad känsliga personuppgifter om enskilda.44

Av den allmänna debatten framgår att det finns många som känner obehag inför myndigheters potentiella användning av känsliga personuppgifter för att i ett eller annat avseende ”komma åt” enskilda. ”Storebror ser dig” och ”övervakningssamhället” är metaforer som har använts.45Integritetsskyddskommitténs ordförande Olle Abrahamsson gav i en rapport till utredningen en rad exempel på detta från de senaste decenniernas samhällsdebatt.46I den tidigare nämnda opinionsundersökningen som gjordes på uppdrag av Integritetsskyddskommittén ansåg närmare 60 procent att det kan vara kränkande redan att insamlande myndigheters personal kan ta del av uppgifterna. Men samtidigt upplever den stora majoriteten att svenska myndigheter uppträder korrekt. 85 procent uppgav att de aldrig upplevt att deras eller deras familjers integritet har blivit kränkt av något beslut som en myndighet har fattat. Nio procent uppgav dock att det har hänt en gång och sex procent att det har hänt flera gånger. Vari kränkningarna bestod framgår inte av undersökningen.47

Den största risken som människor upplever är dock att information om den enskilde ska komma ut från myndigheten och hamna i ”orätta händer”, hos individer som kan utsätta den enskilde för miss-

44 Försäkringskassans formulär som ska fyllas i vid ansökan om assistansersättning är ungefär 40 sidor där en rad personliga uppgifter ska lämnas. Det handlar om en mycket detaljerad kartläggning av den enskilde. 45 Uttrycket ”Storebror ser dig” har sitt ursprung i George Orwells välkända roman 1984. Övervakningssamhället finns med i till exempel Kristoffer Gunnartz bok ”Välkommen till övervakningssamhället” från 2007 och Pär Ströms ”Vadå privatliv? – Om det framväxande övervakningssamhället” från 2013. 46 Abrahamsson, O., Integritetsskyddet i samhällsdebatten, Appendix till SOU 2007:22. 47SOU 2007:22 Del II bilaga.

aktning på grund av hennes personliga förhållanden. I opinionsundersökningen var det inte mer än 10 procent som ansåg att myndigheterna samlar in för mycket uppgifter. (Det var faktiskt något fler som ansåg att de samlar in för lite uppgifter!) Majoriteten ansåg inte att insamlingen av uppgifter i sig var något problem, men tre av fyra upplevde att risken för läckage var det. Den risken motiverar starkt fokus på sekretess och tekniska åtgärder för att skydda uppgifterna.

Vilka de ”orätta händerna” är kan naturligtvis variera. En risk som ibland nämns i debatten är att en främmande ockupationsmakt skulle kunna komma över uppgifter och använda dem mot enskilda. Den risken kan naturligtvis inte uteslutas och får beaktas i strategin för hanteringen av personregister på myndigheter, till exempel under vilka förhållanden registren ska förstöras.

Vad som kan hända under mer normala omständigheter är till exempel att uppgifter om sjukdomshistoria eller genetiska anlag kommer i händerna på en arbetsgivare eller ett försäkringsbolag. Det skulle kunna leda till missgynnande beslut för den enskilde vid en anställning eller när en försäkring ska tecknas.48 Det kan också tänkas att illasinnade personer bara vill sprida en ofördelaktig bild av någon och därför lägger ut känsliga uppgifter på nätet. Att det finns individer som gör sådant har vi i dag omfattande erfarenheter av. Det sker i betydande omfattning och utan tillgång till sådana känsliga uppgifter som kan finnas i myndighetsregister. Uppgifter om enskilda som är tillgängliga på andra sätt sprids varje dag över nätet. Att det där naturligtvis också sprids uppgifter som är rena falsarier kan vi i detta sammanhang bortse från.

6.8. Risker vid registerbaserad forskning

Vilka risker för integriteten kan det då innebära att forskare får tillgång till personuppgifter från myndighetsregister?

Först kan slås fast att forskare naturligtvis inte har några som helst möjligheter till myndighetsutövning mot enskilda. Forskare kan inte rikta några krav mot enskilda. Mot hänsyn till det är det från integritetssynpunkt färre typer av risker som blir aktuella vid behandling av personuppgifter i forskning. Den risk som främst finns

48 Enligt lagen (2006:351) om genetisk integritet m.m. är det visserligen förbjudet för ett försäkringsbolag att i normalfall använda genetisk information, men det går inte att förneka att risken ändå finns att det skulle kunna beaktas.

är att någon obehörig, av misstag eller slarv kommer över uppgifter och missbrukar dessa, eller att forskaren själv gör det.

De uppgifter som forskaren kan vara intresserad av är ofta känsliga och hos myndigheterna ofta skyddade av sekretess, i många fall absolut sekretess.

Absolut sekretess gäller, som tidigare har redovisats, för uppgifter som samlats in för statistiska ändamål. Skälen för absolut sekretess för uppgifter som samlats in för statistiska ändamål är tre. Det första är att offentlighetsintresset för sådana uppgifter anses väga lätt. Det andra är att man bedömer att en sammanställning av i och för sig harmlösa uppgifter ibland kan vara integritetskänslig. Och det tredje, och kanske viktigaste, är att den enskilde uppgiftslämnaren ska vara säker på att hans uppgifter inte kommer ut. Detta skäl väger särskilt tungt när det gäller uppgifter som samlas in för statistiska ändamål direkt från enskilda. I dessa fall är man beroende av höga svarsfrekvenser för att resultaten ska bli tillförlitliga och det är därför viktigt att de tillfrågade inte tvekar att svara av rädsla för att uppgifterna ska komma ut.49

Som tidigare har framgått kan emellertid personuppgifter som har insamlats för statistiska ändamål under vissa villkor lämnas ut till forskare. När så sker från registerhållande myndigheter till ett statligt universitet eller en statlig högskola följer sekretessen automatiskt med.50Det har inte heller, så vitt jag har kunnat utröna, förekommit att känsliga uppgifter läckt ut från forskningsmiljöer. Man kan fråga sig vad det kan bero på. Det finns flera tänkbara skäl, som dessutom mycket väl kan samverka.

Det viktigaste är kanske just att uppgifterna även i forskningsmiljön är sekretessbelagda och att det är straffbart att sprida dem.

Till det kommer att forskare inte primärt är intresserade av individer utan av mönster i populationer. De vet dessutom att om något skulle läcka ut så bränner de sina skepp som forskare. Incitamenten talar alltså emot att forskare avsiktligt skulle läcka uppgifter och för att de anstränger sig för att de och dem de omger sig med ska leva upp till sekretessbestämmelserna.

Eventuella läckor skulle naturligtvis drabba den enskilda forskare som är ansvarig, men riskerar också att missgynna dennes kollegor och det lärosäte där vederbörande är anställd. Det är ytterst lärosätena, forskningshuvudmännen, som är ansvariga för behandlingen

49 Se avsnitt 5.6.3.5. 50 Sekretessen följer med om det inte hos den mottagande myndigheten finns en primär sekretess som tar över. Vid utlämnande till enskilda gäller särskilda förbehåll. Se avsnitt 5.6.3.6.

av personuppgifter. Universiteten och högskolorna lägger därför i regel stor vikt vid att hantera personuppgifter på ett säkert sätt. Det kan dock i vissa fall finnas brister i hanteringen som motiverar ytterligare åtgärder för att stärka datasäkerheten vid universitet och högskolor.

Forskare får dessutom i flertalet fall endast ut anonymiserade uppgifter från myndigheter. Den risk som återstår när anonymiserade uppgifter lämnas ut, oavsett om uppgifterna är avidentifierade eller kodade, är bakvägsidentifiering. Det innebär att man med hjälp av ett antal uppgifter om en individ kan lista ut vem det är. Även med tillgång till ganska få variabler, om det är ”rätt” variabler, till exempel kön, födelseland och yrkestillhörighet, är det inte alltför komplicerat att identifiera åtminstone några individer i en population. I vissa ”celler”, där alltså sådana variabler har kombinerats, kan det finnas bara en eller ett fåtal individer, till exempel en cell som består av kvinnliga advokater födda i Somalia. För det stora flertalet observationer är det naturligtvis mer komplicerat än så, men man kan likväl inte blunda för denna risk. Möjligheterna till bakvägsidentifiering tycks dessutom öka med den tekniska utvecklingen. Det finns exempel på hur man genom så kallad data mining har kunnat sambearbeta anonyma uppgifter från olika publika register, upprättade och tillgängliggjorda av privata aktörer, och återidentifiera individerna.51

Det kan också finnas en risk att i ett totalregister med hjälp av några harmlösa variabler identifiera en person som är känd. Om det i registret också finns känsliga uppgifter kan de knytas till denna person, till exempel uppgifter om sjukdomar.

Riskerna vid utlämnande av uppgifter till forskning har i olika sammanhang överhuvudtaget bedömts som små. I propositionen om den tidigare sekretesslagen konstaterades att man i allmänhet bör kunna lämna ut uppgifter till forskning utan risk för att skada eller men uppkommer.52Frågan har också varit föremål för rättslig prövning varvid risken bedömts som mycket liten.53 Detsamma gäller i vissa ärenden som har överprövats av regeringen.54 Etikprövnings-

51 Porter, C.C., De-identified Data and Third Party Data mining: the Risk of Reidentification of Personal Information, 5 Shidler J.L. Com. & Tech. 3 (Sep 23, 2008) 52Prop. 1979/80:2 Del A s. 84. 53SOU 2007:22 Del 1 s. 360; RÅ 1988 ref. 103, RÅ 1994 not. 732, RÅ 1996 not. 124. 54 Regeringsbeslut 2010-11-25 Dnr S2009/10484/HS; Regeringsbeslut 2012-04-26 Dnr Fi2011/2648.

nämnderna värderar i sina överväganden normalt risken som mycket låg, särskilt vid utlämnande av anonymiserade uppgifter.55

Det kan också konstateras att den som vill komma åt uppgifter om någon specifik individ betydligt enklare kan hitta sådana i andra, mer lättillgängliga informationskällor, än forskningsregister, särskilt om det dessutom kräver bakvägsidentifiering i ett stort datamaterial.

Sammantaget är det min bedömning att riskerna för den personliga integriteten är mindre vid behandling av personuppgifter i forskning än hos registerförande myndigheter. Ett skäl är att forskare för det mesta behandlar anonymiserade uppgifter och ett annat att de inte har någon möjlighet till myndighetsutövning mot enskilda. Samtidigt kan sägas att all spridning av uppgifter utanför myndigheterna innebär att den samlade risken ökar något.

Allt detta innebär att forskare, liksom statistikansvariga myndigheter, alltid måste vara vaksamma när de presenterar sina resultat så att individers integritet skyddas. Det finns olika regler som måste följas för att minimera sådana röjanderisker.56

Det finns i detta sammanhang skäl att kommentera den så kallade Metropolitundersökningen som i mitten av 1980-talet fick mycket uppmärksamhet. Abrahamsson kallar den i sin genomgång av integritetsskyddet i samhällsdebatten till och med för ”Metropolitskandalen” och det ordet återkommer i en artikel i Datainspektionens tidning Integritet i fokus i slutet av 2013 där man dessutom hävdar: ”Tusentals granskade i hemlighet”.57Metropolit var ett forskningsprojekt som i mitten av 1960-talet initierades av sociologiska institutionen vid Stockholms universitet. Avsikten var att under livet följa en årgång av individer, alla som bodde i Stockholm 1963 och som var födda 1953. Totalt handlade det om drygt 15 000 individer. Projektet och dess databas kallas numera Stockholm Birth Cohort, men alla uppgifter är sedan lång tid tillbaka avidentifierade.

Tanken var att med jämna mellanrum samla in uppgifter direkt från de berörda personerna och deras anhöriga, men också att komplettera med uppgifter från register. Syftet var att undersöka hur social och socioekonomisk bakgrund påverkade människors välstånd över tid. Naturligtvis var man i förlängningen intresserad av vilka interventioner som kunde göras för att stärka individer med ett svagt utgångsläge. Undersökningen var förankrad hos myndigheter och organisationer, till exempel Hem och Skola, som ansågs

55 Samtal med CEPN:s vetenskaplige sekreterare Peter Höglund 2014-02-04. 56 Se t.ex. SCB, Handbok i statistisk röjandekontroll av tabeller, 2010-01-29. 57 Integritet i fokus, nr 3-4 2013, Datainspektionen.

representera även de föräldrar vars barn skulle följas. När Datainspektionen inrättades 1973 fick forskarna medgivande från myndigheten att bedriva sin forskning.58

I den kritik som riktades mot projektet hävdades således att det hade försiggått i hemlighet och berört de inblandade mycket illa. Med perspektiv på debatten anser jag att man kan konstatera att reaktionerna var starkt överdrivna och till stor del frampiskade av medierna. Projektet var ingalunda hemligt utan väl förankrat hos myndigheter och intresseföreträdare. Något läckage av uppgifter hade inte förekommit. Däremot var beredskapen hos universitetet att i enlighet med datalagen lämna ut registerutdrag till de berörda individerna otillräcklig.

Det är inte svårt att se goda skäl för att göra det slag av longitudinella studier som Metropolit representerade, där individer följs över tid för att man ska kunna bedöma vad olika uppväxtförhållanden, utbildningar et cetera betyder. Vetenskapsrådet (VR) har bedömt att projektet och dess data än i dag är av stort värde för hälso- och välfärdsforskningen. Det kan också noteras att man i ett systerprojekt i Köpenhamn har kunnat behålla individkopplingen och därmed följa individerna under längre tid. I en uppföljande enkät för några år sedan fick man en svarsfrekvens på cirka 70 procent vilket i sammanhanget är mycket högt.

En lärdom från Metropolitprojektet är dock att det är viktigt att ta de värderingar och den oro som finns hos allmänheten på allvar. Risken är annars att en viktig forskningsmetod stigmatiseras. Förutsättningarna för att driva ett projekt av detta slag är i dag också helt annorlunda än på 1960-talet. Nu krävs etiktillstånd för en sådan studie och det förutsätts att personer som intervjuas samtycker till att kompletterande uppgifter om dem ska kunna hämtas ur myndighetsregister (eller, om det inte har skett, att etikprövningsnämnden godkänner en sådan komplettering) och till att deras barn ska få besvara enkätfrågor.59

Registerbaserad forskning karaktäriseras av att forskarna använder stora mängder uppgifter för att söka samband. Det är ovanligt att de har kontakt ansikte mot ansikte med uppgiftslämnarna. Det kan emellertid förekomma att en del uppgifter samlas in av forskarna i direkt från forskningspersonerna. Inom kvalitativ forskning, som bygger på insamling av uppgifterna från få personer, är sådana kontakter det normala. Direktkontakter av detta slag kan kräva

58 Ibid. 59 Stenberg, S-Å., Född 1953. Folkhemsbarn i forskarfokus. Boréa. Finland 2013.

särskilda etiska överväganden för att forskaren ska kunna hantera oväntade situationer, till exempel om individen som approcheras reagerar negativt på de frågor som ställs eller om en intervju leder in på helt andra spår än forskaren har tänkt sig.60

6.9. Etisk prövning

Forskares användning av känsliga personuppgifter, liksom av biologiska prover, måste således numera alltid föregås av en etisk prövning enligt etikprövningslagen. Etikprövningsnämndens uppgift är enligt lagen att skydda den enskilda människan och respekten för människovärdet vid forskning.61

Att det finns sådana krav på etisk prövning för ett handlande är tämligen unikt för forskningen. I många andra sammanhang kan mer ingripande åtgärder vidtas utan i varje fall någon explicit etisk prövning. En forskare som vill ställa känsliga frågor till individer måste ha etiktillstånd, även om frågorna ställs efter informerat samtycke, medan journalister eller ett kommersiellt företag som samlar in liknande uppgifter inte behöver det. Forskaren måste ofta avidentifiera sina data, vilket ett kommersiellt företaget inte behöver göra. Vid medicinsk forskning krävs alltid etiktillstånd medan samma aktiviteter i klinisk verksamhet kan ske utan särskilt tillstånd. Vid militärtjänst kan personer utsättas för risker som inte skulle accepteras i forskningssammanhang. Ett forskningsprojekt som önskade mäta effekterna av minskad belysning på ett vägavsnitt skulle knappast få etiskt tillstånd, medan belysningen utan något tillstånd kan reduceras av till exempel budgetskäl.62

Jag har tidigare nämnt hur företaget Lexbase samlat in ett stort antal domar och gjort dem tillgängliga på nätet. Professor Elisabeth Rynning har i en artikel konstaterat att om en rättsvetenskaplig forskare vill utnyttja samma material i sin forskning krävs etiktillstånd för detta.63

Kraven på forskning är från etisk utgångspunkt alltså mycket strikta jämfört med praktiskt taget all annan verksamhet. Forsk-

60 Guillemin, M., Gillam, L. Ethics, Reflexivity, and ”Ethically Important Moments” in Research. Qualitative Inquiry 2004 10:261, http://qix.sagepub.com/content/10/2/261 61 Se avsnitt 5.5.1. 62 Hansson, S-O., Do we Need a Special Ethics for Research?, Sci Eng Ethics DOI 10.1007/s1 1948-009-9186-6. Springer 2009-11-26. 63 Rynning, E. Privatlivet och forskningen – en dyster lägesbeskrivning, SvJT 2009; Rynning, numera justitieråd i Högsta förvaltningsdomstolen, är i artikeln kritisk mot det krav som finns på etiktillstånd för rättsvetenskaplig forskning i sådana fall.

ningen har behov av en stark ställning hos och ett starkt förtroende från allmänheten. Därför är det rimligt att de etiska kraven är särskilt starka när det gäller forskningsverksamhet. Men det kan också finnas skäl att påminna om dessa långtgående krav när riskerna med forskning ska bedömas.

Effekterna av de krav som ställs bidrar sannolikt till det förtroende hos allmänheten som forskare och forskning åtnjuter. I en europeisk undersökning svarade 77 procent ja på frågan om man anser att inflytandet från forskning och teknisk utveckling är positivt för samhället. I Sverige var det hela 94 procent. I EU ansåg 82 procent att forskare vid universitet uppträder ansvarsfullt i meningen att de tar hänsyn till vilka effekter deras forskning har på samhället. I Sverige var siffran 91 procent. 66 procent i EU ansåg att forskning och teknisk utveckling bidrar till att göra våra liv enklare, bekvämare och mer hälsosamma. 77 procent av de tillfrågade svenskarna instämde.64 En liknande undersökning utförd år 2014 på uppdrag av föreningen Vetenskap & Allmänhet gav liknande resultat.65 Integritetsskyddskommittén framhåller att det är angeläget att lagstiftning, och man kan tillägga verksamheter i samhället, så långt möjligt bör återspegla medborgarnas uppfattning om vad som är rätt och fel. Dessa opinionssiffror visar, i varje på ett generellt plan, att medborgarna tycker det är rätt att satsa på forskning.

Det ska dock konstateras att de lagliga kraven på etisk prövning inte gäller all forskning utan endast sådan som innefattar vissa fysiska ingrepp på levande eller döda personer och behandling av känsliga personuppgifter (såsom de definieras i PUL), personuppgifter om lagöverträdelser som innefattar brott med mera och biologiska prover. De etikkommittéer som tidigare fanns vid universitetens medicinska fakulteter och vid Humanistisk-Samhällsvetenskapliga och Socialvetenskapliga forskningsråden behandlade i många fall forskning som i dag faller utanför etikprövningslagens gränser. Det finns dock en möjlighet för forskare att i sådana fall inhämta ett så kallat rådgivande yttrande från en etikprövningsnämnd. Denna kan då meddela att den inte ser några etiska hinder för att projektet ska genomföras, ge råd om forskningens genomförande eller ange villkor för en positiv bedömning. Nämnden har dock ingen skyldighet att avge sådana yttranden, bara en rätt att göra det. Det har mot den

64 Special Eurobarometer 401, Responsible Research and Innovation (RRI), Science and Technology, november 2013, ec.europa.eu/public_opinion/index_en.htm. 65 VA-barometern 2013/14. 89 procent uppgav sig ha ganska eller mycket stort förtroende för forskare vid universitet och högskolor.

bakgrunden föreslagits att det skulle införas en lagstadgad skyldighet för etikprövningsnämnderna att ge yttranden till dem som så önskar.66Jag ska senare återkomma till den frågan.67

6.10. Informerat samtycke

När uppgifter samlas in direkt från individer av forskare är deltagandet alltid frivilligt. Om det handlar om känsliga personuppgifter eller personuppgifter om lagöverträdelser sin innefattar brott med mera krävs dessutom etiktillstånd. Forskaren måste i etikansökan ange vilket ändamålet är med forskningen, men forskaren har också en skyldighet att informera uppgiftslämnarna (forskningspersonerna) om det är så att deras deltagande grundar sig på kunskaper om vad de medverkar i (informerat samtycke). När de frivilligt svarar på frågor eller lämnar prover är det närmast självklart att det sker med samtycke, och samtycket ska också vara informerat, det vill säga forskningspersonen ska veta hur uppgifter och prover ska användas för att kunna ta ställning till vad deltagandet innebär. Samtycket kan också inkludera att forskningspersonerna går med på att de uppgifter och prover de lämnar får kompletteras med uppgifter ur myndighetsregister.

Kravet på samtycke kan härledas ur principen om individers rätt till autonomi. Med det menas i detta sammanhang att hon så länge det inte inkräktar på någon annans rätt till självbestämmande bör ha rätt att bestämma över sitt liv. Man tänker sig att den autonoma individen agerar fritt i enlighet med sin egen livsplan. Respekten för hennes autonomi kräver att hon får möjlighet att själv fatta meningsfulla beslut. Tillgång till korrekt och begriplig information och avsaknad av påtryckningar är viktiga förutsättningar för det. Att inhämta ett informerat samtycke från blivande forskningspersoner kan ses som ett uttryck för respekt för deras autonomi.

Principen har i den så kallade Helsingforsdeklarationen68 med etiska riktlinjer för medicinsk forskning kommit till uttryck på följande sätt.

66 Vetenskapsrådet, God forskningssed Vetenskapsrådet rapportserie 1:2011 s. 50 och 60. 67 Se avsnitt 8.3.1 och avsnitt 9.1.2. 68 Se avsnitt 5.4.2.

Artikel 26 In medical research involving human subjects capable of giving informed consent, each potential subject must be adequately informed of the aims, methods, sources of funding, any possible conflicts of interest, institutional affiliations of the researcher, the anticipated benefits and potential risks of the study and the discomfort it may entail, poststudy provisions and any other relevant aspects of the study. The potential subject must be informed of the right to refuse to participate in the study or to withdraw consent to participate at any time without reprisal. Special attention should be given to the specific information needs of individual potential subjects as well as to the methods used to deliver the information.

After ensuring that the potential subject has understood the information, the physician or another appropriately qualified individual must then seek the potential subject’s freely-given informed consent, preferably in writing. If the consent cannot be expressed in writing, the non-written consent must be formally documented and witnessed.

All medical research subjects should be given the option of being informed about the general outcome and results of the study.

Artikel 32 For medical research using identifiable human material or data, such as research on material or data contained in biobanks or similar repositories, physicians must seek informed consent for its collection, storage and/or use. There may be exceptional situations where consent would be impossible or impracticable to obtain for such research. In such situations the research may be done only after consideration and approval of a research ethics committee.

En diskussion pågår sedan länge om vilken information som behövs för att ett samtycke ska vara informerat. Datainspektionen skriver på sin hemsida att ett samtycke måste vara särskilt och att ett generellt samtycke till behandling av personuppgifter inte kan godtas. Samtycket ska gälla behandling av personuppgifter för ett eller flera preciserade ändamål. Det är till exempel inte acceptabelt att samtycka till att hälsouppgifter får behandlas för ”allehanda framtida forskning”. För att samtycket ska var giltigt ska den registrerade ha fått ”tillräcklig information” om behandlingen av uppgifterna. Frågan är hur snävt forskningsändamålet måste definieras och hur mycket information som är tillräcklig.

Från en del håll menar man att ett brett samtycke till olika slags forskning inte kan vara informerat, eftersom individen inte får specifik information om all forskning som dennes uppgifter/prover kan komma att användas i. Ju bredare samtycket är, desto mindre informerat

blir det enligt detta synsätt.69Andra menar att ett samtycke kan vara informerat trots att informationen som ges är generell, om den täcker allt det som är tillräckligt för individens ställningstagande.70Från ett sådant perspektiv är mer information inte nödvändigtvis bättre. Denna fråga är central, eftersom användbarheten av sparade uppgifter/prover i hög grad påverkas av bredden på samtycket.

Det kan vid första anblicken tyckas självklart att människor alltid bör tillfrågas om exakt vad deras prover och data får användas till. Problemet med att be om förnyat samtycke varje gång en ny forskningsfråga dyker upp är att det kräver resurser i form av både tid och pengar. Även för individerna, som måste samtycka många gånger, kan ett sådant system vara krävande. Det kan till och med leda till att de avstår från att delta trots att de gärna skulle vilja medverka till den aktuella forskningen.

Någon opinionsundersökning som ställer precis de frågor som det förda resonemanget reser har jag inte funnit. SCB gjorde dock på uppdrag av Patientdatautredningen år 2005 en undersökning där vissa frågor ställdes. De handlade huvudsakligen om användning av uppgifter i patientjournaler, alltså identifierbara uppgifter. Ungefär två tredjedelar av de tillfrågade ansåg att uppgifterna skulle få användas för att förbättra kvaliteten i hälso- och sjukvården och till forskning. Var åttonde delade inte den uppfattningen. Men nästan hälften ansåg att patienter skulle ha möjlighet att förhindra att uppgifterna användes för sådana ändamål och drygt var fjärde att patienterna själva skulle få bestämma vilka uppgifter som skulle kunna användas.71

De regler som finns om informerat samtycke har sitt ursprung i reaktionen mot hur man i Nazityskland experimenterade på människor. Det motiverade krav på samtycke i medicinsk forskning.72Reglerna riktade ursprungligen in sig på vad som brukar kallas invasiv forskning. Det gäller till exempel den artikel 26 i Helsingforsdeklarationen som citerats ovan. Det är i sådana fall självklart att projektet och riskerna måste beskrivas noga för de potentiella försökspersonerna så att de är välinformerade även om detaljer när de tar ställning till sin medverkan. I artikel 32 understryks att insam-

69 Amason, V., Coding and consent: moral challenges of the database project in Iceland. Bioethics 2004: 18(1): 27-49. 70 Hansson, MG., Dillner, J., Bartram CR. Et al, Should donors be allowed to give broad consent to future biobank research? Lancet Oncol 2006; 7(3): 266-9. 71 Din patientjournal Enkätundersökning 2005. Uppdragsgivare: Patientdatautredningen. SCB. 72 Beauchamp, T.L., Childress, J.F., Principles of Biomedical Ethics. Oxford 2013. Sid 120.

ling av uppgifter/prover också förutsätter samtycke. För användning av redan insamlade uppgifter/prover måste det emellertid finnas en större öppenhet för att avstå från samtycke i varje enskilt fall och i stället luta sig mot godkännande i en etisk kommitté. Det förefaller inte orimligt att man i dessa fall redan vid insamlingen av uppgifterna/proverna ska kunna inhämta ett bredare samtycke från individerna, till exempel att de medger att deras uppgifter eller prover efter etikprövning får användas i framtida forskning inom ett ganska brett fält. Den så kallade Artikel 29-gruppen73 har i en Opinion från 2011 konstaterat: ”It should be sufficient in principle for data controllers to obtain consent only once for different operations if they fall within the reasonable expectations of the data subject.”74Det kan noteras att det samtycke som ges för användningen av vävnadsprover enligt biobankslagen är av detta ”breda” slag.75

Att acceptera att den enskilde ska kunna ge ett sådant brett samtycke kan också, för att knyta an till diskussionen om integritetens paradoxer, vara att visa respekt för dennes integritet och autonomi. Det kan som antytts inte uteslutas att enskilda kan uppleva det som krävande och rent av integritetskränkande att vid upprepade tillfällen behöva samtycka till att deras uppgifter/prover får användas för olika forskningsprojekt. Som har framgått måste varje enskilt forskningsprojekt som vill använda känsliga personuppgifter eller prover ha etiktillstånd från etikprövningsnämnden. Man kan således se det så att den enskilde som ger ett brett samtycke väljer att delegera den etiska prövningen i varje enskilt forskningsprojekt till etikprövningsnämnden.

Det bör också framhållas att samtycke i vissa situationer är ogörligt. Det kan handla om uttag av uppgifter om ett mycket stort antal individer där det inte är rimligt att begära att alla personer ska kontaktas. I de fall det är fråga om anonymiserade personuppgifter är det inte heller möjligt för forskare att kontakta personerna. I Helsingforsdeklarationen artikel 32 öppnas för sådana situationer och också i svensk lagstiftning har de beaktats. Enligt 10 § PUL får uppgifter behandlas om den enskilde har lämnat sitt samtycke eller om behandlingen är nödvändig för att exempelvis en arbetsuppgift av allmänt intresse ska kunna utföras. Forskning kan vara ett exempel på en sådan arbetsuppgift. Om det handlar om känsliga person-

73 Se avsnitt 5.3.4.6. 74 Article 29 Data Protection Working Party, Opinion 15/2011 on the definition of consent, Adopted on 13 July 2011, http://ec.europa.eu/justice/data-protection/index_en.htm 75 Biobankslagen, 3 kap 1 §

uppgifter i PUL:s mening (§ 13) krävs enligt 19 § PUL etikgodkännande. Etikprövningsnämnden har i sitt beslut att bedöma huruvida samtycke krävs eller inte. Vid uttag av omfattande registeruppgifter, särskilt i anonymiserad form, är praxis att inte begära att samtycke inhämtas.76

Lagstiftaren har således beaktat situationer där inhämtande av ett aktivt samtycke för ett konkret forskningsprojekt i praktiken är ogörligt. Utgångspunkten är då att uppgifterna redan är insamlade och finns i ett myndighetsregister eller en biobank. Det är inte lika tydligt hur lagstiftaren ställer sig vid insamling av uppgifter för forskningsändamål och där syftet är att uppgifterna ska kunna användas till flera olika, i dag okända forskningsprojekt. En av Datainspektionens invändningar mot det så kallade LifeGene-projektet vid Karolinska Institutet var att man ansåg att forskningspersonerna inte kunde ge ett informerat samtycke när de lämnade sina prover och uppgifter eftersom de inte kunde få kunskap om i vilka konkreta forskningsprojekt dessa skulle komma att användas. Den tolkningen av lagstiftningen blir enligt min mening orimligt restriktiv. Den skulle i praktiken göra det omöjligt att samla in uppgifter från ett stort antal individer om man inte redan vid insamlingen vet vilka forskningsfrågor som man i framtiden vill analysera. En beslutskompetent vuxen person måste således ha möjlighet att lämna uppgifter på grundval av informationen att de ska användas till forskning inom ett ganska brett fält utan att veta exakt vilka forskningsfrågor som kommer att ställas.

Även om forskare således inte alltid kan inhämta samtycke för varje forskningsprojekt finns goda möjligheter att informera om dessa på annat sätt. En metod är att annonsera om planerade projekt och därvid upplysa individer om att de har möjlighet att anmäla att de inte vill att deras uppgifter ska användas i projektet. Sådana krav ställs ibland i samband med att etiktillstånd ges. Sådana annonser blir dock lätt en form av skeninformation. Det är tillfälligheter som avgör om de berörda individerna läser annonsen. Det är inte heller alltid helt enkelt att avgöra hur det praktiskt ska gå till om någon önskar dra sig ur, särskilt inte om det sker när uppgifterna överlämnats till forskaren i anonymiserad form. Forskaren vet då inte om den person som anmäler att han eller hon inte vill ha sina uppgifter med i forskningen överhuvudtaget finns med i det urval som forskaren har fått tillgång till. Utlämnande myndighet kan bedöma att det är

76 Se avsnitt 8.3.1.

olämpligt att efter att ha lämnat ut anonymiserade uppgifter ta tillbaka vissa uppgifter. Forskaren får då kännedom om vilka uppgifter som är kopplade till just den individ som inte vill vara med. Min bedömning är att det finns vägande invändningar mot detta slags annonsförfarande.

Däremot finns det starka skäl att forskare ska visa öppenhet med sin forskning. I vissa fall har etikprövningsnämnden bedömt att det bästa sättet att informera är att på nätet öppet berätta om forskningen och de uppgiftssamlingar den baseras på. På det sättet kan den som är intresserad skaffa sig djupare kunskaper om vad som pågår och eventuellt själv kontakta forskare för fördjupad information.

6.11. Rätten att dra tillbaka ett samtycke

I dag gäller att i de fall uppgiftslämnandet är frivilligt kan den enskilde också dra sig ur om han eller hon omvärderar sin medverkan. Den praktiska erfarenheten är att få gör det. Av allt att döma handlar det, när det gäller kvalitetsregister och biobanker, om delar av promillen.77I förtroendeskapande syfte är det ändå rimligt att en sådan möjlighet finns. Under normala förhållanden är priset som sagt lågt. Men det har i diskussionen kring denna möjlighet ändå rests ett varningens finger. Vad händer om ett stort antal personer efter spekulativa skandalskriverier väljer att dra sig ur till exempel en biobank? En bank som har byggts upp under åratal och som är viktig för forskningen och därmed för hälso- och sjukvårdens utveckling kan på kort tid ruineras. Är det acceptabelt? En tanke som mot denna bakgrund har väckts är att man skulle kombinera rätten att dra sig ur med en obligatorisk betänketid. Det är naturligtvis inget absolut hinder mot att detta skulle kunna inträffa men det skulle hindra att det sker i panik.78

Det bör också uppmärksammas att ett tillbakadragande kan ha olika innebörd. Det kan innebära att individen i fråga inte vill bli kontaktad mer men att uppgifter som finns tillgängliga får användas i forskning, att uppgifterna får användas i forskning men bara i anonymiserad eller till och med avidentifierad form, att uppgifterna

77 Johansson, I., Hansson, MG., Eriksson, S., Helgesson, G., Patient’s refusal to censent to storage and use of samples in Swedish biobanks: cross-sectional study. British Medical Journal, 2008; 337: p.a345-a345. 78 Hug, K., Hermerén, G. och Johansson, M., Withdrawal from Biobank research: Considerations and the Way Forward, Stem Cell Rev and Rep (2012) 8:1056-1065, DOI 10.1007/s12015-012-9399-y.

får användas för vissa forskningsändamål men inte för andra, eller att de över huvud taget inte får användas i forskning.79

6.12. RF och sekundäranvändning av uppgifter/prover

Som redovisats trädde nya regler i RF i kraft den 1 januari 2011. Var och en är enligt 2 kap. 6 § gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Mot bakgrund av den nya lydelsen pågår nu en översyn av vilka registerförfattningar som för närvarande är beslutade av regeringen och som kan behöva regleras genom lag. Övergångsbestämmelser gäller fram till den 31 december 2015. Frågan är vilken betydelse den nya bestämmelsen har för användning av uppgifter/prover i forskningen.

Integritetsskyddet i RF tar sikte på sådana åtgärder som sker utan samtycke. I de fall forskare samlar in uppgifterna/proverna direkt från enskilda sker det med samtycke och dessa uppgifter berörs därför i princip inte av grundlagsändringen. Om det handlar om att använda uppgifter som samlats in av forskare för andra ändamål än dem som ursprungligen angetts kan frågeställningen dock bli likartad den som diskuteras i det följande.

Grundlagsändringen utgick ifrån Integritetsskyddskommitténs förslag. Kommittén hade pekat på att man i olika lagstiftningsärenden bristfälligt hade redovisat vilka avvägningar som hade gjorts mellan motstående intressen och att särskilt de negativa effekterna av olika integritetsbegränsande åtgärder hade blivit knapphändigt belysta. En följd av grundlagsändringen är att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid en sådan proportionalitetsbedömning. En fråga är vad som ska förstås med betydande intrång. Regeringen diskuterar i propositionen om grundlagsändringen hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring, bearbetning eller utlämnande av uppgifter. Man framhåller att ju känsligare uppgifterna är och ju fler uppgifter som samlas, desto mer ingripande måste hanteringen anses vara. Samtidigt framhålls det att stor vikt också måste läggas vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan således normalt anses var mer känslig än till exempel en hantering som uteslutande sker för att ge en myn-

79 Ibid.

dighet underlag för förbättringar av kvaliteten i handläggningen. Vid utlämnande av uppgifter är en viktig omständighet dessutom på vilket sätt och för vilka syften mottagaren hanterar uppgifterna.

Regeringen erinrar i sammanhanget om att konstitutionsutskottet i flera lagstiftningsärenden om myndigheters personuppgiftsbehandling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen har också uttalat att behovet av lagstiftning är särskilt stort om uppgifterna sprids externt. Regeringen konstaterar att det är förenat med svårigheter att peka ut vilka specifika företeelser som är av sådant slag att de innebär betydande intrång i integriteten. I sista hand är det riksdagen som får avgöra vilka företeelser som är av så ingripande karaktär att de kan genomföras bara med stöd av lag.80

Frågan är nu hur man ska se på sekundäranvändning av personuppgifter i forskning, främst uppgifter som skyddas av sekretess och som är känsliga enligt PUL:s definition. Användningen av känsliga personuppgifter föregås, som framgått, av ett särskilt förfarande. Den kräver etiktillstånd. Beslut om utlämnande av personuppgifter föregås av prövning enligt OSL. Etikprövningsnämnden godkänner årligen hundratals forskningsprojekt som innebär återanvändning av känsliga personuppgifter och myndigheterna lämnar ut uppgifter till forskare avseende än fler forskningsprojekt. Detta förfarande infördes emellertid innan den här diskuterade grundlagsändringen gjordes. Det finns därför skäl att överväga om utlämnande till forskning av personuppgifter som skyddas av sekretess är förenligt med den nya grundlagsbestämmelsen.

När uppgifterna, särskilt känsliga uppgifter, samlas in och behandlas hos myndigheter kan det uppfattas som ett betydande intrång i den personliga integriteten och oavsett syftet kan effekten bedömas vara övervakning och framförallt kartläggning. Det är därför sådan behandling av personuppgifter hos myndigheter alltid kräver lagstöd. I särskilda registerförfattningar anges för vilket ändamål uppgifter får samlas in och i övrigt behandlas. De får sedan inte behandlas för andra ändamål som är oförenliga med detta. Vetenskapliga, statistiska och historiska ändamål är dock, som vi har sett, inte oförenliga med det ursprungliga ändamålet. Jag menar därför att behandlingen av uppgifterna i forskning ytterst har rättsligt stöd i de registerförfattningar som ger grund för behandlingen av uppgifterna hos myn-

80Prop. 2009/10:80 s. 171–185.

digheten. Forskningens utnyttjande av personuppgifterna syftar i än lägre grad än myndigheternas till någon övervakning eller kartläggning av den enskildes personliga förhållanden. Som framhållits tidigare är syftet med särskilt registerbaserad forskning inte kartläggning av individer utan av mönster i en population. Det är således rimligt att generellt betrakta sekundäranvändning av uppgifter som har samlats in med stöd av lag som fullt grundlagsenlig.

Det förhållandet att bland annat forskning allmänt sett inte anses vara oförenlig med de ändamål för vilka uppgifterna i myndighetsregister samlats in innebär dock inte att det gäller vilken forskning som helst. Det måste naturligtvis ställas krav på forskningen i fråga. Behandlingen av uppgifter inom forskningen måste följa lagen. När det gäller behandling av känsliga personuppgifter måste forskningen, som har framgått, föregås av etikprövning. Forskningen kan etikgodkännas bara om det inte finns andra metoder att svara på forskningsfrågorna som är mindre ingripande för individen.

Nästa fråga blir om det finns skäl att se annorlunda på uppgiftssamlingar där forskning är det primära ändamålet och som är avsedda att vara en infrastruktur för olika forskningsprojekt, det vill säga vad jag i denna utredning kallar forskningsdatabaser. Sådana uppgiftssamlingar kan, med undantag för biobanker, enligt gällande lagstiftning inte godkännas av etikprövningsnämnden. Det som skiljer dessa från uppgiftssamlingar, som kan godkännas, är inte i första hand uppgiftssamlingarnas karaktär – uppgiftskällorna är desamma, det vill säga myndighetsregister eller forskningspersonerna själva – utan just att uppgifterna ska kunna användas i flera framtida forskningsprojekt, vars exakta innehåll i dag är okänt.

Det är naturligt att varje sådan forskningsdatabas har ett ändamål som är beskrivet i mer allmänna termer än ett konkret forskningsprojekt – den ska ju tillhandahålla underlag för flera olika projekt – till exempel att uppgifterna ska användas för att studera effekter av arbetsmarknads- och utbildningspolitiken, sambandet mellan arv, miljö och sjukdomar eller utbildningens effekter på individers framtida välfärd. Inom dessa vida ramar kan det bli aktuellt med en rad olika vetenskapliga frågeställningar, även inom olika discipliner.

Datainspektionen har ställt sig tveksam till om sådana uppgiftssamlingar överhuvudtaget ska få skapas, främst på grund av svårigheterna för forskningspersonerna att ge ett informerat samtycke när de konkreta forskningprojekten inte är kända. Riksdag och regering har emellertid i några fall beslutat om uppbyggnad av sådana forskningsdatabaser eller att det ska vara tillåtet att skapa sådana. De torde

härvidlag ha gjort en mer allmän bedömning av värdet av forskning inom de aktuella områdena och menat att riskerna för integritetskränkningar på grund av uppgiftssamlingarna är små. Det bör än en gång understrykas att varje enskilt forskningsprojekt som vill behandla känsliga uppgifter som hämtas från sådana forskningsdatabaser måste ha etiktillstånd. Jag ska senare återkomma till förutsättningarna för att bygga denna typ av forskningsdatabaser och kommer då att föreslå att allt utlämnande av uppgifter från databaserna ska föregås av etikprövning.81 Här ska dock endast diskuteras hur skapandet av sådana databaser kan tänkas förhålla sig till bestämmelserna i 2 kap. 6 § RF.

Som har framgått bedöms i regel de risker som är förenade med sekundäranvändning av registeruppgifter i forskningen som små. Frågan är om det kan innebära någon förhöjd risk för den personliga integriteten när uppgifter samlas i en forskningsdatabas för framtida forskning. För sådana uppgiftssamlingar gäller ofta att uppgifter om fler individer och fler uppgifter om varje individ samlas än för ett enskilt forskningsprojekt och dessutom att de bevaras under längre tid. Det måste dock framhållas att det finns enskilda forskningsprojekt som har bägge dessa kännetecken, det vill säga både många uppgifter och att uppgifterna bevaras under lång tid.

Forskningsdatabaser kan vanligen antas innehålla ett stort antal uppgifter om enskilda, i många fall också känsliga personuppgifter. Det har i förarbetena till lagen om den officiella statistiken konstaterats att en sammanställning även av var för sig harmlösa uppgifter kan innebära en ökad risk för integritetsintrång. Detta gäller till exempel när uppgifter samlas in för officiell statistik. Den slutsats som lagstiftaren har dragit är emellertid inte att man av det skälet ska avstå från att använda sådana uppgifter som underlag för statistik utan att uppgifterna ska omfattas av absolut sekretess. Denna så kallade statistiksekretess regleras generellt i OSL. Samma argument för absolut sekretess kan sägas gälla för uppgiftssamlingar för forskningsändamål, oavsett om det är fråga om konkreta forskningsprojekt eller forskningsdatabaser. I den mån det handlar om uppgifter som hämtas från myndighetsregister där sekretess gäller följer denna i regel automatiskt med om forskningsdatabasen byggs upp vid en statlig högskola. Jag menar dock att det kan finnas skäl att ytterligare förstärka sekretesskyddet i forskningen. Jag ska återkomma med förslag härom.82

81 Se avsnitt 9.4.13. 82 Se avsnitt 8.3.4 och avsnitt 9.3.

Ett annat kännetecken för forskningsdatabaser, liksom för alla longitudinella forskningsprojekt, är att de vanligen kommer att bevaras under längre tid än de uppgiftssamlingar som skapas för tidsbegränsade forskningsprojekt. Syftet med många forskningsdatabaser är just att kunna möjliggöra longitudinell forskning där individer följs över tid. Det är en bedömning i lagstiftningen, till exempel i PUL, att risken för integritetsintrång i viss mån ökar med den tid en uppgiftssamling består. Det är grunden till kraven i 9 § PUL att uppgifter ska förstöras när de inte längre behövs för ändamålet. Mot detta krav står arkivlagens regler om att uppgifter ska bevaras.83När det gäller forskningsdatabaser kan man möjligen tala om en något förhöjd risk på grund av deras varaktighet, men den måste ändå bedömas som begränsad. Om igen gäller att det naturliga sättet att möta risken är genom långtgående åtgärder för skydd och säkerhet.

I den så kallade IFAU-databasen samlas ett stort antal personuppgifter som hämtas ur andra myndighetsregister. Den är ett exempel på en sådan forskningsdatabas som diskuteras i denna utredning. Regeringen har i propositionen om behandling av personuppgifter vid Institutet för utvärdering av arbetsmarknads- och utbildningspolitik (IFAU) konstaterat att behandlingen av personuppgifter som sker där inte kan anses vara ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag, särskilt som den i detta fall till så stor del avser anonymiserade personuppgifter för forskningsändamål. Med hänsyn till att det handlar om en förhållandevis stor mängd personuppgifter som dessutom kan komma att sparas under en längre tid har regeringen ändå funnit det lämpligt att reglera personuppgiftsbehandlingen i lag.84

Den rättsliga ordning som för närvarande gäller innebär således att personuppgifter som har samlats in för andra ändamål och som skyddas av sekretess, även känsliga uppgifter, kan behandlas i forskning om det står klart att det kan ske utan att det finns risk för skada eller men för den enskilde eller närstående till denne. Riksdagen beslutar i lag om det primära ändamålet för behandling av personuppgifter hos en myndighet, men har också beslutat att sekundärbehandling för statistiska, vetenskapliga och historiska ändamål inte är oförenlig med det i lagen fastställda primära ändamålet. För att bedöma vilken sekundäranvändning, till exempel vilken forskning, som ska vara tillåten har ett särskilt förfarande reglerats i lag (PUL,

83 Se avsnitt 5.8. 84Prop. 2011/12:176 s. 19–20.

etikprövningslagen, OSL). Tyngdpunkten i skyddet för den enskildes integritet har dock lagts på att genom sekretessregler, tystnadsplikt och säkerhetsåtgärder, bland annat behörighetsregler, förhindra att uppgifter kommer ut till obehöriga.

Under utredningsarbetet har jag även övervägt vilka konsekvenserna skulle bli av en mer restriktiv tolkning av den nya grundlagsbestämmelsen. Varje behandling av personuppgifter innebär potentiellt ett betydande intrång i den personliga integriteten och kräver därför som framgått stöd i lag. Med en mer restriktiv tolkning av lagen skulle kunna hävdas att sekundäranvändning av uppgifterna, oavsett om det är för statistiska, vetenskapliga eller historiska ändamål, i sig innebär ett sådant betydande intrång som kräver lagstöd i varje enskilt fall. Med en sådan tolkning skulle således den möjlighet som PUL i dag ger att sekundäranvända uppgifter för statistiska, vetenskapliga och historiska ändamål betraktas som grundlagsstridig. En sådan tolkning utgår ifrån att det är behandlingen som sådan av uppgifterna som innebär ett betydande intrång i den personliga integriteten, inte att de skulle kunna missbrukas till men för den enskilde.

Konsekvensen av en sådan restriktiv tolkning skulle bli att riksdagen i varje enskilt fall som avser behandling av personuppgifter utan samtycke i forskningen skulle behöva stifta en lag. Eftersom det i dag handlar om många hundra forskningsprojekt varje år framstår det som en i praktiken omöjlig lösning. I realiteten skulle en sådan tolkning innebära att all behandling av personuppgifter utan samtycke för vetenskapliga och sannolikt statistiska ändamål skulle få upphöra. Jag tror inte att det har varit lagstiftarens avsikt och utgår därför ifrån att denna tolkning avfärdas av regering och riksdag.

Låt mig sammanfatta detta avsnitt om hur regeln i 2 kap. 6 § RF kan tänkas påverka sekundäranvändning av personuppgifter i forskning. Två alternativa tolkningar har redovisats.

Den ena innebär att riksdagen fastställer att personuppgifter som primärt har insamlats för andra ändamål än forskning kan användas också i forskning utan att det innebär ett betydande intrång i den personliga integriteten. Riksdagen beslutar också om genom vilket förfarande det ska bestämmas för vilken forskning uppgifter får användas. Regler finns för processer och vilka instanser under riksdagen som fattar besluten. I det sistnämnda fallet avses regeringen, etikprövningsnämnderna, datainspektionen och registerhållande myndigheter.

Den andra innebär att all behandling av personuppgifter innebär ett betydande intrång i den personliga integriteten och att riksdagen därför alltid måste fastställa de ändamål för vilka personuppgifter får behandlas. Även sekundäranvändning av uppgifter i forskning måste då beslutas av riksdagen.

Min bedömning är att regering och riksdag med grundlagsändringen knappast kan ha haft denna andra tolkning med dess konsekvenser för forskningen i åtanke. Slutsatsen är således att sekundäranvändning av personuppgifter i forskning är grundlagsenlig också utan riksdagsbeslut i varje enskilt fall. Uppbyggnaden av en forskningsdatabas av det slag som finns hos IFAU betraktas inte som ett betydande intrång i den personliga integriteten och kräver därför inte av det skälet stöd i en särskild lag. Däremot är det, som jag ska återkomma till svårt att hantera sådana forskningsdatabaser inom det gällande rättsliga förfarandet. Det krävs därför en särskild rättslig reglering av forskningsdatabaser som är avsedda att tillhandahålla uppgifter till flera olika framtida forskningsprojekt. Jag ska i kapitlen 8 och 9 återkomma till denna fråga.

6.13. Sammanfattande analys

6.13.1. Integritetsskyddskommitténs frågor

Låt mig börja med att besvara de fyra frågor som Integritetsskyddskommittén menade bör ställas av varje utredning.

Hur skyddas enskilda personer mot olovlig insamling av uppgifter om deras privata förhållanden och hur avgränsas ”lovligt” uppgiftsinsamlande?

Insamling av uppgifter till myndighetsregister kräver lagstöd. I många sammanhang, till exempel i hälso- och sjukvården, kan också samtycke från uppgiftslämnare inhämtas om hur uppgifter och prover ska få användas. Enskilda har alltid möjlighet, när det inte bara handlar om vård och behandling, att anmäla att deras uppgifter eller prover ska förstöras. Sekundäranvändning i forskning av uppgifter som har insamlats för andra ändamål har stöd i PUL. När forskare själva samlar in uppgifter om individer bygger det på informerat samtycke från uppgiftslämnarnas sida.

Hur skyddas enskilda personer mot olovligt offentliggörande eller annan negativ användning av uppgifter om deras privata förhållanden och hur avgränsas vad som i detta sammanhang är ”lovligt”?

Sekretessregler och datasäkerhet är de viktigaste skyddsåtgärderna, såväl hos myndigheter som samlar in och i övrigt behandlar personuppgifter som på universitet och högskolor. Med sekretess följer tystnadsplikt och brott mot tystnadsplikten är straffbart. När uppgifter används i forskning finns starka incitament för forskningshuvudmän och forskare att skydda uppgifterna. Vilken behandling av uppgifterna i forskning som är tillåten bestäms av lagstiftning, utlämnande myndigheter och utformningen av etikgodkännanden. Särskilt regler gäller för att förhindra röjande.

Hur regleras skyddet mot intrång i någon enskilds privata sfär där syftet är att inhämta information om den enskilde, och hur avgränsas sådana ”lovliga” intrång?

Syftet med forskning är inte att kartlägga individer för att kunna vidta åtgärder mot dessa, utan att kartlägga mönster i en population. När forskare får tillgång till identifierbara uppgifter görs en särskilt noggrann prövning av behoven och ändamålet.

Hur skyddas identifieringsdata som namn, bild och liknande?

Framförallt genom att forskare i första hand får tillgång till anonymiserade (kodade eller avidentifierade) uppgifter. Det är förbjudet för den som får sådana uppgifter att försöka bakvägsidentifiera objekt. Uppgifterna som behandlas i forskningen är i regel sekretesskyddade. Jag kommer senare att föreslå att detta sekretesskydd ska ytterligare stärkas.

6.13.2. Proportionalitetsbedömning

Som framgick ovan är en följd av grundlagsändringen i 2 kap. 6 § RF att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen. Jag ska här redovisa vilka avvägningar jag med denna utgångspunkt gör.

Enligt proportionalitetsprincipen ska staten inte införa restriktioner eller skyldigheter som går utöver vad som är nödvändigt för

att uppnå målet med åtgärden i fråga.85Målet med den forskningsverksamhet som här ska bedömas är att vinna kunskaper om hur samhället i olika avseenden fungerar och vad som påverkar människors hälsa, medlet i första hand utnyttjande av registeruppgifter och biologiska prover som har samlats in för andra ändamål. Som tidigare framgått förekommer också uppgifter och prover som samlas in med samtycke från individerna. Det är inte ifrågasatt i grundlagen och kräver därmed inte samma proportionalitetsbedömning.

Proportionalitetsprincipen innehåller tre olika underprinciper eller kriterier som måste vara uppfyllda för att en åtgärd ska vara proportionell. En åtgärd ska vara lämplig för att uppnå det eftersträvade målet (lämplighetskriteriet). En åtgärd ska användas för att nå målet bara om den skapar mindre besvär för individerna än andra (nödvändighetskriteriet). Och i en avvägning mellan fördelar och nackdelar med att åtgärden överhuvudtaget genomförs måste fördelarna överväga (proportionalitet i strikt mening).86

Att använda personuppgifter från myndighetsregister kan vara till stor hjälp i forskningen. De kunskaper som kan komma ut av forskning med användning av registeruppgifter är betydande och ofta svåra att överhuvudtaget vinna med andra forskningsansatser. Vad skulle hända om man av hänsyn till de integritetsrisker, som trots allt finns, skulle försvåra eller förhindra användning i forskning av de personuppgifter som finns i myndighetsregister? Vilka alternativa forskningsmetoder står till buds? Som jag har redovisat i kapitel 4 är alternativen i regel undersökningar baserade på urval. Av kostnadsskäl blir sådana urval med nödvändighet ganska små, i vart fall i jämförelse med registerstudier, och slutsatserna därmed osäkrare. Jag har gett flera exempel på hur man utifrån sådana mindre studier har dragit slutsatser om till exempel effekten av vaccination av och vitamintillförsel till små barn som vid en kontroll med hjälp av registerdata har visat sig felaktiga. Sanningen är alltså att vi om registerforskningen skulle försvåras i många fall får avstå från viktig kunskap. Att eliminera de små risker som är förenade med registerforskning har ett högt pris i form av utebliven kunskap om sociala och medicinska förhållanden. Registerforskning måste alltså bedömas som en lämplig åtgärd för att vinna viktig kunskap.

Samtidigt ska understrykas att registerforskning naturligtvis inte kan ge svar på alla forskningsfrågor. Alla uppgifter som forskare kan

85 Gydal, C., Proportionalitetsprincipen, en europeisk rättsprincip och dess betydelse för svensk rätt, Förvaltningsrättslig tidskrift, Stockholm 1997. 86 Ibid.

behöva för att svara på frågorna finns inte i register. Användningen av särskilt känsliga personuppgifter i forskningen, oavsett om de hämtas från register eller samlas in direkt av forskare, ska också alltid värderas från etisk utgångspunkt. Forskning får inte godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersonernas hälsa, säkerhet eller personliga integritet (10 § etikprövningslagen).

Alternativet till utnyttjande av redan insamlade uppgifter som kan behövas i forskning är att samla in dem på nytt. Som jag har framhållit är det förenat med arbete och kostnader, för forskaren men också för forskningspersonerna. Det sker också på bekostnad av kvaliteten i forskningen, det vill säga gör den i praktiken mer osäker. Att återanvända redan insamlade uppgifter och prover när sådana finns är från kvalitetssynpunkt definitivt bättre för forskningen, men också resursbesparande för individerna. Den enda nackdelen synes vara att individerna inte tillfrågas om sin medverkan i det konkreta forskningsprojektet, men den intresserade individen kan alltid erbjudas insyn i forskningen på annat sätt. Jag vill hävda att användningen av redan insamlade uppgifter och prover är den metod som skapar minst besvär för de individer uppgifterna avser.

Jag har pekat på en rad fördelar med registerforskning. Men det finns naturligtvis också vissa integritetsrisker. Den största är att någon information läcker ut som på något sätt skulle kunna orsaka individen skada eller obehag. För att förhindra att så sker är det viktigt med olika åtgärder som skyddar uppgifterna, både sekretessbestämmelser och tekniska säkerhetsåtgärder. Det är viktigt att framhålla att inga läckage så vitt känt har skett från forskningsmiljöer i Sverige. Det torde till stor del hänga samman med de rättsregler och det säkerhetstänkande som finns kring behandlingen av personuppgifter, men också med att forskningshuvudmän och forskare har starka incitament att förhindra läckage. Detta till trots menar jag att vissa ytterligare åtgärder för att stärka sekretesskyddet och datasäkerheten bör vidtas. Jag ska senare återkomma till förslag i detta hänseende. Även i detta avseende lever emellertid registerbaserad forskning, enligt min bedömning, upp till de krav som proportionalitetsprincipen innebär.

Till sist. Integritetsriskerna vid registerforskning måste också ställas mot de ”informationsrisker” som följer av den tekniska utvecklingen. De senare kan åsamka den enskilde skada eller obehag av i princip samma slag som ett läckage från ett myndighets- eller forskningsregister skulle kunna göra. De integritetsrisker som är för-

enade med den nya tekniken är med alla rimliga mått mätt oerhört mycket större. Den tekniska utvecklingen, med betalkort, mobiltelefoner, datorer, Internet, övervakningskameror med mera, innebär inte bara potentiella risker utan leder kontinuerligt till att enskildas ”privata rum” krymper. Våra köpvanor, rörelsemönster, kontakter och intressen kartläggs nästan i detalj. Att detta integritetsintrång accepteras, mer eller mindre frivilligt, beror naturligtvis på att även detta är förenat med vinster. Men priset för dessa vinster i termer av integritetsintrång är oändligt mycket högre än det vi behöver befara när det gäller registerforskning.

7. Erfarenheter från de nordiska länderna

7.1. Danmark

7.1.1. Offentlighet och sekretess

Handlingsoffentlighet i Danmark regleras i lov nr 606 af 12. juni 2013, offentlighedsloven. Lagen innehåller bestämmelser om i vilken utsträckning förvaltningsmyndigheter är skyldiga att ge insyn i dokument. I lagen finns också bestämmelser om undantag från rätten till insyn. Offentlighedsloven gäller för all verksamhet inom den statliga och kommunala förvaltningen. Med undantag för vissa bestämmelser gäller den också för bland annat vissa privata organ som utövar omfattande offentlig verksamhet och som är underställda offentligt reglering, tillsyn och kontroll och för bolag som till mer än 75 procent ägs av danska myndigheter, dock inte börsnoterade bolag.

Huvudprincipen är att var och en har rätt till insyn i de dokument som har inkommit till eller upprättats av en myndighet i ett visst ärende (7 §). Någon begränsning i fråga om vem som har rätt att begära att få se en handling eller i vilket syfte det sker finns inte. Insynsrätten omfattar alla dokument i ärendet. Insynsrätten omfattar också diarier, register och handlingar av annat slag som har upprättats i ett ärende. Däremot faller andra typer av register hos en myndighet, som inte förs med anledning av ett visst ärende, utanför lagens tillämpningsområde (10 §). För sådana register gäller bestämmelserna i persondataloven (se nedan).

En var har rätt att få en sammanställning av uppgifter i en myndighets databaser, om sammanställningen kan göras med få och enkla kommandon (11 §). Omfattas uppgifterna av undantagen från insyn enligt 19–35 §§ gäller rätten endast om skyddet kan tillgodoses genom anonymisering. Rätten gäller inte heller känsliga personuppgifter enligt 10 § persondataloven.

Från rätten till insyn finns tre typer av undantag. Det första omfattar vissa typer av ärenden. Det gäller bland annat ärenden rörande straffrätt

(

19 §), lagstiftningsärenden innan dessa har framlagts för

Folketinget (20 §) och ärenden rörande offentlig anställning (21 §). Den andra typen av undantag rör vissa typer av dokument, till exempel interna arbetsdokument (23 §) och interna dokument som utväxlas mellan en minister och ett ämbetsverk (24 § ). Den tredje typen av undantag gäller uppgifter med anknytning till fysiska eller juridiska personers personliga eller ekonomiska förhållanden (30 §) eller när det anses finnas ett allmänt behov av skydd för offentliga intressen, till exempel statens säkerhet, försvar och utrikespolitik (31–32 §§). Det gäller också uppgifter i samband med brottsförebyggande eller brottsutredande åtgärder, offentlig kontroll och offentliga ekonomiska intressen. Slutligen sägs att privata och offentliga intressen kan hemlighållas om det är särskilt påkallat med hänsyn till uppgifternas karaktär (33 §).

Undantagen från insynsskyldigheten innebär inte att inte insyn får ges. Meroffentlighetsprincipen (14 §) innebär att en myndighet har rätt att medge en vidare insyn än vad myndigheten är skyldig till. Meroffentligheten får dock inte gå utöver vad som gäller enligt annan lag, såsom reglerna om tystnadsplikt och persondataloven. Principen om meroffentlighet har betydelse för myndigheternas möjlighet at lämna ut uppgifter till till exempel vetenskapliga undersökningar.

Bestämmelser om offentlighet och tystnadsplikt för uppgifter inom hälso- och sjukvård finns i avsnitt tre i sundhetsloven (lov nr. 913 af den 13 juli 2010). Som huvudregel gäller tystnadsplikt inom sjukvården och patientens samtycke krävs för att en uppgift ska få lämnas vidare (40–41 §§). Det finns dock vissa undantag från denna huvudregel. Uppgift om enskildas hälsa, privata förhållanden och andra förtroliga uppgifter från patientjournaler kan lämnas vidare till en forskare för användning i ett specifikt biomedicinskt forskningsprojekt, om projektet är godkänt av en forskningsetisk kommitté (46 §). Om projektet inte omfattas av loven om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter (se nedan) kan uppgifterna ändå efter godkännande av Sundhetsstyrelsen lämnas vidare till en forskare för att användas i ett konkret forskningsprojekt som är av väsentligt samhälleligt intresse. Styrelsen fastställer då villkor för utlämnandet. Uppgifter som lämnats vidare enligt ovan får inte senare användas för andra ändamål än forskning och statistik (47 §).

7.1.2. Personuppgiftsbehandling

I Danmark har dataskyddsdirektivet genomförts genom persondataloven (lov nr. 429 af 31. maj 2000). Enligt lagens 4 kap. 5 § andra stycket får insamling av personuppgifter endast ske för uttryckligt angivna och berättigade ändamål och senare behandling av uppgifterna får inte vara oförenlig med dessa ändamål. Behandling som sker för historiska, statistiska eller vetenskapliga ändamål anses dock inte oförenlig med de ändamål för vilket uppgifterna samlades in. Behandling får endast ske under de förutsättningar som framgår av 4 kap. 6 §. Enligt första punkten får behandling ske med stöd av den enskildes samtycke. Av femte punkten framgår att behandling är tillåten om den är nödvändig med hänsyn till att en uppgift av allmänt intresse ska kunna utföras. Behandling av personuppgifter för forskningsändamål har ansetts kunna utföras med stöd av den senare bestämmelsen.

Det är förbjudet att behandla uppgifter om ras eller etnisk bakgrund, politisk, religiös eller filosofisk övertygelse, fackföreningstillhörighet eller uppgifter om hälsa eller sexuell läggning (4 kap. 7 §.) Sådana känsliga personuppgifter, liksom uppgifter om straffbara förhållanden, sociala problem eller andra privata förhållanden, får dock behandlas om behandlingens enda ändamål är att genomföra en statistisk eller vetenskaplig undersökning av väsentligt allmänt intresse och om behandlingen är nödvändig för att utföra undersökningen (4 kap. 10 §). Uppgifter som behandlats för dessa ändamål får inte senare användas för annat än statistiska och vetenskapliga ändamål. Detsamma gäller behandling av andra personuppgifter som utförs för statistiska och vetenskapliga ändamål.

Uppgifter som behandlas för statistiska och vetenskapliga ändamål får endast lämnas ut till tredje man efter tillstånd från Datatilsynet. Datatilsynet får ställa upp särskilda villkor för utlämnandet till tredje man.

Undantag från förbudet mot behandling av känsliga personuppgifter i 4 kap. 7 § kan vidare göras om behandlingen sker på grund av viktiga samhälleliga intressen. För sådan behandling krävs tillstånd av Datatilsynet. Datatilsynet får i samband därmed fastställa särskilda villkor för behandlingen. Om tillstånd meddelas ska Datatilsynet underrätta Europeiska kommissionen (4 kap. 7 § sjunde stycket).

Myndigheter får behandla personnummer om det är motiverat för att möjliggöra säker identifiering eller för identifiering av journaler. Privatpersoner och företag får behandla personnummer utan den

enskildes samtycke endast om behandlingen sker för vetenskapliga eller statistiska ändamål. Ett personnummer får inte offentliggöras utan den enskildes uttryckliga samtycke (4 kap. 11 §).

7.1.3. Etikprövning

Systemet för etikprövning regleras i lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter (lov nr. 593 af 14. juni 2011). Det vetenskapsetiska kommittésystemet har till syfte att garantera att hälsovetenskapliga forskningsprojekt genomförs på ett vetenskapsetiskt försvarbart sätt (1 §). Kommittésystemet består av elva regionala kommittéer, som utses av regionråden, och den nationella vetenskapsetiska kommittén som är en självständig myndighet under Ministeriet for Sundhed og Forebyggelse.

Enligt 14 § ska som huvudregel alla hälsovetenskapliga forskningsprojekt anmälas till den regionala kommittén för det område där den projektansvarige har sin verksamhet. Med hälsovetenskapliga projekt avses projekt som innebär försök på levande och döda människor, mänskliga könsceller som ska användas för befruktning, mänskliga befruktade ägg, embryon och foster, vävnad, celler och arvsmassa från människor. Även kliniska prövningar med läkemedel på människor innefattas. Enkätundersökningar och hälsovetenskapliga registerforskningsprojekt omfattas av anmälningsplikten om projektet omfattar mänskligt biologiskt material.

För försök på människor krävs som huvudregel informerat samtycke från försökspersonen (3 §). Undantag från samtyckeskravet kan dock göras under vissa förutsättningar (10 §). En kommitté kan efterge kravet på samtycke om ett registerforskningsprojekt inte innebär några hälsomässiga risker för den enskilde och forskningsprojektet inte heller på annat sätt innebär någon belastning för forskningspersonen. Detsamma gäller om det är omöjligt eller oproportionerligt svårt att inhämta informerat samtycke.

Kommittén gör en vetenskapsetisk bedömning av projektet mot bakgrund av bestämmelserna i lagen och beslutar om projektet ska få genomföras eller inte. Ett tillstånd kan förenas med villkor. Den regionala kommitténs beslut kan överklagas till den nationella vetenskapsetiska kommittén.

7.1.4. Biobanker

Danmark har inte någon särskild biobankslag. Verksamheten regleras i stället i flera andra lagar; persondataloven, sundhetsloven (lov nr. 913 af 13 juli 2010) och loven om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter.

Enligt dansk rätt utgör en biobank ett register med personuppgifter och för personuppgiftsbehandling i biobanksverksamhet gäller samma regler som för all annan personuppgiftsbehandling enligt persondataloven. Utgångspunkten är således att det krävs samtycke från den enskilde, om det inte finns särskilda regler. All insamling av personuppgifter måste anmälas och godkännas av Datatilsynet.

I Danmark görs en uppdelning mellan fyra olika typer av biobanker: kliniska biobanker, forskningsbiobanker, donationsbiobanker och biobanker för andra hälsoändamål.1 Med kliniska biobanker avses sådana där insamling sker för diagnostiska och behandlingsändamål. I forskningsbiobanker sker insamlingen till vetenskapsetiskt godkända forskningsprojekt. I donationsbiobanker är vävnadsproverna insamlade av frivilliga donatorer med syftet att behandla en viss patient eller en närmare angiven patientgrupp. Biobanker för andra hälsoändamål är sådana som inte tillhör någon av de andra kategorierna, men som ändå har ett hälsoändamål. Alla danska biobanker inom hälsoområdet omfattas av regleringen, oavsett om de har en offentlig eller privat huvudman.

För själva provtagningen krävs som huvudregel informerat samtycke från provgivaren. Reglerna för insamling och bevarande skiljer sig åt beroende på vilken typ av biobank som avses. När det gäller kliniska biobanker kan provgivaren besluta att det lämnade materialet endast får användas för hans eller hennes egen behandling och till ändamål som har direkt anknytning därtill (29 § sundhetsloven). Provgivarens beslut ska anmälas till det så kallade vævsanvendelsesregisteret vid Ministeriet for Sundhed og Forebyggelse. Om någon önskar använda biobanksprover till annat än den enskildes vård, till exempel forskning, har den biobanksansvarige ansvar för att via registret ta reda på provgivarens inställning (29 § fjärde stycket sundhetsloven). Provgivaren kan begära att vävnadsprovet förstörs (33 § sundhetsloven). Provgivaren kan begära att ett vävnadsprov som han eller hon har lämnat ska utlämnas till honom eller henne. För detta krävs dock att provgivaren kan visa att han eller hon har ett särskilt intresse av detta.

1SOU 2010:81 s. 108.

När det gäller biobanker för forskning gäller persondataloven och loven om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter. Huvudregeln är således samtycke från provgivaren. Det är inte möjligt att inrätta en biobank generellt för forskning, men väl för ett specifikt forskningsändamål. För att få inrätta en biobank krävs godkännande av Datatilsynet. Vid användande av biobanksprover för specifika forskningsändamål krävs som framgått vanligtvis tillstånd från en etisk kommitté.

Av persondataloven följer att vävnadsproverna som huvudregel inte får användas till andra ändamål än dem som provgivaren har informerats om och uttryckligen samtyckt till. Sundhedsloven innehåller dock särskilda regler om utlämnande för statistiska ändamål och forskningsändamål. Biologiskt material, som en patient har lämnat i samband med medicinsk behandling, kan lämnas ut till en forskare för ett konkret biomedicinskt forskningsprojekt, om projektet har godkänts av en vetenskapsetisk kommitté och patienten inte har låtit registrera någon begränsning i det ovan nämnda vævsanvendelsesregisteret (32 § sundhetsloven). I samband med det forskningsetiska godkännandet ska kommittén ta ställning till om det ska krävas ett särskilt informerat samtycke från provgivaren för projektet eller inte.

7.1.5. Danmarks Statistik

Danmarks Statistik är den centrala myndigheten för dansk statistik. På myndigheten finns en särskild forskningsserviceenhet, som är en del av avdelningen för försäljning och marknadsföring. På enheten arbetar för närvarande 16 akademiker och IT-specialister samt en sekreterare. Forskningsenheten etablerades 2001 med syftet att främja registerforskning.

Från Danmarks Statistik kan forskare få tillgång till anonymiserade data om personer, familjer, hushåll, arbetsplatser och företag. Uppgifter lämnas endast ut till auktoriserade institutioner. Efter ansökan gör Danmarks Statistik en bedömning av forskningsmiljön. För auktorisation krävs att det rör sig om en stabil forsknings- och analysmiljö med en ansvarig chef och flera forskare eller analytiker. Vid bedömningens läggs särskild vikt vid miljöns kompetens när det gäller hantering av registerdata och kännedom om de datasäkerhetsregler som gäller för hantering av data från Danmarks Statistik. Vid auktorisering ingår institutionen eller organisationen ett aukto-

riseringsavtal med Danmarks Statistik. I avtalet regleras villkoren för åtkomst av data från Danmarks Statistik. Den eller de som utses till ansvariga forskare på en auktoriserad institution ska ha kontroll över organisationen och har ansvar för att informera sina medarbetare om vilka regler som gäller. Om en forskare på en auktoriserad institution bryter mot reglerna kan forskaren stängas av från användande under minst tre år. Det medför också att enheten fråntas sin auktorisation under en period.

För närvarande finns cirka 360 auktoriserade institutioner i Danmark. Till de offentliga auktoriserade institutionerna hör till exempel institutioner på universitet, kommuner och regioner. Även privata forskningsinstitutioner kan bli auktoriserade av Danmarks Statistik, såsom intresseorganisationer, konsultfirmor, företag och tankesmedjor. Privatpersoner kan inte bli auktoriserade som mottagare av uppgifter från Danmarks Statistik. Utländska forskare kan endast få tillgång till uppgifter om de är anslutna till en dansk forskningsmiljö som är auktoriserad, vilket innebär att den danska aktören tar fullt ansvar för den utländska forskaren i förhållande till Danmarks Statistik.

För att få ut uppgifter från Danmarks Statistik krävs en projektbeskrivning av vilken projektets ändamål, population och period framgår. Av beskrivningen ska det också framgå om uppgifterna ska sambearbetas med uppgifter från andra källor. För utlämnande av mikrodata gäller ändamålsprincipen, det vill säga forskaren kan bara få tillgång till de uppgifter som behövs för att uppfylla ändamålet med forskningen. Det åligger forskaren att i sin ansökan till Danmarks Statistik visa ett rimligt samband mellan de efterfrågade uppgifterna och projektbeskrivningen. När Danmarks Statistik har godkänt projektbeskrivningen beräknas priset och kontrakt upprättas.2 Därefter lämnas uppgifterna ut och överförs till ett onlinesystem för utlämnande av mikrodata. Forskningsservern är skild från myndighetens övriga nätverk och innehåller endast kodade uppgifter för forskningsändamål. Sedan forskaren undertecknat ett sekretessavtal får han eller hon tillgång till uppgifterna genom en krypterad och säker kanal på Internet. Forskaren får inte skriva ut eller på något annat sätt överföra data från servern. Alla resultat samlas i en särskild fil och utskrifterna skickas till forskaren per epost. Alla mail loggas hos Danmarks Statistik och kontrolleras av forskarserviceenheten på myndigheten.

2 Kontrakt upprättas som regel endast om kostnaden överstiger 10 000 DKR.

När det gäller uttag av uppgifter från Danmarks Statistik krävs det inte något tillstånd från Datatilsynet. Det finns ett generellt tillstånd för de forskningsmiljöer som är auktoriserade av Danmarks Statistik.

Auktoriserade enheter har möjlighet att samla sina register hos Danmarks Statistik i så kallade projektdatabaser. Det ska finnas en koppling mellan de uppgifter som samlas i databasen och databasens ändamål. En eller två projektadministratörer får tillgång till uppgifterna i databasen. Uppgifter ur en projektdatabas får lämnas ut till den auktoriserade enheten efter en översiktlig prövning av Danmarks Statistik.

Danmarks Statistik kan koppla data från sina egna register med uppgifter från andra källor, till exempel Statens Serum Institut. Vid sambearbetning av uppgifter från Danmarks Statistik med uppgifter från andra källor krävs tillstånd från Datatilsynet.

Kodnycklar för översättning av koder och personnummer sparas som huvudregel i tjugo år.

7.1.6. Statens Serum Institut

År 2012 beslutades att alla hälsorelaterade uppgifter under Ministeriet for Sundhed og Forebyggelse skulle samlas hos samma institution. Statens Serum Institut (SSI) är sedan dess ansvarigt för ett stort antal hälsoregister med upplysningar om befolkningens hälsoförhållanden, till exempel cancerregistret, dödsorsaksregistret och patientregistret. SSI ansvarar också för Danmarks nationella biobank och smittskyddsverksamheten.

Även SSI har en forskarservice som har till uppgift att underlätta forskningen inom hälsoområdet. För att få tillgång till uppgifter från SSI krävs som huvudregel tillstånd från Datatilsynet. SSI och cirka tvåhundra institutioner och organisationer har emellertid ingått ett auktorisationsavtal och i sådana fall görs ingen reell prövning av Datatilsynet. Institutionen åtar sig att en gång om året skicka en förteckning över vilka datauppgifter institutionen förfogar över till Datatilsynet.

Om forskningen innebär forskning på människor eller mänsklig vävnad krävs godkännande av en forskningsetisk kommitté.

Forskare som är anslutna till en auktoriserad enhet kan få tillgång till data på en så kallad forskningsmaskin. Forskningsmaskinen består av en databasserver där kopior av alla SSI:s register finns.

Personnummer är dock krypterade och variabler som möjliggör identifiering av enskilda personer är borttagna. Den enskilde forskaren registreras som användare och kan därefter få åtkomst till ett urval av de data som ligger på servern. Användaren får också tillgång till personliga mappar på en analysserver där datauttag, egna populationer och egna registerdata kan sparas. Det är inte möjligt att bearbeta data utanför analysservern. Resultat, grafer med mera som inte innehåller identifierbara uppgifter om enskilda kan skickas till forskaren. I särskilda fall är det möjligt att få ta del av direkt identifierbara personuppgifter, till exempel vid kontroll av journaler eller enkätundersökningar.

7.2. Finland

7.2.1. Offentlighet och sekretess

De grundläggande fri- och rättigheterna regleras i andra kapitlet i Finlands grundlag (11.6.1999/731). Kapitlets 12 § innehåller stadganden om yttrandefriheten och offentligheten. Av bestämmelsen framgår att handlingar och upptagningar som innehas av myndigheterna är offentliga, om inte offentligheten av tvingande skäl särskilt har begränsats genom lag. Var och en har rätt att ta del av offentliga handlingar och upptagningar. Närmare bestämmelser om rätten att ta del av allmänna handlingar, tystnadsplikt och handlingssekretess finns i lagen om offentlighet i myndigheternas verksamhet (21.5.1999/621). Lagen är tillämplig vid all offentlig maktutövning. Förutom för sedvanliga myndigheter inom statlig och kommunal förvaltning gäller offentlighet även för statliga eller kommunala affärsverk samt för privata organ som med stöd av lag utövar offentlig makt eller utför ett offentligt uppdrag (4 §).

Lagen medför inte endast en rätt att ta del av allmänna handlingar eller få kopior av sådana handlingar. Den innebär också en skyldighet för myndigheterna att främja möjligheterna att ta del av en handling och en god informationshantering (5 kap.).

Grundregler om handlingssekretess och tystnadsplikt finns i sjätte kapitlet. Begränsningar i offentligheten får göras med hänvisning till vissa särskilt angivna skyddade intressen. Dessa kan vara både enskilda och allmänna. Utgångspunkten är att det är själva handlingen som är sekretessbelagd. En del av en handling kan emellertid

vara offentlig och den ska lämnas ut om detta kan ske utan att sekretessbelagda uppgifter röjs (10 §).

I 24 § finns en uppräkning av de vanligast förekommande sekretessgrunderna. Enligt punkten 16 gäller sekretess för handlingar som överlämnats till statistikmyndigheter för statistikframställning liksom handlingar som frivilligt överlämnats till en myndighet för forskning eller statistikföring. Bestämmelser om sekretess finns även i andra lagar.

Utlämnande av sekretessbelagda uppgifter kan ske i vissa fall, dels om det i lag föreskrivs en rätt att lämna ut eller få uppgifter och dels om den vars intresse sekretessen ska skydda samtycker till ett utlämnande. Vidare kan, om inte något annat föreskrivs i lag, en myndighet i enskilda fall bevilja tillstånd att ta del av sekretessbelagd handling för vetenskaplig forskning eller statistik eller för ett sådant planerings- eller utredningsarbete som en myndighet utför, om det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks om uppgifterna lämnas ut (28 §). Prövningen av om tillstånd ska beviljas ska utgå från att den vetenskapliga forskningens frihet ska tryggas. Om uppgifter har lämnats ut till en myndighet med samtycke får tillstånd inte beviljas i strid med de villkor för användning och utlämnande som uppställts i samtycket.

Om tillstånd behövs för handlingar som finns hos flera myndigheter som är underställda samma ministerium, fattar ministeriet beslut om beviljande om tillstånd efter att vid behov ha hört myndigheterna.

Ett tillstånd kan beviljas för viss tid och till tillståndet ska fogas föreskrifter som behövs för att skydda allmänna och enskilda intressen. Ett tillstånd kan återkallas om det efter en prövning anses finnas skäl till det.

7.2.2. Personuppgiftsbehandling

Behandling av personuppgifter regleras i personuppgiftslagen (22.4.1999/523). Personuppgifter får behandlas endast med den registrerades entydiga samtycke (2 kap. 8 § första punkten). Enligt 4 kap. 14 § får dock personuppgifter behandlas i forskning3 utan den enskildes samtycke, men endast om vissa krav är uppfyllda. En förutsättning är att forskningen inte kan bedrivas utan uppgifter med hjälp av vilka personer kan identifieras4och det på grund av det

3 I lagen anges historisk eller vetenskaplig forskning. 4 I lagen anges individualiseras.

stora antalet uppgifter, uppgifternas ålder eller av någon annan sådan orsak inte är möjligt att inhämta samtycke av de registrerade. Användningen av personregistret ska grundas på en forskningsplan och det ska finnas en ansvarig ledare eller en grupp som ansvarar för forskningen. Uppgifter som behandlas för forskningsändamål får bara lämnas ut till forskning. Verksamheten ska även i övrigt bedrivas så att uppgifter om bestämda personer inte röjs för utomstående. När personuppgifterna inte längre behövs för att bedriva forskningen eller för att säkerställa riktigheten av dess resultat ska det förstöras, arkiveras eller ges en sådan ändrad form att den som uppgifterna hänför sig till inte kan identifieras.

Behandling av känsliga personuppgifter är förbjuden (3 kap. 11 §). Med känsliga uppgifter avses personuppgifter som beskriver eller vilkas syfte är att beskriva ras eller etniskt ursprung, någons samhälleliga eller politiska uppfattning eller religiösa övertygelse eller medlemskap i ett fackförbund, en brottslig gärning eller ett straff eller någon annan påföljd för ett brott, någons hälsotillstånd, sjukdom eller funktionsnedsättning eller vårdåtgärder eller därmed jämförbara åtgärder, någons sexuella läggning eller beteende eller någons behov av socialvård eller de socialvårdstjänster, stödåtgärder och andra förmåner inom socialvården som någon erhållit. Det finns dock undantag från förbudet, till exempel om den enskilde gett sitt uttryckliga samtycke till behandlingen. Förbudet utgör inte heller hinder för behandling av uppgifter för historisk eller vetenskaplig forskning eller för statistikföring (3 kap. 12 § 6). Känsliga personuppgifter ska utplånas så snart det inte längre finns någon grund för behandlingen. Grunden och behovet ska som regel bedömas minst vart femte år.

Personbeteckning får enligt 3 kap. 13 § behandlas med den registrerades entydiga samtycke eller när behandlingen regleras i lag. Dessutom får en personbeteckning behandlas bland annat för historisk eller vetenskaplig forskning. Den registeransvarige ska se till att personbeteckningen inte i onödan antecknas i handlingar.

Den registeransvarige ska göra en registerbeskrivning över ett personregister som ska hållas allmänt tillgänglig. Av beskrivningen ska det bland annat framgå vem som är registeransvarig, ändamålet med behandlingen och en beskrivning av de grupper som är registrerade (2 kap. 10 § ).

Viss form av personuppgiftsbehandling ska anmälas till Dataombudsmannen. Vid automatisk behandling av personuppgifter ska den registeransvarige underrätta Dataombudsmannen genom att

skicka en registerbeskrivning (8 kap. 36–37 §§). Anmälningsplikt föreligger också i vissa andra fall, till exempel för den som översänder personuppgifter till utlandet eller som sköter behandling av uppgifter enligt uppdrag samt för vissa näringsidkare. En anmälan innebär inte ett godkännande av registerföringen eller verksamheten. Från anmälningsplikten finns undantag och i praktiken faller större delen av den automatiska behandlingen av personuppgifter utanför anmälningsplikten. När det gäller behandling av känsliga personuppgifter för historisk eller vetenskaplig forskning eller för statistikföring bör anmälan göras om uppgifterna samlats in från andra källor än den registrerade själv och utan den registrerades samtycke. Om samtycke har inhämtats från alla registrerade eller om insamlandet och behandlingen av uppgifterna uttryckligen har bestämts i lag, behöver anmälan inte göras. För att insamlandet av uppgifterna ska kunna anses ske med den registrerades samtycke, till exempel vid en enkät, bör den registrerade ha informerats om bland annat att att besvarandet är frivilligt, och, om så är fallet, att uppgifter från andra källor eventuellt kommer att inhämtas.

7.2.3. Etikprövning

I lag om medicinsk forskning (9.4.199/488) (forskningslagen) finns bestämmelser om etikprövning av viss forskning. Enligt lagen får medicinsk forskning och klinisk läkemedelsprövning utföras först sedan en etisk kommitté har avgett ett positivt utlåtande om forskningsplanen (3 § andra stycket). Med medicinsk forskning avses sådan forskning som innebär ingrepp i en människa eller ett mänskligt embryo eller foster och vars syfte är att öka kunskapen om hälsa, sjukdomsorsaker, symtom, diagnostik, vård, prevention av sjukdomar eller sjukdomarnas beskaffenhet i allmänhet. Med klinisk läkemedelsprövning menas en interventionsprövning på människor, genom vilken läkemedlets effekter på människan samt absorption, spridning, metabolism eller utsöndring i organismen reds ut. Medicinsk forskning prövas av de regionala etiska kommittéer som ska finnas vid varje sådant sjukvårdsdistrikt som har ett universitet som ger läkarutbildning (16 och 17 §§). Utlåtanden om kliniska läkemedelsprövningar ges av den nationella kommittén för medicinsk forskningsetik, om denna inte överför frågan till en regional kommitté.

Utöver bestämmelserna i forskningslagen kan forskningsinstitut och registerhållande myndigheter ställa upp egna etiska krav för behandling av personuppgifter.

7.2.4. Biobanker

Den finska biobankslagen (30.11.2012/688) trädde i kraft den 1 september 2013. Lagen har till syfte att stödja forskning som använder sig av prover från människa, främja öppenheten i användningen av prover och säkerställa integritetsskyddet och självbestämmanderätten vid hanteringen av prover (1 §). När det gäller uppgifter som innehas av en myndighet tillämpas lagen om offentlighet i myndigheternas verksamhet (se ovan) när det gäller offentlighet, hemlighållande och utlämnande av uppgifter, och på annan behandling av personuppgifter personuppgiftslagen, om inte annat föreskrivs i biobankslagen.

En biobank definieras som en enhet där huvudmannen utövar biobanksverksamhet och där prover och tillhörande uppgifter samlas in och förvaras för kommande biobanksforskning (3 §). En biobank kan inrättas av en enskild eller offentlig inrättning eller annan juridisk person som har ekonomiska och verksamhetsmässiga möjligheter samt juridiska och forskningsmässiga förutsättningar att förvalta en biobank och hantera prover (6§). Dessutom krävs det ett positivt utlåtande från den nationella kommittén för medicinsk forskningsetik.

Användning, förvaring och annan hantering av prover i en biobank ska vara motiverad med beaktande av den forskning som utnyttjar proverna. Biobanken äger de prover som den innehar om inte något annat uttryckligen har avtalats om överföring av proverna (7 §). Beslut som gäller biobanken fattas av biobankens ägare, som också svarar för de skyldigheter som ålagts biobanken. Biobankens ägare ska utse en biobanksansvarig för biobanken.

Enligt biobankslagen grundas rätten att hantera prover som huvudregel på samtycke, om inte annat föreskrivs i lagen eller någon annan lag (11 §). En person kan ge sitt samtycke till att ett prov som tagits eller ska tas från honom eller henne förvaras i en biobank och används i biobanksforskning, till att personuppgifterna lämnas ut, till att registeruppgifter om honom eller henne kan sambearbetas och till att prover och uppgifter som han eller hon gett hanteras och behandlas på annat sätt. Samtycket ska ges skriftligen. Vårdnads-

havaren ger samtycke för en minderårigs räkning. Den som ska ge ett samtycke ska dessförinnan få tillräcklig information om biobanksforskningens natur, eventuella olägenheter, syftet med tagandet och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att begränsa eller återkalla samtycket utan negativa följder. Informationen ska vara tydlig och begriplig. Den ska lämnas på ett ändamålsenligt sätt och alltid skriftligt.

En person har när som helst rätt att återkalla eller ändra ett samtycke eller att förbjuda eller begränsa användningen av ett prov i forskning, förutsatt att provet är identifierbart. När ett samtycke återkallas eller användningen begränsas eller förbjuds ska den biobanksansvarige underrättas om detta. Anmälan från den registrerade ska vara skriftlig.

När det gäller gamla prover föreskrivs i 13 § att de och tillhörande uppgifter får överföras till en biobank trots sekretessbestämmelser. Överföringen får dock inte äventyra patienternas vård. Även prover tagna av högskolor, forskningsinstitut, verksamhetsenheter inom hälso- och sjukvården och andra enheter, och tillhörande uppgifter får överföras. Ett villkor för överföring är att en regional etisk kommitté har gett ett utlåtande om användningen av proverna för biobanksforskning. Överföringen får inte göras om den som har rätt att ge samtycke förbjuder överföringen eller om det finns skäl att anta att personen under sin livstid skulle ha motsatt sig användningen av proverna för forskning eller om den etiska kommittén anser att överföringen av proverna inte är etiskt godtagbar. Om kommittén inte anser överföringen bör göras kan beslutet överklagas till Tillstånds- och tillsynsverket för social- och hälsovården.

Innan överföringen görs ska de registrerade underrättas om det ändrade användningssyftet. Av meddelandet ska det framgå att proverna och uppgifterna kan komma att användas för biobanksforskning. Till meddelandet ska fogas en redogörelse för biobanksforskningens art och en anvisning om givande av samtycke och rätten att förbjuda användning av prover, uppgifter om den biobank som förvarar proverna, uppgifter om behandlingen i den etiska kommittén och om tidpunkten för överföringen samt kontaktinformation till den som vill ha ytterligare uppgifter. Om det på grund av provernas ålder, det stora antalet prover eller av någon annan motsvarande orsak inte med skäliga ansträngningar är möjligt att skaffa de registrerades kontaktinformation, ska sådant meddelande publiceras i den

officiella tidnigen5, ett allmänt datanät och vid behov i dagstidningar.

När prover samlas in eller överförs till en biobank får, om personen gett sitt samtycke, uppgifter om den registrerade och hans eller hennes hälsotillstånd samt uppgifter som den registrerade gett om faktorer som inverkar på hans eller hennes hälsa fogas till provet, om personen har gett sitt samtycke (14 §).

I biobankslagen finns särskilda krav avseende aktsamhetsplikt, det vill säga skydd för uppgifter som gäller utöver personuppgiftslagens bestämmelser. En biobank har rätt att föra personregister för biobanksforskning (20–21 §§). Inrättningar, företag, sammanslutningar och personer som bedriver biobanksforskning har rätt att ur prov- och dataregistret få sådana uppgifter som behövs för bedömning av hur användbara proverna och uppgifterna i biobanken är, förutsatt att dessa inte innehåller känsliga personuppgifter.

En biobank får lämna ut, undersöka och på annat sätt hantera och behandla prover och uppgifter som den förvarar, om den tilltänkta användningen motsvarar det forskningsområde som fastställts för biobanken och om grunden och villkoren för hanteringen av provet och de villkor och begränsningar som anges i biobankslagen, annan lag eller som biobanken fastställt iakttas i forskningen och i hanteringen av proverna och behandlingen av uppgifterna (26 §). Vidare ska den som tar emot proverna eller uppgifterna ha yrkesmässig och vetenskaplig kompetens för hanteringen av proverna och för behandlingen av uppgifterna. Proverna och tillhörande uppgifter ska kodas innan de lämnas ut för forskning, om det inte finns särskilda skäl att förfara på annat sätt. De koder som används vid utlämnandet skapas för varje enskilt projekt i samband med utlämnandet. Den kodnyckel som används vid förvaringen av prover och uppgifter får inte lämnas ut från biobanken. Personuppgifter får lämnas ut endast med samtycke av den registrerade eller någon annan som har rätt att ge samtycke, om det inte finns någon annan i denna lag föreskriven grund för utlämnandet.

En biobank får begränsa utlämnandet av prover endast under vissa förutsättningar, till exempel att säkerställa att prover i provsamlingar bevaras eller av forskningsetiska skäl (27 §).

5 Officiella tidningen är tvåspråkig, på finska och svenska, och utges genom finska statens försorg. I tidningen införs bland annat de meddelanden, kungörelser och andra handlingar som enligt lag ska tillkännages i officiell tidning. Tidningen regleras i lag om den officiella tidningen (2.10.1931/268).

Enligt 28 § får en biobank lämna ut nödvändiga personuppgifter till Institutet för hälsa och välfärd eller någon annan registeransvarig, om det för genomförandet av forskningen är motiverat att sambearbeta uppgifterna i den registeransvariges personregister med prover eller uppgifter i biobanken och utlämnandet uppfyller villkoren i 26 §. Institutet för hälsa och välfärd och andra registeransvariga ska innan uppgifterna lämnas vidare till den som ansvarar för forskningen förse dem med samma projektspecifika kodbeteckning som används av biobanken, om inte den registrerade eller någon annan som har rätt att ge samtycke har gett ett uttryckligt samtycke till utlämnande av identifierbara personuppgifter.

Mottagarens skyldigheter framgår av 29 §. Mottagaren får förvara och använda de prover och tillhörande uppgifter som lämnats ut från en biobank under den tid som forskningen varar enligt en forskningsplan, om det inte har avtalats om en längre förvaringstid. Om mottagaren enligt avtalet har rätt att förvara prover för framtida forskning, ska bestämmelserna i biobanklagen om villkoren för hanteringen av proverna iakttas. Mottagaren ska vidare genom avtal åläggas en skyldighet att publicera resultaten av biobanksforskningen (27 §).

7.2.5. Statistikcentralen

I Finland har Statistikcentralen det huvudsakliga ansvaret för produktionen av den officiella statistiken. Verksamheten regleras av statistiklagen (23.4.2004/280), som innehåller bestämmelser om de förfaringssätt och principer för insamling av uppgifter och framställning av statistik som ska tillämpas när statliga myndigheter framställer statistik. Bestämmelser om offentlighet och sekretess beträffande uppgifter som lämnats för statistiska ändamål samt om tystnadsplikt och förbud mot utnyttjande finns i lagen om offentlighet i myndigheternas verksamhet (se ovan). Som huvudregel är handlingar som överlämnats till statistikmyndigheter för statistikframställning sekretessbelagda (24 § 16 lagen om offentlighet i myndigheternas verksamhet). En statistikmyndighet får dock lämna ut sekretessbelagda uppgifter för vetenskaplig forskning och statistiska utredningar som gäller samhällsförhållanden (13 § statistiklagen). Enligt huvudregeln i 13 § tredje stycket får en statistikmyndighet endast lämna ut anonymiserade uppgifter för sådana ändamål. Enligt 19 § statistiklagen får Statistikcentralen dock lämna ut identifikationsuppgifter och uppgift

om en persons ålder, kön, yrke och socioekonomiska ställning om uppgifterna ska användas för vetenskaplig forskning eller för statistiska utredningar om samhällsförhållandena och den som får uppgifterna har rätt att behandla uppgifterna enligt personuppgiftslagen.

Oberoende av sekretessbestämmelsen får en statistikmyndighet producera och för offentligt bruk överlåta sådana avidentifierade filer med uppgifter som samlats in för statistiska ändamål och som har bearbetats på ett sådant sätt att det statistiska objektet inte heller indirekt kan identifieras. (13 a § statistiklagen). Undantagna från sekretessen är offentliga uppgifter i företagsregistret samt de offentliga uppgifter som beskriver statliga och kommunala myndigheters verksamhet.

En organisation kan ingå avtal med Statistikcentralen om användning av uppgifter på distans. Vid uppkoppling via nätet öppnas en distansanslutning mellan forskarens arbetsstation och Statistikcentralens server. Forskaren får tillgång till Statistikcentralens material via en skyddad uppkoppling. Det är också möjligt att få tillgång till material som inte är skyddat mot indirekt identifiering. Undersökningsmaterial eller annat material får överföras från systemet bara när det har genomgått en kontroll av Statistikcentralen.

En forskare kan hyra en forskarplats i Statistikcentralens forskningslaboratorium. I laboratoriet kan forskaren bearbeta skyddade material på en dator som han eller hon har till sitt förfogande. Forskaren kan också få tillgång till skyddade urvalsmaterial på en cd- eller dvd-skiva eller ett usb-minne som skickas till forskaren. Endast material som är skyddade mot direkt eller indirekt identifiering får överlåtas på detta sätt. Uppgifter om personer eller hushåll kan endast överlåtas om det inte är möjligt att identifiera individer, direkt och indirekt.

7.2.6. Institutet för hälsa och välfärd

Institutet för hälsa och välfärd (THL) ansvarar för ett antal register som innehåller hälsodata, bland annat födelseregister, abortregister, register över uppgifter om missbildningar, finska cancerregistret och vårdanmälningsregistret för öppen primärvård. Uppgifterna i social-, hälso- och sjukvårdens register och handlingar är sekretessbelagda. THL kan dock i enskilda fall bevilja tillstånd att använda register och handlingar för vetenskaplig forskning, efter att yttrande från Dataombudsmannen har inhämtats. Om forskningsprojektet kräver

att uppgifterna ska sambearbetas med uppgifter från andra register är det möjligt att få ut identifierbara data.

THL lyder under Social- och hälsovårdsministeriet. Om forskaren önskar tillgång till uppgifter hos flera av de myndigheter som lyder under Social- och hälsovårdsministeriet till exempel Arbetshälsoinstitutet, Strålskyddscentralen, sjukvårdsdistrikt och kommunernas hälsovårdscentraler, ska tillstånd om utlämnande sökas hos Social- och hälsovårdsministeriet.

7.3. Norge

7.3.1. Offentlighet och sekretess

I Norge regleras tillgången till insyn i offentlig verksamhet av lov om rett til innsyn i dokument i offentleg verksemd (offentleglova) (lov 19 maj 2006 nr. 16). Lagen innehåller allmänna regler om allmänhetens rätt till insyn i förvaltningsdokument. Enligt huvudregeln i 3 § är “saksdokument“, journaler och liknande register hos en statlig eller kommunal myndighet offentliga om inte undantag gjorts i offentlighetsloven, föreskrifter meddelande med stöd av denna eller speciallagstiftning. Lagen gäller också i vissa fall för privata rättssubjekt (2 §). Lagen gäller inte för Stortinget, Riksrevisionen, Stortingets ombudsman, andra organ hos Stortinget eller domstolarna. Med dokument avses en logiskt avgränsad informationsmängd som är lagrad på ett medium för senare läsning, avlyssning med mera, således även olika slags elektroniska upptagningar.

Reglerna om undantag från offentlighetsprincipen har samlats i tredje kapitlet. Upplysningar som är belagda med tystnadsplikt enligt lag eller föreskrift är undantagna från insynsrätten (13 §). Sekretessen är absolut, men kan dock brytas efter samtycke från den som sekretessen gäller. Det finns också fakultativa sekretessbestämmelser, det vill säga bestämmelser där dokument kan, men inte måste, sekretessbeläggas enligt offentlighetslagen. Detta gäller bland annat interna dokument som en myndighet har utarbetat inom ramen för förberedelser av ärendet och dokument som innehåller uppgift som kan skada rikets säkerhet med mera. Varje myndighet har i dessa fall en skyldighet att självständigt värdera om ett dokument bör offentliggöras eller inte. Enligt principen om ”meroffentlighet” (11 §) ska en myndighet om möjligt helt eller delvis ge insyn. Myndigheten

ska tillåta insyn om behovet av insyn väger tyngre än behovet av skydd.

De sekretessgrunder som anges i tredje kapitlet utvecklas och preciseras i de föreskrifter som har utfärdats i anslutning till offentlighetsloven och i speciallagstiftningen.

När det gäller en myndighets möjligheter att lämna ut uppgifter finns det i speciallagstiftningen vissa bestämmelser om uppgiftsskyldigheter som bryter tystnadsplikten. I 13 b § 5 och 6 lov om behandlingsmåten i forvaltningssaker (lov 10. februari 1967) (forvaltningsloven) anges också undantag från tystnadsplikten när det gäller uppgiftsutbyte mellan myndigheter. Enligt 13 d § kan, när det anses rimligt och inte bedöms olämpligt i förhållande till andra intressen, departementet bestämma att en myndighet kan eller ska lämna ut uppgifter för forskningsändamål. Bestämmelser om sådant utlämnande kan förenas med villkor, till exempel vem som ska ha ansvar för uppgifterna och vem som ska ha åtkomst till dem, om förvaring och återlämning av material, om förstörande av avskrifter med mera. Tystnadsplikt gäller för forskare för uppgift från en myndighet som där är belagd med tystnadsplikt och för uppgift som mottagits från enskild med löfte om sekretess (13 e §). Uppgifter får bara användas om det är nödvändigt för forskningsarbetet och om det är förenligt med villkor som uppställts enligt 13 d §.

7.3.2. Personuppgiftsbehandling

Norge har implementerat dataskyddsdirektivet genom lov om behandling av personopplysninger (personopplysningsloven) (lov 14. april 2000 nr. 31). Enligt 2 kap. 8 § får personuppgifter endast behandlas om den enskilde har samtyckt till behandlingen. Liksom i de övriga nordiska länderna görs dock vissa undantag från denna huvudregel, till exempel om den framgår av lag att behandlingen är tillåten eller att det är nödvändigt för att utföra en uppgift av allmänt intresse. Med sådant allmänt intresse avses bland annat forskning. Känsliga personer definieras i 2 § som upplysningar om rasmässig eller etnisk bakgrund, politisk, filosofisk eller religiös uppfattning, att en person varit misstänkt, anhållen, tilltalad eller dömd för en straffbar handling, hälsoförhållanden, sexuella förhållanden och medlemskap i fackförening. Känsliga personuppgifter får endast behandlas om ett av villkoren i 2 kap. 8 § är uppfyllda och något av de förhållanden som anges i 2 kap. 9 § är för handen. Känsliga person-

uppgifter får behandlas om den enskilde samtycker. De får också behandlas om det är nödvändigt för historiska, statistiska eller vetenskapliga ändamål och om samhällets intresse av behandlingen klart överstiger de olägenheter det kan medföra för den enskilde. Liksom i de andra nordiska länderna gäller vissa grundkrav för att behandlingen ska vara tillåten (2 kap. 11 §), till exempel att uppgifter bara får behandlas för uttryckligt angivna ändamål som är sakligt berättigade med hänsyn till den personuppgiftsansvariges verksamhet och att behandling för andra ändamål som är oförenliga med det ursprungliga inte får ske utan den registrerades samtycke. Enligt andra stycket ska senare behandling för historiska, statistiska eller vetenskapliga ändamål inte anses oförenliga med det ursprungliga ändamålet om samhällets intresse av att behandlingen kommer till stånd klart överstiger den olägenhet som behandlingen kan medföra för den enskilde. Enligt 2 kap. 12 § får personnummer bara behandlas om det finns ett behov av säker identifiering och metoden är nödvändig för att uppnå sådan identifiering.

All automatiserad behandling av personuppgifter och upprättandet av manuella register som innehåller känsliga personuppgifter ska anmälas till Datatilsynet (31 §). Anmälan ska bland annat innehålla uppgift om vem som är personuppgiftsansvarig, när behandlingen börjar, vem som har det dagliga ansvaret för behandlingen, ändamålet med behandlingen och den rättsliga grunden för behandlingen.

För behandling av känsliga personuppgifter krävs tillstånd (konsession) från Datatilsynet. Datatilsynet kan bestämma att även behandling av andra personuppgifter kräver tillstånd, om behandlingen kommer att kränka tungt vägande integritetsintressen. Om det framgår att tillstånd är uppenbart onödigt kan Datatilsynet bestämma att behandlingen inte kräver tillstånd. Datatilsynet kan förena tillståndet med särskilda villkor för behandlingen om det bedöms nödvändigt för att begränsa olägenhet för den enskilde.

När det gäller behandling av personuppgifter inom medicin- och hälsoområdet finns särskild lagstiftning som ska beaktas. Behandling av personuppgifter inom hälso- och sjukvården regleras av lov om helseregistre og behandling av helseopplysninger (lov 18. maj 2001 nr. 24)(helseregisterloven). Syftet med lagen är inte bara att garantera att personuppgiftsbehandlingen inom sjukvårdsverksamheten sker på ett effektivt sätt utan att kränka den enskildes integritet, utan också att göra det möjligt för forskning och statistik att bidra till information och kunskap om hälsoförhållandena inom befolk-

ningen (1 §). Med hälsoregister avses en samling av hälsouppgifter som lagras systematiskt så att uppgifterna om en enskild person kan identifieras (2 § 6). Denna definition omfattar allt från elektroniska patientjournaler till landsomfattande hälsoregister som bara används för statistik och forskning. Lagen gäller enligt 3 § helt eller delvis automatiserad behandling av hälsodata inom vård- och omsorg samt behandling av hälsodata i ett hälsoregister eller Helsearkivregisteret i Norsk helsearkiv. Lagen gäller både offentlig och privat verksamhet.

Helseregisterlovens huvudregel är att registrering ska baseras på den enskildes samtycke. Kravet på samtycke innebär att den enskilde först ska ges grundlig information vad en registrering innebär och sedan aktivt ska samtycka till registrering.

De centrala hälsoregistren regleras i 2 kap 8 §. De är nationella och det är möjligt införa bestämmelser om att uppgifter till registren ska få samlas in utan enskildas samtycke. I de register som anges i lagen får uppgift om namn, födelsenummer och andra direkt identifierbara uppgifter behandlas utan samtycke från den registrerade i den utsträckning det är nödvändigt för att uppnå ändamålet med registret. Dessa register är dödsorsaksregistret, cancerregistret, medicinska födelseregistret, registret över smittsamma sjukdomar, det centrala tuberkulosregistret, systemet för vaccinationskontroll (SYSVAK), försvarets hälsoregister, norska patientregistret, nationella databasen för elektroniska recept och nationella registret över hjärt- och kärlsjukdomar.

7.3.3. Personvärnsombud

I stället för att begära tillstånd från Datatilsynet inför varje forskningsprojekt kan en forskningshuvudman anmäla ett personvärnsombud (personvernombod). Norsk samfunnsvitenskapelig datatjeneste AS (NSD) är personvärnsombud for forskning och cirka 150 forskningsinstitutioner har anmält NSD som sitt personvärnsombud. Till dem hör till exempel alla universitet, högskolor och sjukhus. Forskare som ska genomföra ett projekt som innebär behandling av personuppgifter ska anmäla det till personvärnsombudet. Anmälningsplikt gäller vid automatiserad behandling av personuppgifter och vid all behandling av känsliga personuppgifter. Anmälningsplikten gäller även om uppgifterna är kodade. Projektet ska anmälas senast 30 dagar innan datainsamlingen börjar. Personvärn-

sombudet värderar forskningsprojektet i förhållande till bestämmelserna i personopplysningsloven och tillhörande föreskrifter, och om projektet inte överensstämmer med regelverket kan ombudet komma med förslag på vilka ändringar som bör göras. Projektet får inte påbörjas innan det har godkänts av personvärnsombudet. I de fall tillstånd från Datatilsynet krävs utformar personvärnsombudet tillsammans med den sökande ansökan. Tillstånd kan till exempel vara nödvändigt för projekt som behandlar känsliga personuppgifter som rör ett stort antal personer och som kommer pågå under lång tid eller vid behandling av stora datamängder som inte är tillfredställande anonymiserade eller om bortfallsanslyser ska göras.

Personvärnsombudet ska vidare bland annat bistå forskare med information inom personuppgiftshantering och arkivering samt föra en översikt över alla pågående behandlingar.

7.3.4. Etikprövning

Forskning inom medicin- och hälsoområdet regleras i lov om medisinsk og helsefaglig forskning (helseforskningsloven)(lov 20. juni 2008 nr. 44). Lagens ändamål är att främja god och etiskt försvarbar forskning på medicin- och hälsoområdet. Lagen gäller för forskning på människor, biologiskt material från en människa och hälsodata. Även pilotstudier och utprövande av behandling forskning avses. Lagen innehåller krav på hur medicinsk och hälsovetenskaplig forskning ska vara organiserad (2 kap. 5–8 §§), bland annat tystnadslikt för den som får tillgång till hälsodata inom ett forskningsprojekt (2 kap. 7 § ).

Forskning med hälsouppgifter för andra ändamål än medicinsk- och hälsovetenskaplig forskning, till exempel för samhällsvetenskapliga ändamål, regleras av personopplysningsloven och är anmälningspliktig till personvernombudet/Datatilsynet.

Ett forskningsprojekt ska förhandsgodkännas av en regional kommitté för medicinsk och hälsovetenskaplig forskning (3 kap. 9 § ). Den etiska kommittén ska göra en allmän forskningsetisk värdering av projektet och bedöma om det uppfyller kraven i lagen. Kommittén kan uppställa villkor för godkännande. Den regionala kommitténs beslut kan överklagas till den nationella forskningsetiska kommittén för medicin och hälsovetenskap (lov om behandling av etikk og redelighet i forskning (lov 30. juni 2006 nr. 56) (forskningsetikkloven). Vid väsentliga förändringar av projektets ändamål, metod,

tidsplan eller organisation krävs nytt godkännande av kommittén. Om förändringarna är så stora att det anses utgöra ett nytt projekt ska en ny ansökan om förhandsgodkännande lämnas in.

Enligt 4 kap. 13 § helseforskningsloven krävs som huvudregel samtycke från deltagare i medicinsk och hälsovetenskaplig forskning. Samtycket ska vara informerat, frivilligt, uttryckligt och dokumenterbart. Det ska bygga på information om ett specifikt forskningsprojekt. Forskningsdeltagare kan dock samtycka till att biologiskt material och hälsodata används för närmare bestämda, brett definierade forskningsändamål, så kallat brett samtycke (4 kap. 14 § ). Den regionala kommittén kan bestämma villkor för användandet av brett samtycke och kan föreskriva att en projektledare ska inhämta nytt samtycke om kommittén anser det nödvändigt. Forskningspersoner som har avgett ett brett samtycke har rätt att få regelbunden information om projektet. Vid väsentliga ändringar i ett forskningsprojekt ska nytt samtycke inhämtas (4 kap. 15 §). Om det är svårt att inhämta nytt samtycke kan den regionala kommittén godkänna ny eller ändrad användning av tidigare insamlade biologiskt material eller hälsodata utan att samtycke inhämtas. Det kan bara ske om forskningen anses vara av väsentligt intresse för samhället och hänsyn till deltagarnas välfärd och integritet tillvaratas. Kommittén kan fastställa villkor för behandlingen. Samtycke behövs inte vid användning av anonymiserat biologisk material och anonymiserade uppgifter.6

I sjunde kapitlet helseforskningsloven finns särskilda bestämmelser som rör behandling av hälsouppgifter i medicinsk och hälsovetenskaplig forskning. Behandlingen ska ha uttryckligt angivna ändamål (7 kap. 32 §). Hälsouppgifter får inte användas för ändamål som är oförenliga med det ursprungliga ändamålet om inte den enskilde lämnat sitt samtycke eller det följer av lag.

Den regionala kommittén kan bestämma att hälsouppgifter som samlats in inom vård- och omsorgsverksamhet får användas för forskning, och att det kan ske utan att tystnadsplikten förhindrar det. (7 kap. 35 § ). Det får bara ske om forskningen är av väsentligt intresse för samhället och hänsynen till deltagarnas välfärd och integritet tillvaratas. Kommittén kan fastställa villkor för behandlingen. Reglerna om tysthetsplikt gäller även för den som mottar uppgifterna.

6 Enligt 1 kap. 2 § 3 helseregisterloven avses med anonymiserade uppgifter sådana uppgifter där namn, födelsenummer och andra personliga kännetecken har tagits bort så att uppgifterna inte längre kan knytas till en enskild person.

7.3.5. Biobanker

Biobanker regleras i Norge genom lov om behandlingsbiobanker (lov 21. februari 2003 nr. 12) (behandlingsbiobankloven) och helseforskningsloven. Behandlingsbiobankloven reglerar diagnostiska biobanker och behandlingsbiobanker, det vill säga samlingar av mänskligt biologiskt material som har lämnats för medicinsk undersökning, diagnostik och behandling. Helseforskningsloven gäller för forskningsbiobanker, vilket är samlingar av mänskligt biologiskt material som används i ett forskningsprojekt eller ska användas för forskning.

Enligt behandlingsbiobankloven krävs det i princip samtycke för insamling, bevarande och användning av vävnadsprover i diagnostiska biobanker och behandlingsbiobanker (11 §). Provgivaren måste informeras om att vävnadsprover under vissa förutsättningar kan komma att användas för forskningsändamål och ha fått tillfälle att motsätta sig forskning. Det finns ett register (reservasjonsregisteret) över dem som har motsatt sig att deras vävnadsprover används för forskning. Det är också möjligt för den enskilde att när som helst återkalla samtycket och att kräva att vävnadsprovet förstörs. För övriga kan vävnadsprover som har samlats in i hälso- och sjukvården användas för forskningsändamål. Den regionala kommittén för forskningsetik kan besluta att sådana vävnadsprover kan eller ska användas för forskningsändamål utan provgivarnas samtycke i varje enskilt fall (6 kap. 28 § helseforskningsloven). För att ett sådant projekt ska godkännas av kommittén krävs det att forskningen är av väsentligt intresse för samhället och att hänsyn har tagits till provgivarnas välfärd och integritet.

Enligt behandlingsbiobankloven kan utomstående ges tillgång till vävnadsprover i en diagnostisk biobank eller en behandlingsbiobank, om det finns samtycke från provgivaren. Vid bedömningen om annan ska ges tillgång till materialet ska beaktas om tillgången kommer att försvåra myndighetens egen behandling av materialet, givarens intressen och av egen och andras behandling av materialet (3 kap. 15 §). Om givaren har motsatt sig vidarelämning ska det respekteras. En regional etikkommitté kan dock bestämma att vävnadsprover som samlats in inom hälso- och sjukvård för diagnosticering och behandling kan eller ska lämnas ut för forskningsändamål utan inhämtande av den enskildes samtycke (6 kap. 28 § helesforskningsloven). En förutsättning är att forskningen är av väsentligt intresse för samhället och hänsyn till den enskildes välfärd och integritet tillvaratas.

För forskningsbiobanker gäller enligt helseforskningsloven att samtycket ska vara informerat, uttryckligt och dokumenterat (4 kap. 13 §). Huvudregeln är att samtycket ska bygga på specifik information om ett konkret forskningsprojekt, men som ovan anges finns det möjlighet att samtycket i stället kan avse närmare bestämda, brett definierade forskningsändamål (4 kap. 14§). Deltagarna har rätt till regelbunden information om projektet. Även för vävnadsprover som hör till forskningsbiobanker är det möjligt för enskilda att när som helst återkalla samtycket och att kräva att vävnadsprovet förstörs.

För upprättande av en forskningsbiobank krävs godkännande av en regional etikkommitté (6 kap. 25 §). För varje forskningsbiobank ska det finnas en ansvarig person med medicinsk eller biologisk utbildning.

Den ansvarige för en forskningsbiobank ska ge andra forskare tillgång till vävnadsprover i biobanken, om inte den forskningsansvarige själv har behov av proverna eller det annars finns särskilda skäl mot detta. Det krävs förhandsgodkännande från etikprövningsnämnd.

7.3.6. Statistisk sentralbyrå

Statistisk sentralbyrå (SSB) är den centrala myndigheten för insamling, bearbetning och förmedling av officiell statistik i Norge. Verksamheten regleras av lov om offisiell statistikk og Statistisk sentralbyrå (lov 11. januari 2013 nr. 3) (statistikkloven). Utlämnande av uppgifter för forskningsändamål kan ske till forskare på godkända forskningsinstitutioner och till studenter på masters- och doktorandnivå som står under handledning av någon vid en sådan institution. Grunden för SSB:s utlämnande av uppgifter för forskningsändamål är Datatilsynets beslut den 16 mars 2006.

SSB lämnar endast ut anonymiserade uppgifter om personer. Den som önskar använda uppgifter från SSB ska anmäla projektet till personvärnombudet NSD, personvärnombudet på den egna institutionen eller till Datatilsynet. Projektet kan också kräva tillstånd av Datatilsynet. Forskningsinstitutionen ansöker själv hos den ansvariga myndigheten om rätt att få ut uppgifter till ett forskningsprojekt.

Om uppgifterna är sekretessbelagda ska forskaren ansöka om tillstånd till dispens från tystnadsplikten så att uppgifterna kan läm-

nas ut. Tillstånd söks hos den instans som är överordnad den registerhållande myndigheten. Det gäller de flesta uppgifter som är hämtade från förvaltningsregister. Även Datatilsynet ska ta ställning till dispens från tystnadsplikten enligt statistikkloven.

7.3.7. Folkehelseinstituttet

Folkehelseinstituttet ansvarar för tio centrala hälsoregister, till exempel dödsorsaksregistret, medicinska födelseregistret, abortregistret och hjärtkärlregisteret. Registren används för hälsoövervakning i form av hälsostatistik och beredskap, kvalitetssäkring, forskning, administration och styrning. Folkehelseinstituttet ansvarar också för en del undersökningar inom hälsoområdet, till exempel Den norske mor og barn-undersøkelsen (MoBa) och en biobank.

Folkehelseinstituttet kan lämna ut uppgifter ur centrala hälsoregister, undersökningar och biobanksprover för forskningsändamål. Uppgifterna kan lämnas ut i kodad form, men också i form av identifierbara uppgifter om det är nödvändigt för att projektet ska kunna genomföras.

7.4. Sammanfattning

Samtliga de ovan angivna länderna har lagstiftning som medför långtgående möjligheter för enskilda att ta del av offentliga handlingar. Huvudprincipen är att var och en har rätt till insyn i handlingar och upptagningar som innehas av en offentlig myndighet, om inte offentligheten har begränsats i lag. I Danmark faller dock register hos en myndighet som inte hör till något visst ärende utanför bestämmelserna om offentlighet och regleras i stället av personuppgiftslagen. I samtliga länder finns bestämmelser som medger utlämnande av annars sekretessbelagda uppgifter för forskningsändamål.

Länderna har implementerat dataskyddsdirektivet genom en nationell personuppgiftslag. För behandling av personuppgifter krävs som huvudregel samtycke. Från huvudregeln görs dock i Sverige, Danmark och Norge undantag bland annat för behandling som är nödvändig med hänsyn till en uppgift av allmänt intresse, varav forskning har ansetts kunna utgöra ett sådant intresse. I den finska lagen anges uttryckligen att personuppgifter får behandlas för forsk-

ningsändamål utan den enskildes samtycke om vissa villkor är uppfyllda.

När det gäller definitionen av känsliga personuppgifter görs en vidare tolkning av begreppet i den danska och finska lagstiftningen. I samtliga länder finns undantag från förbudet mot behandling av känsliga personuppgifter för forsknings- och statistikändamål. I Danmark krävs tillstånd från Datatilsynet för behandling av känsliga personuppgifter. För auktoriserade institutioner på Danmarks Statistik och SSI gäller emellertid generella tillstånd för behandling av uppgifter från myndigheterna. I Finland gäller att behandling av känsliga personuppgifter för historisk eller vetenskaplig forskning eller för statistikföring ska anmälas till Dataombudsmannen, om uppgifterna samlats in från andra källor än den registrerade själv och utan den registrerades samtycke. I Norge ska all automatiserad behandling av personuppgifter anmälas till Datatilsynet och för behandling av känsliga personuppgifter krävs tillstånd från samma myndighet. När det gäller forskning kan forskningshuvudmannen, i stället för att begära tillstånd från Datatilsynet, anmäla ett personvärnsombud och anmäla behandlingen dit.

När det gäller etikprövning av forskning skiljer sig bestämmelserna åt i de nordiska länderna. I Finland och Danmark krävs etikprövning endast vid medicinsk forskning och kliniska prövningar. I den danska lagen anges att enkätundersökningar och hälsovetenskapliga registerforskningsprojekt är anmälningspliktiga endast om forskningen omfattar mänskligt biologiskt material. I Norge gäller att forskning inom medicin- och hälsoområdet, inklusive forskning på hälsodata, ska godkännas av en etisk kommitté.

I Danmark finns ingen särskild biobankslag, utan verksamheten regeras i annan lagstiftning. Som huvudregel utgör en biobank ett register med personuppgifter och faller därmed under personuppgiftslagens bestämmelser. All insamling och behandling av personuppgifter måste anmälas och godkännas av Datatilsynet. Vävnadsprover får som huvudregel inte användas för andra ändamål än dem provgivaren uttryckligen samtyckt till. Vävnadsprov som lämnats för behandling kan dock lämnas ut för ett forskningsprojekt om projektet godkänts av en etisk kommitté och patienten inte registerat sig i det så kallade vævsanvendelsesregisteret. I Norge regleras biobanksverksamheten genom behandlingsbiobankloven och helseforskningsloven. Även i Norge kan vävnadsprover som insamlats inom hälso- och sjukvård användas för forskningsverksamhet efter prövning av en etikkommitté. Liksom i Danmark finns det möjlig-

het att genom registrering i ett reservasjonsregister motsätta sig användning av vävnadsprover för forskningsändamål. När det gäller forskningsbiobanker har den enskilde möjlighet att lämna samtycke till brett definierade forskningsändamål. I Finland finns i stället en särskild biobankslag som gäller för all biobanksverksamhet. Även här är huvudregeln för användning av prover och uppgifter som hör till proverna samtycke från den enskilde, men den enskilde kan ge breda samtycken till senare användning av proverna, till exempel för forskning.

8. Bakgrund, nuläge och utmaningar

8.1. Bakgrund

Vetenskapsrådets (VR) styrelse beslöt våren 2004 att utreda förutsättningarna för att förbättra villkoren för forskning med svenska registerdata. En arbetsgrupp avlämnade sin rapport i september 2005. I den konstaterades att Sverige visserligen hade en framskjuten position internationellt när det gällde såväl epidemiologiska studier som annan forskning baserad på registeruppgifter, men att forskarsamhället ännu inte dragit tillnärmelsevis full nytta av den unika nationella resurs som finns i svenska register. Viktiga skäl bedömdes vara otillräcklig teknisk och institutionell infrastruktur, bristande samordning mellan myndigheter och enskilda forskargrupper samt liten kännedom om de nationella registrens potential. Det framhölls också att registerbaserad forskning inte bara är spännande för forskarna utan också i högsta grad samhällsrelevant eftersom den bygger på detaljerade uppgifter om människors faktiska livsförhållanden. Inte minst därför måste dock frågor om individens integritet och oro för missbruk av känsliga personuppgifter tas på största allvar.1

Rapporten resulterade i att VR hösten 2006 tillsatte en kommitté för att arbeta med frågan och dessutom avsatte resurser för ändamålet. Denna kommitté, Database Infrastructure Committee (DISC), fick bland annat i uppgift att stödja utbyggnaden av en infrastruktur för att göra data mer tillgängliga för forskare. Det ledde till en satsning på det så kallade MONA-systemet (MONA = Microdata Online Access) hos Statistiska centralbyrån (SCB). VR har sedan 2006 bidragit till finansiering av uppbyggnad och drift av MONA. Under 2008 beslutade VR att utöver infrastruktursatsningen avsätta särskilda medel för registerbaserad forskning, det så kallade Swedish

1 Strategi och infrastruktur för världsledande forskning på svenska register, Vetenskapsrådet 2005-09-26.

Initiative for Research on Microdata in the Social and Medical Sciences (SIMSAM). Utlysningen innebar att bidrag gavs till ett antal forskargrupper och en forskarskola inom den befolkningsbaserade registerforskningens område. Grupperna fick också i uppdrag att driva registerforskningen framåt genom att sprida kunskaper till andra.2 VR har sedan 2012 även finansierat viss gemensam infrastruktur för SIMSAM-noderna, det så kallade SIMSAM INFRAprojektet.3

Våren 2012 avlämnade jag inom ramen för ett tidigare utredningsuppdrag, Statistikutredningen, ett delbetänkande, Registerdata

för forskning (SOU 2012:36). Det resulterade i att regeringen i pro-

positionen Forskning och innovation (prop. 2012/13:30) föreslog att VR skulle ges i uppdrag att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål. Anslaget för detta ändamål föreslogs öka med 25 mnkr för 2013 och med ytterligare 25 mnkr per år för de följande tre åren. Riksdagen beslutade i enlighet med förslaget. Regeringen har därefter i regleringsbrev till VR uppdragit åt myndigheten att genomföra det som regering och riksdag beslutat om. VR ska enligt regleringsbrevet bistå forskare med information om register och om relevant lagstiftning.4

VR har inlett ett arbete för att fullgöra dessa åtaganden. Det har delats in i tre delprojekt:

  • att inrätta ett registerdataråd
  • att tillhandahålla en informations-, rådgivnings- och utbildningsfunktion för registerforskning
  • att förbättra tillgängligheten till register för forskningsändamål genom samordning av data.

Registerdatarådet har inrättats i början av 2014 och har haft sitt första sammanträde under våren. I syfte att förbättra informationen till forskare har en särskild webbportal, registerforskning.se, öppnats i SIMSAM INFRAS:s regi. Avsikten är att den under året ska införlivas i VR:s arbete. Portalen ska vara en ingång för forskare som vill ha information om myndigheternas registerdata för forskningsändamål. VR har också initierat en utvärdering av MONA-systemet. Syftet är att utvärdera MONA-systemets funktion och utveckling

2SOU 2012:36, s 50. 3 Large-scale research infrastructures, ansökan till VR 2011. 4 Information från Juni Palmgren och Maria Nilsson, VR, 2014-02-04.

och att undersöka möjligheterna till vidareutveckling av systemet liksom av en eventuell introduktion av ett liknande system vid Socialstyrelsen. Förhoppningen är att dessa system ska kunna kommunicera med varandra.5Det kan också bli aktuellt att undersöka möjligheterna att samordna ansökningar om etikprövning och utlämnande (sekretessprövning) när data begärs ut från flera olika myndigheter.

I december 2012 avlämnade jag Statistikutredningens slutbetänkande till regeringen (SOU 2012:83). I detta föreslog jag bland annat att det i SCB:s instruktion skulle skrivas in att en av dess uppgifter ska vara att bistå forskningen med data.6Finansdepartementet har uppgett att man har för avsikt att föreslå en sådan ändring i instruktionen, men att det beräknas ske tidigast efter sommaren 2014.7

Under senare år har en särskild problematik när det gäller registerbaserad forskning uppmärksammats, nämligen svårigheten att skapa forskningsdatabaser av infrastrukturkaraktär som kan utgöra underlag för flera olika framtida forskningsprojekt. Frågan analyserades noggrant i en VR-rapport från 2010.8 Sådana databaser kan inte prövas enligt etikprövningslagen, utlämnande myndigheter, särskilt SCB, anser sig förhindrade att lämna ut data till dem och Datainspektionen har haft invändningar mot bland annat ändamålsbeskrivningen. Regering och riksdag har i några fall beslutat om särskilda lagar för att stödja sådana forskningsdatabaser. Från senare år kan särskilt nämnas lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) och lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Bägge dessa lagar är tillfälliga och gäller fram till utgången av år 2015. Vad som ska hända därefter kommer att beslutas på grundval av bland annat denna utredning.

I utredningsdirektiven utpekas ett antal omständigheter som bedöms försvåra registerbaserad forskning. Dit hör, förutom svårigheterna att skapa forskningsdatabaser, vissa andra hinder i författningar och regelverk för registeransvariga myndigheter att lämna ut uppgifter för forskningsändamål och sambearbetning av registerdata för forskningsändamål. Jag ska mot den bakgrunden analysera problemen och föreslå lösningar. Det framhålls också att alla de för-

5 Utvärdering av MONA-systemet, uppdragsbeskrivning, 2014-04-15, Vetenskapsrådet Dnr 353-2014-515. 6SOU 2012:83 s. 552. 7 Information från Bob Pernodd, Finansdepartementet, 2014-03-25. 8 Rättsliga förutsättningar för en databasinfrastruktur för forskning, Vetenskapsrådets rapportserie 11:2010.

slag jag lägger fram ska beakta skyddet för den enskildes integritet. Den frågan har jag utförligt behandlat i kapitel 6. Här ska jag redovisa nuläge och utmaningar vad gäller de övriga frågorna och söka identifiera de problem som motiverar förslag om förändringar. De punkter där jag lägger fram konkreta förslag återkommer jag till i kapitel 9.

8.2. Datakällorna

Det finns fyra viktiga datakällor för forskare:

  • Myndighetsregister
  • Kvalitetsregister
  • Biobanker
  • Forskningsregister

Jag ska här kortfattat redovisa dessa datakällor och de utmaningar med dessa som kan finnas från forskningsperspektiv. I avsnitt 8.4 nedan ska jag återkomma till den fråga om forskningsdatabaser för flera olika framtida forskningsprojekt som har berörts ovan.

8.2.1. Myndighetsregister

Uppgifterna i myndighetsregister har, som jag redovisat i kapitel 3, samlats in för administrativa eller statistiska ändamål. Det innebär att dokumentation och kvalitet inte alltid är anpassade till forskningens krav. Registeruppgifter måste därför ofta bearbetas innan de kan användas i forskningen.

I Registerdata för forskning konstaterade jag att forskare ofta har krav på detaljerad information om beståndens sammansättning och om den process som har lett fram till att data finns i registret, till exempel om insamlingsmetoder och klassifikationssystem. I många fall är informationen i register svåröverskådlig och definitioner kan skilja sig mellan olika register. Upplysningar som har betydelse för uppgifternas jämförbarhet över tid kan saknas, till exempel om förändringar som har skett i klassifikationer. Den detaljdokumentation som är tillgänglig i myndighetsregister är i regel avsedd för att i första hand tillgodose de administrativa eller statistiska ändamål för

vilka registren har skapats och inte för den externe användaren.9 Av sådana skäl förutsätts ofta konsultationer mellan forskare och personal hos registerhållaren innan uppgifterna kan behandlas i forskning. Det gäller myndighetsregister men också andra register, såsom hälso- och sjukvårdens kvalitetsregister och olika forskningsregister.

I Statistikutredningens slutbetänkande framhöll jag att det var angeläget att så långt möjligt tillmötesgå de önskemål om förbättrad dokumentation som finns hos forskare. Samtidigt, menade jag, ska man inte ha en övertro på möjligheterna att kunna reglera fram en heltäckande dokumentation. I särskilt komplicerade fall torde det vara ofrånkomligt att dokumentationen måste kompletteras med individuell rådgivning eller information från dataägarnas sida.10 Det måste beaktas att utnyttjandegraden av olika myndighetsregister i forskning varierar kraftigt. Det är därför svårt att ställa upp generella krav på dokumentationen.

Inom Danmarks Statistik har man ett särskilt utvecklingsprojekt för att öka kvaliteten från forskningsperspektiv i sådana register som används särskilt frekvent inom forskning.11 Det ter sig naturligt att sådana initiativ tas också inom till exempel SCB den dag myndigheten får ett tydligt uppdrag att bistå forskningen med data.

8.2.2. Kvalitetsregister

Kvalitetsregister har byggts upp inom hälso- och sjukvården i syfte att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. De ska möjliggöra jämförelser inom hälso- och sjukvården på nationell eller regional nivå. Dessutom får uppgifterna användas för framställning av statistik och i forskning.12 Registren är uppbyggda utifrån interventioner, till exempel höftledsoperationer, sjukdomsepisoder, till exempel hjärtinfarkt, eller kroniska sjukdomar, till exempel diabetes.

I en rapport 2010, Guldgruvan inom hälso- och sjukvården, framtagen på uppdrag av regeringen och Sveriges Kommuner och Landsting (SKL), uppmärksammades den potential som kvalitetsregistren

9SOU 2012:36, s 37. 10SOU 2012:83 s. 308. 11Registerforskning – nye muligheder og nye utfordringer. Rapport fra Registerforskningutdvalget, Ministeriet for Forskning, Innovation og Videregående Uddandelser november 2013. 12 Se avsnitt 5.3.6.3.

innebär för forskningen. Regeringen och SKL har därefter träffat en överenskommelse som innebär att 320 mnkr per år under perioden 2013–2016 satsas på att öka tillgängligheten till och förstärka kvaliteten i registren. Staten står för 70 procent av kostnaderna, SKL för 30. Arbetet leds av en styrgrupp med representanter från staten, landstingen och SKL. Sex registercentra har skapats för att samordna kvalitetsregistren på regional nivå och erbjuda teknisk service. Socialstyrelsen ger stöd vid sambearbetning med uppgifter från andra register.

I april 2014 finns 81 certifierade nationella kvalitetsregister och 24 registerkandidater. De certifierade registren klassificeras i tre kvalitetsgrupper beroende på bland annat täckningsgrad. Sju register finns på den högsta certifieringsnivån:

  • Nationella prostatacancerregistret (NPCR)
  • Nationella Diabetesregistret (NDR/SWEDIABKIDS)
  • Nationella kvalitetsregistret för stroke (Riks-Stroke)
  • Svenska Höftprotesregistret
  • Kvalitetsregistret InfCareHIV
  • Nationellt register hjärtintensivvård, kranskärlsröntgen, PCI, hjärtkirurgi och sekundärprevention (Swedeheart)
  • Svensk Reumatologis Kvalitetsregister (SRQ)

Satsningen kommer att avsevärt öka kvalitetsregistrens användbarhet i forskningen. Antalet vetenskapliga artiklar baserade på uppgifter från kvalitetsregistren har också ökat kraftigt under de senaste fem åren. Även om man tar hänsyn till att uppgiften för antalet artiklar det första året, 2009, är något osäker är det rimligt anta att antalet artiklar kommer att ha tredubblats till år 2016.13

Myndigheten för vårdanalys har av regeringen fått i uppdrag att utvärdera den satsning som görs på de nationella kvalitetsregistren. Utvärderingen ska belysa i vilken utsträckning de uttalade målen med satsningen nås och ska dessutom belysa om organisation och insatser är ändamålsenliga.14

Datainspektionen har under våren 2014 genomfört en tillsyn av kvalitetsregistren och därvid i första hand granskat den information

13 Bertil Lindahl, Kvalitetsregisterkansliet, vid besök 2014-04-08. 14 Regeringsbeslut 2013-10-10, Dnr S2013/7023/FS (delvis).

som ges till uppgiftslämnarna .15 Inspektionen har påtalat en rad brister och beslutat att informationen i olika avseenden måste kompletteras.16

8.2.3. Biobanker

Som jag tidigare har framhållit är möjligheterna att koppla samman registeruppgifter av olika slag med biologiska prover av stort vetenskapligt värde.17I Sverige finns cirka 600 biobanker, varav ungefär hälften hos hälso- och sjukvårdshuvudmännen och ett 50-tal på universitet med medicinsk forskning. Varje år tillförs svenska biobanker 3–4 miljoner prover.18 Hos Institutet för vård och omsorg (IVO) finns ett register över vilka biobanker som finns i Sverige, men det innehåller inga personuppgifter.

Inom biobanksområdet finns ett europeiskt samarbete, BBMRI-ERIC (BBMRI = BioBanking and Molecular Resource Infrastructure), med Sverige som ett av grundarländerna. Den första BBMRI-noden skapades i Sverige år 2009 med stöd av Vetenskapsrådet (BBMRI.se).

BBMRI.se har sedan starten byggt upp en struktur med Karolinska Institutet (KI) som värdinstitution, men med noder vid samtliga svenska universitet med medicinsk fakultet. Samarbetet bygger på ett konsortialavtal från december 2012. Syftet är att främja insamlandet, förvaringen och nyttiggörandet av biobanksprover från storskaliga svenska epidemiologiska projekt och annan forskning. För att få samla in och använda prover i en biobank för forskning krävs godkännande av etikprövningsnämnd.19

Samtidigt sker sedan länge omfattande insamling och sparande av prover i den svenska hälso- och sjukvården, där landstingen och regionerna är huvudmän för merparten. Över 90 procent av alla prover i svenska biobanker finns i dessa sjukvårdshuvudmännens biobanker. Proverna tas från patienter i första hand för diagnostik eller för att följa behandlingar. De flesta prover som tas för sådana ändamål kastas efter analys, men många sparas i biobanker, exempelvis vävnadsprover för diagnostik av cancer. Dessutom finns stora

15 Se avsnitt 5.3.6.5. 16 Datainspektionen, Beslut 2014-04-09, Dnr 679—691 samt 702—703-2013. 17 Se avsnitt 4.4.3. 18 Rapport från projektgruppen Gemensam Svensk Biobanksstruktur, NBR och BBMRI.se 2013. 19 Se avsnitt 5.5.3.

provsamlingar från mödrahälsovården, där prover tas för att utesluta olika infektioner under graviditeten, från gynekologisk cellprovskontroll och från nyföddhetsperioden. Inom landstingen och regionerna hanteras och förvaras också merparten av de prover som tas av forskare för specifika projekt.

Nationellt biobanksråd (NBR) arbetar på uppdrag av regionerna och landstingen för att inom ramen för gällande lagstiftning underlätta att biobanksprover, med beaktande av de enskilda provgivarnas krav på integritet, kan användas för hälso- och sjukvård, forskning och utveckling. SKL fastställer verksamhetsplan och budget och är ägare till det material som utarbetas inom NBR. Till rådets uppgifter hör bland annat att underlätta och samordna den hantering som följer av biobankslagens krav, exempelvis vad gäller information och samtycke, och att, genom framtagande av nationella rutiner och avtalsmallar, underlätta nyttiggörandet av biobanker. NBR har också börjat bygga upp ett register över de prover som finns i biobankerna, Svenska Biobanksregistret (SBR).

De biobanker som finns inom hälso- och sjukvården, liksom de prover som har lämnats ut till annan vårdgivare, enhet för forskning eller diagnostik, offentlig forskningsinstitution, läkemedelsföretag eller annan juridisk person, regleras av lagen (2002:297) om biobanker i hälso- och sjukvården m.m.. År 2008 tillsattes en utredning för att se över lagen och föreslå förändringar. I dess betänkande, En ny

biobankslag (SOU 2010:81), föreslogs bland annat åtgärder som

syftade till att underlätta användningen av biobanker i forskningen, till exempel att spårbarheten skulle förbättras genom ett centralt biobanksregister. Den föreslog vidare en reglering av biobankernas personuppgiftsbehandling och friare former, men tydligare krav, för utlämnande av prover. Hösten 2013 meddelade Socialdepartementet att man inte hade för avsikt att låta förslagen ligga till grund för proposition. Frågan kommer i stället att beredas vidare inom departementet.

I januari 2012 träffade SKL och VR en överenskommelse om att verka för en gemensam utveckling av svensk biobanksstruktur till nytta för såväl forskning som sjukvård. En projektgrupp tillsattes med representanter från NBR och BBMRI.se. I januari 2013 avlämnade projektgruppen rapporten Gemensam Svensk Biobanks-

struktur.20 I den föreslogs bland annat en nationell standard för krav-

nivåer vid nyinsamling av prover, standardiserad dokumentation av

20 Rapport från projektgruppen Gemensam Svensk Biobanksstruktur, NBR och BBMRI.se 2013.

provers kvalitet och en enhetlig informationsstandard för beskrivning av prover. Det föreslogs också att BBMRI.se:s och NBR:s uppdrag och verksamheter skulle integreras. Sedan rapporten publicerades har samarbetet mellan biobanksfaciliteterna fortgått och ett arbete har påbörjats för att formalisera samarbetet.

En svårighet för forskningen i dag är att hitta prover som är relevanta för att kunna besvara bestämda forskningsfrågor. Forskaren kan till exempel vilja finna ett antal prover med vissa önskade egenskaper. För att kunna göra det kan det också behövas information om var på kroppen provet är taget och vilket slags prov det är. Det kan vara viktigt att veta om provet ingår i en större provsamling eller studie. Forskaren kan också vilja söka prover från individer med en specifik diagnos vilka har identifierats med hjälp av ett kvalitetsregister och dessutom vilja veta om det finns prover som har tagits innan patienten fick diagnosen.21

En utmaning i fall som dessa är att kunna spåra proverna. Detta skulle väsentligt underlättas om information om proverna, såsom Biobanksutredningen föreslog, fanns samlade i ett nationellt biobanksregister. För att kunna hitta patienter i undergrupper och med ovanliga diagnoser är det ofta nödvändigt att gå över huvudmannaskapsgränserna. Inriktningen inom hälso- och sjukvården är också att i ökad utsträckning individualisera behandlingen. För att kunna möta sådana krav krävs mer forskning och en infrastruktur som kan tillgodose forskningens behov.

8.2.4. Forskningsregister

Register som har skapats för specifika forskningsprojekt kan komma till användning även för annan forskning. VR uppmuntrar på olika sätt en sådan öppenhet i forskningen.

Sålunda har Svensk Nationell Datatjänst (SND) ett uppdrag av VR att vara en nationell resurs för samordning av existerande och nya forskningsregister inom samhällsvetenskap, humaniora och medicin. Ett syfte är just att data som har samlats in för viss forskning ska göras tillgängliga för framtida forskning och således kunna återanvändas i nya projekt. Forskare kan i detta syfte deponera sina data hos SND.

21 Norlin, L., Fransson, M., Eaker, S., Elinder, G. Och Litton, J-E., Adapting research to the 21st century – the Swedish Biobank Register, Norsk Epidemiologi 2012; 21 (2): 149-153.

Organisatoriskt är SND för närvarande en enhet inom Göteborgs universitet. Finansieringen sker enligt ett samarbetsavtal mellan universitetet och VR, vilka i stort sett delar på kostnaderna. Tanken är rimligen att SND:s uppgift ska vara långsiktig, men trots det har bidraget från VR:s sida varit tidsmässigt begränsat. Avtalet mellan VR och SND löpte ut med utgången av 2012 och förhandlingar om ett nytt avtal pågår ännu under våren 2014.

SND utgör således en viktig infrastruktur för svensk forskning. Att behovet av denna typ av infrastrukturer är stort visas av att sådana i dag finns i snart sagt alla jämförbara länder. I Europa ingår de i ett gemensamt nätverk, CESSDA. Inom EU finns ett CESSDA-ERIC, i vilket Sverige är medlem. SND är svensk utförare (service provider). Målsättningen är att alla europeiska länder och kanske också USA och Australien så småningom ska bli medlemmar.

I flertalet länder är organisationer av detta slag knutna till universitet. I USA samverkar ett stort antal universitet i Inter-university Consortium for Political and Social Research (ICPSR), som har sitt huvudkvarter vid University of Michigan. ICPSR har drygt 700 medlemmar varav de flesta är amerikanska universitet. I ett par av våra nordiska grannländer har man dock valt andra organisatoriska lösningar. I Norge bedrivs Norsk samfunnsvitenskapelig datatjeneste, NSD, som ett aktiebolag under Utdannings- och forskningsdepartementet. I Danmark ingår Dansk Data Arkiv, DDA, i Statens Arkiver.

För vissa forskningsregister finns en kodnyckel bevarad (se vidare avsnitt 8.3.2 nedan). Det innebär att registren innehåller personuppgifter i personuppgiftslagens (1998:204) mening. För flertalet av de register som finns deponerade hos SND är kodnyckeln raderad, men för några finns den bevarad hos en annan myndighet. Under 2012 begärde Datainspektionen att SND skulle upphöra med behandlingen av forskningsregister som innehåller personuppgifter, det vill säga där kodnyckeln finns kvar. SND överklagade beslutet och hävdade att organisationen i de aktuella fallen endast är personuppgiftsbiträde för dataägarna, det vill säga att personuppgiftsansvaret låg kvar hos de universitet och högskolor som hade deponerat registren hos SND. Förvaltningsrätten fastställde emellertid Datainspektionens beslut.

SND har i slutet av år 2013 begärt samråd med Datainspektionen. Syftet är få besked om hur inspektionen anser att den uppkomna situationen ska hanteras. Inspektionen hade i maj månad 2014 ännu inte återkommit i ärendet.

Datainspektionens hållning innebär en kraftig begränsning i SND:s möjligheter att fullgöra de uppgifter organisationen har fått från VR. Svårigheterna kommer att accentueras om kodnycklar, som jag senare kommer att föreslå, regelmässigt behålls under längre tid. Det innebär att fler forskningsregister kommer att innehålla personuppgifter i lagens mening och således inte kommer att kunna deponeras hos SND.

Det reser frågan om vilken organisatorisk hemvist och vilket uppdrag SND bör ha i framtiden. En viktig utgångspunkt måste vara att SND är en långsiktigt viktig infrastruktur för svensk forskning. I

Registerdata för forskning framhöll jag att det är ”angeläget att

verksamheten institutionaliseras och ges en långsiktig finansiering”.

En fråga som det kan finnas anledning att analysera i anslutning till denna frågeställning är ansvaret för arkivering av forskningsmaterial. SND har i dag inte någon sådan uppgift. De register som finns hos SND är endast kopior på de originalregister som forskare har skapat. Arkivering av värdefulla data ska ske hos Riksarkivet och ansvaret för att detta sker åvilar det universitet hos vilket originalregistret finns. Riksarkivet har som tidigare redovisats utfärdat riktlinjer för sådan arkivering.22 I Danmark och Norge har man valt att slå ihop de funktioner som SND respektive Riksarkivet har. I Danmark har DDA organisatoriskt inordnats i Statens Arkiver och i Norge har nyligen ett avtal träffats mellan NSD och Riksarkivet som innebär att NSD fungerar som arkivmyndighet för forskningsdata.23 Datatilsynet har i bägge länderna uppmuntrat dessa lösningar. Det kan finnas skäl att pröva en sådan lösning också i Sverige.

8.3. Tillgänglighet för forskning till register och biobanker

Som framgår av kapitel 5 uppställs i PUL en rad krav för att personuppgifter ska få samlas in och behandlas, bland annat att det bara får ske för särskilda, uttryckligt angivna och berättigade ändamål. Det får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. En behandling för historiska, statistiska eller vetenskapliga ändamål anses dock inte vara oförenlig med det ursprungliga ändamålet, vilket detta än är (9 § PUL).

22 Se avsnitt 5.8.4. 23 Björn Henrichsen, NSD, mail våren 2014.

Personuppgifterna får behandlas om ett av två villkor är uppfyllda: antingen om den registrerade har lämnat sitt samtycke eller om behandlingen är nödvändig till exempel för att en uppgift av allmänt intresse ska kunna utföras (10 § PUL). Forskningen är ett exempel på en sådan uppgift, vilket innebär att bägge dessa villkor kan bli aktuella vid behandling av personuppgifter i forskning.24När det gäller behandling av känsliga personuppgifter (13 § PUL) och vissa personuppgifter om lagöverträdelser (21 § PUL) för forskningsändamål krävs det att forskningen har fått etikgodkännande genom beslut i en etikprövningsnämnd (3 § lagen (2003:460) om etikprövning av forskning som avser människor, etikprövningslagen). Det gäller oavsett om uppgiftslämnaren har samtyckt eller inte.25

Uppgifter som skyddas av statistiksekretess kan lämnas ut av en statistikansvarig myndighet för forskningsändamål om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men (24 kap. 8 § OSL).26

Uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden i ett kvalitetsregister skyddas av hälso- och sjukvårdssekretess (25 kap. 1 § OSL). Även i detta fall kan uppgifterna lämnas ut om det står klart att det kan ske utan att den enskilde eller någon närstående lider skada eller men.27

Prover i en biobank som finns inom hälso- och sjukvården får, förutom för vård och behandling och andra medicinska ändamål, också användas till bland annat forskning. Användning i forskning förutsätter etikgodkännande och etikprövningsnämnden ska också besluta om vilka krav som ska gälla i fråga om information och samtycke.28

Jag ska i det följande diskutera de olika stegen i denna process och vilka problem och utmaningar de kan innebära.

8.3.1. Etikprövningen

För behandling av känsliga personuppgifter, vissa personuppgifter om lagöverträdelser och biologiska prover krävs att forskningen har fått etikgodkännande. Sådant ges med stöd av etikprövningslagen av en etikprövningsnämnd. Det finns sex regionala etikprövnings-

24 Se avsnitt 5.3.4.7. 25 Se avsnitt 5.3.4.9. 26 Se avsnitt 5.6.3.5. 27 Ibid. 28 3 kap. 5 § biobankslagen.

nämnder (Umeå, Uppsala, Stockholm, Linköping, Göteborg och Lund). Inom varje nämnd ska det finnas minst två avdelningar som är specialiserade på olika forskningsområden (25 § etikprövningslagen). Etikprövningsnämndens beslut kan överklagas till Centrala etikprövningsnämnden (36 § etikprövningslagen). Etikprövningsnämnden kan också, om den är oenig, överlämna ärenden till den centrala nämnden för avgörande. De ska ske om minst tre ledamöter så begär (29 § etikprövningslagen).29

Totalt inkom år 2013 cirka 5 700 ärenden till de sex regionala etikprövningsnämnderna (och knappt så många avgjordes under året). Av de inkomna ärendena avsåg drygt 80 procent medicinsk forskning.30

Syftet med etikprövningen är att skydda den enskilda människan och respekten för människovärdet vid forskning (1 § etikprövningslagen). Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning (6 § etikprövningslagen). Forskning får bara godkännas om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde (9 §). Avvägningen förutsätts ske i två steg. Först ska en bedömning av forskningens vetenskapliga bärkraft göras och därefter en avvägning mellan riskerna för skada eller obehag och det väntade värdet av den kunskap forskningen sannolikt kan ge.31

Etikprövning av anonymiserade personuppgifter

Vid de kontakter som jag under utredningen har haft med Centrala etikprövningsnämnden och de regionala etikprövningsnämnderna har framkommit att när det handlar om behandling av anonymiserade personuppgifter ur myndighetsregister bedöms risken för skada eller obehag för dem uppgifterna avser i regel som mycket liten. Denna bedömning överensstämmer med den som domstolar och regeringen har gjort i ett antal utlämnandeärenden.32Från etisk utgångspunkt bedöms dessa projekt därför kunna godkännas utan att någon egentlig värdering av forskningsprojektets nytta görs. Det ska dock understrykas att det finns andra filter som ett forsknings-

29 Se avsnitt 5.5.7–8. 30 Etikprövningsnämndernas årsredovisningar 2013, återfinns på epn.se. 31 Se avsnitt 5.5.5. 32 Se t.ex. Regeringsbeslut 2012-04-26 Dnr Fi2011/2648, RÅ 1988 ref. 103, RÅ 1994 not. 732, RÅ 1996 not. 124.

projekt måste passera för att kunna genomföras och där nyttan och kvaliteten värderas, till exempel vid ansökan om finansiering. Bifallsfrekvensen på ansökningar till exempelvis de statliga forskningsråden torde i genomsnitt ligga under 20 procent vilket innebär att en sträng kvalitetsgranskning sker där.33

En fråga som denna praxis reser är om det är meningsfullt att överhuvudtaget etikpröva forskning som innebär behandling av anonymiserade personuppgifter. Som har framgått av kapitel 7 har man i Danmark och Finland avstått från ett sådant förfarande. Registerforskning kräver där som huvudregel inget etiktillstånd. Det synes inte ha lett till några integritetskränkningar eller andra problem.34

Det förekommer särskilt inom medicinsk forskning att identifierbara personuppgifter lämnas ut. Av de utlämnanden som sker från Socialstyrelsen är i cirka 30 procent av fallen personuppgifterna identifierbara. Identifierbara personuppgifter i form av personnummer eller samordningsnummer får enligt 22 § PUL behandlas utan samtycke om det är motiverat med hänsyn till ändamålet med behandlingen, vikten av säker identifiering eller något annat beaktansvärt skäl.35Exempel på när en forskare kan behöva identifierbara uppgifter är om dessa behöver kontrolleras mot patientjournaler eller om forskaren behöver kontakta individerna i fråga. I det första fallet är det etikprövningsnämnden som har att bedöma om samtycke ska inhämtas eller ej. I det senare kan forskningspersonerna vid kontakt avstå från att medverka.

I etikansökan ska forskaren översiktligt redogöra för undersökningsprocedur, datainsamling och datas karaktär. Om forskaren likväl redovisar preciserade uppgifter i ansökan kan det ibland leda till problem när forskaren i nästa steg vänder sig till en utlämnande myndighet. Från det att etikansökan lämnas in och till det att forskaren kontaktar utlämnande myndighet kan det ofta förflyta en relativt lång tid. Under tiden fortgår forskningsprocessen: forskaren kanske justerar sina forskningsfrågor eller sina önskemål vad gäller uppgifter. Ofta kräver då utlämnande myndighet ett nytt etikgodkännande. Om det handlar om små justeringar kan ett sådant beviljas på tjänstemannanivå hos etikprövningsnämnden och expe-

33 Beviljandegraden inom VR:s olika ämnesråd varierar mellan 8 och 23 procent. Det finns för närvarande en strävan att ge färre men större bidrag vilket tenderar att minska bifallsprocenten. 34 Mads Melbye, Statens Serum Institut, vid besök 2014-03-13, Päävi Hämäläinen, THL, vid besök 2014-04-25. 35 Se avsnitt 5.3.4.11.

dieras ganska snabbt, men denna extra omgång kan likväl utgöra ett irritationsmoment i processen.

Det kan mot denna bakgrund finnas skäl att pröva hur en ansökan till etikprövningsnämnden som avser behandling av anonymiserade registeruppgifter ska utformas för att möjliggöra en etikbedömning och samtidigt inte skapa problem i forskarens kontakter med utlämnande myndigheter. Det har indikerats från VR att man avser resa denna fråga i registerdatarådet.

Uppgifterna får enligt 10 § PUL behandlas om den enskilde har lämnat samtycke eller om behandlingen är nödvändig för att till exempel en arbetsuppgift av allmänt intresse ska kunna utföras. Forskning kan vara en sådan arbetsuppgift. För att få behandla känsliga personuppgifter i forskning krävs alltid etikgodkännande, oavsett om den enskilde har lämnat sitt samtycke till behandlingen eller inte. Om personuppgifterna har samlats in från någon annan källa än den registrerade, ska den personuppgiftsansvarige enligt 24 § PUL lämna den registrerade information om behandlingen av uppgifterna när de registreras. Information behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

När etikprövningsnämnderna godkänner användningen av känsliga personuppgifter kan de enligt 6 § etikprövningslagen förenas med villkor, till exempel med avseende på samtycke och information. Nämnderna har alltså att bedöma vad som ska gälla enligt 24 § PUL. Praxis synes vara att inte ställa krav på inhämtande av samtycke när det handlar om anv än dning av registeruppgifter, särskilt inte anonymiserade uppgifter.

36

Det har emellertid förekommit att etikpröv-

ningsnämnder har stä llt krav på att forskare ska annonsera om sina forskningsprojekt för att ge dem som inte önskar delta i projek te t möjlighet att dra sig ur. Jag har i kapitel 6 diskuterat denna fråga.

37

Vid behandling av identifierbara uppgifter får etikprövnin gs nämnden göra en avvägning i varje enskilt fall. Det ankommer på nämnden att pröva om man för behandlingen ska kräva samtycke från de berörda eller om det kan ske utan samtycke. Även när det gäller studier på biologiskt material som tidigare har tagits från en levande människa ska nämnden vid etikgodkännande av ett forskningsprojekt bestämma vilka krav som ska gälla i fråga om information och samtycke.

36 Peter Höglund, Centrala etikprövningsnämnden, föredrag på Lunds universitet 2014-03-13. 37 Se avsnitt 6.10.

Forskningsprojekt som inte kan etikprövas

VR har i rapporten God forskningssed konstaterat att forskningsprojekt som inte faller under etikprövningslagen inte kan godkännas av etikprövningsnämnd, men att någon form av etikgranskning i många fall ändå efterfrågas även för sådana projekt. Det kan krävas inför en ansökan om medel från nationella eller internationella forskningsfinansiärer eller för att få publicera resultatet av forskningen i vissa vetenskapliga tidskrifter. I sådana fall kan en etikprövningsnämnd avge ett så kallat rådgivande yttrande (4 a § förordningen (2003:615) om etikprövning av forskning). Att avge ett sådant yttrande är emellertid endast en möjlighet för nämnden, inte en skyldighet. Enligt rapporten har det i vissa fall lett till allvarliga konsekvenser för forskares möjligheter till finansiering eller publicering när en nämnd har nekat att avge yttrande. Det bedöms därför vara önskvärt att det införs en lagstadgad skyldighet för etikprövningsnämnderna att avge yttranden till dem som så önskar – eller att detta åtminstone blir praxis.38

I Etikprövningslagen – vissa ändringsförslag (SOU 2005:78) föreslogs att denna möjlighet skulle skrivas in i etikprövningslagen och att de aktuella bestämmelserna därmed skulle utgå ur förordningen.39Någon sådan ändring skedde emellertid inte när etikprövningslagen ändrades 2008.

8.3.2. Utlämnande

Uppgifter som skyddas av sekretess med olika styrka kan lämnas ut till forskning. Även uppgifter som skyddas av statistiksekretess och av hälso- och sjukvårdens sekretessregler kan lämnas ut för forskningsändamål om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men (24 kap. 8 § respektive 25 kap. 1 § OSL).40Det är den myndighet som förvarar en allmän handling, i detta sammanhang den registerhållande myndigheten som enligt Tryckfrihetsförordningen (TF) har att självständigt pröva om utlämnandet kan ske (2 kap. 14 § TF).41 I förarbetena till den tidigare sekretesslagen görs bedömningen att utlämnande till forskning ofta kan ske utan skada för den som upp-

38 God forskningssed, Vetenskapsrådets rapportserie 1:2011. 39SOU 2005:78 s. 74 f. 40 Se avsnitt 5.6.3.5. 41 Se avsnitt 5.6.3.2.

gifterna avser.42När det gäller biobanker är det den ansvarige för biobanken som prövar ansökningar om utlämnande av vävnadsprover, men denne får lämna över frågan till huvudmannen (i regel landstinget eller regionen) för avgörande.43

De uppgifter som är aktuella att lämna ut från statliga myndigheter är ofta uppgifter som samlats in för statistiska ändamål. Det gäller uppgifter som finns hos SCB och andra statistikansvariga myndigheter såsom Socialstyrelsen, Försäkringskassan och Brottsförebyggande rådet (BRÅ).44

För att kunna lämna ut uppgifter som skyddas av statistik- eller hälso- och sjukvårdssekretess måste den utlämnande myndigheten (som kan vara till exempel en statlig myndighet men också ett landsting som är huvudman för ett kvalitetsregister) således förvissa sig om att det står klart att det kan ske utan risk för att den enskilde som uppgifterna avser eller närstående till denna ska lida skada eller men. Det kräver att myndigheten vet för vilket ändamål uppgifterna lämnas ut och till vem. Den ska inte heller enligt 9 § PUL lämna ut fler uppgifter än vad som är nödvändigt med hänsyn till ändamålet. När det gäller konkreta forskningsprojekt är ändamålet i regel inte något problem, särskilt inte om projektet har fått ett etikgodkännande som bara kan ges till specifika projekt. När uppgifter begärs ut till en forskningsdatabas avsedd för olika framtida forskningsprojekt är saken mer komplicerad. Jag återkommer till den frågan nedan i avsnitt 8.4.

När det gäller till vem uppgifterna lämnas ut är mottagaren i regel det universitet eller den högskola där den forskare, som behöver uppgifterna, är anställd. Det är universitetet eller högskolan som efter utlämnandet är personuppgiftsansvarig, inte den enskilde forskaren. Den utlämnande myndigheten måste alltså känna sig förvissad om att skydd och säkerhet fungerar hos det mottagande lärosätet.

Det kan i sammanhanget noteras att Danmarks Statistik och Statens Serum Institut i Danmark har auktoriserat ett antal institutioner vars forskare ganska enkelt kan få fjärråtkomst till uppgifter. Prövningen sker där alltså inte projektvis, utan av institutioner och gäller för lång tid. Institutionerna i fråga är i regel inte hela lärosäten utan kan vara exempelvis forskningsinstitutioner inom uni-

42 Se avsnitt 5.6.3.6. 43 4 kap. 1 § biobankslagen. 44 De statistikansvariga myndigheterna redovisas på SCB:s webbportal, www.scb.se.

versitet och andra organisationer. Ett par hundra institutioner är på detta sätt auktoriserade.

SCB lämnar numera företrädesvis ut uppgifter genom MONAsystemet. Systemet innebär att forskaren kan koppla upp sig mot MONA och bearbeta uppgifterna från sin lokala arbetsplats men att uppgifterna finns kvar hos SCB. Förebilden till MONA finns på Danmarks Statistik som också sedan länge har goda erfarenheter av ett sådant system för fjärråtkomst. I Sverige kan andra statistikansvariga myndigheter också tillhandahålla uppgifter genom MONAsystemet (se mer om sambearbetning nedan under 8.3.3). Det gäller dock inte Socialstyrelsen som av olika skäl inte överlämnar data till SCB. Socialstyrelsen deltar dock för närvarande i den utvärdering som VR har initierat beträffande MONA-systemet och där möjligheterna ska prövas att införa ett motsvarande system hos styrelsen. Det kan nämnas att Statens Serum Institut i Danmark, som tillhandahåller uppgifter av samma slag som Socialstyrelsen, har ett sådant system i bruk.

Bortfallsanalys

En särskild problematik gäller vid så kallade bortfallsanalyser. Vid urvalsundersökningar är det regelmässigt en grupp som inte önskar delta. Vid såväl statistiska undersökningar som forskning är det angeläget att kunna analysera bortfallet, det vill säga att kunna jämföra dem som deltagit med dem som inte gjort det, för att få en uppfattning om hur representativ den grupp är som har svarat. Regeringen har i förarbetena till lagen om den officiella statistiken konstaterat att bortfallsanalyser ska kunna göras eftersom det bedöms vara ett allmänintresse att åstadkomma statistiska undersökningar av hög kvalitet. Samma behov finns inom forskningen. Analysen får i dessa fall emellertid inte baseras endast på känsliga uppgifter utan man får ofta nöja sig med att använda de uppgifter som finns i den så kallade urvalsramen, såsom ålder, kön och bostadsort. Datainspektionen har bedömt att om en undersökning har gjorts efter samtycke, till exempel om forskningspersonerna har svarat på frågor från en forskare, så förutsätter en bortfallsanalys att de som inte velat delta samtycker till den.45Som jag strax ska återkomma till har

45 Rättsliga förutsättningar för en databasinfrastruktur för forskning, Vetenskapsrådets rapportserie, 11:2010, s 63.

emellertid regeringen i ett principiellt viktigt avgörande gjort en annan bedömning på denna punkt.

Överklagande

Ett beslut från en statlig myndighet att inte lämna ut en handling till en annan statlig myndighet kan överklagas till regeringen. Om beslutet avser en privat högskola sker överklagandet till Kammarrätten och ytterst Högsta förvaltningsdomstolen. Ett motsvarande beslut hos ett landsting att inte lämna ut en uppgift överklagas på samma sätt. Ett beslut av den ansvarige för en biobank hos en offentlig vårdgivare att inte lämna ut vävnadsprover ska överlämnas till vårdgivaren för beslut (4 kap. 6 § biobanklagen). Vårdgivarens beslut kan överklagas till IVO (6 kap. 7 § biobankslagen).

Det finns skäl att uppmärksamma tre ärenden om uppgiftsutlämnande från myndigheter som under senare år har varit föremål för regeringsbeslut respektive dom.46

Det första avsåg en begäran från Uppsala universitet att få ut uppgifter för att kunna göra en bortfallsanalys. Inom ramen för ett forskningsprojekt om en åldrande befolknings hälsa och ekonomi (SHARE47) hade man vänt sig till ett antal personer för att göra intervjuer. Universitetet begärde att från Socialstyrelsen få ut vissa uppgifter ur hälsodataregister om dels de individer som hade deltagit i intervjuerna, dels dem som hade valt att inte delta. Syftet med de sistnämnda uppgifterna var just att kunna göra en bortfallsanalys, det vill säga att kunna bedöma hur representativ den grupp var som hade valt att delta. Socialstyrelsen hade avvisat begäran att få ut de uppgifter som krävdes för bortfallsanalysen, det vill säga uppgifterna om de personer som hade valt att inte delta i undersökningen. Myndigheten bedömde ett sådant utlämnande som etiskt tveksamt och ur sekretessynpunkt felaktigt.48

Det andra ärendet avsåg en begäran från Stockholms universitet att få ut vissa registeruppgifter från SCB om resultat, betyg och klas-

46 Regeringsbeslut 2010-11-25 Dnr S2009/10484/HS; Regeringsbeslut 2012-04-26 Dnr Fi2011/2648, Kammarrätten i Göteborg, dom 2012-08-24, Mål nr 4465-12. 47 SHARE (Survey of Health, Ageing and Retirement in Europe) är ett europeiskt projekt, ett s.k. ERIC (se nedan under 8.3.3.2). Sverige har deltagit från starten men projektet har under åren haft sin hemvist vid olika svenska universitet. När det här beskrivna fallet var aktuellt låg SHARE vid Uppsala universitet. Nu finns det vid Umeå universitet. 48 Petra Otterblad Olausson har i mail 2014-05-14 redovisat att Socialstyrelsen erbjöd Uppsala universitet att göra en viss bortfallsanalys, men uppenbarligen bedömde universitetet erbjudandet som otillräckligt och överklagade i stället till regeringen.

ser för skolelever. Uppgifterna skulle användas i en longitudinell studie för att studera effekter av skoltillhörighet på skolresultat och elevers psykiska hälsa samt skolornas arbete med elever som behöver extrainsatser. Forskarna hade i ett tidigare skede försökt att samla in uppgifter direkt från berörda individer men fick ett otillräckligt gensvar. De valde då att i stället göra en renodlad registerstudie. Forskningsprojektet hade även med denna nya design godkänts av den regionala etikprövningsnämnden. SCB ansåg emellertid att uppgifterna inte kunde lämnas ut utan att samtycke hade inhämtats från varje elev.

I bägge fallen biföll regeringen överklagandena och beslöt således att Socialstyrelsen respektive SCB skulle lämna ut de begärda uppgifterna. I besluten angavs i huvudsak följande skäl:

  • En myndighet ska på begäran av en annan myndighet lämna uppgift som den förfogar över om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Bestämmelsen är ett uttryck för den grundläggande principen att myndigheter ska samverka och bistå varandra i den utsträckning som det kan ske.
  • För de uppgifter som hade begärts gäller sekretess hos myndigheterna. Men även sådana uppgifter kan om de behövs för forskningsändamål lämnas ut om det står klart att det kan ske utan att den enskilde eller någon närstående till denne lider skada eller men. Enligt förarbetena till sekretesslagen kan en uppgift mycket ofta lämnas ut till forskare utan beaktansvärd risk för skada. Vid utlämnande överförs sekretessen till universitetet. Uppgifterna kunde därför lämnas till universiteten utan att någon enskild eller närstående till denne lider skada eller men.
  • Att berörda personer i fallet med Uppsala universitet hade tackat nej till att delta i personliga intervjuer inom ramen för forskningsprojektet bedömdes inte ha någon omedelbar relevans för bedömningen av huruvida registeruppgifter kunde lämnas till forskningsprojektet, särskilt inte när det gällde uppgifter som samlats in i syfte att användas för bland annat forskning.
  • De aktuella forskningsprojekten hade godkänts av regionala etikprövningsnämnder och det kunde därför inte antas att de på universiteten skulle behandlas i strid med PUL.

Här bör särskilt uppmärksammas att regeringen, mot bakgrund av att sekretessen automatiskt följer med vid utlämnande av uppgifter från en myndighet till en annan myndighets forskningsverksamhet, bedömer att riskerna för att enskilda ska lida skada eller men vid utlämnande av personuppgifter till forskning är mycket små. Regeringen har också bedömt att universitetet kan begära ut uppgifter om personer som inte önskat delta i en undersökning för att kunna göra en bortfallsanalys. När forskningen har fått godkännande av etikprövningsnämnd kan man inte heller anta att uppgifterna kommer att behandlas i strid med PUL. Det kan också noteras att regeringen åberopar bestämmelsen att myndigheter ska samarbeta och bistå varandra i den utsträckning det kan ske. Detta gäller således även vid samverkan mellan till exempel statistikansvariga myndigheter och statliga högskolor, som ju också är myndigheter.

Det tredje fallet avser en begäran från KI om utlämnande av uppgifter ur blodcentralens register i Region Skåne. Under 2002– 2004 samlade forskare vid KI in data från landets blodcentraler i syfte att studera korttids- och långtidsutfall efter blodgivning och blodtransfusion. Vid analysen av data upptäckte KI att en förhållandevis liten grupp blodgivare hade bidragit med blod till ett oproportionerligt stort antal blodmottagare som utvecklat allvarliga och ovanliga lungkomplikationer med hög dödlighet som följd. För att kunna identifiera de personer som hade drabbats av komplikationerna och de aktuella blodgivarna önskade KI göra om datainsamlingen och därvid få tillgång till identifierbara uppgifter. Man ville genom journalgranskning, blodanalyser med mera utreda varför en del av blodmottagarna drabbas av komplikationer och om det var möjligt att identifiera potentiellt ”farliga” blodgivare för att på så sätt hindra onödiga dödsfall i framtiden.

Region Skåne ansåg sig förhindrad att lämna ut uppgifterna, som var av känslig karaktär. Etikprövningsnämnden hade visserligen godkänt forskningen, men Region Skåne ansåg inte att nämnden hade något lagligt stöd för beslutet eftersom det ansågs handla om att samla in uppgifter till ett forskningsregister som ska användas för opreciserad framtida forskning.49 Kammarrätten i Göteborg avvisade emellertid invändningen och åberopade, liksom regeringen i de ovan nämnda ärendena, vad som anförs i förarbetena till 1980 års sekretesslag att sekretessbelagda uppgifter mycket ofta torde kunna lämnas ut till forskning utan beaktansvärd risk för skada. Kammarrätten

49 Region Skåne använder således här begreppet forskningsregister för det som i den här utredningen kallas forskningsdatabas.

menade således att bestämmelsen i 25 kap. 1 § OSL inte hindrar att uppgifterna lämnas ut. Det kan noteras att Kammarrätten inte fann Region Skånes invändning att det rörde sig om en forskningsdatabas vägande. Rätten fann också att det sätt KI avsåg att behandla uppgifterna inte stod i strid med PUL.

Här kan noteras att Kammarrätten fäste stor vikt vid att sekretessen följer med när uppgifter överlämnas från Region Skåne till KI och att det förhållandet att etikprövningsnämnden godkänt forskningen innebar att uppgiftsbehandlingen inte stod i strid med PUL.

Skydd och säkerhet

Såväl regeringen som Kammarrätten tar således etikprövningsnämndens godkännande till intäkt för att personuppgiftsbehandlingen på universiteten inte kommer att stå i strid med PUL. Enligt 31 § PUL ska den personuppgiftsansvariga vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av bland annat de särskilda risker som finns vid behandlingen av personuppgifterna. I etikansökan ska universitetet eller högskolan redogöra för vilken tillgänglighet datamaterialet har och hur det förvaras samt hur erforderligt sekretesskydd erhålls. Någon närmare prövning härav torde normalt inte göras av etikprövningsnämnderna utan de godtar i regel universitetens och högskolornas försäkringar om att de kan hantera uppgifterna enligt lagens krav. När regeringen och Kammarrätten åberopar etikprövningen i sammanhanget faller den således ytterst tillbaka på dessa försäkringar från de personuppgiftsansvariga universiteten och högskolorna.50

Datainspektionen genomförde under 2012 tillsyn av ett antal projekt hos universitet och högskolor. Tillsynen avsåg dock inte i första hand säkerhetsarrangemangen utan vilken information som hade lämnats till forskningspersoner från vilka forskarna hade inhämtat uppgifter.51

50 Se vidare avsnitt 8.3.4 nedan. 51 Datainspektionen Beslut 2012-12-07, Dnr 1147--1165-2011

Kodnyckelförfarande

Enligt lagen om officiell statistik har statistikansvariga myndigheter möjlighet att använda en så kallad kodnyckel vid utlämnande av uppgifter. Uppgifterna utlämnas i detta fall anonymiserade, där personnumren ersatts med löpnummer, medan myndigheten behåller en kodnyckel som kan koppla ihop löpnumren och personnumren. På det sättet är det möjligt att senare komplettera de utlämnade uppgifterna. Möjligheten har tillkommit framförallt för att möjliggöra longitudinella studier av det slag som beskrivs i kapitel 4.52

Om det särskilt överenskoms mellan forskaren och utlämnande myndighet kan kodnyckeln behållas under lång tid, men finns inte någon sådan överenskommelse förstörs den rutinmässigt efter cirka tre månader. Det innebär att om forskaren först efter denna tid kommer fram till att uppgifterna behöver kompletteras eller om andra forskare vill replikera studien, kanske med tillägg av vissa uppgifter, låter det sig inte göras.

Det skäl för att förstöra kodnyckeln som åberopas av utlämnande myndigheter, i första hand SCB, är att ett bibehållande skulle öka riskerna för integritetsintrång. Argumentet är dock, enligt min mening, inte särskilt starkt. Kodnyckeln bevaras hos myndigheten med samma säkerhetsskydd som de personuppgifter som finns där. Att kodnyckeln finns kvar innebär inte någon skyldighet för myndigheten att lämna ut fler uppgifter. Varje utlämnande måste prövas enligt OSL. Det kan noteras att vid Danmarks Statistik behålls kodnyckeln rutinmässigt i 20 år.

Forskarservice

I Danmark gjorde man vid millennieskiftet en stor satsning på registerforskning. En särskild rådgivande grupp inrättades hos forskningsministern. Ett avtal ingicks med Danmarks Statistik om att förbättra servicen till forskare, dels genom teknisk utveckling, dels genom utbyggnad av en servicefunktion på myndigheten. En motsvarande utveckling har under senare år skett på Statens Serum Institut. Den danska satsningen har varit framgångsrik. Trots att Danmark befolkningsmässigt är betydligt mindre än Sverige överstiger antalet användare av Danmarks Statistiks MONA-system antalet användare av SCB:s. Danmark har nått stora framgångar när det gäller

52 Se avsnitt 4.4.7 och avsnitt 5.7.2.

publicering och andra mått på forskningsframgång, men det är svårt bedöma i vilken grad dessa kan tillskrivas registerforskningen.53

I Sverige har sedan början på 2000-talet tack vare den satsning VR har gjort en viss förbättring av forskarservicen skett från SCB:s sida. Utvecklingen av MONA-systemet har gjort att uppgifter i SCB:s och flera myndigheters register i dag är mer lättillgängliga för särskilt samhällsvetenskapliga forskare.

Att bistå forskare med data är enligt SCB:s instruktion inte någon prioriterad uppgift för myndigheten. Service till forskare ges i mån av resurser sedan huvuduppgifterna, att producera statistik och att bistå andra statistikansvariga myndigheter, har fullgjorts. Den låga prioriteten för forskningen kan ta sig uttryck i långa väntetider, omständliga processer och höga kostnader. Som ovan nämnts överväger regeringen att skriva in i SCB:s instruktion att det ska vara en prioriterad uppgift för myndigheten att bistå forskningen med data. SCB:s generaldirektör har nyligen initierat en intern översyn av SCB:s process för att tillgängliggöra mikrodata för forskning och utredning. Översynen ska göra en kartläggning och beskrivning av nuläget, analysera förbättringspotentialen i processen och överväga och lämna förslag till förbättringar.54 Det kan ses som ett ytterligare steg mot en förbättrad forskarservice från SCB:s sida. Erfarenheterna från andra håll indikerar att en bättre service kan bidra till att stimulera forskningen.

Vid Danmarks Statistik etablerades i början av 00-talet en sådan forskarserviceenhet som i dag har cirka 15 anställda och leds av en person med egen erfarenhet av registerbaserad forskning. Forskarserviceenheten finansieras delvis med öronmärkta medel från Uddannelses- och Forskningsministeriet. Den förefaller i hög grad ha bidragit till den positiva utvecklingen av registerforskning i Danmark.

Socialstyrelsen har på uppdrag av regeringen, som ett led i regeringens och SKL:s gemensamma satsning på utvecklingen av hälso- och sjukvårdens kvalitetsregister, sedan ett par år tillbaka etablerat en enhet för registerservice. Den har tre uppdrag: forskarbeställningar, statistikbeställningar och tjänster till kvalitetsregister. Enheten har våren 2014 16 medarbetare och hanterar cirka 350 forskarbeställningar per år. Antalet beställningar har varit tämligen konstant

53 Vetenskapsrådet, The Swedish Production of Highly Cited Papers, statistik t.o.m. 2011; Danmark tillhör en toppkvintett när det gäller citat, Sverige ligger på sjunde plats. 54 SCB Beslut 2014-04-22, Direktiv till översyn av SCB:s process för att tillgängliggöra mikrodata för forskning och utredning, Dnr 2014/573.

under senare år medan komplexiteten i beställningarna har ökat. Exempelvis handlar det i fler fall om sambearbetningar med andra register, bland annat kvalitetsregister och register som finns hos SCB. Enligt en enkätundersökning som gjordes 2013 är 83 procent av de forskare som beställde uppgifter nöjda med den service som ges.55

En fråga som återkommer vid de kontakter med forskare som jag har haft under utredningen är att kostnaderna för uttag från särskilt SCB uppfattas som höga. De upplever ofta också att det är svårt att få information om vad det är de betalar för.

Inom ramen för Statistikutredningen behandlade jag SCB:s prissättning från olika aspekter. Den grundläggande princip som tillämpas är ett slags marginalkostnadsprissättning där SCB eftersträvar att ta ut ett pris för leveranser till externa beställare, till exempel forskare, som ger full kostnadstäckning. Jag såg inga skäl att frångå denna princip, men konstaterade också att om statsmakterna vill stimulera exempelvis forskares tillgång till data bör det hellre ske genom anslag till den som köper data än till dem som tillhandahåller sådana. Jag noterade också att användare har framfört kritik inte bara mot att SCB:s priser är höga utan också, och kanske framförallt, mot att SCB brister i transparens när det gäller vad man tar betalt för. En sådan kritik har framförts också av många forskare. Jag menade i Statistikutredningens slutbetänkande att det här finns utrymme för förbättringar från SCB:s sida. Mycket skulle vara vunnet om SCB sökte utveckla en mer aktiv kunddialog, inkluderande tydligare information om hur priserna sätts.56 Inom SCB bedrivs för närvarande ett projekt som syftar till ökad transparens och enhetlighet i tillämpning och kommunikation av SCB:s prissättning. Ett av syftena är att SCB ska ge en tydligare beskrivning och mer enhetligt kommunicera vad priset innehåller och hur det beräknas. Det finns dock en principiell skillnad mellan SCB och andra statistikansvariga myndigheter som påverkar prissättningen. För SCB är statistikverksamheten en huvudsyssla där en stor del bedrivs genom uppdrag och där full kostnadstäckning är ett mål. Det innebär att en skälig andel av de indirekta kostnaderna ska inkluderas i de avgifter som tas ut. För övriga statistikansvariga myndigheter är statistiken en bisyssla, varför indirekta kostnader inte behöver beaktas

55 Uppgifter från Petra Otterblad Olausson, Socialstyrelsen, 2014-03-27. 56SOU 2012:83 s. 334.

i avgiftsunderlaget.57 Även om man principiellt tillämpar en marginalkostnadsprincip vid prissättning kan det leda till att priserna blir olika på olika myndigheter. Vilken prissättningsprincip SCB ska tillämpa vid tjänster för forskare torde kunna bli föremål för diskussion och avtal mellan VR och SCB.

Vid utlämnande ska myndigheterna enligt 9 § PUL inte lämna ut fler uppgifter än som är nödvändigt.58Frågan om vilka uppgifter som är nödvändiga i olika forskningsprojekt är emellertid inte helt enkel att besvara.

8.3.2.1 Forskningsprocessen och vilka uppgifter som är nödvändiga

En återkommande fråga i diskussionen mellan forskare och myndigheter är omfattningen av det material som forskarna önskar få ut. Forskarna upplever att myndigheterna nästan rutinmässigt vill minska omfattningen i förhållande till vad de begär att få ut, myndigheterna att forskarna inte sällan begär ut mer material än vad de behöver för det aktuella forskningsprojektet. Det har förvisso förekommit att forskare har begärt ut fler uppgifter än vad de behöver, till exempel alla uppgifter i ett register trots att de för sitt forskningsprojekt bara behöver en del av dem. Men gapet mellan forskarnas önskemål och myndigheternas inställning kan också bero på en skillnad i de processer som parterna representerar, forskningsprocessen respektive den administrativa processen.

Den administrativa processen utgår naturligtvis från gällande lagstiftning, det vill säga att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Det kan leda till en benägenhet hos myndighetsföreträdare att vilja begränsa uttagen. Men bedömningen av vilka uppgifter som är nödvändiga måste göras mot bakgrund av hur forskningsprocesser ser ut.

Att i generella termer fånga in alla typer av forskningsprocesser är naturligtvis inte möjligt. De varierar från projekt till projekt. Det finns forskningsprojekt med på förhand väl avgränsade frågor och bestämda metoder. I sådana fall kan det vara ganska enkelt att ange vilka uppgifter som är nödvändiga för att genomföra projektet.

57 Ökad transparens och enhetlighet i tillämpning och kommunikation av SCB:s prissättning, intern remiss inom SCB 2014-04-25. 58 Se avsnitt 5.3.4.6.

Men forskare kan av olika skäl också behöva pröva sig fram, vilket kan kräva tillgång till fler uppgifter än dem som kommer att utnyttjas i den slutliga resultatredovisningen. Behovet av detta kan bero på hur väl tidigare forskning har kunnat avgränsa frågeställningarna så att tydliga hypoteser har kunnat formuleras. I regeringens proposition om behandling av personuppgifter vid IFAU framhålls att det inte alltid är möjligt att i förväg förutsäga alla frågor som man kan vilja besvara inom ramen för ett visst projekt. Variabler måste kunna läggas till och tas bort under arbetets gång och hypoteser om möjliga ansatser när man ska effektutvärdera måste kunna prövas och förkastas. Även osäkerhet om kvaliteten i de uppgifter forskaren får ut från myndigheten kan vara ett skäl för att forskaren behöver pröva sig fram.59

Teoretiskt kan man naturligtvis tänka sig att forskaren i ett första steg ber att få ut vissa uppgifter för att i ett senare skede komplettera dessa. Detta låter sig i vissa sammanhang göras, men det riskerar ofta att fördröja arbetet och öka kostnaderna. Det försvårar också den prövande process som forskningen ofta innebär. Den egenskap forskaren är intresserad av kan många gånger mätas på flera olika sätt och det kan vara svårt att i förväg bestämma vilket sätt som är mest adekvat. Det kan gälla variabler som till exempel arbetslöshetserfarenhet och socioekonomisk status. Ibland kan forskare också behöva kombinera flera uppgifter i myndighetsregister för att konstruera nya variabler som behövs i projektet. Även i sådana fall kan det vara nödvändigt för forskaren att pröva sig fram, det vill säga att kombinera olika uppgifter ur myndighetsregistren för att se vilken kombination som bäst svarar mot ändamålet.

Den administrativa processen kan sägas utgå från att forskningen huvudsakligen är deduktiv, ibland experimentell, till sin karaktär, det vill säga att forskaren utgår från en tydligt avgränsad teori, till exempel om samband mellan oberoende och beroende variabler, och sedan med hjälp av data prövar om teorin får stöd eller kan förkastas. I en sådan situation kan det te sig relativt enkelt att bestämma behovet av uppgifter.

I forskningen finns emellertid också ett tydligt inslag av induktion, delvis genom observationella studier, där forskaren i sitt material försöker upptäcka samband som kanske ännu inte har formulerats i någon teori eller där ett antal konkurrerande teorier existerar. Det behöver inte handla om att forskaren ger sig ut i helt okänd terräng,

59Prop. 2011/12:176.

men hypoteserna kan i ett tidigt skede vara ganska vaga. Sådana ”upptäcktsresor” kan leda till att en teori modifieras eller till och med till att en ny teori formuleras, vilken i nästa steg får prövas genom hypotetiskt-deduktivt arbete. En sådan växelverkan mellan teorier, hypoteser och data är det normala inom särskilt samhällsvetenskaplig forskning. Det är också ett känt fenomen att nya upptäckter görs och paradigm uppstår när forskare slumpmässigt upptäcker samband som de inte anade när forskningsprocessen inleddes (den engelska termen för fenomenet är serendipity

60

). Om tillgången på

uppgifter begränsas så att de endast kan användas för att testa redan etablerade teorier eller hypoteser finns en påtaglig risk att viktiga kreativa och nyskapande delar av forskningsprocessen beskärs. Det är därför angeläget att man i den administrativa processen vid bedömningen av vilka uppgifter som är nödvändiga beaktar behovet av detta slag av ”induktiva upptäcktsresor” inom forskningen.

Det är med andra ord angeläget att myndigheterna i sin bedömning av vilka uppgifter som är nödvändiga med hänsyn till ändamålen beaktar hur forskningsprocesser kan te sig och att detta skiljer sig mellan olika projekt och forskningsområden. För att möjliggöra den prövande process som forskningen ofta innebär krävs många gånger tillgång till fler uppgifter än dem som kommer till användning i den slutliga redovisningen. Nödvändighetskriteriet kan således inte inrikta sig enbart på den sistnämnda utan måste ta fasta på forskningsprocessen i dess helhet.

Jag vill inte hävda att det hos utlämnande myndigheter helt saknas förståelse för de frågor som jag här har belyst. Jag bedömer dock att förståelsen skulle kunna öka väsentligt om man inom till exempel SCB fick en forskarserviceenhet som, såsom vid Socialstyrelsen och Danmarks Statistik, delvis bemannas av personer med egen forskarerfarenhet.

8.3.2.2. Internationellt samarbete

Forskningen blir alltmer internationell och det är i dag ofta inte längre möjligt att tala om helt svensk forskning. Många forskningsprojekt drivs i samarbete över nationsgränser. När forskning avser ovanliga företeelser, till exempel vissa sjukdomar, kan det dessutom var nödvändigt för att få ihop ett tillräckligt underlag. Ett exempel

60 Merton, R.K., Barber, E. The Travels and Adventures of Serendipity, Princeton University Press 2004; se även Sylwan, P. Att upptäcka det oväntade. 2013, s. 172.

på det sistnämnda är en studie som gällde behandling av den mycket ovanliga sjukdomen juvenil dermatomyosit, en reumatisk sjukdom hos barn. För att få ett tillräckligt underlag för studien samlades data in från 103 kliniska centra i 30 olika länder vilket krävdes för att få ihop 130 patienter.61

Utlämnande av data över gränserna innebär en rad problem som det har inte har funnits utrymme att närmare inventera och analysera i denna utredning. Här ska endast en kort redovisning av rättsläget och några aktuella initiativ ges.

Enligt huvudregeln i 33 § PUL är det förbjudet att föra över personuppgifter till tredje land om inte landet har en adekvat nivå för skyddet av uppgifterna. I 3 § anges att med tredje land avses en stat som inte ingår i EU eller är ansluten till Ekonomiska europeiska samarbetsområdet (EES). Vad som är adekvat nivå definieras inte i lagen. Det anges dock i 33 § andra stycket att det ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Överföring till tredje land för forskning kan ske under vissa förutsättningar, till exempel om den registrerade har samtyckt till överföringen, om mottagande stat har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter eller om särskilda standardklausuler används som EU-kommissionen har beslutat om. Uppgifter kan även överföras till företag och organisationer i USA som har anslutit sig till de så kallade safe harbour-principerna, det vill säga i princip till vad som gäller inom EU.

Enligt 8 kap. 3 § OSL får uppgifter för vilka sekretess gäller inte röjas för utländsk myndighet eller mellanfolklig organisation. Ett utlämnande får dock ske i enlighet med särskild föreskrift därom i lag eller förordning eller om uppgifterna i motsvarande fall skulle få lämnas ut till svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgifterna lämnas ut.62

När utländska forskare vänder sig till svenska myndigheter med önskan att få ta del av svenska data förekommer det att de rekommenderas ta kontakt men en svensk forskningsinstitution för samarbete. Denna institution kan då ha möjlighet att begära ut uppgifterna och göra bearbetade resultat tillgängliga för den utländske

61 Hansson, MG., Gaatorno, M., Stjernschantz Forsberg, J. et al. Ethics bureaucarcy: a significant hurdle for collaborative follow-up of drug effectiveness in rare child diseases. Archives of Diseases in Childhood 2012; 97(6):651-3. 62 Rättsliga förutsättningar för en databasinfrastruktur för forskning, Vetenskapsrådet rapportserie 11:2010 s. 62 f och 104 f; SCB Sekretesspolicy 2010-04-12.

forskaren. Användning av känsliga personuppgifter kräver alltid etikgodkännande i Sverige och ett svenskt etikgodkännande gäller endast forskning i Sverige.

Utlämning av uppgifter till forskare förekommer, särskilt inom EU, och avser då i regel, om inte samtycke föreligger från de registrerade, anonymiserade data. Ett problem vid utlämnande av mikrodata till tredje land är att det inte torde vara möjligt att förena utlämnandet med bindande förbehåll om sekretess.

Inom OECD har en arbetsgrupp under våren 2014 presenterat en rapport om ökat samarbete kring mikrodata. Arbetsgruppen konstaterar att det inte finns någon universallösning. Förändringar i syfte att förbättra det gränsöverskridande samarbetet måste ske stegvis. Det finns risker men de kan hanteras. Det är viktigt att skapa förtroende mellan berörda parter i olika länder.63Arbetsgruppens ordförande Paul Jackson har också i en presentation av rapporten i Paris i början av april 2014 lyft fram de möjligheter som finns att utveckla och skapa modeller för samarbete på regional nivå och särskilt pekat på Norden.64

Vid en nordisk konferens i Stockholm den 27–28 november 2013 diskuterades nordiskt samarbete på infrastrukturområdet, bland annat beträffande biobanker och register. Det konstaterades att en av de största utmaningarna är att kunna få tillgång till så omfattade individdata att de statistiska analyserna kan göras med tillräcklig kraft. I Norden finns sammantaget en potential för detta men för att kunna utnyttja den krävs en gemensam vilja och klokskap hos politiker, offentliga myndigheter som äger data, forskningsfinansiärer och forskare. På konferensen formulerades i de avseenden som här är aktuella bland annat följande slutsatser:

  • Ett närmare samarbete mellan nordiska statistikbyråer, hälsoregisterinstitut och andra registerhållande myndigheter är angeläget för att förenkla nordisk gränsöverskridande forskning.
  • Procedurer bör skapas för etikgodkännanden som gäller i alla de nordiska länderna.
  • Lagstiftningen i de nordiska länderna när det gäller användning av individdata vid gränsöverskridande forskning bör så långt möjligt harmoniseras.

63 Expert Group for International Collaboration om Microdata Access. Final report 14-Mar-2014. STD/CSSP/RD(2014)2. 64 Paul Jackson, Report from the OECD Expert Group for International Collaboration on Microdata Access, Paris 7–8 April 2014.

  • Tekniska lösningar som underlättar överföring och lagring av och tillgänglighet till forskningsdata över gränserna.
  • Program bör skapas för att uppmuntra gränsöverskridande registerbaserad forskning i Norden.65

Inom NordForsk pågår nu i enlighet med dessa handlingspunkter ett arbete med att stärka nordisk forskning och forskningsinfrastruktur inom register-, biobanks- och interventionsforskningsområdena. Fokus ligger på att undanröja praktiska, juridiska och etiska hinder för användning av data i gränsöverskridande forskning och att understödja samarbete mellan relevanta nordiska aktörer och dataägare. NordForsk stödjer samtidigt uppbyggnaden av forskning som utnyttjar nordiska datakällor/register. Inom det nordiska einfrastruktursamarbetet pågår också ett arbete med att utveckla tekniska lösningar för säker överföring, lagring och tillgång till personuppgifter och andra forskningsdata över gränserna.

En arbetsgrupp med representanter för de nordiska centrala statistikmyndigheterna, SCB i Sverige, har fått i uppdrag att gå igenom de legala förutsättningarna i de nordiska länderna och att ge förslag på bland annat en gemensam process eller infrastruktur. Arbetsgruppen ska lämna sin rapport i slutet av juni 2014.66

I en rapport till Nordiska rådet om samarbete inom hälso- och sjukvårdsområdet har förra statsrådet och landshövdingen Bo Könberg föreslagit ett fördjupat samarbete mellan de nordiska länderna. Han framhåller att med de nordiska ländernas 26 miljoner invånare finns underlag som möjliggör studier av ovanliga sjukdomar. Norden skulle genom ett ökat samarbete också kunna stärka sitt varumärke som en attraktiv region för toppforskning. Han föreslår att regeringarna ska satsa på att undanröja de hinder som finns och sedan inrätta ett virtuellt center för registerbaserad forskning.67

Inom EU uppmuntras i hög grad gränsöverskridande samarbete, bland annat i så kallade European Research Infrastructure Consor-

tiums, ERIC. Det är en organisationsform som inrättades av EU

2009 för att främja byggande av en pan-europeisk forskningsinfrastruktur. Ett ERIC inrättas av EU-kommissionen efter ansökan från regeringar i minst tre medlemsländer. Det ska ha administrativt säte

65 Conference Report, Joint Nordic Focus on Research Infrastructures – Looking to the Future, Stockholm 27–28 November 2013, Nordiska Ministerrådet, Utbildningsdepartementet, NordForsk, Vetenskapsrådet. 66 Information från Stina Andersson, SCB:s representant i arbetsgruppen, 2014-05-21. 67 Könberg, B. Det framtida nordiska hälsosamarbetet, rapport till Nordiska rådet i juni 2014.

i ett EU-land, men kan bedriva verksamhet i flera länder. Sverige deltar bland annat i Survey of Health, Ageing and Retirement in Europe (SHARE-ERIC), Council of European Social Science Data Archives (CESSDA-ERIC) och BioBanking and Molecular Resource Infrastructure (BBMRI-ERIC).

Mycket av det europeiska samarbetet sker genom tillskapandet av gemensamma databaser som kan användas för olika forskningsprojekt. Det är olyckligt att SCB numera har intagit en mycket restriktiv hållning när det gäller att tillhandahålla uppgifter till sådana. Det är angeläget att frågan diskuteras i VR:s registerdataråd så att man kan komma fram till en positiv handlingslinje från svensk sida.

Ett annat exempel på europeiskt samarbete handlar om kliniska prövningar. Europaparlamentets och Rådets förordning om kliniska prövningar av humanläkemedel kommer att ersätta direktiv 2001/20/EG om tillnärmning av medlemsstaternas lagar och andra författningar rörande tillämpning av god klinisk sed vid kliniska prövningar av humanläkemedel. Förordningen kommer att gälla direkt i alla medlemsstater och därmed ersätta/påverka viss reglering som för närvarande i Sverige sker genom läkemedelslagen och etikprövningslagen.

Syftet är att ytterligare harmonisera de administrativa bestämmelserna om kliniska prövningar. Den nya förordningen ska förenkla förfarandena för inlämnande av en ansökan om tillstånd för klinisk prövning, bland annat genom att olika ansökningar med i stort sett samma information som i dag måste göras ersätts med en enda ansökan via en europeisk webbportal.

Förordningen förväntas bli beslutad under 2014. Bestämmelser i läkemedelslagen och etikprövningslagen måste sedan anpassas inom två år efter det att förordningen publicerats. Läkemedelsverket har inlett arbetet med att anpassa regelverk, procedurer och rutiner till förordningen.

8.3.3. Sambearbetning

Som jag tidigare har redovisat är uppgifter ur ett enda myndighetsregister sällan av intresse för forskningen.68För att kunna spåra eller pröva intressanta samband krävs ofta att uppgifter ur olika register sambearbetas. De olika registren kan finnas hos en huvudman eller hos flera. När sambearbetningen avser uppgifter ur olika register

68 Se avsnitt 4.4.

som finns hos en huvudman är det relativt enkelt. När uppgifterna finns hos flera myndigheter måste forskaren begära ut uppgifter från var och en av dessa.

Det normala förfarandet vid utlämnande av anonymiserade uppgifter från flera myndigheter är att en av myndigheterna upprättar en kodnyckel som sedan används av alla myndigheterna. Alla myndigheter utom Socialstyrelsen kan tillhandahålla uppgifterna genom SCB:s MONA-system. Det innebär att om forskaren ska få ut uppgifter från till exempel SCB och Försäkringskassan kan Försäkringskassan överlämna en kopia på uppgifterna till SCB som sambearbetar dem med uppgifter ur SCB-register och sedan, genom MONAsystemet, ställer dem till forskarens förfogande i anonymiserad form. Dock anser sig Socialstyrelsen som nämnts förhindrad att överlämna uppgifter till MONA-systemet. När forskaren önskar sambearbeta uppgifter från Socialstyrelsens register med uppgifter från till exempel SCB-register måste myndigheterna således lämna ut datafiler med uppgifter, som är försedda med samma löpnummer, så att forskaren själv kan sambearbeta dem. Däremot kan Socialstyrelsen sambearbeta uppgifter från kvalitetsregister med uppgifter från myndighetens egna hälsodataregister innan uppgifterna överlämnas till forskaren.

Under utredningsarbetet har frågan uppkommit om det rättsliga stödet för de statistikansvariga myndigheterna att bistå forskningshuvudmännen med sambearbetning av uppgifter.

I särskild verksamhet hos en myndighet som avser framställning av statistik gäller enligt 24 kap. 8 § OSL som huvudregel absolut sekretess för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Undantag från den absoluta sekretessen görs dock för uppgift som behövs för forsknings- eller statistikändamål och för uppgift som inte genom namn, annan identitetsbeteckning eller liknande är direkt hänförlig till den enskilde. Undantagen gäller endast om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

När en statistikansvarig myndighet lämnar ut dessa uppgifter till en annan statistikansvarig myndighet i syfte att möjliggöra sambearbetning för tredje parts räkning är emellertid inget av de ovan nämnda undantagen från statistiksekretessen tillämpliga. Den mottagande myndigheten ska inte använda uppgifterna för statistik- eller forskningsändamål och uppgifterna är direkt hänförliga till den enskilde. Det har därför ifrågasatts om förfarandet att i detta

syfte skicka kodnycklar eller filer med känsliga personuppgifter mellan myndigheter har stöd i lagen. Jag menar dock att ett sådant förfarande är att se som ett led i forskningsverksamheten och att den sekretessbrytande bestämmelsen för forskningsändamål således är tillämplig.

För statistikansvariga myndigheter gäller vidare särskilda regler för personuppgiftsbehandling. Enligt 14 § lagen om den officiella statistiken får en statistikansvarig myndighet behandla personuppgifter för framställning av statistik. Behandling av personuppgifter får enligt andra stycket i samma bestämmelse omfatta uppgift om personnummer. Behandling av känsliga personuppgifter enligt 13 § PUL och om lagöverträdelser m.m. enligt 21 § PUL får behandlas om det följer av föreskrifter som regeringen meddelar.

Bestämmelserna om behandling av känsliga personuppgifter gäller endast vid framställning av statistik. Den behandling som myndigheterna utför för att sambearbeta uppgifter ur sina register med uppgifter från andra myndigheters register för att bistå forskare är emellertid inte en del av myndighetens statistikverksamhet. Även på den punkten har mot den bakgrunden lagligheten ifrågasatts.

Utlämnanden och behandlingar för att möjliggöra sambearbetning sker i dag rutinmässigt och är ofta en förutsättning för registerbaserad forskning. Det är därför av största vikt att det inte råder någon tveksamhet om att de har lagligt stöd. Enligt min mening är det också fallet. Det är rimligt att se den behandling som sker när en myndighet överlämnar uppgifterna till en annan myndighet för sambearbetning för en forskningshuvudmans räkning som ett led i den forskningsverksamhet som enligt 9 § och 10 § PUL är tillåten. När det gäller behandling av känsliga personuppgifter gäller enligt PUL som huvudregel att behandlingen ska vara godkänd av en etikprövningsnämnd. Av forskningshuvudmannens ansökan till nämnden framgår det vanligtvis om och i så fall vilka registeruppgifter som ska sambearbetas med uppgifter från olika myndigheter. Etikprövningsnämndernas godkännande av personuppgiftsbehandlingen måste anses gälla även de utlämnande myndigheternas behandling av personuppgifterna. De utlämnande myndigheterna har således stöd för sin personuppgiftsbehandling genom etikprövningsnämndens beslut.

Stöd för behandlingen av personuppgifter för att möjliggöra sambearbetning av personuppgifter från olika myndigheter kan också hämtas från den allmänna principen om att myndigheter är skyldiga att bistå varandra i att fullgöra sina uppgifter. Denna princip om

myndigheters allmänna samverkansskyldighet kommer till uttryck i 6 § förvaltningslagen (1986:223). Där anges att varje myndighet ska lämna andra myndigheter hjälp inom ramen för den egna verksamheten.

I regeringens senaste forskningsproposition (prop. 2012/13:30) konstateras att sambearbetning av data i princip skulle kunna ske genom en teknologi som möjliggör att uppgifter hanteras i befintliga register och att bearbetningen av dem sker när analysen genomförs.69 I det delbetänkande jag som utredare av den officiella statistiken våren 2012 avlämnade om Registerdata för forskning diskuterade jag frågan om tillgängliggörande av data som lagras distribuerat. Jag konstaterade att heterogeniteten i de många datakällorna utesluter en centraliserad uppgiftshantering där alla data flyttas till en och samma fysiska miljö. Den komplexa bild som framtidens registerbestånd uppvisar kräver en distribuerad lösning, det vill säga en struktur som liksom i dag innebär att uppgifterna finns hos många olika huvudmän. Frågan är då om man kan tänka sig en teknisk lösning av det slag som antyds i regeringens forskningsproposition.

8.3.3.1 Federerat system

SCB:s MONA-system innebär att uppgifter hämtas ur ett datalager som finns hos SCB och att de, efter inloggning, av en forskare kan bearbetas via en fjärranslutning. Uppgifterna skickas alltså aldrig fysiskt till användaren. När SCB-uppgifter ska sambearbetas med uppgifter från andra myndigheter, eller med uppgifter som forskare själva samlat in, måste dessa emellertid fysiskt överlämnas till SCB, som därefter sambearbetar uppgifterna och genom MONA ställer dem till forskarens förfogande. Andra myndigheter skickar för sambearbetningen kopior på sina register till SCB. Systemet kan således betecknas som en centraliserad datalagerlösning.

Socialstyrelsen, och sannolikt även de ansvariga för hälso- och sjukvårdens kvalitetsregister, anser sig, som framgått, av juridiska och andra skäl förhindrade att överföra fullständiga kopior av sina personregister till SCB. Ett alternativ är att hos Socialstyrelsen skapa ett liknande system och att undersöka möjligheterna att dessa system ska kunna kommunicera med varandra. Vad det kan komma att betyda för sambearbetning av uppgifter från Socialstyrelsen och övriga myndigheter är för tidigt att säga något om.

69Prop. 2012/13:30 s. 149-50.

Som alternativ till en centraliserad datalagerlösning av MONAtyp har diskuterats system där datalager hos flera dataförvaltare kan kopplas samman utan att data behöver flyttas eller kopior utväxlas mellan myndigheterna. Inom VR:s DISC utvecklades och testades under åren 2008–2009 en sådan modell (Cross-Organizational Data Infrastructure for Research, CODIR). Systemet innebar att personidentifierade uppgifter inte lämnade registerhållaren, att sambearbetningen med användning av krypterade nycklar gjordes i en server och att servern fanns i en säker miljö. Den säkra miljö som i ett sådant system hämtar uppgifter från myndigheter och sambearbetar dem måste vara en gemensam resurs för alla berörda registerhållare, en miljö där de vet att uppgifter hanteras på ett säkert sätt. Man talar om en federationsserver (trusted location). Ingen av de registerhållare som levererar uppgifter behöver i ett sådant system hantera uppgifter från andra registerhållare. Forskaren får tillgång till anonymiserade uppgifter och kan analysera dessa i en miljö som liknar dagens MONA-system. Denna typ av system brukar kallas federerade, bland annat på grund av den jämställda ställning systemets medlemmar (registerhållare, dataägare) har i förhållande till varandra. För att uppgifter ska lämnas ut genom en federationsserver krävs liksom i dag beslut av var och en av de utlämnande myndigheterna.

Ett system liknande MONA för myndighetsövergripande informationsutbyte och fjärråtkomst till data har byggts vid Umeå universitet. Hittills har det testats för forskning på hälso- och sjukvårdens kvalitetsregister för prostatacancer. Uppgifter från Nationella prostatacancerregistret (NPCR) har kombinerats med data från Socialstyrelsen och SCB i den så kallade PC BASe. Efter prövning av den grupp som ansvarar för registret kan forskaren få tillgång till data via fjärråtkomst.

Inom ramen för ett internationellt samarbete om autismforskning har ett sådant federerat system, som är särskilt anpassat för forskningsområdet, utvecklats och prövats. Förutom Sverige deltar i samarbetet Danmark, Norge, Finland, Israel och Australien. Den programvara som har skapats inom ramen för projektet kallas Virtual Pooling and Analysis of Research data, ViPAR. Systemet fungerar på det sätt som ovan beskrivits. För att möjliggöra sambearbetning måste uppgifterna i de nationella databaserna harmoniseras enligt en överenskommen mall .70 Denna harmonisering utförs lokalt av respektive medlem och kan vara en tidsödande process.

70 Carter, KW, Francis, RW and iCARE, ViPAR: a software platform for the Virtual Pooling and Analysis of Research Data, opubl.

ViPAR har utvecklats i Australien, som sedan tidigare har ett federerat system i bruk, BioGrid Australia.71 Systemet har för närvarande 26 medlemsorganisationer och data kan hämtas från 18 sjukhus och hälsocentraler. I systemet används fjärråtkomst till medlemmarnas databaser för att hämta hem uppgifter till ett lokalt förvarat forskningsregister där uppgifter har sambearbetats för ett specifikt forskningsändamål.

Umeå universitet har under i maj 2014 beslutat avsätta 5 mnkr till en forskargrupp för att bygga ett system med federerade databaser. Tyngdpunkten i arbetet kommer att ligga inom fältet säkerhetslösningar i federationsservern.72

I ett system där heterogena data ska sambearbetas krävs att det förberedande harmoniseringsarbetet också ska kunna utföras på distans. Man skulle hos federationsservern behöva kunna skapa särskilda forskningsregister för specifika forskningsprojekt eller forskningsdatabaser för flera framtida projekt. Hur lagringen och det övriga handhavandet av sådana ”förädlade databaser” ska ske är en fråga som förutsätter såväl tekniska som juridiska och organisatoriska överväganden.

Många har på ett principiellt plan anslutit sig till tanken på ett federerat system. Förhoppningen är att ett eller flera sådana system skulle kunna öka skyddet för personuppgifterna genom organisatorisk samordning av regeltillämpning och en minskning av antalet kopior med personuppgifter. Det skulle dessutom för många forskare kunna öka tillgängligheten till och sänka priset på bra forskningsdata.

Utmaningen för svensk del är att finna en samordnande aktör som kan specificera uppgiftsleverantörernas och uppgiftsanvändarnas, det vill säga forskarnas, behov och formulera de kravspecifikationer i övrigt som krävs för ett sådant system. Även sedan en sådan aktör pekats ut återstår en lång process av teknisk utveckling och anpassning. Kraven på dokumentation och samordning av begrepp och uppgifter kommer att skärpas.

Det måste också bedömas i vilken utsträckning ett federerat system kan ersätta forskningsdatabaser för till exempel longitudinella studier. Direkt kontakt med grunddata kan förbättra möjligheterna till snabb uppdatering av uppgifter, men systemet måste också erbjuda möjligheter att spara sådana uppgifter som är resultatet av

71 www.biogrid.org.au. 72 Information från Anders Brändström 2014-05-22.

forskarens dataförädlande arbete och som går utöver sammankopplingen av de originaldata från olika källor.

I Registerdata för forskning föreslog jag en ny myndighet för registerforskning med detta som ett av sina uppdrag. Regeringen valde emellertid att inte föreslå en sådan myndighet utan har i stället, som jag redovisat ovan, lagt vissa uppgifter på VR. Till dem hör dock inte uppdraget att utveckla ny teknik för sambearbetning. Regeringen har i forskningspropositionen antytt att den avser att återkomma till denna fråga i särskild ordning.73 Något initiativ i det avseendet har dock ännu inte tagits.

8.3.4. Skydd och säkerhet vid högskolorna och universiteten

För att skydda personuppgifter, och särskilt känsliga personuppgifter, ställs en rad krav på den som är personuppgiftsansvarig. När det gäller uppgifter som lämnas ut till forskning på universitet och högskolor är det forskningshuvudmännen, det vill säga universitetet eller högskolan, som är personuppgiftsansvarig och som har att leva upp till dessa krav. Det yttersta ansvaret för skydd och säkerhet åvilar därmed universitetens och högskolornas styrelser och konsistorier.74

I PUL finns bestämmelser om anmälningsskyldighet av behandling av personuppgifter som är helt eller delvis automatiserad. En sådan anmälan behöver emellertid inte göras om den personuppgiftsansvariga har utsett ett personuppgiftsombud. Ombudet ska då i stället föra en förteckning över de behandlingar som genomförs.

Om personuppgiftsombud utses ska det anmälas till Datainspektionen. Ett personuppgiftsombud är en person som har till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. Personuppgiftsombudet ska påpeka fel och brister i verksamheten till den personuppgiftsansvarige (3 och 38 §§ PUL).75

Personuppgiftsombud finns i dag vid alla universitet och vid flertalet mindre högskolor.76Vid de kontakter jag under utredningen har haft med universitet och högskolor har det emellertid framkommit att uppgiften som personuppgiftsombud ofta ska rymmas

73Prop. 2012/13:30 s. 150. 74 Konsistoriet är benämningen på styrelserna vid Uppsala universitet och Karolinska Institutet. 75 Se avsnitt 5.3.4.12. 76 Information från Lilliann Edlund, Datainspektionen 2014-03-26.

inom ramen för annan tjänstgöring och att den tid som avsatts för uppgiften är otillräcklig för att på ett tillfredsställande sätt kunna klara uppgiften.77 Situationen varierar från lärosäte till lärosäte, vilket är naturligt med hänsyn till att förutsättningarna varierar kraftigt. Det finns dock skäl att understryka det ansvar som styrelserna och konsistorierna har för skydd och säkerhet och för att funktionen som personuppgiftsombud kan klaras av på ett tillfredsställande sätt. Styrelserna för statliga myndigheter, det gäller också universiteten och högskolorna, ska i årsredovisningen avge en försäkran om att de bedömer att den interna styrningen och kontrollen vid myndigheten är betryggande (eller, om så är fallet, redovisa på vilka punkter det finns brister).78 För att kunna avge en sådan försäkran bör styrelserna ha försäkrat sig om att personuppgiftsombudet har tillräckliga resurser för att klara sin uppgift och också få en lägesrapport från ombudet.

När den statliga Integritetsskyddskommittén år 2007 redovisade sin genomgång av integritetsskyddet inom olika samhällssektorer var forskning och statistik ett av de områden som analyserades. I sin huvudsakliga bedömning konstaterade kommittén att sekretessreglerna på forskningsområdet är svåröverskådliga och fragmentariska. De konkreta frågor som uppmärksammades gällde främst att etikprövningen av forskning endast avser vissa uppgifter och att sekretesskyddet är oklart när forskning bedrivs av enskilda institutioner. Kommittén framhöll också att det inte finns några bestämmelser som generellt reglerar förutsättningarna för att lämna ut uppgifter från den forskningsrelaterade verksamheten.79Etikprövningslagen har sedan analysen gjordes förändrats på några punkter, bland annat så att forskningsprojekt som använder känsliga personuppgifter ska ha etikgodkännande oavsett om forskningspersonerna lämnat samtycke eller inte.

Som huvudregel gäller att när uppgifter som är skyddade av sekretess, till exempel statistiksekretess, överlämnas från en myndighet till ett statligt universitet eller en statlig högskola, så följer sekretessen automatiskt med.80Det kan möjligen råda viss osäkerhet om vad som gäller när forskaren använder andra källor för sina uppgifter.

77 Bland annat arrangerades inom utredningens ram ett seminarium på Utbildningsdepartementet med deltagande av ett antal företrädare för universitet, Myndigheten för samhällsskydd och beredskap, Datainspektionen m.fl. 2014-01-15. 78 Förordning (2000:605) om årsredovisning och budgetunderlag. Ekonomistyrningsverkets föreskrifter och allmänna råd. 79SOU 2007:22 I s. 347–365, II 303-330. 80 Se avsnitt 5.6.3.1.

Det ska än en gång framhållas att inga läckor av uppgifter från forskningsmiljöer så vitt jag känner till har förekommit. Jag har tidigare redovisat att det finns en rad skäl som tillsammans kan förklara varför så är fallet. Dit hör såväl de sekretessregler som gäller som de starka incitament som både universitet och högskolor och de enskilda forskarna har att förhindra att något ska läcka ut.81 Men det hindrar inte att ytterligare försiktighetsmått kan vara motiverade.

Vissa uppgifter samlas in av forskare direkt från uppgiftslämnarna (forskningspersonerna). Till universitetens och högskolornas skyldighet hör att informera uppgiftslämnare om vilka rättigheter de har. Datainspektionen har som nämnts nyligen genomfört en tillsyn av ett antal universitet och högskolor i detta avseende och kunnat konstatera ett antal brister. I många fall har universiteten och högskolorna inte tillräckligt tydligt, eller inte alls, informerat om vem som är personuppgiftsansvarig och om rätten att ansöka om information och att få rättelse.82

8.4. Forskningsdatabaser

I regeringens senaste forskningsproposition83konstaterades att det är angeläget att det kan skapas databasinfrastrukturer för bestämda, men relativt allmänt hållna, forskningsändamål. Sådana uppgiftssamlingar ska inom ramen för det allmänna ändamålet kunna användas av forskare i flera olika forskningsprojekt. Särskilt longitudinella studier, som kan belysa utvecklingen över tid av hälsa, sjukdomar och andra viktiga samhällsförhållanden, skulle vara betjänta av sådana register. Dock råder enligt regeringen vissa oklarheter när det gäller författningsregleringen av sådana databaser. Det är bakgrunden till att frågan tagits upp i direktiven till denna utredning. Där konstateras att det för närvarande är problematiskt för forskare att skapa register med personuppgifter som underlag för framtida forskning.

Jag ska i detta avsnitt belysa de oklarheter som råder när det gäller den lagliga regleringen av infrastrukturregister. Därefter redovisas skäl för att det ska kunna skapas infrastrukturer för forskning i form av forskningsdatabaser och varför sådana också kan behöva tillföras data från myndighetsregister. Jag kommer också att diskutera vad som ska förstås med särskilt ändamål enligt PUL.

81 Se avsnitt 6.8. 82 Datainspektionens beslut 2012-12-07, dnr 1147--1165-2011. 83Prop. 2012/13:30 s. 149.

8.4.1. Det rättsliga läget är oklart

I kapitel 5 har jag utförligt redovisat de rättsliga förutsättningarna för registerforskning i allmänhet. Här ska vissa regler som är relevanta i diskussionen om forskningsdatabaser lyftas fram.

Enligt 9 § PUL får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål, de får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in och inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Enligt förarbetena kan en alltför allmänt hållen ändamålsangivelse inte godtas, men hur pass detaljerad den ska vara för att uppfylla lagens krav är inte angivet. Det förutsätts avgöras av praxis. Personuppgifter får inte heller bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

Samtidigt framhålls att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Uppgifterna kan också bevaras under längre tid för sådana ändamål, men inte längre än vad som behövs för de ändamålen.

Datainspektionen har mot denna bakgrund i olika sammanhang kritiserat ändamålsangivelser som den har bedömt vara alltför allmänna, det vill säga inte så särskilda som PUL anger. ”Framtida forskning” har ansetts vara ett sådant alltför allmänt ändamål.84

För forskning som använder sig av känsliga personuppgifter eller biologiskt material från människor krävs etikgodkännande. Ett sådant godkännande ska enligt 6 § etikprövningslagen ”avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning”. Det framgår av förarbetena att den forskning som ska etikprövas måste vara avgränsad i någon mening. Några generella, principiella godkännanden till att under överskådlig framtid få utföra forskning på ett visst material, inom ett visst område eller liknande kan inte lämnas. Forskning får dessutom bara godkännas om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde.

Centrala etikprövningsnämnden har med hänsyn till vad etikprövningslagen säger konstaterat att det inte är möjligt att med stöd

84 Datainspektionens beslut 2011-12-16, dnr 766-2011.

av etikprövningslagen behandla och godkänna forskningsdatabaser för framtida forskning.85

Ett etikgodkännande är emellertid inte nog för att forskning ska få utföras. Forskningen får heller inte strida mot någon annan författning. När det blir fråga om utlämnande till forskningen av uppgifter från olika register måste utlämnandet också prövas enligt OSL. Uppgifter om enskilds personliga och ekonomiska förhållanden skyddas som huvudregel av absolut sekretess hos en myndighets verksamhet för framställning av statistik. Även sådana uppgifter får emellertid utlämnas för forskningsändamål om det står klart att de kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

SCB avgjorde år 2011 ett ärende som rör utlämnande av vissa inkomstuppgifter till Luxemburg Income Study (LIS). LIS är en organisation som grundades 1983 och i vilken Sverige har varit med från starten. Den samlar in och harmoniserar inkomstuppgifter från ett stort antal länder, främst europeiska, för att möjliggöra internationella jämförelser av inkomstförhållanden och effekter av olika skatte- och transfereringssystem. Den kan härvidlag betraktas som en forskningsdatabas. Uppgifterna om Sverige har levererats av SCB och hämtats från dess undersökning om hushållens ekonomi. De senaste uppgifterna som levererades avser år 2004. I mars 2011 avslog SCB en ansökan om att lämna ut uppgifter avseende åren 2007 och 2010. I sitt avslag slår SCB fast att man inte anser sig kunna lämna ut uppgifter till något som är en databas snarare än ett specifikt forskningsprojekt. Beslutet hade inget att göra med att databasen i fråga finns utomlands. SCB framhåller att samma beslut skulle ha fattats om det hade gällt ett svenskt projekt.86 Eftersom uppgifter tidigare har lämnats ut måste ställningstagandet ses som en omprövning i mer restriktiv riktning från SCB:s sida.

SCB har tidigare själv medverkat och medverkar alltjämt till att bygga upp forskningsdatabaser, exempelvis Utvärdering Genom Uppföljning, UGU, som numera finns vid pedagogiska institutionen vid Göteborgs universitet. Även inom SCB finns databaser av detta slag, till exempel de tidigare nämnda LISA och FASIT. Det är osäkert vilka följder SCB:s nya ställningstagande kommer att få.

85 CEPN beslut 2011-03-04, dnr Ö 28-2010. 86 Brev 2013-03-07 från SCB (avd. chef Inger Eklund) till Markus Jäntti, LIS, Stockholms universitet, dnr 2013/0442.

Det är uppenbart, som regeringen har framhållit i utredningsdirektiven, att olika regler skapar en rad tolkningsproblem, inte minst vid byggandet av forskningsdatabaser.

Jag kan dock konstatera att etikprövningsnämnderna, trots etikprövningslagens begränsningar, i vissa fall har ansett sig oförhindrade att godkänna projekt även med ganska breda ändamålsbeskrivningar, till exempel att analysera uppkomsten och utbredningen av en viss kategori av sjukdomar. Gränsdragningen är minst sagt oklar mellan vad som anses vara projekt eller på något liknande sätt bestämd forskning och som därmed kan ges etikgodkännande respektive forskningsdatabaser som inte kan prövas enligt lagen. Det kan belysas med ett projekt som särskilt nämns i utredningsdirektiven och som har varit föremål för mycket debatt, nämligen LifeGene.

8.4.2. LifeGene och EpiHealth

Projektet LifeGene är ett samarbete mellan flera universitet som leds av KI. Liksom i systerprojektet EpiHealth, lett av Uppsala och Lunds universitet, är syftet att samla in data från individer och följa dem under flera år för att få underlag att analysera sambanden mellan arv, miljö och hälsa. LifeGene avser att följa personer som i dag är upp till 45 år och EpiHealth personer som är 45 år och äldre. De bägge projekten kompletterar således varandra. Projekten som sådana innebär inte någon forskning utan syftet är att skapa forskningsdatabaser som kan användas i framtida forskningsprojekt. För de konkreta projekt till vilka forskare önskar få ut uppgifter från LifeGene och/eller EpiHealth krävs etiktillstånd, precis som för all annan forskning som använder sig av känsliga personuppgifter.

Två olika etikprövningsnämnder, i Stockholm och Uppsala, ansåg sig, trots syftet att skapa forskningsdatabaser, oförhindrade att ge projekten etikgodkännanden. I LifeGenes fall fattades beslutet dock med ett förbehåll: att barn under sex år skulle exkluderas från provtagning. Detta beslut överklagades av KI till Centrala etikprövningsnämnden, som i sin behandling av ärendet konstaterade att projektet inte kunde prövas enligt etikprövningslagen eftersom det handlade om en forskningsdatabas och inte om ett konkret projekt. Centrala etikprövningsnämnden ansåg sig därför förhindrad att pröva ansökan. Nämnden konstaterade samtidigt att ”projektet i sin nuvarande utformning inte behöver godkännande av etikprövningsnämnd för att få genomföras och att godkännande av etik-

prövningsnämnd aktualiseras bara med avseende på sådan konkret forskning som kan komma att planeras i framtiden”.87 Centrala etikprövningsnämndens beslut innebar således inte i sig något hinder för KI att fortsätta den insamling av uppgifter som man (med stöd av ett tidigare beslut i etikprövningsnämnden om en pilotverksamhet) redan hade påbörjat.

I det läget beslutade emellertid Datainspektionen, med stöd av PUL, att KI skulle upphöra med uppgiftssamlingen. Inspektionen menade att ändamålet ”framtida forskning” var alltför brett och att det i sin tur gjorde det omöjligt för forskningspersonerna, det vill säga de som frivilligt lämnade uppgifter och prover till LifeGene, att ge ett informerat samtycke.88KI överklagade beslutet till förvaltningsrätten. Regeringen valde emellertid efter Datainspektionens beslut att gå fram till riksdagen med förslag om en särskild lag för att säkerställa en fortsättning för LifeGene-projektet.89 Datainspektionen fattade sitt beslut om LifeGene i december 2011. Den nya lagen trädde i kraft två år senare.

Hur Centrala etikprövningsnämnden skulle ha ställt sig om den hade haft anledning att pröva EpiHealth-ärendet är oklart. Men det är mycket sannolikt att den hade haft samma inställning till EpiHealth som till LifeGene. Det är också oklart hur Datainspektionen skulle ha agerat när det gäller EpiHealth om den hade vunnit rättslig framgång i LifeGene-fallet.90 En mindre del av EpiHealth-projektet har dock prövats av Datainspektionen. Uppsala och Lunds universitet skickade in en anmälan till inspektionen om behandling av personuppgifter om genetiska anlag (enligt en skyldighet som då förelåg). Datainspektionen konstaterade i sitt ställningstagande att eftersom behandlingen ska utföras inom ramen för ett projekt som godkänts av etikprövningsnämnd är förutsättningarna enligt PUL uppfyllda.

87 CEPN beslut 2011-03-04, dnr Ö 28-2010. 88 I själva verket var ändamålet i KI:s ansökan i inte ”framtida forskning” i allmänhet. Dels fanns den precisering som redovisas i rutan nedan, dels angavs i den sammanfattande beskrivningen av projektet att huvudsyftet var ”att bygga en storskalig nationell resurs i form av en prospektiv kokort för framtida forskning med avseende på orsaker och förekomst av vanliga sjukdomar”. Man pekar därefter på det komplexa sambandet mellan arv och miljö och konstaterar att man vill studera sambandet mellan sjukdomar som uppträder tidigt i livet och senare uppkomst av kroniska sjukdomar. Etikansökan 2010-09-17. 89Prop. 2012/13:163 Vissa register för forskning om vad arv och miljö betyder för människors hälsa. 90 Förvaltningsrätten i Stockholm meddelade 2014-05-19 dom i målet. Med hänvisning till den nya lagen fastställde den att det inte längre finns fog för den bedömning Datainspektionen gjorde i det överklagade beslutet och att inspektionens föreläggande därför ska upphävas. Mål nr 25887-11.

Man ansåg sig därför inte ha någon anledning att pröva behandlingens laglighet.91

LifeGene och EpiHealth kan alltså beskrivas som komplementära projekt. De har bägge tillkommit i samverkan mellan flera universitet för att just skapa en infrastruktur för framtida forskning. Finns det då någon skillnad mellan etikansökningarna som skulle kunna motivera olika bedömningar? Jag har svårt att se någon sådan. Den lilla skillnad som finns är att Uppsala och Lunds universitet i sin ansökan var något mer utförliga när det gäller ändamålsbeskrivningen än vad KI var i sin. De förra valde att räkna upp huvuddelen av de sjukdomar som drabbar personer över 45 år, medan KI uttryckte sig mer översiktligt. Svaren på frågan ”Vilken primär vetenskaplig frågeställning ligger till grund för projektens utformning?” i etikansökan för de bägge projekten återfinns i rutan nedan.92

Karolinska Institutet (LifeGene)

Projektet är inte primärt hypotesprövning utan observationell forskning som kan ge svar på en rad vetenskapliga frågeställningar. Två huvudlinjer är

1. Vad är den aktuella prevalensen av sjukdomar och symtom samt distribution av exponeringar i befolkningen. Av särskilt intresse är prevalensen av psykiatriska symtom (såsom depressiva symtom, ångest, sömnstörningar etc.) hos barn och tonåringar.

2. Vilka påfrestningar finns i omgivningen som leder till uttalad sjudom hos somliga? Finns det sårbarhetsgener som gör somliga mer känsliga för dessa påfrestningar? Vilka interaktioner finns mellan sårbarhetsgener och omgivningsmässiga exponeringar för uppkomsten av vanliga sjukdomar?

Uppsala och Lunds universitet (EpiHealth)

Det övergripande målet är att studera samband mellan miljö/livsstilsfaktorer och gener avseende vanliga folksjukdomar hos medelålders och äldre.

De vetenskapliga frågeställningarna utgår från de sjukdomsområden som definierats i forskningsprotokollet … Existerar samband mellan miljö/livsstilsfaktorer och gener avseende framtida uppkomst av

1. hjärt-kärlsjukdomar, som hjärtinfarkt, stroke,

högt blodtryck, förmaksflimmer, hjärtsvikt, aortaaneurysm?

2. cancer?

3. lungsjukdomar, som kronisk obstruktiv lung-

sjukdom/astma och sömnapnesyndrom?

4. benskörhet och frakturer?

5. demens?

6. depression?

7. smärttillstånd från leder och skelett?

8. fetma och diabetes?

9. funktionsnedsättningar som leder till

beroende av andra för att klara livsföringen?

91 Datainspektionen 2011-03-03, dnr 307-2011. 92 Karolinska Institutet, Institutionen för Medicinsk Epidemiologi och Biostatistik, Ansökan om etikprövning 2010-09-17: Uppsala och Lunds universitet, Institutionen för medicinska vetenskaper vid Uppsala universitet, etikansökan 2011-11-10.

Existerar samband mellan miljö/livsstilsfaktorer och gener avseende 10. framtida livskvalitet? 11. framtida mortalitet av olika orsaker?

Förutom dessa huvudfrågeställningar avser vi att undersöka 12. Prevalenser av de ovan nämnda sjukdoms-

grupperna i olika köns- och åldergrupper.

13. Att studera hur livsstilsmönster (som fås ur enkät och fysiologiska prover) varierar i olika köns- och åldergrupper. 14. Att undersöka graden av nedärvning, och påverkan av gemensam miljöpåverkan inom en familj, på de ovan nämnda sjukdomsgrupperna. Denna frågeställning förutsätter ett framtida samarbete med LifeGenekohorten då vi gemensamt bjuder in hela familjer till undersökningen. Denna frågeställning är förknippad med speciella etiska övervägningar och kommer om den blir aktuell i framtiden att föregås av en SEPARAT etikansökan. 15. Att utvärdera biomarkörer i blod/plasma samt de fysiska testerna dom utförts på testcentret som riskfaktorer för de ovan nämnda sjukdomsgrupperna. I en nära framtid kan man förutsätta att man kan i ett blodprov analysera alla människans proteiner (proteomics), alla intermediärmetaboliter och andra mindre molekyler (metabolomics) och en fullständig fettprofil (lipidomics).

Handläggningen av ärendena avseende LifeGene och EpiHealth visar på svårigheterna att tolka gällande lagstiftning.

Jag har med detta exempel velat illustrera den oklarhet i författningsregleringen när det gäller forskningsdatabaser, som har påpekats av regeringen.

Samtidigt kan jag konstatera att det trots allt finns flera databaser av infrastrukturkaraktär i Sverige. Ett antal av dessa har sannolikt byggts upp i anslutning till etikgodkända forskningsprojekt. Etikgodkännandet torde då ha avsett forskningsprojektet och inte den forskningsdatabas som byggts upp i anslutning till detta. I några

fall synes etikprövningsnämnderna dock i praktiken ha godkänt forskningsdatabaser, där EpiHealth (och LifeGene) är tydliga exempel. Den nuvarande etikprövningslagen trädde i kraft år 2004. Vissa register är av äldre datum än så och kan ha prövats enligt de etiska regler som föregick lagen. De etikkommittéer som tidigare fanns vid de medicinska fakulteterna vid universiteten och vid Humanistisk-Samhällsvetenskapliga och Socialvetenskapliga Forskningsråden kunde etikgranska forskning inom vidare ramar än vad den nu gällande lagen tillåter.

Professor Robert Erikson har våren 2014 på uppdrag av VR lämnat en rapport om befintliga forskningsdatabaser inom samhällsvetenskap och medicin i Sverige. Hans inventering indikerar att det finns minst 50 sådana databaser.93

Det finns också några forskningsdatabaser som har skapats eller fått stöd genom beslut i riksdag, regering eller myndigheter. Det rättspsykiatriska forskningsregistret, IFAU-databasen och LifeGene har stöd av lagar stiftade av riksdagen. Det rättspsykiatriska forskningsregistret tillkom i slutet av 1990-talet men är i praktiken under avveckling då det inte kunnat användas som det var tänkt. De lagar som stödjer LifeGene och IFAU-databasen är som nämnts tillfälliga och gäller till utgången av 2015.

Demografiska Databasen vid Umeå universitet regleras av en särskild förordning, ursprungligen utfärdad av Universitets- och högskoleämbetet 1978. Den nu gällande förordningen är från 1990.94Arrangemanget med en myndighetsförordning som stöd för ett register torde vara tämligen unikt, åtminstone i dag.

Låt mig till sist nämna att jag under utredningsarbetet har mött flera exempel på forskare som hade önskat skapa forskningsdatabaser för flera olika forskningsprojekt, men som har fått nej av etikprövningsnämnderna. De har då i regel valt att i stället begränsa sin forskning eller dela upp den i en rad delprojekt.

8.4.3. Varför behövs forskningsdatabaser?

Forskningsdatabaser kan vara av utomordentligt stort värde genom att möjliggöra olika forskningsinsatser inom breda fält. En föregångare och förebild inom samhällsvetenskaplig forskning är den

93 Erikson, R., Andersson-Rydell, L., Nationell samordning av frågeundersökningar och längdsnittsstudier, Vetenskapsrådet 2014. 94 Förordning om demografiska databasen vid universitetet i Umeå, 1990-05-03 (UHÄ-FS 1990:8).

vid University of Michigan, USA, baserade Panel Study of Income Dynamics (PSID), inom vilken medlemmarna i ett stort antal familjer har följts från den första datainsamlingen 1968. Databasen tillkom ursprungligen för att följa utvecklingen av president Lyndons Johnsons krig mot fattigdomen i USA. Den används fortfarande, men ämnesområdet har vidgats betydligt under resans gång.95 Motsvarigheter i Europa är bland andra The German SocioEconomic Panel (GSOEP) vid forskningsinstitutet DIW i Berlin och The British Household Panel Study (BHPS) vid University of Essex. Den senare är en stor brittisk satsning för att bygga upp en longitudinell forskningsdatabas. Det finns i Storbritannien också ett antal kohortstudier, där den första bygger på uppgifter om alla barn som föddes en bestämd vecka år 1946. En annan amerikansk databas som också tjänat som modell till motsvarigheter i andra länder är The Health and Retirement Study (HRS), också vid University of Michigan, som har sin europeiska motsvarighet i The Survey of Health and Retirement in Europe (SHARE). Den senare samlar forskare från ett flertal europeiska länder, inklusive Sverige, och administreras från universitetet i München. Det finns många andra longitudinella forskningsdatabaser världen över.96

I VR:s utredning från 2005 Om forskningens infrastrukturer inom humaniora och samhällsvetenskap i Sverige anges att med

infrastruktur avses här huvudsakligen material som insamlats eller sammanställts av forskare för forskning och som redan nu eller i framtiden kommer att stå till förfogande för andra forskare nationellt eller internationellt. Det handlar om material som kräver långsiktighet i planering, finansiering och användande och är för dyr och/eller kräver sådana tekniska och personella resurser att det inte kan finansieras lokalt eller inom ramen för ett enskilt forskningsprojekt.

I VR:s guide till infrastrukturen 2012 nämns som exempel på forskningsinfrastrukturer ”centrala eller distribuerade forskningsanläggningar, databaser eller storskaliga beräknings-, analys- och modelleringsresurser”. VR har i annat sammanhang hänvisat till ett antal kriterier för att en infrastruktur ska vara av nationellt intresse. Här

95 Enligt PSIDs hemsida bygger över 3000 ’peer reviewed articles’ på uppgifter i databasen. Centre for Longitudinal Studies vid University of London listar över 1800 artiklar som bygger på the National Child Development Study, baserad på barn födda under en vecka 1958. Det faktiska antalet vetenskapliga artiklar som baseras på dessa kohortstudier torde vara betydligt högre eftersom forskare långt ifrån alltid återrapporterar om utnyttjandet av ett datamaterial. (Källa: Erikson och Andersson-Rydell, se fotnot 93.) 96 Klevmarken, A., brev till utredningen 2014-01-08, Erikson, R., Andersson-Rydell, L. Nationell samordning av frågeundersökningar och längdsnittsstudier, Vetenskapsrådet 2014.

bör särskilt nämnas att en sådan ska kunna utnyttjas av ett flertal forskargrupper eller användare och ha en långsiktig planering för vetenskapliga mål, finansiering och utnyttjande.97

Även i den internationella litteraturen inom området avses med

research infrastructure för samhällsvetenskaplig forskning relativt en-

tydigt stora databaser, omfattande datainsamlingar och dataarkiv.98

Infrastruktur inom samhällsvetenskap handlar således i hög grad om stora datamaterial. Databaserna måste kunna användas av flera forskare, vilket ställer krav på tillgänglighet och dokumentation.

Erikson listar i sin rapport till VR ett antal kriterier för en tänkt nationell infrastruktur för samhällsvetenskaplig och samhällsmedicinsk forskning: 1 Enheterna i studierna ska vara individer eller hushåll. 2 Materialen ska kunna bilda underlag för forskning av hög kva-

litet om processer och samband på individ- och samhällsnivå. 3 Materialen bör ha en viss minsta storlek. Det går emellertid inte

att fastställa en bestämd gräns för hur små material som kan inkluderas, eftersom det delvis beror på vilka frågor som man hoppas kunna besvara med hjälp av materialet. 4 Även om materialen är och bör vara avidentifierade i den form

som används för analys, bör det vara möjligt att för de i materialen ingående individerna hämta uppgifter från nationella register och att i uppföljningssyfte kunna återkomma till dem. 5 För att en tvärsnittsstudie ska kunna ingå i en nationell infra-

struktur, bör den bygga på en plan för periodiskt återkommande datainsamlingar. Samtidigt är det inte ovanligt att vad som vid en tidpunkt är en tvärsnittsstudie, genom uppföljningar via intervjuer eller i register senare kan ha utvecklats till ett longitudinellt material.

97 Se t.ex. http://www.vr.se/forskningsfinansiering/sokabidrag/vetenskapsradetsutlysningar/ aktuellautlysningar/infrastrukturplaneringsbidrag.5.4b1cd22413cb479b8051be9.html 98 EU anger att man inom ramen för ESFRI (European Strategy Forum on Research Infrastructures) med infrastruktur avser “facilities, resources or services of a unique nature that have been identified by pan-European research communities to conduct top-level activities in all fields. This definition of Research Infrastructures, including the associated human resources, covers major equipment or sets of instruments, as well as knowledge-containing resources such as collections, archives and databases. Research Infrastructures may be “single-sited”, “distributed”, or “virtual” (the service being provided electronically).” http://ec.europa.eu/research/infrastructures/pdf/esfri/esfri_roadmap/roadmap_2006/esfri_ roadmap_2006_en.pdf#view=fit&pagemode=none.

6 Materialen ska vara väl dokumenterade och tillgängliga för forskare utan andra restriktioner än de som följer av gängse forskaretik och etikregler.

Erikson konstaterar att forskningsdatabaser schematiskt kan vara uppbyggda på flera olika sätt. För det första skiljer han mellan sådana data som har samlats in av forskare (eller på uppdrag av forskare) och sådana som har hämtats ur register. För det andra skiljer han mellan olika alternativ för uppföljning av dessa material. Det kan handla om en engångsinsamling eller ett engångsuttag som inte vidare följs upp. När vi talar om infrastrukturer kännetecknas de emellertid av att sådana uppföljningar sker. Forskare kan samla in nytt material eller hämta nya uppgifter från myndighetsregister för att kunna jämföra över tid. Det kan också handla om att följa samma individer över tid. Erikson redovisar följande typmodeller:

Uppföljning

Grunddata källa

Ingen

Ny insamling

av forskare

Registeruppgifter

Insamling +

register

Insamlade av forskare A

B

C

D

Från register

E

F

G

H

Kategori A är tvärsnittsundersökningar som forskare gjort vid ett enstaka tillfälle. Sådana görs ofta inom forskningen men är i sig sällan kandidater till en forskningsdatabas, även om de kan vara av intresse för forskare i framtida projekt. Ett syfte med SND är, som jag har redovisat, att göra forskningsregister tillgängliga för flera forskare.

Kategori B är när forskare samlar in uppgifter vid flera tillfällen för att kunna bedöma utvecklingen. Det kan handla både om studier där man följer samma individer över tid (longitudinella studier) och om upprepade tvärsnittsstudier. I det senare faller sker olika urval från gång till gång. Valundersökningarna, som görs av Göteborgs universitet, och European Social Survey, som i Sverige görs av Umeå universitet, bygger på nya urval vid varje tillfälle. Levnadsnivåundersökningarna som görs vid Stockholms universitet är en kombination av dessa ansatser. De följer en panel över tid men urvalet förnyas successivt för att vid varje tidpunkt vara representativt för befolkningen.

Kategori C är när forskargenererat material kompletteras med uppgifter från myndighetsregister. Kopplingen kan både avse registeruppgifter från samma tidsperiod som det insamlade materialet och från andra tidpunkter – både före och efter datainsamlingstillfället. UGU-databasen vid Göteborgs universitet kan möjligen ses som ett exempel på detta, men skulle också kunna placeras i kategori D. Forskarna samlar visserligen in uppgifter från elever vid ett par tillfällen under skoltiden, men de livslånga uppföljningarna av individerna sker via register.

Kategori D är när ett forskargenererat material både följs upp av forskare och kompletteras med registeruppgifter. Det finns ganska många material som är av denna karaktär, till exempel den tidigare nämnda EpiHealth. Även den svenska delen av det internationella SHARE-projektet hade inledningsvis en sådan design och överväger att åter införa den.

Kategori E är när forskare tar ut material från myndighetsregister som endast avser en tidpunkt eller period. Det är ganska vanligt inom forskningen, men utgör sällan grund för infrastrukturer.

Kategori F är när materialet primärt hämtas ur ett myndighetsregister och sedan kompletteras av forskare genom till exempel enkäter till de berörda. Svenska Tvillingregistret kan ses som ett exempel på det.

Kategori G är när uppgifter hämtas ur myndighetsregister och successivt uppdateras ur samma källa. Den kan exemplifieras med den så kallade IFAU-databasen.

Kategori H slutligen får kanske ses som en logisk möjlighet utan faktisk motsvarighet.

I huvudsak bör de forskningsdatabaser som är av intresse när man diskuterar forskningsdatabaser tillhöra kategorierna B, C, D och G, i något fall också F, det vill säga forskardrivna studier med information från flera tidpunkter, med eller utan registerkopplingar, samt registerdata sammanställda i forskningssyfte.

8.4.4. Behöver myndighetsuppgifter finnas med i forskningsdatabaser?

Forskare kan således samla in uppgifter om individer som kan vara underlag i olika forskningsprojekt. De internationella exemplen visar detta tydligt. Men även i Sverige finns sådana forskningsdatabaser

som har kunnat användas för olika forskningsprojekt, i många fall även inom olika discipliner.

Ett belysande exempel är den tidigare nämnda UGU-databasen vid Göteborgs universitet. Den tillkom redan i början av 1960-talet för att kunna följa elever genom viktiga valsituationer i skolan. Hittills har med några års mellanrum uppgifter samlats in från nio årgångar, vanligen cirka 10 000 per årgång (ungefär en tiondel av alla födda det aktuella året). Individerna i den första gruppen är födda 1948, i den senaste 1998. Databasen bygger på en kombination av forskarinsamlade data och registeruppgifter. Forskarna samlar in uppgifter från barn i skolåldern (och ibland även deras föräldrar, lärare och rektorer), vilka kompletteras med skoladministrativa data från register. SCB samlar numera på uppdrag av forskarna in uppgifterna från eleverna. De uppgifter som finns i databasen vid universitetet är anonymiserade, men SCB har en kodnyckel, vilket gör det möjligt att inom ramen för konkreta forskningsprojekt med hjälp av registeruppgifter följa upp eleverna i vuxenlivet. Databasen tillkom ursprungligen för att användas i pedagogisk forskning, men har under åren utnyttjats av forskare inom flera olika discipliner. I en bok som gavs ut när databasen firade 50-årsjubileum fanns artiklar om forskning också inom sociologi, socialmedicin, socialt arbete och nationalekonomi.99

Ett annat exempel är Svenska Tvillingregistret som finns på KI. Även detta register började byggas upp på 1960-talet, från början för att undersöka hur rökning påverkade vår hälsa. Uppgifter om tvillingfödslar mellan åren 1886 och 1925 inhämtades från pastorsexpeditioner. Numera kommer uppgifterna om tvillingfödslar från Socialstyrelsens födelseregister. I registret finns cirka 200 000 tvillingar registrerade, varav cirka 150 000 är i livet. KI tar i dag telefonledes kontakt med alla tvillingföräldrar när tvillingarna blir nio år. Kontakten har två huvudsakliga syften. Det ena är att ta reda på om det är enäggs- eller tvåäggstvillingar. Det är en viktig information i forskningen när man ska studera betydelsen av ärftliga och miljömässiga faktorer. Det andra är att ta reda på om familjen vill medverka i forskning. Det kan handla både om att svara på frågor och lämna prover och om att tillåta att uppgifter hämtas in från till exempel hälsodataregister. Bara de som samtycker följs därefter upp av forskarna. Eftersom forskarna måste kontakta tvillingfamiljerna för att bland annat få reda på vilken typ av tvillingar det är måste de ha

99 Svensson, A. (red), Utvärdering Genom Uppföljning, Longitudinell individforskning under ett halvsekel. Göteborgs Universitet 2011.

tillgång till personuppgifter, inklusive kontaktuppgifter. När uppgifter från registret lämnas ut till konkreta forskningsprojekt lämnas de ut i anonymiserad form. Tvillingregistret har huvudsakligen använts för forskning inom hälsoområdet, men i vissa fall även inom andra discipliner, till exempel när det gäller utbildning.100

En forskningsdatabas innebär således att många uppgifter som kan vara intressanta inom ett ganska brett forskningsfält samlas på ett ställe. För konkreta projekt kan forskare sedan få ut de uppgifter ur registret som behövs för just detta projekt. I den mån det handlar om känsliga personuppgifter krävs som alltid etikgodkännande av forskningsprojektet. Det är också angeläget att de uppgifter som finns i registret successivt kan kompletteras. Det kan handla exempelvis om att lägga till nya uppgifter eller individer, uppdatera befintliga uppgifter eller följa samma individer över tid.

Uppgifterna i databasen kan, som har framgått ovan, ha två huvudsakliga källor. Antingen har de samlats in av forskare (eller på uppdrag av forskare) direkt från individer eller så har de hämtats från myndighetsregister eller biobanker. Om man önskar att flera forskare ska kunna få tillgång till vissa forskargenererade uppgifter finns inget annat alternativ än att samla dem i en databas. VR, och tidigare Forskningsrådsnämnden, har under många år uppmuntrat tillkomsten av den typen av forskningsdatabaser för bred användning. Det avgörande här är att de forskare som samlar in uppgifterna inhämtar samtycke från uppgiftslämnarna om en någorlunda bred användning av uppgifterna.

När det gäller uppgifter från myndighetsregister är det inte lika självklart att de ska kunna kopieras i en forskningsdatabas. Det finns de som menar att uppgifterna bara bör finnas i myndighetsregistren och efter sekretessprövning utlämnas till forskare för konkreta projekt. SCB:s tidigare refererade ställningstagande till forskningsdatabasen LIS är ett exempel på ett sådant förhållningssätt.

Frågan är då vilka skäl som kan finnas att bygga forskningsdatabaser som också innehåller personuppgifter från myndighetsregister. Regeringen har i propositionen om IFAU redovisat vissa skäl för varför det kan vara motiverat:

Att bygga upp en samling personuppgifter för ett specifikt uppdrag kan enligt IFAU ta upp till ett år och i vissa fall ännu längre tid. … Det är vidare … svårt att på förhand veta vilka personuppgifter som kom-

100 Magnusson, P.K.E et al, The Swedish Twin Registry: Establishment of a Biobank and Other Recent Developments, http://journals.cambridge.org/abstract -S1832427412001041; information per mail från Nancy Pedersen, Paul Lichtenstein och Patrik Magnusson.

mer att behövas för ett specifikt utredningsuppdrag. Variabler måste kunna läggas till och tas bort under arbetets gång och hypoteser om möjliga ansatser att effektutvärdera måste kunna prövas och förkastas. Att i efterhand komplettera med ytterligare personuppgifter fördröjer ofta arbetet ytterligare, särskilt i de fall SCB på uppdrag av IFAU måste sätta samman personuppgifter som kommer från olika myndigheter. … Att skapa projektspecifika samlingar av personuppgifter är vidare kostsamt. Det finns därför risk för att institutet skulle behöva begränsa underlaget av finansiella skäl, vilket i sin tur riskerar att få till följd att underlaget för institutets uppföljningar, studier och utvärderingar blir mindre omfattande och att slutresultatet blir kvalitetsmässigt sämre. … För att säkra kvaliteten i institutets utvärderingar krävs att IFAU:s forskare får möjlighet att utveckla användandet av databaserna. Delar av detta utvecklingsarbete är svårt att utföra utifrån projektspecifika databaser. Det är också svårare att motivera stora tidsmässiga investeringar i kunskapsuppbyggnad och utveckling av nya arbetssätt om inte forskarna har tillgång till varaktiga samlingar av uppgifter. … Om IFAU kan hålla egna samlingar av personuppgifter, kan institutet redan i dessa samlingar strukturera och anpassa uppgifterna så att de lämpar sig för forskning. … Databaserna är … den enskilt viktigaste förklaringen till att IFAU har kunnat locka till sig så hög vetenskaplig kompetens inom kvantitativ empirisk forskning.101

De skäl som här redovisas gäller IFAU, som inte bara forskar utan också utför utredningsuppdrag åt regeringen. Men de är i princip giltiga för annan forskning och är också de skäl som jag har mött i ett stort antal kontakter med forskare under utredningsarbetets gång:102

  • det tar tid och kostar pengar att få ut uppgifter från exempelvis

SCB,

  • uppgifterna från myndighetsregistren går ofta inte att använda direkt utan kräver bearbetning, vilket tar tid, alltifrån några månader till ett år eller mer,
  • mindre fel i underlaget som inte spelar någon roll när myndigheter som SCB tar fram officiell statistik kan vara viktiga i forskningen och måste korrigeras,
  • forskare måste ofta konstruera egna variabler genom att kombinera uppgifter ur olika register,

101Prop. 2011/2012:176 s. 42 f. 102 Bland annat arrangerades inom utredningen ram ett seminarium på Utbildningsdepartementet med deltagande av ett antal ledande forskare 2014-01-27.

  • det kräver tid och träning att lära sig vilka styrkor och svagheter en databas har, att förstå hur den kan användas. Det är viktigt att några har den kompetensen för att kunna bistå forskare i konkreta forskningsprojekt.

Det kan synas märkligt att uppgifter i myndigheternas databaser kan behöva bearbetas, men det finns en rad exempel på att det är nödvändigt. I vissa projekt önskar forskare studera prevalensen av sjukdomar över tid, men under den tid studien avser kan diagnoserna ha förändrats. De måste då gå igenom gamla diagnoser och anpassa dem till dagens diagnossystem för att få jämförbarhet. En liknande situation är när forskare vill jämföra effekten av exempelvis politiska åtgärder mot arbetslöshet vid olika tidpunkter. Insatser som i myndigheternas redovisning har olika beteckningar kan i själva verket vara mycket likartade och insatser med samma beteckning vara olika. Det krävs därför ett omfattande arbete för att uppnå jämförbarhet. Och ett tredje exempel kan hämtas från utbildningsområdet där man kan vilja undersöka till exempel effekter av gymnasieskolans programstruktur på social och könsrelaterad snedrekrytering. Då måste utbildningsprogram som under åren haft olika namn och innehåll grupperas på ett enhetligt sätt.

Många forskare som har arbetat mycket med register säger sig aldrig ha kunnat utnyttja registeruppgifter som de är, utan föregående bearbetning. Det är inte heller självklart att fel som uppdagas under forskarnas granskning leder till rättelse i myndighetsregistren. Felen kanske inte spelar någon roll för registrens primära ändamål, vilket ofta är administrativt eller statistiskt.

Ett viktigt argument för att skapa forskningsdatabaser är att undvika att samma arbete behöver utföras gång på gång. Genom att databaserna kan utnyttjas av flera forskare sparas både tid och pengar, som i stället kan användas för att driva flera viktiga forskningsprojekt.

8.4.5. Hur avgränsat ändamål?

Ett problem för en gemensam infrastruktur av forskningsdatabaser är den begränsning av ändamålet som finns i PUL och som indikeras i etikprövningslagen. Regeringen menar att forskningsdatabaser ska kunna ha bestämda men samtidigt relativt allmänt hållna ändamål. Projekt med sådana allmänt formulerade ändamål kläms i dag mellan

myndigheternas tolkningar av lagarna. De kan inte prövas etiskt, de kan stoppas om Datainspektionen bedömer att ändamålet är för allmänt och de kan hindras att få ut uppgifter från myndigheter.

Vilket är syftet när man i PUL säger att ändamålet för att få skapa uppgiftssamlingar ska vara särskilt?

De personuppgifter som får samlas in ska enligt 9 § PUL vara adekvata och relevanta och man får inte samla in fler uppgifter än vad som behövs för ändamålet. För att kunna bedöma vilka uppgifter som behöver samlas in krävs naturligtvis en viss precision i ändamålsbeskrivningen. Samtidigt konstateras i förarbetena att lagen inte anger hur pass detaljerat ändamålet ska vara för att uppfylla lagens krav, det får avgöras av praxis, och det sägs också att man kan ha flera olika ändamål som i sig inte behöver vara förenliga. Det synes öppna för de ”bestämda men relativt allmänt hållna forskningsändamål” som regeringen talar om.

När etikprövningsnämnderna ska pröva ett forskningsprojekt förutsätts det enligt förarbetena ske i två steg. Först görs en bedömning av forskningens vetenskapliga bärkraft. Den ska kunna generera kunskap och vara väl underbyggd. Efter den bedömningen görs en avvägning mellan riskerna för skada eller obehag för forskningspersonerna och värdet av den väntade kunskap som forskningen sannolikt ger. För att kunna göra en sådan avvägning är det nödvändigt att ändamålet med forskningen är någorlunda precist.

När det handlar om att forskare ska samla in uppgifter direkt från forskningspersonerna förutsätts att dessa ger ett informerat samtycke. För att de ska kunna lämna ett sådant måste han eller hon ha fått en uppfattning om vilket ändamålet är med att samla in uppgifterna.

Utlämnande myndigheter ska bedöma om uppgifter kan lämnas ut utan risk för skada eller men för den enskilde eller någon närstående. De ska enligt 9 § PUL bara lämna ut de uppgifter som är relevanta och adekvata för det aktuella forskningsprojektet och inte fler uppgifter än vad som är nödvändigt. För att kunna bedöma dessa frågor behöver de ha kunskap om ändamålet med behandlingen.

Motiven för en viss precision i beskrivningen av ändamålet med forskningen synes således vara fyra:

  • För att Datainspektionen som har att övervaka tillämpningen av

PUL ska kunna bedöma om behandlingen av personuppgifterna är i enlighet med lagen.

  • För att etikprövningsnämnderna ska kunna värdera nyttan av forskningen och därmed väga den mot riskerna för de enskilda.
  • För att den enskilde ska ha möjligheter att ge ett informerat samtycke till att uppgifterna om honom eller henne används i den aktuella forskningen.
  • För att utlämnande myndigheter ska kunna bedöma vilka uppgifter som är nödvändiga för forskningen ifråga och göra sin sekretessprövning.

Det är uppenbart att ändamålen med en forskningsdatabas visserligen måste vara bestämda men samtidigt, som regeringen framhåller, ganska allmänt hållna. De ska kunna inrymma en rad olika forskningsprojekt med olika inriktning. Hur ska sådana ändamål kunna formuleras och hur ska man i det sammanhanget se på de krav som motiverar en viss precision i ändamålsbeskrivningarna?

Låt mig börja med tänkbara ändamålsbeskrivningar. Här finns skäl att se hur regering och riksdag i olika sammanhang har sett på utformningen av ändamålet. Det är viktigt understryka att även när regering och riksdag i särskild ordning beslutat om ändamål med register så måste dessa hålla sig inom ramen för PUL, som ju grundar sig på EU:s dataskyddsdirektiv.

I flera registerlagar och regeringsförordningar där forskning är syftet eller ett av syftena är ändamålen ganska allmänt formulerade.

  • Enligt lagen (1998:543) om hälsodataregister får personuppgifter i ett hälsodataregister användas för bland annat ”forskning och epidemiologiska undersökningar”. Liknande formuleringar finns i de förordningar som reglerar de olika hälsodataregistren.
  • Enligt patientdatalagen (2008:355) inrättas kvalitetsregister inom hälso- och sjukvården för att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet, men får också användas för det sekundära ändamålet att bidra till ”forskning inom hälso- och sjukvårdsområdet”. Av propositionen om patientdatalagen framgår att tolkningen av vad som behövs för ändamålet kvalitetssäkring kan ske inom ganska vida ramar, men däremot att uppgifter som inte behövs för detta ändamål, men som skulle kunna vara bra att ha i framtida forskningsprojekt, inte får samlas in.
  • Ändamålet med det rättspsykiatriska forskningsregistret (som i och för sig inte längre uppdateras) är att uppgifterna ska användas för ”forskning inom rättspsykiatrin”.
  • Ändamålet med den behandling av personuppgifter som sker vid

IFAU är ”att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar”. I myndighetens instruktion preciseras ändamålet något. Det handlar om uppföljning och utvärdering av arbetsmarknadspolititiken, studier av arbetsmarknadens funktionssätt, utvärdering av reformer och åtgärder inom utbildningsväsendet och av utbildningens och socialförsäkringens effekter på arbetsmarknaden, således alltjämt ett brett ändamål.

  • I den lag som beslutats med anledning av LifeGene-problematiken sägs ändamålet vara att ”ge universitet och högskolor möjligheter att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt”. Det kan noteras att regeringen ansåg att ett skäl för att avgränsa lagens tillämpningsområde var att den är tillfällig.103
  • I biobankslagen anges forskning i allmänhet som ett av flera ändamål med de prover som samlas in.

Det kan således konstateras att regering och riksdag i flera sammanhang ansett det förenligt med EU:s dataskyddsdirektiv och PUL att formulera tämligen allmänna ändamål. Ibland har ”forskning” godtagits som ett sådant ändamål, men i dessa fall kan registrets karaktär sägas begränsa vilken typ av forskning det kan handla om. När det handlar om att skapa forskningsdatabaser måste ändamålet självfallet vara mer precist är ”framtida forskning”. Det är rimligt att ange en allmän inriktning på den forskning som kan bli aktuell, men att formulera den så att man inte i onödan begränsar möjligheterna för forskningsprojekt med många olika infallsvinklar. Här kan ändamålen såsom de angetts för det rättspsykiatriska registret och IFAU och i lagen om register för forskning om vad arv och miljö betyder för människor hälsa tjäna som förebilder.

Denna tolkning synes också väl överensstämma med den som görs av EU:s Artikel 29-grupp.104I en så kallad Opinion den 2 april 2013 framhåller man att bara ”framtida forskning” är ett alltför brett ändamål, men att vid bedömningen av ändamålets förenlighet med det ursprungliga hänsyn måste tas till vilka rimliga förväntningar uppgiftslämnarna kan ha om behandlingen även om inte alla

103Prop. 2012/13:163. s. 28. 104 Se avsnitt 5.3.4.6.

detaljer var kända när uppgifterna samlades in. Vid behandling av uppgifter för vetenskapliga ändamål måste särskild vikt läggas vid säkerheten i behandlingen. Man måste ta hänsyn till om uppgifterna är helt avidentifierade, kodade eller möjliga att indirekt identifiera eller identifierbara. Om möjligt bör anonyma uppgifter lämnas ut, men om det krävs att uppgifterna kan identifieras måste säkerhetskraven ställas särskilt högt.105

Vad gäller möjligheterna att väga nyttan av forskningen mot risker och obehag blir dessa med nödvändighet begränsade när man inte vet vilka konkreta forskningsprojekt som kan bli aktuella i framtiden. På risksidan torde de bedömningar som kan göras inte skilja sig väsentligt från vad som gäller ett konkret forskningsprojekt. När det handlar om att använda uppgifter från myndighetsregister, särskilt anonymiserade uppgifter, bedömer etikprövningsnämnderna i regel risken som obetydlig. I sådana ansökningar är det inte nödvändigt med någon noggrann värdering av nyttosidan i projekten. Samma princip gäller rimligen om det är flera projekt som ska utnyttja samma uppgifter. I det fall då forskare till en forskningsdatabas samlar in uppgifter direkt från forskningspersonerna krävs alltid informerat samtycke vid insamlingen. Nyckelfrågan blir hur brett det samtycket kan vara från uppgiftslämnarnas sida. Den frågan har jag diskuterat i kapitel 6.106 Min slutsats där var det är rimligt att beslutkapabla personer ska kunna lämna ett ganska brett samtycke, det vill säga att de ska kunna samtycka till att deras uppgifter eller prover efter etikgodkännande får användas till flera olika framtida forskningsprojekt.

Någon etikprövning av själva forskningsdatabasen kan, som har framgått, inte göras enligt etikprövningslagen. Däremot måste varje uttag av känsliga personuppgifter och uppgifter om lagöverträdelser med mera från databasen föregås av etikprövning. Etikprövningsnämnden får därvid också bedöma om det är nödvändigt att inhämta ett nytt informerat samtycke för det aktuella projektet eller om det breda samtycke är tillräckligt, som lämnades när uppgifterna samlades in.

Nuvarande lagstiftning ger således inte utrymme för någon etisk prövning av forskningsdatabasen som sådan. Som påpekas i direktiven till utredningen har Centrala etikprövningsnämnden i sitt beslut om LifeGene anfört att det kan finnas skäl för att etikpröv-

105 Opinion 03/2013 on purpose limitation, adopted on 2 April 2013, http://ec.europa.eu/justice/data-protection/index_en.htm. 106 Se avsnitt 6.10.

ningslagen utvidgas till att gälla även forskningsdatabaser. Det skulle vara fullt möjligt, men det löser inte problemet med Datainspektionens restriktiva inställning till sådana databaser och inte heller till exempel SCB:s restriktiva inställning till att lämna ut uppgifter till sådana.

8.4.6. Sammanfattning om forskningsdatabaser

  • Forskningsdatabaser kan vara till stor nytta för forskning inom olika discipliner. Det är därför angeläget att det skapas rättsliga förutsättningar för att i ökad omfattning skapa sådana i Sverige.
  • Forskningsdatabaser bör, som regeringen har framhållit, ha bestämda men relativt allmänt hållna forskningsändamål.
  • Forskningsdatabaser måste kunna byggas av såväl uppgifter och prover som samlas in av forskare direkt från enskilda som av personuppgifter från myndighetsregister, och en kombination därav.
  • Enskilda måste kunna lämna uppgifter och prover till en forskningsdatabas och samtycke till att de får användas i forskning på grundval av information om forskningens allmänna inriktning.
  • För att skapa rättsliga förutsättningar för forskningsdatabaser är det inte tillräckligt att utvidga etikprövningslagen så att även sådana databaser kan ges etikgodkännanden. Det måste också finnas lagstöd för ändamålsbestämningar som går utöver Datainspektionens tolkning av särskilt ändamål i PUL och som ger myndigheter stöd för att lämna ut uppgifter till forskningsdatabaser.
  • Behovet av forskningsdatabaser av det slag som här diskuterats kan på sikt successivt minska i takt med utveckling av väl fungerande federerade system. Det återstår dock omfattande teknisk utveckling och kvalitetsarbete i olika register innan det kan ske i stor skala.

8.5. Slutsatser

Mitt uppdrag är att lägga fram förslag som syftar till att registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter till forskningsändamål, att sambearbetning av register-

uppgifter ska underlättas, att det ska bli möjligt att samla in personuppgifter till register som förs för bestämda men relativt allmänt hållna forskningsändamål, till exempel longitudinella studier, samt att skyddet av den enskildes integritet vid forskning vid behov förstärks.

I kapitel 4 gav jag en rad skäl för varför användning av personuppgifter från register kan vara värdefull för forskningen. I kapitel 5 redovisade jag det rättsliga ramverk som finns på området och som anger villkoren för att använda personuppgifter i forskning. Reglerna syftar i stor utsträckning till att skydda forskningspersoners personliga integritet och till att hantera den avvägning som kan behöva göras mellan olika intressen. I kapitel 6 diskuterade jag de risker för den personliga integriteten som registerbaserad forskning kan innebära.

I det här kapitlet har jag gett en kort bakgrund till de satsningar på registerbaserad forskning som har gjorts i Sverige under de senaste tio åren och översiktligt redovisat nuläget och de utmaningar som finns om man vill underlätta registerbaserad forskning. Jag ska nu redovisa ett antal slutsatser om vad som kan göras och på vilka områden jag anser det motiverat att nu komma med konkreta förslag. Mina konkreta förslag återfinns i kapitel 9.

  • Viktiga uppgifter för Vetenskapsrådets registerdataråd

VR har under våren 2014 som ett led i regeringens uppdrag att skapa en funktion för registerbaserad forskning inrättat ett registerdataråd med representanter för berörda myndigheter och för forskningen. Rådet bör kunna spela en viktig roll för den dialog myndigheterna emellan och mellan myndigheter och forskare som är nödvändig för att skapa bättre villkor för registerbaserad forskning. Det är viktigt att rådet får de resurser som krävs för att möjliggöra en fortlöpande dialog mellan berörda intressenter och bereda det underlag som behövs för en konstruktiv diskussion i rådet. Några av de utmaningar som jag kan se bör lämpligen kunna hanteras av rådet.

  • Utvärdering och utveckling av MONA-systemet

VR har inom ramen för sitt nya uppdrag under våren 2014 också initierat en utvärdering och översyn av MONA-systemet. Förhoppningsvis kommer den att leda till en fortsatt utveckling av

systemet och också till att liknande system kan etableras inom andra myndigheter, inte minst inom Socialstyrelsen.

  • Federerade system kräver centralt initiativ och utvecklings-

arbete

Som noterats finns från flera håll, inklusive regeringen, ett intresse för ett så kallat federerat system, som skulle kunna underlätta sambearbetning av uppgifter ur register hos olika huvudmän. Det kan ses som en fortsättning på MONA-konceptet, men är alltså avsett att involvera ett stort antal dataägare.

För att ett federerat system kan vara användbart i stor skala krävs ett omfattande och tekniskt avancerat utvecklingsarbete. Någon institution måste ha ansvar för att driva ett sådant arbete och bland annat ta fram kravspecifikationer. Möjligen kan det arbetet som har inletts vid Umeå universitet härvidlag ses som ett första steg. Det kan finnas skäl för regeringen att överväga att inrätta en särskild delegation för att följa detta arbete och ta de ytterligare initiativ som kan behövas. Regeringen har i den senaste forskningspropositionen aviserat ett initiativ men ännu har inget sådant tagits.

  • Att bistå forskningen måste bli prioriterad uppgift för SCB

Min bedömning är att det rättsliga ramverk som finns för den registerbaserade forskningen, med något undantag som jag strax ska återkomma till, fungerar väl och inte på något väsentligt sätt försvårar registerbaserad forskning. MONA-systemet har i viktiga avseenden ökat forskares tillgänglighet till data från SCB och flera andra myndigheter samtidigt som skyddet för den personliga integriteten har stärkts.

Jag har dock under utredningsarbetet fått många exempel på brister i servicen från framförallt SCB. Ett viktigt skäl till dessa brister är att det enligt SCB:s instruktion inte är en prioriterad uppgift för myndigheten att stödja forskningen. Jag föreslog mot den bakgrunden i Statistikutredningen att det ska skrivas in i SCB:s instruktion att en av dess prioriterade uppgifter ska vara att bistå forskningen med data.107 Från Finansdepartementet har signalerats att man ser positivt på förslaget, men någon ändring av instruktionen har som jag konstaterat ännu inte skett. Det är ytterst angeläget att den snarast kommer till stånd. Det kan finnas

107SOU 2012:83 s. 552.

skäl att överväga liknande ändringar i instruktionerna även för andra myndigheter.

Med en förändring av SCB:s instruktion blir det naturligt att ställa krav på att myndigheten skapar en tydlig struktur för forskarservice. Som jag har redovisat har SCB:s generaldirektör nyligen initierat en översyn av SCB:s samarbete med bland andra forskare. Inom Socialstyrelsen finns det numera en registerserviceenhet.

För att säkerställa att en central enhet inom SCB får den kvalitet och storlek som är önskvärd är det rimligt att en del av finansieringen kommer från VR:s anslag för registerbaserad forskning, på samma sätt som Uddannelses- och Forskningsministeriet i Danmark finansierar den forskningsserviceenhet som finns vid Danmarks Statistik.

Med ett tydligt uppdrag för SCB att stödja forskningen blir det också naturligt för myndigheten att överväga hur dess register kan förbättras när det gäller dokumentation och kvalitet för att bättre kunna tillgodose forskningens behov. Även här kan det kvalitetsarbete som sker vid Danmarks Statistik utgöra en förebild.

  • Satsningen på hälso- och sjukvårdens kvalitetsregister positiv

Den satsning som nu sker på att förbättra kvaliteten i och tillgängligheten till hälso- och sjukvårdens kvalitetsregister har på kort tid lett till en kraftig ökning av forskning baserad på registren, mätt till exempel med antalet publicerade artiklar. När den nuvarande planen löper ut med utgången av år 2016 bör vägen mot framtiden stakas ut med utgångspunkt i de erfarenheter som då har gjorts och Myndighetens för vårdanalys utvärdering.

  • Angeläget med ökad spårbarhet i biobanker

De många prover som finns i biobanker utgör en stor tillgång för svensk medicinsk forskning. En stor utmaning just nu är att göra informationen om vilka prover som finns mer tillgänglig. I syfte att underlätta spårbarheten av biobanksprover kommer jag i avsnitt 9.5 att föreslå inrättandet av ett nationellt biobanksregister.

  • Svensk Nationell Datatjänst (SND)

SND är en viktig infrastruktur för svensk forskning. Det är angeläget att snarast hitta en långsiktig lösning för SND:s verksamhet. Samtidigt måste SND få rättsligt stöd för att hantera personuppgifter som kan finnas i forskningsregister och forskningsdatabaser som deponeras hos SND.

Det finns skäl att överväga ett alternativ som innebär att SND blir ansvarig organisation för arkivarisk förvarig av forskningsdata. Det skulle innebära att originaldata, och inte bara kopior av forskningsmaterial, skulle kunna placeras hos SND. Det skulle också kunna lösa det problem med hantering av personuppgifter som Datainspektionen har påtalat. Ett sådant alternativ torde förutsätta en annan organisatorisk lösning än dagens och en särskild lagstiftning där SND:s uppgifter tydliggörs.

Vad gäller den organisatoriska lösningen finns det starka skäl som talar för att SND, i likhet med NSD i Norge, görs till en självständig organisation/myndighet. NSD har ett nära samarbete med Riksarkivet i Norge och har nyligen avtalat med Riksarkivet om att ansvara för arkiveringen av forskningsdata i Norge.108 Alternativet till en sådan självständig organisation skulle för SND:s del kunna vara att den integreras med Riksarkivet. Det är en lösning som påminner om den danska, men DDA har inom Statens Arkiver under senare år förlorat mycket av sin självständiga ställning. Erfarenheterna från Danmark talar snarast emot en sådan lösning, men skulle man trots allt välja den modellen är det angeläget att SND ges en tydligt självständig ställning inom Riksarkivet. SND bör vid en sådan lösning få öronmärkta medel och någon form av rådgivande nämnd med representanter också från forskningen.

Med någon av dessa lösningar, och ett tydligt uppdrag för SND att vara arkivansvarig för forskningsmaterial, skulle originalmaterial kunna arkiveras hos SND. En lag härom skulle också kunna ge SND det erforderliga rättsliga stöd som i dag saknas för att kunna behandla personuppgifter. Detta framstår som särskilt angeläget mot bakgrund av att jag senare kommer att föreslå att kodnycklar ska bevaras under en längre tid än vad som i dag är fallet. En följd av detta blir att fler forskningsregister än i dag kommer att innehålla personuppgifter i PUL:s mening.

108 Avtale mellom Riksarkivarien og Norsk samfunnsvitenskapelig datatjeneste (NSD) om bevaring og bruk av forskningsdata, 2014-05-20.

Jag har inte inom ramen för denna utredning haft uppdraget att föreslå någon lösning på SND-problematiken. Det är emellertid angeläget att snarast finna en sådan. Det finns därför starka skäl för regeringen att snarast låta utreda denna fråga.

  • Förenklad etikprövning vid uttag av anonymiserade uppgifter

Jag kommer i det följande att föreslå en ny lag om forskningsdatabaser. Mitt förslag innebär bland annat att etikprövningsnämnderna kommer att få en delvis ny uppgift, nämligen att etikgodkänna alla forskningsprojekt som innebär uttag från forskningsdatabaserna, oavsett om de innehåller känsliga personuppgifter eller inte. Frågan är då om det finns möjligheter att i andra avseenden minska arbetsbördan för nämnderna.

Som har framgått har i etikprövningsnämnderna utvecklats en praxis som innebär att forskningsprojekt som endast avser behandling av anonymiserade registeruppgifter i princip alltid godkänns. Riskerna för den personliga integriteten bedöms i sådana fall som mycket små. Mot den bakgrunden kan det finnas skäl att överväga om man skulle kunna avstå från krav på etikprövning i sådana ärenden. I Danmark råder en sådan ordning där vissa certifierade institutioner utan etikprövning får tillgång till anonymiserade uppgifter från Danmarks Statistik och Statens Serum Institut.

Jag är emellertid inte beredd att nu föreslå en sådan ändring. Att det krävs etikgodkännande för att hantera känsliga personuppgifter är sedan lång tid en etablerad ordning i Sverige. Att helt ta bort den skulle riskera att rubba förtroendet för forskningen. Däremot finns det skäl att överväga ett förenklat förfarande i detta slag av ärenden. Man skulle till exempel kunna överväga att delegera beslutsfattandet till etikprövningsnämndens ordförande eller en särskild, mindre avdelning inom nämnden som specialiserar sig på sådana ärenden. Jag kommer i avsnitt 9.1.1 att föreslå en justering i etikprövningslagen som öppnar för en sådan möjlighet.

Etikprövningsnämnderna har vid uttag ur register att bedöma om samtycke ska inhämtas från forskningspersonerna eller om uttag kan ske utan samtycke. Vid uttag som avser ett stort antal individer och särskilt när det handlar om anonymiserade uppgifter innebär den praxis som utvecklats att nämnderna vanligen inte ställer krav på samtycke. Som jag har redovisat i kapitel 6

förekommer det emellertid att nämnder har begärt att forskningshuvudmannen ska annonsera om den planerade forskningen för att ge berörda forskningspersoner möjlighet att anmäla att de inte önskar delta. Jag har redovisat vissa principiella betänkligheter mot ett sådant förfarande. Det rimliga är att den princip som tycks tillämpas i de flesta fall, att samtycke inte krävs vid uttag av anonymiserade uppgifter, blir till en generell rekommendation. En sådan bör rimligen kunna ges av Centrala etikprövningsnämnden. Däremot är det angeläget att den forskning som sker redovisas öppet, till exempel på webbsidor, så att en intresserad allmänhet kan följa den.109

Som jag har redovisat kan en etikprövningsnämnd i dag med stöd av etikprövningsförordningen lämna ett rådgivande yttrande över forskning som avser människor i sådana fall då forskningen inte omfattas av etikprövningslagen. Vetenskapsrådets etiska kommitté har i rapporten God forskningssed föreslagit att detta bör bli en lagstadgad skyldighet i etikprövningslagen. Jag delar den uppfattningen och kommer i avsnitt 9.1.2 även att föreslå en sådan ändring.

  • Bevara kodnycklar under längre tid

När myndigheter lämnar ut anonymiserade uppgifter kan de behålla en kodnyckel som kopplar samman de beteckningar som de anonymiserade uppgifterna har getts, vanligen löpnummer, med identifierbara personer. På det sättet kan uppgifterna efter utlämnandet kompletteras och uppdateras. Möjligheten har tillkommit i första hand för longitudinella studier där en och samma företeelse följs under lång tid. Om inte forskaren och myndigheten särskilt kommit överens om att behålla kodnyckeln förstörs den i regel efter tre månader.

Detta kan i flera fall innebära problem. Forskare kan efter en tid inse att de skulle behöva komplettera de uppgifter de har fått ut även om de inte förutsett det när uppgifterna begärdes ut. En studie som börjat som ett tidsbegränsat projekt kan samtidigt vara ett embryo till en longitudinell studie där man vill följa forskningspersonerna i fråga över tid. Andra forskare kan vilja replikera studien, eventuellt med tillägg av vissa uppgifter. Olika situationer kan alltså tänkas där det är angeläget att kunna komplettera de uppgifter som lämnats ut för ett visst forsknings-

109 Se avsnitt 6.10.

projekt. I förarbetena synes man också ha gjort en väl snäv avgränsning av longitudinella studier. En tolkning är att longitudinella studier över tid endast kan avse samma forskningspersoner.110Det är rimligt att longitudinella studier ska kunna göras också så att den panel som studeras över tid delvis förnyas, till exempel för att vid varje tillfälle vara representativ för befolkningen och så att personer som avlider ersätts med nya svarande.

Jag kommer mot denna bakgrund att i avsnitt 9.2 föreslå att rutinerna för bibehållande av kodnycklar ändras.

  • Vad är nödvändiga uppgifter?

Myndigheterna ska enligt PUL inte lämna ut fler uppgifter än vad som är nödvändigt för den forskning som är aktuell. Forskare upplever att de ofta måste kunna motivera mycket konkret varför vissa uppgifter behövs och hur de ska användas. I praktiken måste forskare emellertid ofta pröva sig fram, en process som kan kräva fler uppgifter än de som till sist kommer att användas i redovisningen av forskningsresultaten. Det är angeläget att det inom myndigheterna finns förståelse för denna forskningsprocess.

Att diskutera forskningsprocesser och möjligen ge ut någon form av riktlinjer för bedömningen av nödvändiga uppgifter framstår som en lämplig uppgift för VR:s registerdataråd.

  • Bortfallsanalys

Vid urvalsundersökningar måste man alltid räkna med ett bortfall, det vill säga att några individer som ombeds svara på frågor eller lämna prover inte vill vara med. Även i de frågeundersökningar som SCB gör uppgår bortfallet i dag till 30–40 procent. I vissa forskningsstudier är det större än så. Det är angeläget att kunna analysera bortfallet för att kunna bedöma hur representativa de som deltar i undersökningen är för alla som har tillfrågats. Det kan ske genom att jämföra vissa uppgifter om grupperna som hämtas ur befolkningsregister. SCB, och andra myndigheter, gör regelmässigt sådana bortfallsanalyser i sina urvalsundersökningar. Det är angeläget att även forskare har möjlighet att göra sådana.

Enligt vad jag har inhämtat från de registerhållande myndigheterna är praxis numera att hjälpa till med bortfallsanalyser. Det kan emellertid finnas skäl för forskare att i etikansökan sär-

110 Rättsliga förutsättningar för en databasinfrastruktur för forskning, Vetenskapsrådets rapportserie 11:2010 s. 53.

skilt uppmärksamma problemet och ange om en sådan kommer att behöva göras.

Även denna fråga kan behöva diskuteras i VR:s registerdataråd.

  • Underlätta internationellt samarbete

Forskningen blir i många avseenden alltmer internationell. Forskare samarbetar över gränserna. Inom OECD har man pekat på de möjligheter till samarbete som diskuteras i Norden. Nordiska forskningsrådet, Nordforsk, har initierat en diskussion mellan de statistiska centralbyråerna i de nordiska länderna. Det är angeläget att Norden på denna punkt kan visa vägen.

Det är också angeläget att svenska myndigheter inte onödigt-

vis försvårar samarbete i europiska forskningsdatabaser. I de fall andra europeiska länder anser det förenligt med gemensam lagstiftning att lämna ut uppgifter bör det inte finnas några hinder för svenska myndigheter att göra det, till exempel till Luxemburg Income Study.

  • Förstärkt sekretess och skydd vid universitet och högskolor

Läckage av uppgifter från universitet och högskolor har inte hittills varit något problem. Erfarenheterna är likartade i våra nordiska grannländer. Däremot har jag under utredningsarbetet fått anekdotiska exempel på att det har förekommit säkerhetsproblem och slarv vid olika lärosäten. Det finns därför starka skäl att på olika sätt förstärka sekretess och skydd.

När uppgifter överlämnas från myndigheter till universitet och högskolor blir dessa personuppgiftsansvariga. Det är alltså universiteten och högskolorna och deras styrelser som har det yttersta ansvaret för skydd och säkerhet vid lärosätena. Med detta ansvar följer krav på att säkerställa att de som handhar register på universiteten är väl förtrogna med gällande regler och iakttar dem i den dagliga verksamheten. På många håll synes detta fungera väl. De arrangemang som finns kan till exempel innebära att bara särskilda enheter har tillgång till känsliga uppgifter och att de till forskare bara lämnar ut de uppgifter som dessa behöver för konkreta projekt eller att personuppgifter hanteras i slutna system. Alla universitet och många mindre högskolor har personuppgiftsombud som är ansvariga för att övervaka att regler följs och att slå larm om något inte är som det

ska. Regelsystemet och de krav som följer av detta är på plats. Det handlar om att säkerställa att de också följs. Det ansvaret är ytterst styrelsernas och konsistoriernas. Det finns skäl för regeringen att i regleringsbrev till de statliga universiteten och högskolorna uppmärksamma dem på detta ansvar och begära återrapportering om hur frågorna hanteras.

När sekretesskyddade uppgifter överlämnas från en statlig myndighet till ett statligt universitet eller en statlig högskola följer sekretessen med. Men för att säkerställa att alla personuppgifter som samlas in från olika källor av forskare åtnjuter ett starkt sekretesskydd finns skäl att införs en forskningssekretess av samma styrka som statistiksekretessen. Jag återkommer i avsnitt 9.3 med förslag om detta.

  • Skapa möjligheter för forskningsdatabaser

Ett problem som uppmärksammats under senare år är svårigheterna att skapa forskningsdatabaser, det vill säga databaser som är en infrastruktur för i dag okända framtida forskningsprojekt. Jag har i detta kapitel utförligt motiverat varför sådana forskningsdatabaser kan vara värdefulla för forskningen och varför det i dag är svårt att skapa dem. Jag har i kapitel 6 också utförligt diskuterat förhållandet mellan gällande lagstiftning, också den nyligen gjorda ändringen i 2 kap. 6 § RF om skydd för den personliga integriteten, och både registerbaserad forskning i allmänhet och forskningsdatabaser i synnerhet. Min slutsats är att det inte finns något grundlagsenligt hinder för det förslag jag senare ska presentera. Jag återkommer i avsnitt 9.4 således med ett konkret förslag till en lag om forskningsdatabaser.

Många forskningsdatabaser kommer att helt eller delvis byggas med uppgifter som samlas in direkt från enskilda. Frågan har diskuterats om det är förenligt med PUL att enskilda lämnar uppgifter eller prover till en sådan forskningsdatabas och samtycker till att de får användas till framtida forskning med en viss inriktning. Det handlar ytterst om en tolkning av PUL. Jag anser för min del att det måste vara möjligt för enskilda att lämna uppgifter på sådana villkor.

8.6. Sammanfattning

Den analys som har gjorts i detta kapitel och de slutsatser som redovisats ovan leder fram till vissa konkreta förslag som jag ska återkomma till i nästa kapitel, men därtill är det främst två aktörer som på olika sätt kan bidra att underlätta registerbaserad forskning, nämligen regeringen och VR:s registerdataråd. Rådet kan naturligtvis inte fatta egna beslut som ger effekt men kan förhoppningsvis vara ett forum för diskussioner som leder till att deltagande parter, såsom VR, SCB, Socialstyrelsen och Datainspektionen, var för sig eller tillsammans, på olika sätt kan fatta beslut som underlättar för den registerbaserade forskningen.

Det är angeläget att regeringen

  • Beslutar om en förändring av SCB:s instruktion så att det blir en prioriterad uppgift för SCB att bistå forskningen med data.
  • Överväger motsvarande förändring i andra myndigheters instruktioner.
  • Öronmärker resurser hos SCB, eventuellt från VR:s anslag för registerforskning, för att förstärka servicen till forskare.
  • Uppdrar åt SCB att bedriva ett kontinuerligt kvalitetsarbete för att möta forskningens behov.
  • Fullföljer den påbörjade satsningen på att förbättra kvaliteten i och tillgängligheten till hälso- och sjukvårdens kvalitetsregister.
  • I regleringsbrev till statliga universitet och högskolor uppmanar dessa att lägga större vikt vid skydd och säkerhet vid behandling av personuppgifter, bland annat genom att stärka personuppgiftsombudens ställning, och begär återrapportering om hur skyddet hanteras.
  • Initierar ett arbete i syfte att utveckla ett federerat system för sambearbetning av data och förstärka skyddet för den personliga integriteten, eventuellt i samarbete med Umeå universitet.
  • Initierar en utredning om SND:s framtid, ställning och finansiering. Ett syfte bör vara att SND ska bli arkivmyndighet för forskningsdatamaterial.

Det är angeläget att VR:s registerdataråd

  • Fullföljer utvärderingen av MONA-systemet med sikte på att utveckla systemet och att i samarbete med Socialstyrelsen utveckla ett motsvarande system där.
  • Tillsammans med Centrala etikprövningsnämnden, de regionala etikprövningsnämnderna, registerhållande myndigheter och företrädare för forskningen diskuterar utformningen av etikansökningarna i syfte att underlätta arbetet för alla parter.
  • Diskuterar vad som ska betraktas som nödvändiga uppgifter för att forskningen ska kunna bedrivas på ett effektivt sätt.
  • Diskuterar problemet med bortfall vid statistiska undersökningar och vad som göras för att underlätta bortfallsanalyser i forskningen.
  • Diskuterar de utmaningar som finns när det gäller internationellt samarbete inom forskningen och utbytet av data över nationsgränserna. Det är särskilt angeläget att underlätta svenskt deltagande i internationella forskningsdatabaser.
  • Diskuterar hur säkerheten på universitet och högskolor kan förstärkas. Det kan finnas skäl att överväga någon form av allmänna råd från VR och Datainspektionen för att ge universitet och högskolor vägledning.

På följande punkter lägger jag i nästa kapitel fram konkreta förslag

  • Ändring i etikprövningslagen i syfte att kunna förenkla prövningen när forskningen bygger på behandling av anonymiserade personuppgifter.
  • Ändring i etikprövningslagen som innebär att etikprövningsnämnder blir skyldiga att pröva forskningsprojekt som hänvisas till dem även om projekten inte enligt lagen kräver etiktillstånd.
  • Ändring i lagen (2001:99) om den officiella statistiken i syfte att kodnycklar ska bevaras under en längre tid.
  • En bestämmelse om forskningssekretess vilken innebär absolut sekretess för alla personuppgifter som behandlas inom forskning.
  • Lag om forskningsdatabaser som gör det möjligt att skapa databaser av infrastrukturkaraktär för att betjäna olika framtida forskningsprojekt.
  • Lag om Nationella biobanksregistret för att öka spårbarheten av prover i biobanker.

9. Bedömningar och förslag

9.1. Etikprövningen

9.1.1. Ett enklare förfarande

Förslag: Etikprövningslagen ändras så att ärenden i de regionala

etikprövningsnämnderna som avser forskning som endast innefattar behandling av personuppgifter som hämtats från myndighetsregister med uppgifter som primärt samlats in för andra ändamål än forskning och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde får avgöras av ordföranden ensam.

Som jag tidigare beskrivit har Centrala etikprövningsnämnden utvecklat en praxis enligt vilken forskningsprojekt som endast innefattar behandling av anonymiserade personuppgifter ur myndighetsregister i regel anses medföra mycket små risker för den personliga integriteten. Sådana projekt bedöms därför kunna godkännas utan att någon egentlig värdering av forskningsprojektets nytta görs. Som jag tidigare anfört finns det skäl att överväga om man skulle kunna införa ett förenklat förfarande i denna typ av ärenden.

Enligt 25 § etikprövningslagen ska en regional nämnd vara indelad i två eller flera avdelningar. En avdelning ska bestå av ordförande och femton övriga ledamöter. Ordföranden ska vara eller ha varit ordinarie domare. Av de övriga ledamöterna ska tio ha vetenskaplig kompetens och fem företräda allmänna intressen. En av de vetenskapliga ledamötena är så kallad vetenskaplig sekreterare. Avdelningen kan fatta beslut när ordföranden och minst åtta övriga ledamöter är närvarande. Av de övriga ledamöterna ska minst fem ha vetenskaplig kompetens och minst två företräda allmänna intressen. Ledamöterna med vetenskaplig kompetens ska alltid vara i majoritet. För Centrala etikprövningsnämnden gäller att den ska bestå av ord-

föranden och sex övriga ledamöter, varav fyra ska ha vetenskaplig kompetens och två företräda allmänna intressen (32 §). Även den centrala nämnden har en vetenskaplig sekreterare. Centrala etikprövningsnämnden är beslutsför när ordföranden och minst tre ledamöter med vetenskaplig kompetens och minst en företrädare för allmänna intressen är närvarande.

I motiven till etikprövningslagen anförs att nämnden inte i onödan bör belastas med handläggningsfrågor eller avgöranden på formell grund.1 Det har därför införts bestämmelser om att ordföranden ensam får fatta beslut om förberedande åtgärder, rättelse av skrivfel och liknande, annat beslut som inte innebär något slutligt avgörande av ett ärende och prövning av fråga om avvisning eller avskrivning av ärende (27 och 33 §§). Ordföranden får också överlämna dessa uppgifter till en föredragande vid nämnden. I 27 § tredje stycket anges att en avdelning för en regional nämnd får lämna över till ordföranden eller någon annan ledamot att avgöra ett visst ärende eller vissa ärenden som är sådana att tidigare vägledande avgöranden kan tillämpas eller som annars är av sådant slag att de inte behöver avgöras av avdelningen. Enligt förarbetena till bestämmelsen ska dessa möjligheter tillämpas med urskiljning eftersom avsikten med lagen är att skapa nämnder som kan pröva ansökningarna med så många ledamöter som möjligt närvarande i syfte att åstadkomma en allsidig prövning.2 Som exempel på fall där överlämnande kan ske anges att avdelningen vid överläggning kommer fram till ett visst ställningstagande under förutsättning att vissa kompletteringar av ansökan görs. Ordföranden eller annan ledamot kan då få i uppdrag att fatta beslut i frågan vid ett senare tillfälle, under förutsättning att kompletteringen kommer in.3 Det kan också röra sig om nya ärenden som på alla avgörande punkter liknar ett ärende som en regional etikprövningsnämnd eller Centrala etikprövningsnämnden redan har tagit ställning till. Enligt förarbetena är det naturliga att överlämnande sker till ordföranden, men när det i huvudsak är fråga om en vetenskaplig bedömning kan överlämnade i stället ske till en ledamot med vetenskaplig kompetens.

Det finns således redan i dag möjlighet för nämnden att överlämna till ordföranden eller annan ledamot att ensam avgöra vissa ärenden, särskilt när det finns en väl etablerad praxis på området. Jag menar att bestämmelsen öppnar för möjligheten att föreskriva

1Prop. 2002/03:50 s. 155. 2 Ibid. 3Prop. 2002/03:50 s. 203.

att vissa typer av ärenden kan avgöras av ordföranden ensam. När det gäller ärenden som rör behandling av anonymiserade personuppgifter som hämtats ur ett myndighetsregister finns i dag en etablerad praxis hos Centrala etikprövningsnämnden. Sådan behandling anses utgöra liten eller obefintlig risk för skada eller obehag för forskningspersonerna. Eftersom risken bedöms som liten eller obefintlig behöver inte någon bedömning av forskningens vetenskapliga bärkraft göras. Risksidan kommer ju i dessa fall aldrig att väga tyngre än värdesidan. I dessa fall görs således endast en riskbedömning, inte någon avvägning mellan riskerna för skada och obehag för den enskilde och det förväntade värdet av forskningen. Skälet till att forskning som innebär behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen (PUL) eller lagöverträdelser med mera enligt 21 § PUL ska ha etikgodkännande är att det är fråga om potentiellt integritetskränkande forskning och att etikprövning enligt förarbetena bör göras för att säkerställa skyddet för medverkande personer.4Ordföranden, som ska vara eller ha varit ordinarie domare, bör ha den kompetens som krävs för att ensam fatta beslut i dessa ärenden. En domare är van att sätta sig in i olika rättsområden, göra intresseavvägningar samt beakta de rättsskyddsaspekter som bli aktuella. Eftersom någon bedömning av den vetenskapliga kvaliteten av forskningen inte behöver göras är kravet på vetenskaplig sakkunskap inte särskilt starkt. Jag menar att ordföranden är väl skickad att bedöma de integritetsrisker som kan finnas vid forskning med anonymiserade data från myndighetsregister. Det bör därför i etikprövningslagen införas en möjlighet för ordföranden att ensam fatta beslut i ärenden som avser behandling av anonymiserade personuppgifter från myndighetsregister.

Förfarandet bör vara tillämpligt när uppgifterna som ska behandlas hämtats från myndighetsregister som primärt samlats in för andra ändamål än forskning, till exempel för administrativa ändamål eller för utvärdering och kvalitetssäkring. Bestämmelsen gäller således inte vid prövning av behandling av personuppgifter som är hämtade från en forskningsdatabas som förs med stöd av den föreslagna lagen om forskningsdatabaser (se avsnitt 9.4).

Det bör betonas att förfarandet med ordförandebeslut inte endast innebär en formell prövning. En prövning av varje ärende ska utföras efter de principer som gäller enligt etikprövningslagen. I de fall ord-

4Prop. 2002/03:50 s. 104 ff och 2007/08:44 s. 25.

föranden anser ärendet är av sådan karaktär att det bör behandlas i nämnden bör ärendet hänvisas dit.

Motsvarande bestämmelse bör inte införas för Centrala etikprövningsnämnden. Om ett ärende överklagas till Centrala etikprövningsnämnden är det vanligtvis av mer komplicerad karaktär och det finns ingen anledning att införa en förenklad handläggning för denna typ av ärenden.

9.1.2. Rådgivande yttrande

Förslag: De regionala etikprövningsnämnderna åläggs att lämna

rådgivande yttranden över forskning som avser människor, men som inte omfattas av etikprövningslagens tillämpningsområde.

Enligt 4 a § förordning (2003:615) om etikprövning av forskning som avser människor får en regional etikprövningsnämnd lämna rådgivande yttranden över forskning som avser människor i de fall forskningen inte omfattas av etikprövningslagen. Nämnden får även lämna rådgivande yttranden över arbeten som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

Etikprövningsutredningen föreslog att bestämmelsen om rådgivande yttrande skulle flyttas från förordningen till lagen och att det i lagen skulle föreskrivas att forskning som avser människor och som inte omfattas av den obligatoriska prövningen enligt lagen skulle få prövas i tillämpliga delar enligt bestämmelserna i 1–2, 6–12 och 16–37 §§.5I betänkandet anfördes att ett rådgivande yttrande utfärdas av etikprövningsnämnden. Det sker på frivillig basis efter begäran från forskaren och grundar sig inte på etikprövningslagen. Utredningen ansåg det angeläget att det finns en dylik bestämmelse som ger forskaren möjlighet att få sitt projekt prövat av en etikprövningsnämnd om det krävs för att kunna erhålla forskningsbidrag eller för att publicera forskningsresultat inom och utom landet eller om det av annat skäl är angeläget att få forskningen etikprövad. Det är inte heller något som hindrar att institutionerna i landet själva kräver etikprövning för forskning där de anser att så är påkallat, exempelvis av studentarbeten. För att ge prövningen i dessa fall en ökad tyngd ansåg utredningen att bestämmelsen skulle tas in i lagen. Bestämmelsen skulle vara tillämplig på all forskning som inte faller

5SOU 2005:78 s. 74 ff.

in under den obligatoriska prövningen och som uppfyller kravet på forskning enligt lagens definition. Som exempel angavs forskning som inte faller in under den obligatoriska prövningen i 4 § 2 p. då den inte syftar till att påverka forskningspersonen fysiskt eller psykiskt eller innebär en uppenbar risk för skada, men där det väl finns skäl att tro att påverkan kommer att ske. Ett annat exempel är forskning genom enkäter och intervjuer om känsliga uppgifter som inte faller inom ramen för de känsliga personuppgifter som anges i lagen. Dolda observationer anges som ytterligare ett exempel på forskning som kan underställas den frivilliga prövningen. Vidare konstateras att etikprövningslagen endast omfattar forskning som ska utföras i Sverige. Forskning som bedrivs av svenska forskare eller med svenska medel i andra länder prövas därför enligt de ländernas regler om etikprövning. Endast i undantagsfall saknas sådana regler. Om forskning bedrivs av svenska forskare eller med svenska medel i ett annat land, exempelvis genom inhämtande av prover som sedan förs in i Sverige, krävs det således inte någon etikprövning här. Om det i ett sådant fall skulle saknas etikprövning i det andra landet ligger det enligt utredningen nära till hands att anse att det svenska forskningsinstitutet eller motsvarande bör låta forskningsprojektet underkastas en frivillig prövning i Sverige. Enligt utredningens förslag ska regelsystemet i etikprövningslagen tillämpas på den frivilliga prövningen. Den frivilliga prövningen ska således ske enligt samma principer som den obligatoriska prövningen och utföras lika samvetsgrant. Den frivilliga prövningen ska dock enligt utredningen inte vara förenad med något straffansvar. Utredningen konstaterar att förslaget innebär ett allmänt starkare skydd för forskningspersonen än tidigare och att allmänhetens förtroende för forskningen sannolikt kommer att öka. Vidare ges forskarsamhället på detta sätt möjlighet att påverka vad som ska etikprövas. Förslaget innebär också att risken för att det skapas en parallell organisation för etiska prövningar undviks och att forskarnas intressen av att få till stånd en etikprövning beaktas.

I Vetenskapsrådets (VR) rapport God forskningssed konstateras att omständigheten att etikprövningsnämnderna inte är skyldiga att avge yttrande kan innebära problem.6 Det finns fall då en regional etikprövningsnämnd har nekat att ge ett sådant yttrande och detta har påverkat forskarnas möjligheter till finansiering och publicering. Det anförs att det är önskvärt att det införs en lagstadgad skyldig-

6 God forskningssed, Vetenskapsrådets rapportserie 1:2011 s. 60 f.

het för etikprövningsnämnderna att ge yttranden till dem så önskar, eller att detta åtminstone blir praxis.

Jag instämmer i Etikprövningsutredningens och VR:s bedömningar att det bör finnas en möjlighet för forskare vars forskningsprojekt inte faller under etikprövningslagens tillämpningsområde att ändå få sitt projekt prövat av en etikprövningsnämnd. I etikprövningslagen bör därför införas en bestämmelse där de lokala etikprövningsnämnderna åläggs att på begäran lämna rådgivande yttranden över forskning som avser människor men som inte omfattas av etikprövningslagens tillämpningsområde. Skyldigheten bör endast gälla för forskning som faller under etikprövningslagens definition av forskning. Arbete som utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå utgör inte forskning enligt etikprövningslagens definition. I sådana fall ska möjligheten att begära yttrande finnas kvar, men nämnden ska inte vara skyldig att avge yttrande.

Bestämmelsen om rådgivande yttrande införs lämpligen i det avsnitt som gäller lagens tillämpningsområde. Ansökningsavgiften bör vara densamma för ett rådgivande yttrande som för en ansökan om etikprövning.

9.1.3. Ett utvidgat tillämpningsområde

Förslag: Etikprövningslagen ska tillämpas på forskning som

innefattar behandling av personuppgifter i en forskningsdatabas som förs med stöd av lagen (0000:00) om forskningsdatabaser.

Jag kommer i avsnitt 9.4 att förslå en ny lag om forskningsdatabaser, som ska möjliggöra upprättandet av forskningsdatabaser för framtida forskning. Förslaget innebär en möjlighet för statliga universitet och högskolor samt andra statliga myndigheter som har i uppdrag att bedriva forskning att bygga upp forskningsdatabaser med personuppgifter som ska kunna användas i ännu inte definierade forskningsprojekt som bedrivs av den egna myndigheten eller av annan forskningshuvudman.

Datainspektionen har i förarbetena till lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ifrågasatt om det är lämpligt att universitet och högskolor får föra

egna register för befolkningsbaserad forskning.7 Enligt Datainspektionen innebär förslaget att man överger den grundläggande princip som hittills har gällt för hur samhället har tillåtit insamling av känsliga uppgifter för att tillgodose behovet av bland annat statistik och forskning. Enligt inspektionen finns det risk för att integritetsfrågorna inte kommer att tas på tillräckligt allvar när den ansvarige får personuppgiftsbehandlingen i registret även är den som har direkt nytta av personuppgiftsbehandlingen, i form av forskningsresultat och anslagsmedel.

Jag håller med Datainspektionen om att en sådan risk föreligger, om än liten. För att garantera att integritetsskyddet upprätthålls bör personuppgifter i en forskningsdatabas endast få lämnas ut till forskningsprojekt som har godkänts enligt etikprövningslagen. Detta ska gälla oavsett vilken typ av personuppgifter som ska behandlas, det vill säga även om behandlingen inte innefattar känsliga personuppgifter enligt 13 § PUL eller personuppgifter om lagöverträdelser med mera enligt 21 § PUL. Förslaget kommer således att innebära en utvidgning av etikprövningslagens tillämpningsområde.

Att samtliga forskningsprojekt som innefattar personuppgiftsbehandling av personuppgifter som hämtas från en forskningsdatabas ska godkännas av etikprövningsnämnd kan vara lämpligt av andra skäl. I de fall uppgifter i forskningsdatabasen samlats in med den enskildes samtycke kan det till exempel vara lämpligt att etikprövningsnämnden gör en bedömning av om nytt samtycke bör inhämtas.

9.2. Ändring av bestämmelserna om kodnyckelförfarande

Förslag: När en statistikansvarig myndighet lämnar ut uppgifter

som inte direkt kan hänföras till en enskild för forskningsändamål ska myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna i ett forskningsprojekt eller utföra uppföljning, replikation eller granskning av samma projekt eller att använda uppgifterna i ett delvis förändrat forskningsprojekt. En sådan kodnyckel ska bevaras

7Prop. 2012/13:163 s. 29.

hos den utlämnande myndigheten i tjugo år från dagen för utlämnandet av uppgifterna som kodnyckeln avser. Tiden för bevarande av kodnyckeln ska efter tjugo år kunna förlängas efter beslut av den myndighet som upprättat den eller efter ansökan från den som använder kodnyckeln.

Enligt 16 § första stycket lagen om den officiella statistiken får en statistikansvarig myndighet som lämnar ut uppgifter som inte direkt kan hänföras till en enskild i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna.8Ett sådant kodnyckelförfarande får tillämpas om den som uppgifterna lämnas ut till ska använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. Bestämmelsen möjliggör således för en statistikansvarig myndighet, till exempel Statistiska centralbyrån (SCB) eller Socialstyrelsen, att i samband med ett utlämnande förse ett anonymiserat material med ett icke informationsbärande löpnummer. Systemet har införts för att möjliggöra för forskarna att komplettera det ursprungliga materialet, exempelvis vid longitudinella studier.

Bestämmelser om kodnyckelförfarande finns också i 6 och 7 §§ i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Enligt bestämmelserna kan kodnyckelförfarande tillämpas när en uppgift lämnas ut från sådana register till forskning eller till en utredning om oredlighet i forskning.

Det har under utredningen framkommit att bestämmelserna om kodnyckelförfarande i lagen om den officiella statistiken inte är utformade på ett för forskarna tillfredsställande sätt. Det har från forskarhåll framförts att det är ett problem att de registerhållande myndigheterna inte bevarar kodnyckeln om forskaren inte särskilt begär det. Det har också framkommit exempel på fall där nyckeln har bevarats och forskaren efter den föreskrivna bevarandetiden ansökt om förlängning av bevarandetiden men den registerhållande myndigheten har beslutat att begäran ska avslås. Att kodnyckeln förstörs kan få stora konsekvenser för ett pågående forskningsprojekt eftersom nya uppgifter inte kan läggas till de gamla.

8SOU 2012:83 s. 360. Utredningen konstaterar att statistiksekretessen tillämpas av betydligt fler myndigheter än de statistikansvariga myndigheterna. Myndigheterna säger sig då framställa statistik i en sådan särskild verksamhet som avses i 24 kap. 8 § OSL och detta verkar inte ifrågasättas.

9.2.1. Lagen om den officiella statistiken

Som framgår ovan finns bestämmelser om kodnyckelförfarande i lagen om den officiella statistiken (statistiklagen). Lagen och dess förordning (förordning (2001:100) om den officiella statistiken) reglerar, som namnet avslöjar, den officiella statistiken och tillämpas när statliga myndigheter under regeringen framställer officiell statistik. Vissa av lagens bestämmelser är också tillämpliga vid framställning av annan statistik hos de statistikansvariga myndigheterna. Lagen reglerar de statistikansvariga myndigheternas behandling av personuppgifter. I de fall det i lagen finns bestämmelser som skiljer sig från personuppgiftslagens bestämmelser ska bestämmelserna i statistiklagen ha företräde (2 § PUL).

9.2.2. När kan kodnyckelförfarande användas?

Bestämmelserna som rör statistikansvariga myndigheters tillämpning av kodnyckelförfarande finns i 16–18 §§ statistiklagen. Bestämmelsen i 16 § innebär att en statistikansvarig myndighet vid utlämnandet av uppgifter som inte direkt kan hänföras till enskild kan förse uppgifterna med ett icke informationsbärande löpnummer. Den utlämnande myndigheten bevarar en nyckel i form av en förteckning för att översätta löpnummer till personnummer. Denna nyckel kan användas för uppdatering av användarens material. Syftet med regleringen är enligt förarbetena att vid longitudinella och likartade studier kunna påföra ny information på de individer som ingår i studien.9Med longitudinell studie avses enligt motiven mätning av utvecklingen över tiden av en och samma företeelse. Myndigheten ska enligt förarbetena i varje enskilt fall ingående pröva om förfarandet ska tillåtas med hänsyn till samtliga relevanta faktorer.10

För att kodnyckelförfarandet ska kunna tillämpas krävs det enligt bestämmelserna i 16–17 §§ statisktiken och förarbetena att vissa rekvisit är uppfyllda. För det första gäller att kodnyckelförfarande får tillämpas av en statistikansvarig myndighet som lämnar ut uppgifter som inte direkt kan hänföras till en enskild. Förfarandet får enligt 16 § tillämpas om den som uppgifterna lämnas ut till ska använda dem för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. Av förarbetena fram-

9Prop. 2000/01:27 s. 51 f. 10Prop. 2000/01:27 s. 52 f.

går att möjligheten att använda kodnyckelförfarandet är avgränsat till longitudinella studier och studier som är likartade med longitudinella.11 Vidare ska, enligt förarbetena, samhällets behov av studien vara väl dokumenterad. Det innebär att det åligger den forskningshuvudman som önskar att ett kodnyckelförfarande ska tillämpas att visa att uppgifterna ska användas i en longitudinell eller annan likartad studie. Forskningshuvudmannen ska också visa att det finns ett särskilt behov av att kunna komplettera uppgifterna. För att den utlämnande myndigheten ska kunna behålla kodnyckeln krävs det således att den som ska använda uppgifterna i sin forskningsverksamhet särskilt begär det. I det fall det kan ske utan påvisbara nackdelar från kvalitetssynpunkt bör det utlämnade materialet bestå av ett urval av personer.

Enligt 17 § statistiklagen får kodnyckelförfarandet endast tillämpas om uppgifterna som lämnas ut ska användas för forskning och statistik. Enligt förarbetena ska bestämmelsen garantera att uppgifterna bara kan lämnas ut till sådan verksamhet som omfattas av statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (OSL).12Det ankommer på den utlämnande myndigheten att bevaka att statistiksekretessen blir tillämplig hos mottagaren. Det kan åstadkommas på tre sätt. Det första är att mottagande myndighet har en särskilt avgränsad verksamhet för statistikframställning. Då tillämpas 24 kap. 8 § OSL som primär sekretessbestämmelse även där. Det andra är att mottagaren är en statlig myndighet som ska använda uppgifterna i sin forskningsverksamhet. I sådant fall följer statistiksekretessen med materialet på grund av bestämmelsen om överföring av sekretess i 11 kap. 3 § OSL. Slutligen bör enligt förarbetena även forskningsinstitutioner och liknande verksamheter som har privaträttslig karaktär kunna få tillgång till data genom kodnyckelförfarande, eftersom de kan få uppgifterna under rättsligt bindande förbehåll om användningen.13 Bestämmelser om förbehåll finns i 10 kap. 14 § OSL.

Det följer av 18 § att den som har fått personuppgifter som avses i 16 § första stycket inte behöver lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna rätta, blockera eller utplåna uppgifter på begäran av den registre-

11Prop. 2000/01:27 s. 53 f. 12Prop. 2000/01:27 s. 73. 13Prop. 2000/01:27 s. 52 och 72.

rade. Däremot följer det av 16 § andra stycket att om en uppgift har rättats, blockerats eller utplånats hos den statistikansvariga myndigheten ska denna vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till.

Utformningen av bestämmelserna i 16–18 §§ statistiklagen avser enligt förarbetena att skapa en säker metod för att kunna komplettera material som i sig inte ska kunna hänföras till enskilda individer eller företag.14Det ska inte vara möjligt för mottagaren att på något sätt identifiera de individer som ingår i materialet. I sammanhanget hänvisas till att det i 6 § i lagen finns ett förbud mot att sammanföra uppgifter i den officiella statistiken med andra uppgifter i syfte att utröna enskildas identitet.

Enligt bestämmelsen om statistiksekretess i 24 kap. 8 § OSL får en statistikansvarig myndighet lämna ut uppgift som behövs för forsknings- och statistikändamål om det står klart att uppgiften kan röjas utan att den enskilde eller närstående till denne lider men. Enligt bestämmelsens ordalydelse finns således inget hinder mot att en statistikansvarig myndighet lämnar ut identifierbara uppgifter för forsknings och statistikändamål. Myndigheterna har dock av integritetsskäl som policy att så långt möjligt endast lämna ut anonymiserade data för forskningsändamål. Socialstyrelsen kan i undantagsfall lämna ut personnummer, om det är enda möjligheten för att forskningen ska kunna genomföras och datasäkerheten hos mottagaren är tillfredsställande. Även för Socialstyrelsen är dock utgångspunkten att endast anonymiserade data lämnas ut. För att det ska vara möjligt för den som har begärt ut uppgifter för forskningsändamål att lägga till data vid ett senare tillfälle är det således i de allra flesta fall nödvändigt med ett kodnyckelförfarande. Det har under utredningstiden inte framkommit att forskarna upplever det som svårt att få till stånd ett kodnyckelförfarande. Tvärtom tillämpas ett sådant förfarande regelmässigt vid utlämnande av anonymiserade uppgifter i de fall den som har begärt ut uppgifterna begärt det och det går att säkerställa att statistiksekretessen blir tillämplig hos mottagaren.

14Prop. 2000/01:27 s. 72 f.

9.2.3. Hur länge ska kodnyckeln bevaras?

Det framgår inte av bestämmelserna i statistiklagen hur länge en kodnyckel ska bevaras. Frågan diskuteras inte heller i förarbetena till bestämmelserna. Tiden för bevarandet bestäms i stället av de statistikansvariga myndigheternas praxis.

I de fall den som har begärt ut uppgifter från en statistikansvarig myndighet inte har begärt att ett kodnyckelförfarande ska tillämpas bevarar SCB och Socialstyrelsen som huvudregel kodnyckeln i tre månader från leveransdatumet, därefter förstörs den. Att kodnyckeln ska bevaras i tre månader efter utlämnandet är en överenskommelse mellan SCB, Socialstyrelsen och Datainspektionen. Det ansågs vara rimlig att kodnyckeln förvaras en kortare tidsperiod efter leveransen för att det ska finnas en möjlighet att rätta eventuella fel i det levererade materialet.

Om den som har begärt ut uppgifterna har begärt att ett kodnyckelförfarande ska tillämpas bevarar SCB och Socialstyrelsen kodnyckeln under en viss tid. Bevarandetiden bestäms utifrån förutsättningarna i varje enskilt fall, men normalt som längst i tre år. Efter tre år tar SCB och Socialstyrelsen, efter dialog med den som har begärt ut uppgifter, åter ställning till om kodnyckeln ska bevaras eller inte. Att kodnyckeln som utgångspunkt ska bevaras i tre år har beslutats efter diskussioner mellan SCB, Socialstyrelsen och företrädare för forskningen. Det ansågs vara ett lämpligt tidsintervall för omprövning av om kodnyckeln ska bevaras eller inte.

9.2.4. De utlämnande myndigheternas problem

Det har från de utlämnande myndigheterna framförts att kodnyckelförfarandet kan ge upphov till vissa problem. Förarbetena föreskriver att kodnyckelförfarandet ska tillämpas restriktivt, till exempel anges att samhällets behov av studien ska vara väl dokumenterat. En kodnyckel ska endast bevaras om forskningshuvudmannen uttryckligen begär det. Förteckningen, det vill säga kodnyckeln, ska bara användas för uppdatering av ett och samma material. En kodnyckel skapas således för att kunna komplettera och uppdatera material i ett visst forsknings- eller statistikprojekt. Bevarandet av en kodnyckel möjliggör emellertid att nya variabler läggs till de ursprungliga, vilket i sin tur kan leda till att ett specifikt projekt med tiden utvecklas till en generell databas vars syfte är att utgöra

underlag för flera forskningsprojekt. Nuvarande reglering ger inte stöd för bevarandet av kodnyckel för uppdatering av sådana generella databaser. När det ursprungliga ändamålet med projektet inte längre finns kvar eller har omformulerats saknas grund för bevarandet av kodnyckeln. Huvudregeln är i stället enligt 19 § statistiklagen att uppgifter som inte längre behövs för sitt ändamål ska gallras.

Myndigheten ska vid utlämnande av uppgifter göra en sekretessprövning enligt 24 kap. 8 § OSL. Det har framförts att om nya uppgifter har lagts till de ursprungliga är det svårt för den utlämnande myndigheten att avgöra risken för att någon lider skada eller men om ytterligare uppgifter lämnas ut. Ju mer information som tillkommer om en individ, desto större är risken för bakvägsidentifiering. Om uppgifter har adderats efter hand och forskningsfrågorna delvis har omformulerats kan det vara svårt att avgöra om uppgifterna behandlas inom ett specifikt forskningsprojekt eller om det i stället rör sig om en generell databas. Behandling av personuppgifter utan ett specifikt ändamål och av fler personuppgifter än som är nödvändigt med ett sådant kan bedömas stå strid med 9 § PUL. Det följer vidare av 21 kap. 7 § OSL att sekretess gäller för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL. Finns det inte stöd för behandlingen av personuppgifterna hos den mottagande myndigheten ska uppgifterna således inte lämnas ut.

9.2.5. Forskarnas problem

De problem som tagits upp vid utredningens möten med forskare är relaterade bland annat till frågor om bevarande av kodnyckeln. Det första typexemplet är att forskaren har begärt ut uppgifter från en statistikansvarig myndighet men av olika skäl inte begärt att ett kodnyckelförfarande ska tillämpas. Som anges ovan bevaras kodnyckeln i sådana fall som huvudregel i tre månader från leveransdatumet, därefter förstörs den. Det har från forskarhåll framförs att det kan finnas behov av att bevara kodnyckeln även i de fall forskaren inte särskilt begärt det. På grund av forskningsprocessens tentativa karaktär är det svårt att alltid förutse hur ett forskningsprojekt kommer att utvecklas. Nya resultat kan leda till nya hypoteser som bör testas genom att till exempel lägga till nya variabler till det ursprungliga materialet. Forskningsfrågorna i en longitudinell studie kan förändras över tiden, även om ändamålet är snävt avgränsat.

Det är vanligt att en studie som pågår i flera år genomgår en sådan förändring. Behov av att komplettera uppgifterna kan således uppstå efter hand som ett projekt fortgår och det är inte alltid möjligt för forskaren att förutse det när uppgifterna begärs ut. Forskare kan till exempel vilja lägga till uppgifter inom ramen för den ursprungliga frågeställningen eller vilja använda samma uppgifter kompletterade med andra uppgifter för att besvara en delvis omformulerad forskningsfråga. Det är inte möjligt om kodnyckeln inte är bevarad.

Det andra problemet som beskrivits av forskarna är att den registerhållande myndigheten efter en förutbestämd tid inte förlänger tiden för bevarande av kodnyckeln, även om forskaren har behov av att så sker. Det skäl som i vissa fall har angetts av utlämnande myndighet är att forskningsfrågorna har förändrats över tid. Utlämnande myndighet har då ansett att det är ett nytt projekt som kräver ett nytt etiktillstånd och nya data. Det är dock mycket naturligt att forskningsfrågorna förändras i ett longitudinellt projekt. Det är alltså inget skäl att kräva att en ny databas skapas. Om det uppfattas att frågorna avviker väsentligt från de ursprungliga kan det krävas ett nytt etikgodkännande, men det forskningsregister som har byggts upp för det ursprungliga projektet bör likväl kunna användas.

9.2.6. Ändring av bestämmelserna om kodnyckelförfarande

9.2.6.1 Bevarande av kodnyckel

Kodnyckelförfarande får endast tillämpas om den som begär ut uppgifterna visar att det finns ett särskilt behov av att uppgifterna ska kunna kompletteras. Som framgår ovan kan det finnas situationer där forskaren inte förutsett att de uppgifter som begärts ut kommer att behöva kompletteras med ytterligare uppgifter från den utlämnande myndigheten. Det behöver inte bero på förbiseende från forskarens sida utan kan ha sin förklaring i att det inte alltid är möjligt att förutse vilken riktning ett forskningsprojekt kommer att ta. Om kodnyckeln är förstörd kan de ursprungliga uppgifterna inte kompletteras med nya uppgifter. Det kan leda till att värdefull forskning inte kan komma till stånd. Förstörandet av kodnyckeln omöjliggör också för andra forskare att bygga vidare på eller kontrollera tidigare utförd forskning. Jag menar därför att det finns skäl att bevara en kodnyckel även i de fall forskaren inte begärt att kodnyckeln ska bevaras.

Mot denna ståndpunkt kan anföras att det innebär en integritetsrisk att kodnyckeln bevaras, och att detta endast bör ske om den som begärt ut uppgifterna kan anföra starka skäl. I förarbetena förespråkas en restriktiv tillämpning då det anges att kodnyckelförfarande ska tillämpas endast under förutsättning att samhällets behov av studien är väl dokumenterat.15

Jag menar dock att ett sådant bevarande inte innebär någon större risk ur integritetssynpunkt. Kodnyckeln bevaras hos den statistikansvariga myndigheten och skyddas av den starka sekretess som 24 kap. 8 § OSL medför. Vidare bör den registerhållande myndigheten upprätthålla en så god datasäkerhet att obehöriga inte kan komma åt kodnyckelfilen. Varje nytt uttag prövas enligt bestämmelserna i OSL. Om det rör sig om känsliga personuppgifter ska behandlingen godkännas av en etikprövningsnämnd.

Min slutsats är att kodnyckelfilen inte endast ska sparas i de fall forskaren särskilt begärt att så ska ske. I stället bör kodnyckeln bevaras i samtliga de fall där en statistikansvarig myndighet lämnar ut uppgifter i avidentifierad form till forskningsprojekt där det kan bli aktuellt att uppdatera uppgifter i projektet. De statistikansvariga myndigheterna ska således inte endast ha rätt att behandla kodnyckeln i de fall den som begärt ut uppgifterna särskilt begär det utan även för ändamålet att möjliggöra uppdatering av användarens material inom ramen för det ursprungliga syftet med projektet eller för delvis förändrade projekt.

Ibland används en kodnyckel av flera myndigheter. Kodnyckeln bör bevaras av den statistikansvariga myndighet som har upprättat den.

Ett motsvarande kodnyckelförfarande föreslås när det gäller den nya lagen om forskningsdatabaser, se avsnitt 9.4.18. Jag har inte haft möjlighet att analysera huruvida ett sådant förfarande kan vara användbart vid utlämnande av uppgifter från Riksarkivet eller SND. Denna fråga får utredas närmare i annat sammanhang.

9.2.6.2 Ett utvidgat tillämpningsområde

Kodnyckelförfarandet är avgörande för att kunna göra planerade uppföljningar av studier. Förfarandet är i nuvarande lagstiftning utformat så att uppdateringen av uppgifterna ska ske inom samma forskningsprojekt. Att en kodnyckel bevaras möjliggör emellertid

15Prop. 2000/01:27 s. 54.

också för forskare att bygga vidare på tidigare utförd forskning. En forskare kan till exempel vilja utföra en uppföljning av en tidigare utförd studie som en annan forskare utfört. Vidare kan en forskare vilja replikera en tidigare utförd studie. Ytterligare möjligheter är att göra om tidigare studier med ytterligare variabler, att konstruera andra variabler med utgångspunkt från de ursprungliga eller att analysera delvis nya forskningsfrågor. Genom att bygga vidare på redan genomförd forskning kan arbete som redan lagts ner utnyttjas på ett effektivare sätt. Dessutom skapas möjligheten att replikera studier vilket är ett sätt att granska tidigare utförd forskning. En kodnyckel bör därför även kunna användas vid replikation eller annan granskning av tidigare utförd forskning. Bestämmelserna om kodnyckelförfarandet bör således utformas så att kodnyckeln kan användas för uppföljning, granskning och replikation av det ursprungliga projektet men också för andra projekt än det kodnyckeln ursprungligen skapades för.

9.2.6.3 Hur länge bör kodnyckeln bevaras?

Nästa fråga att ta ställning till är hur länge kodnycken ska bevaras. Utgångspunkten är att kodnyckeln ska bevaras så länge att forskningsprojektet har hunnit pågå en tid och det därmed hunnit framkomma om det ursprungliga materialet behöver kompletteras på något sätt som forskaren inte förutsett. Även kravet på att kodnyckeln ska kunna användas för uppföljning, replikering och granskning förutsätter att kodnyckeln bevaras under en längre tid. Varken i statistiklagen eller i förarbetena till denna anges hur länge en kodnyckel får bevaras. Som framförts ovan är min utgångspunkt att risken för en kränkning av de enskildas personliga integritet inte blir större enbart för att kodnyckeln bevaras under en längre tid. Det borde därför finnas utrymme för att bevara kodnycklarna under längre tid än tre år, vilket redan ibland sker i praktiken. Danmarks Statistik bevarar enligt praxis en kodnyckel i 20 år. Det finns inga skäl mot att samma regel skulle kunna införas i Sverige. Jag menar att en lämplig tid för bevarande av en kodnyckel är 20 år från det att den upprättats.

Det finns emellertid fall där kodnyckeln kan behövas även därefter. Vissa longitudinella studier pågår längre än 20 år. Vidare kan det finnas intresse att bygga vidare på och granska redan utförd forskning även efter den inledande tjugoårsperioden. Det bör där-

för finnas en möjlighet för den myndighet som har upprättat kodnyckeln att besluta att den ska behållas under längre tid och för forskningshuvudmannen eller annan som använder sig av de data som kodnyckeln är kopplad till att begära att den ska bevaras. Som jag tidigare anfört menar jag att själva bevarandet av kodnyckeln hos myndigheten inte innebär någon ökad risk för den personliga integriteten. Tiden för förlängning bör därmed kunna bestämmas med hänsyn till de behov som föreligger.

Det kan vidare förekomma att en kodnyckel som används inom ett forskningsprojekt behöver modifieras. För att kunna bygga vidare på eller granska den forskning som utgått från de tidigare versionerna av kodnyckeln är det viktigt att samtliga versioner av kodnyckeln bevaras.

9.2.6.4 Kodnyckelns rättsliga status

När en statistikansvarig myndighet använder sig av ett kodnyckelförfarande skapas en datafil med en förteckning över vilken beteckning (löpnummer) som motsvarar vilket personnummer. Det har under utredningstiden framkommit att det råder osäkerhet kring kodnyckelfilernas rättsliga status. Denna har betydelse för om bestämmelserna om offentlighet och sekretess i TF och OSL samt arkivlagstiftningen är tillämplig eller inte.

Med handling avses enligt 2 kap. 3 § första stycket TF framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Ordet handling betyder således inte enbart ett papper med skrift eller en bild på utan också, som är fallet när det gäller kodnyckelfilerna, en upptagning för automatiserad behandling.

En handling är allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. Enligt andra stycket samma bestämmelse anses en upptagning enligt första stycket förvarad hos en myndighet om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Även här uppfyller en kodnyckelfil kravet på en allmän handling.

I 2 kap. 7 § TF finns ett flertal regler om när en handling anses upprättad hos en myndighet. Principen är att en handling som kommer till hos en myndighet blir allmän när den har fått sin slutliga

utformning. En handling anses upprättad när myndigheten expedierar, det vill säga sänder iväg den. En handling som inte expedieras är upprättad när det ärende den hör till är slutbehandlat hos myndigheten. Hör handlingen inte till något bestämt ärende, är den upprättad när den har justerats eller färdigställts på annat sätt. För vissa typer av handlingar gäller enligt andra stycket speciella regler om när de är upprättade. Ett diarium, en journal eller en liknande handling som förs fortlöpande anses upprättad när handlingen är färdig för användning. Sådana domar och beslut med tillhörande protokoll som ska avkunnas eller expedieras är upprättade när så sker. Andra protokoll och liknande handlingar är i regel upprättade när myndigheten har justerat dem eller färdigställt dem på annat sätt.

Mot denna bakgrund gör jag bedömningen att en kodnyckelfil utgör en allmän handling.

9.2.6.5 Kodnyckelförfarandet och arkivlagstiftningen

För att allmänheten ska kunna ta del av allmänna handlingar krävs det att handlingarna bevaras. Principen om allmänna handlingars offentlighet medför således krav på att allmänna handlingar i princip bevaras, att de ordnas så att det går att hitta bland dem och att de vårdas så att de inte skingras eller förstörs.16Enligt 3 § arkivlagen (1990:782) ska myndigheters arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Arkivlagen, arkivförordningen (1991:446) och Riksarkivets föreskrifter reglerar myndigheternas skyldighet att bevara allmänna handlingar och på vilket sätt det ska ske. I dessa bestämmelser anges bland annat hur en allmän handling ska framställas, förvaras och skyddas samt när gallring och avhändande av allmänna handlingar ska genomföras.

En myndighets arkiv bildas av allmänna handlingar från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § TF (minnesanteckningar samt utkast eller koncept till beslut eller skrivelse) som myndigheten beslutar ska tas om hand för arkivering. Handlingarna i ett ärende är att anse som arkivlagda när ärendet har slutbehandlats.17Register, diarier och andra handlingar som förs fortlöpande är att anse som arkivlagda så snart de är färdigställda

16Prop. 1989/90:72 s. 32. 17Prop. 1989/90:72 s. 33.

för förande. Det påpekas i förarbetena till arkivlagen att myndigheternas arkiv därför innehåller åtskilligt material som är förhållandevis aktuellt. Varje myndighet svarar som regel för sitt eget arkiv.

Även om utgångspunkten är att allmänna handlingar ska bevaras är det en praktisk nödvändighet att vissa delar av materialet gallras.18 Allmänna handlingar får således gallras, men det får bara ske om återstående arkivmaterial kan tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov (10 § första och andra styckena arkivlagen). Att gallra innebär att avgöra vilka handlingar enligt gällande regler som ska gallras efter viss tid samt att när den tiden är inne förstöra de handlingar som ska gallras. Det krävs särskilda föreskrifter eller beslut för att gallring ska få ske.

Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser före arkivlagens bestämmelser (10 § tredje stycket). En sådan särskild bestämmelse om gallring finns i 19 § första stycket statistiklagen. Enlig bestämmelsen ska personuppgifter hos de statistikansvariga myndigheterna gallras när uppgifterna inte längre behövs för sitt ändamål. Regeringen eller den myndighet som regeringen bestämmer får dock föreskriva om undantag från denna skyldighet om en gallring skulle äventyra arkivens roll som en del av det nationella kulturarvet eller strida mot forskningens behov. Därvid ska behovet av skydd för den enskildes personliga integritet särskilt beaktas. Enligt bestämmelsens tredje stycke ska material som inte gallras överlämnas till arkivmyndighet. Enligt 12 § förordningen om den officiella statistiken ska en statistikansvarig myndighet underrätta Riksarkivet innan gallring sker enligt ovan. I samma bestämmelse bemyndigas Riksarkivet att meddela föreskrifter om undantag från gallring enligt 19 § andra stycket statistiklagen.

I motiven till motsvarande bestämmelser i den tidigare lagen om vissa personregister för officiell statistik (1995:606) framhölls att utgångspunkten för integritetskänsliga statistikregister, liksom för många andra likvärdiga register, borde vara att personuppgifterna i registret ska gallras när ändamålet är uppfyllt, det vill säga när uppgifterna inte längre behövs för framställning av officiell statistik.19Det anfördes att det i och för sig är svårt för någon annan än den statistikansvariga myndigheten att bedöma när statistiska uppgifter inte längre behövs för sitt ändamål. En bortre gräns borde dock

18Prop. 1989/90:72 s. 39 f. 19Prop. 1994/95:200 s. 33 f, 2000/01:27 s. 60.

normalt sättas för hur länge en personuppgift som huvudregel ska få finnas i ett statistikregister. En sådan generell längsta tid ansågs svår att fastställa med hänsyn till den mängd register av skiftande beskaffenhet som skulle komma att omfattas av lagen, även om det på goda grunder kunde förutsättas att en personuppgift sällan behövdes längre än tio år för att framställa officiell statistik. Det stod emellertid klart att en längre bevarandetid kunde behövas vid bland annat longitudinella uppföljningar. I propositionen framhölls vidare att statistiska uppgifter många gånger är intressanta för andra ändamål än det primära statistikområdet, i första hand för forskningen och det nationella kulturarvet. Inte minst för att tillgodose olika slags forskning ansågs det vara av stor betydelse att noga pröva om de uppgifter som finns i statistikregistren bör bevaras. En vidlyftig gallring av uppgifter som generellt eller individuellt har påverkat samhällets åtgärder ansågs i vissa fall till och med kunde vara till skada för individen själv. Vid bedömningen av bevarandefrågan lades stor tyngd vid integritetsaspekten. I vilken utsträckning bevarande skulle ske borde därför bli en avvägning mellan å ena sidan den enskildes intresse av skydd för sin personliga integritet och å andra sidan forsknings- och kulturintressena. Hur denna avvägning skulle göras ansågs svårare att precisera. Det anfördes att det krävs både insikt och kunskap om ämnesområdena och en överblick över arkivbildningen i landet för att besluten i de enskilda fallen skulle bli väl avvägda. Försiktighet ansågs påkallad med hänsyn till att en alltför ambitiös gallring kan förorsaka skador som aldrig går att reparera. Det ansågs att förutsättningar av detta slag svårligen kan anges i lag eller förordning och att arbetet krävde sakkunskap och resurser och därför inte utan vidare kunde utföras inom Regeringskansliet. Den lösning som med hänsyn till samtliga föreliggande faktorer framstod som mest rimlig var att dessa ofta svåra avvägningar i stor utsträckning fick avgöras av Riksarkivet. I förarbetena till den nuvarande lagen anförs att det med hänsyn till det ovan anförda saknades skäl att ändra bestämmelserna om gallring, varför de tidigare bestämmelserna oförändrade fördes över till den nuvarande lagen.

Vilken betydelse har dessa bestämmelser för bevarandet av kodnycklar hos statistikansvariga myndigheter? Enligt mitt förslag ska en kodnyckel som huvudregel bevaras i 20 år, i syfte att möjliggöra uppdatering av ett visst projekt men också för uppföljning, replikering och granskning av detta projekt och för delvis nya projekt. Bevarandetiden ska därefter kunna förlängas exempelvis på begäran av den som använder kodnyckeln eller på initiativ av den myndighet

som upprättat kodnyckeln. Som anges ovan ska enligt 19 § första stycket lagen om den officiella statistiken personuppgifter hos de statistikansvariga myndigheterna gallras när uppgifterna inte längre behövs för sitt ändamål. Riksarkivet kan emellertid föreskriva om undantag från denna skyldighet bland annat om en gallring skulle strida mot forskningens behov. För att en kodnyckel inte ska gallras efter att ett ärende har avslutats krävs det således att Riksarkivet meddelar undantag från bestämmelsen om gallring i 19 § lagen om den officiella statistiken.

9.3. En ny sekretessbestämmelse

Förslag: Sekretess ska gälla för uppgift avseende enskilds per-

sonliga och ekonomiska förhållanden i forskningsverksamhet.

Det ska vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott enligt vissa bestämmelser i OSL. Uppgift som behövs för forskningsändamål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Med forskning avses i bestämmelsen detsamma som i etikprövningslagen.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år, om uppgiften avser en enskilds personliga förhållanden, och annars i högst tjugo år.

Om en uppgift som omfattas av den nya sekretessbestämmelsen överförs till en annan myndighet ska sekretessbestämmelsen vara tillämplig även hos den mottagande myndigheten.

Den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter.

Som anges i kommittédirektiven är det, för att allmänhetens förtroende för forskningen ska upprätthållas, av stor vikt att regelverket tillgodoser den enskilda individens integritetsskydd. Vid utredningens möten med forskare har detta betonats inte minst av forskarna själva. Att enskilda ska känna sig trygga med att uppgifterna inte missbrukas eller hamnar i fel händer är en förutsättning för medverkan från enskilda. I integritetshänseende är det viktigt att män-

niskor kan förutse vilket skydd de uppgifter de själva lämnar till forskningen, till exempel genom intervjuer och enkäter, har. Detta gäller även för uppgifter som samlats in från någon annan källa än den enskilde.

Vid de statliga universiteten och högskolorna gäller, precis som hos andra myndigheter, bestämmelserna om allmänna handlingars offentlighet enligt 2 kap. tryckfrihetsförordningen (TF). Enligt 2 kap. 2 § andra stycket TF ska begränsningar av rätten att ta del av allmänna handlingar anges noga i bestämmelse i en särskild lag, OSL, eller i annan lag som den särskilda lagen hänvisar till. Utredningen ska analysera om den befintliga sekretessregleringen är tillräcklig för att skydda den enskildes integritet vid forskning och, om det är nödvändigt, lämna författningsförslag.

9.3.1. Primära sekretessbestämmelser till skydd för enskild inom forskning

Sekretess till skydd för uppgift om enskildas hälsa och sexualliv

Enligt 21 kap. 1 § OSL gäller sekretess för uppgift som rör en enskilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, könsbyte, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs. Bestämmelsen är avsedd att ge ett slags minimiskydd för särskilt känsliga uppgifter som rör den enskildes hälsa och sexualliv oavsett i vilken verksamhet uppgiften förekommer, således även inom forskningsverksamhet i offentlig regi. Bestämmelsen innehåller ett rakt skaderekvisit, vilket innebär att det föreligger en presumtion för att uppgiften kan lämnas ut. Utlämnande ska endast nekas om det måste antas att den enskilde eller någon närstående kommer att lida betydande men om uppgiften röjs.

Sekretess på grund av behandling i strid med personuppgiftslagen

En annan sekretessbestämmelse som gäller för samtliga myndigheter är 21 kap. 7 § OSL. Enligt bestämmelsen gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Uttrycken personuppgift och behandling i bestämmelsen har samma innebörd

som i PUL. Med personuppgifter avses således all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Till skillnad från sekretessbestämmelser som gäller till skydd för ”uppgift om enskilds personliga förhållanden” kan sekretessen enligt denna paragraf således inte gälla till skydd för avlidna. Uttrycket ”behandling” definieras i 3 § PUL.

Bestämmelsen är tillämplig hos sådana myndigheter som är personuppgiftsansvariga eller som annars har tillgång till personuppgifter. Paragrafen innehåller ett förbud att lämna ut personuppgifter om det kan antas att uppgifter efter utlämnandet kommer att behandlas i strid med bestämmelserna i PUL. Skaderekvisitet är rakt, vilket innebär att det föreligger en presumtion för att uppgifterna ska lämnas ut. Om det är fråga om känsliga personuppgifter hänvisar PUL till etikprövningslagen. Det krävs således även att bestämmelserna i etikprövningslagen är uppfyllda för att sekretess inte ska gälla. Bestämmelsen innebär att den utlämnande myndigheten måste undersöka hur uppgifterna kommer att behandlas hos den som har begärt ut dem, till exempel i den forskningsverksamhet som uppgifterna ska lämnas ut till.

Sekretess till skydd för enskild inom forskning

Det finns ett fåtal bestämmelser som särskilt avser sekretess till skydd för enskild inom forskning. Dessa bestämmelser är samlade i 24 kap. OSL.

Enligt 24 kap. 1 § OSL gäller sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål. Sådana uppgifter får inte röjas om det inte står klart att det kan ske utan att den som uppgiften rör eller någon närstående till denne lider men. Sekretess gäller således med ett omvänt skaderekvisit, det vill säga presumtionen är för sekretess.

En motsvarande bestämmelse finns i 24 kap. 2 § OSL avseende verksamhet som avser förande av eller uttag ur register som förs enligt lagen (1999:353) om rättspsykiatriskt forskningsregister. Sekretess gäller i sådan verksamhet för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden som har tillförts registret, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller även i förhållande till en registrerad person som är vård- eller behandlingsbehövande för uppgift om hans eller hennes hälsotill-

stånd, om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne.

I 24 kap. 2 a § OSL stadgas att sekretess gäller i verksamhet som avser förande av eller uttag ur register enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa för uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde. Sekretessen är absolut, men sekretessbrytande bestämmelser finns för utlämnande av uppgifter i den utsträckning som framgår av lagen. Vidare får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men.

I 24 kap. 3 § OSL finns en bestämmelse som rör sekretess vid etikprövning och tillsyn enligt etikprövningslagen. I bestämmelsen stadgas att sekretess gäller i verksamhet som består i etikprövning och tillsyn enligt etikprövningslagen, dels för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, dels för uppgift om en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. För uppgift om en enskilds personliga förhållanden är presumtionen att sekretess föreligger, men när det gäller uppgift om en enskilds ekonomiska förhållanden är presumtionen den motsatta. Sekretessen omfattar dock inte beslut i ärenden.

I 24 kap. 4 § OSL stadgas att sekretess gäller för uppgift i en upptagning som har dialektologiskt eller etnologiskt innehåll och som har gjorts eller anskaffats för vetenskapligt ändamål, om det kan antas att den som har lämnat uppgiften eller som uppgiften avser eller någon närstående till denne lider men om uppgiften röjs. Sekretess gäller med ett rakt skaderekvisit, det vill säga med presumtion för offentlighet.

Slutligen finns i 24 kap. 5 § OSL en sekretessbestämmelse som gäller hos universitet och högskolor för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat som har lämnats eller kommit fram vid sådan forskning som efter överenskommelse bedrivs i samverkan med en enskild, om det måste antas att den enskilde har deltagit i samverkan under förutsättning att uppgiften inte röjs. Sekretessen gäller även hos en annan myn-

dighet som tillsammans med ett universitet eller en högskola deltar i forskningssamverkan med en enskild.

Statistiksekretess

Bestämmelsen i 24 kap. 8 § OSL som behandlar den så kallade statistiksekretessen är en central bestämmelse även i forskningsrelaterad verksamhet. I bestämmelsen stadgas att sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Med särskild verksamhet avses myndigheternas egen produktion av statistik och uppgiftsinsamling till annan myndighets statistikproduktion. Statistik som framställs för att användas som underlag för ett beslut i ett ärende omfattas inte, utan det ska i stället vara fråga om en mera allmänt utredande verksamhet utan anknytning till något särskilt ärende.20I förarbetena anges att bestämmelsen typiskt sett avser den statistikproduktion som till exempel SCB svarar för. Statistiksekretessen gäller emellertid också annan jämförbar utredning hos Riksrevisionen eller riksdagsförvaltningen eller av någon annan myndighet i den utsträckning som regeringen meddelar föreskrifter om det. Regeringen har genom 7 § OSF förordnat att statistiksekretessen enligt 24 kap. 8 § OSL ska gälla i undersökning i vissa i bestämmelsen angivna myndigheter med de begränsningar som anges där. Regeringen har på detta sätt föreskrivit att 24 kap. 8 § OSL ska vara tillämplig på uppgift om enskilds personliga förhållanden hos dels sjukvårdsinrättningar, utbildningsanstalter och forskningsinrättningar i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier, dels utbildningsanstalter och forskningsinrättningar för undersökningar i sociologiska, psykologiska, pedagogiska eller andra beteendevetenskapliga eller samhällsvetenskapliga studier.

Bestämmelsen i 24 kap. 8 § OSL innehåller inte något skaderekvisit. Det innebär att statistiksekretessen är absolut och att det som huvudregel är förbjudet att lämna ut uppgifter. Det finns emellertid ett antal undantag från regeln om absolut sekretess. Det undantag som är mest relevant i forskningssammanhang är det som framgår av bestämmelsens tredje mening. Där anges att uppgifter som behövs för forsknings- eller statistikändamål får lämnas ut om det

20Prop.1979/80:2 Del A s. 263.

står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. I dessa fall gäller således ett omvänt skaderekvisit, det vill säga att det föreligger en presumtion för att uppgifterna omfattas av sekretess. Vid utlämnandeprövningen ska samtliga omständigheter i det enskilda fallet beaktas och det ska vid denna bedömning stå klart att den enskilde eller någon närstående till denne inte lider men om uppgiften lämnas ut. Kraven är således högt ställda. Se avsnitt 5.6.3.4 för diskussionen om hur det omvända skaderekvisitet ska tillämpas vid massuttag.

Det andra undantaget som kan bli aktuellt vid uttag av uppgifter för forskningsändamål framgår också av tredje meningen i 24 kap. 8 § OSL. I bestämmelsen anges att uppgift som inte genom namn, annan identitetsbeteckning eller därmed jämförbart förhållande är direkt hänförlig till den enskilde får lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Även i detta fall är sekretess således huvudregel. Bestämmelsen avser inte endast utlämnande till forsknings- och statistikändamål, utan är generellt tillämplig. Med ”därmed jämförbart förhållande” åsyftas enligt förarbetena till exempel bilnummer, telefonnummer, anställningsnummer och fastighetsbeteckning.21Begreppet enskild omfattar också avliden.

9.3.2. Pågående lagstiftningsarbete

Bestämmelsen om statistiksekretess var föremål för översyn av 2012 års statistikutredning (Fi 2011:05) i betänkandet Vad är officiell

statistik? En översyn av statistiksystemet och SCB (SOU 2012:83).22

Jag konstaterade i betänkandet att det råder osäkerhet om vilken verksamhet som omfattas av statistiksekretessen och att detta leder till tillämpningsproblem. De statistikansvariga myndigheternas framställning av statistik omfattas otvetydigt av statistiksekretessen. Problemet att tillämpa bestämmelsen uppstår i stället när det gäller myndigheter som inte är statistikansvariga.23 Här tycks det avgörande vara att uppgiften ska finnas i sådan särskild verksamhet som avser framställning av statistik. Vilken verksamhet det rör sig om är emellertid inte alltid helt klart i praktiken. Viss vägledning kan hämtas från det som framgår av förordningen om den officiella sta-

21Prop. 1979/80:2 Del A s. 264. 22SOU 2012:83 s. 342 ff. 23SOU 2012:83 s. 346.

tistiken, det vill säga att verksamhet för framställning av statistik ska vara så organiserad att den är avgränsad från myndighetens verksamhet i övrigt. Även förarbetsuttalanden som anger att det inte ska röra sig om ren driftstatistik eller statistik som framställs för att användas som underlag för beslut i ett visst ärende kan vara till hjälp. Statistiksekretessen tillämpas av betydligt fler myndigheter än de statistikansvariga myndigheterna. Myndigheterna säger sig då framställa statistik i en sådan särskild verksamhet som avses i 24 kap. 8 § OSL och detta verkar inte ifrågasättas.24

Det är oklart vad som i bestämmelsen avses med begreppet ”annan jämförbar undersökning”.25 Handlar det om samma typ av undersökningar, men som görs av organ som inte normalt arbetar med framställning av statistik eller är det fråga om en annan typ av undersökning? Eller en kombination av dessa förhållanden? Det faktum att en undersökning som görs av SCB på uppdrag av en statlig utredning kan omfattas av statistiksekretess trots att så inte skulle vara fallet om utredningen i egen regi gjorde undersökningen tyder enligt statistikutredningen på att sekretessen är knuten till var undersökningen görs, inom ramen för en särskilt avgränsad verksamhet. Samtidigt omfattas inte alla de undersökningar som SCB gör på uppdrag av statistiksekretess. Det finns vidare undersökningar som regeringen gett skydd enligt 7 § OSF trots att det inte rör sig om statistisk framställning i traditionell mening. Det tyder på att de undersökningar som sekretessbeläggs enligt OSF kan vara av olika slag. Min slutsats var att begreppet ”annan jämförbar undersökning” kan inkludera både statistiska undersökningar som framställs utanför en sådan avgränsad verksamhet som avses i första stycket i bestämmelsen om statistiksekretess och undersökningar som inte sker för statistiska ändamål.

Begreppen i dagens reglering av statistiksekretessen är således inte helt lätta att tillämpa. Tillämpligheten skulle kunna underlättas om man utvecklade andra begrepp, men eftersom det inte låg inom uppdraget valde jag att i stället föreslå vissa rent lagtekniska förändringar för att underlätta tillämpningen av bestämmelsen. Jag föreslog att 24 kap. 8 § OSL görs mera lättöverskådlig genom att den delas upp i stycken och att den sekretessbrytande delen av bestämmelsen lyfts ut och läggs i en egen paragraf. Andra jämförbara undersökningar som utförs av kommittéväsendet och Statskontoret ska omfattas av statistiksekretess direkt enligt lag. De sekretessbrytande

24SOU 2012:83 s. 360. 25SOU 2012:83 s. 347 f.

undantagen ska vara desamma som enligt gällande rätt. Begreppet forskning bör däremot definieras i lagen. Detta bör ske genom en hänvisning till definitionen av forskning i etikprövningslagen.

Förslagen har remissbehandlats och i mars 2014 beslutade regeringen om proposition 2013/14:162 Ändringar av statistiksekretessen som behandlar utredningens förslag till ändringar i OSL. I propositionen föreslås två ändringar i 24 kap. 8 § OSL. Den ena ändringen innebär att så kallade andra jämförbara undersökningar som utförs inom kommittéväsendet och av Statskontoret ska omfattas av statistiksekretess utan att regeringen meddelar föreskrifter om det.26Skälet till förslaget är att det inom det statliga kommittéväsendet och hos Statskontoret regelbundet utförs statistiska undersökningar, ofta på direkt uppdrag av regeringen. Den nuvarande regleringen innebär att uppgifter i sådana undersökningar omfattas av statistiksekretess först sedan regeringen har meddelat föreskrifter om det. Sådana föreskrifter förs in i 7 § OSF. Ändringar i den paragrafen görs vid flera tillfällen varje år. Det inträffar knappast någon gång att regeringen inte tillmötesgår en myndighets begäran om att regeringen ska föreskriva om sekretess för en statistisk undersökning som myndigheten önska genomföra. Däremot händer det ofta att arbetet med en undersökning försenas av att myndigheten måste avvakta regeringens beslut innan undersökningen kan påbörjas. Den andra ändringen innebär att paragrafen delas upp i fler stycken, i syfte att göra bestämmelserna mer överskådliga och lättare att tillämpa. Någon hänvisning till begreppet forskning i etikprövningslagen föreslås inte. Lagändringarna föreslås träda i kraft den 1 augusti 2014.

9.3.3. Vilket skydd finns för uppgifter som överlämnas från en myndighet till forskningsverksamhet hos en myndighet?

Som tidigare nämnts är det en grundläggande princip att sekretess inte överförs automatiskt mellan myndigheter.27 Det finns dock vissa undantag från denna huvudregel i form av bestämmelser som medför att sekretessen ”följer med” en uppgift från en överlämnande myndighet till en mottagande myndighet. I 11 kap. 3 § OSL finns en bestämmelse om sådan sekundär sekretess i myndighets forskningsverksamhet. Bestämmelsen är av central betydelse för

26Prop. 2013/14:162 s.14. 27Prop. 2008/09:150 s. 315.

skyddet för uppgifter som rör den enskilde i forskningsverksamhet. Den föreskriver att om en myndighet i sin forskningsverksamhet får en sekretessreglerad uppgift blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten. Bestämmelsen innebär att i de fall en uppgift för vilken överförd sekretess gäller begärs ut hos den mottagande myndigheten ska myndigheten tillämpa den sekretessbestämmelse som gällde för uppgiften hos den överlämnande myndigheten. Om exempelvis uppgifter från en myndighets statistikverksamhet överlämnas för att användas i en annan myndighets forskningsverksamhet följer den stränga statistiksekretessen med till den mottagande myndigheten, och den mottagande myndigheten ska vid en begäran om utlämnande av uppgifterna tillämpa bestämmelserna om statistiksekretess. På samma sätt överförs hälso- och sjukvårdssekretessen till forskningsverksamhet hos en myndighet om uppgifterna hämtas från hälso- och sjukvården.

Man kan tycka att de primära bestämmelserna till skydd för enskild inom forskning kombinerade med den särskilda bestämmelsen om överföring av sekretess till en myndighets forskningsverksamhet skulle utgöra ett fullgott skydd för uppgifter som rör enskilda inom forskningen. I sammanhanget bör dock uppmärksammas att i de fall en uppgift överförs från en myndighet till en annan och det finns en primär sekretessbestämmelse som är tillämplig på uppgiften hos den mottagande myndigheten gäller den bestämmelsen före den sekundära sekretessbestämmelsen (11 kap. 8 § OSL). Detta gäller oavsett den primära sekretessens styrka. Det innebär att om en uppgift för vilken gäller sekretess med ett omvänt skaderekvisit enligt bestämmelserna om hälso- och sjukvårdssekretess överlämnas till en forskningsverksamhet för vilken gäller en primär sekretess med ett rakt skaderekvisit ska den primära, svagare sekretessen tillämpas på uppgifterna. Detta leder till oönskade effekter i form av att uppgifter som lämnas ut till forskning kan få ett svagare skydd hos den mottagande myndigheten.

I de fall uppgifter hämtas från en myndighet som inte är en statistikansvarig myndighet kan uppgifterna skyddas av annan sekretess än statistiksekretess. Om uppgifterna överlämnas till en myndighet som ska använda dem för forskningsändamål blir sekretessbestämmelsen tillämplig för uppgifterna även hos mottagaren, om det inte finns en primär sekretessbestämmelse hos mottagaren. I de fall uppgifterna härrör från en myndighet som inte är statistikansvarig, eller från en verksamhet hos en statistikansvarig myndighet som inte avser framställning av statistik, kan det vara svårt för den mot-

tagande forskningsmyndigheten att bedöma vilken sekretessbestämmelse som är tillämplig.

Sammanfattningsvis bedömer jag att regleringen med överföring av sekretess samt den primära sekretessen företräde framför den sekundära kan medföra svårigheter för forskarna att avgöra vilken eller vilka sekretessbestämmelser som är tillämpliga. Det kan också innebära problem för en utlämnande myndighet att bedöma vilken sekretess som kommer gälla för uppgifterna om de lämnas ut, vilket kan ha betydelse för utlämnandeprövningen.

9.3.4. Vilket skydd finns för uppgifter som inhämtas direkt från forskningspersonen eller annan enskild?

Som angetts ovan medför bestämmelsen i 11 kap. 3 § OSL att en myndighet som i sin forskningsverksamhet får en sekretessreglerad uppgift från en annan myndighet ska tillämpa samma sekretessbestämmelse på uppgiften som den utlämnande myndigheten. Det innebär att en forskare som är verksam vid en statlig högskola eller ett statligt universitet och som har inhämtat uppgifter från exempelvis SCB:s eller Socialstyrelsens statistikproduktion ska tillämpa de sekretessbestämmelser som gäller för uppgifterna där, det vill säga bestämmelserna om statistiksekretess enligt 24 kap. 8 §. För uppgifter som en forskare inhämtat från forskningspersonen själv eller någon annan enskild finns emellertid inte någon medföljande sekretess att tillämpa. Då beror sekretesskyddet på om det finns någon primär sekretessbestämmelse som är tillämplig.

Som anges ovan finns i 24 kap. OSL vissa primära sekretessbestämmelser till skydd för uppgift som rör enskild inom forskning och statistik, till exempel sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål (24 kap. 1 § OSL) och sekretess för verksamhet som avser förande av eller uttag ur register som förs enligt lagen (1999:353) om rättspsykiatriskt forskningsregister (24 kap. 2 § OSL). I 24 kap. 4 § finns en bestämmelse som rör sekretess för uppgift i en upptagning som har dialektologiskt eller etnologiskt innehåll och som har gjorts eller anskaffats för vetenskapligt ändamål. Vidare har regeringen genom 7 § OSF förordnat att statistiksekretessen enligt 24 kap. 8 § OSL ska gälla för uppgift om enskilds personliga förhållanden hos sjukvårdsinrättningar, utbildningsanstalter och forskningsinrättningar i miljömedicinska, socialmedicinska, psykiatriska eller andra

medicinska studier och hos utbildningsanstalter och forskningsinrättningar för undersökningar i sociologiska, psykologiska, pedagogiska eller andra beteendevetenskapliga eller samhällsvetenskapliga studier.

Förutom de nu nämnda bestämmelserna finns i 21 kap. 1 § ett minimiskydd för uppgift som rör en enskilds hälsa eller sexualliv. Sekretess kan också enligt 21 kap. 7 § gälla för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL.

Sammanfattningsvis kan sägas att det finns ett ganska heltäckande skydd, men bilden är splittrad eftersom det är utspritt i många olika bestämmelser.

9.3.5. Är skyddet för den enskilde inom forskningsverksamhet tillräckligt?

Det finns ingen sekretessbestämmelse som generellt reglerar sekretessen till skydd för enskilds personliga och ekonomiska förhållanden inom forskningsverksamhet. Som beskrivits ovan finns det vissa primära sekretessbestämmelser som avser uppgift om enskild i forskning. Den starka sekretess som regleras i 24 kap. 8 § gäller i första hand uppgift som avser enskilds personliga och ekonomiska förhållanden i en myndighets statistikproduktion. Regeringen har också föreskrivit att statistiksekretessen ska gälla för vissa särskilt angivna undersökningar hos vissa myndigheter. Som anförts ovan är bestämmelsen emellertid oklar och det råder osäkerhet om vilka undersökningar som omfattas av bestämmelsen. Klargörande förarbeten eller praxis på området saknas.

Som ovan anförs finns i 21 kap. OSL vissa bestämmelser om sekretess till skydd för uppgift om enskilds personliga eller ekonomiska förhållanden oavsett i vilket sammanhang uppgiften förekommer. Bestämmelsen i 21 kap. 1 § som föreskriver sekretess för uppgift som rör en enskilds hälsa eller sexualliv avgränsas med ett rakt kvalificerat skaderekvisit som innebär att sekretess gäller endast om det måste antas att den enskilde eller någon närstående till den enskilde kommer att lida betydande men om uppgiften röjs. I förarbetena motiverades formuleringen med att en sekretessbestämmelse som ska bli subsidiärt tillämplig inom hela den offentliga sektorn måste innehålla ett skaderekvisit med en särskilt stark offentlig-

hetspresumtion.28 Bestämmelsens syfte är att garantera en miniminivå för skyddet för den personliga integriteten som bör gälla hos alla myndigheter. Det anförs i förarbetena att i den mån uppgifter om enskildas personliga eller ekonomiska förhållanden frekvent förekommer hos en viss myndighet eller i en viss verksamhet bör det primära sekretesskyddet för dessa uppgifter utformas efter en sedvanlig avvägning mellan intresset av sekretess och intresset av insyn hos den aktuella myndigheten eller i den aktuella verksamheten.29Inte heller denna bestämmelse ger således ett heltäckande och starkt skydd för uppgifter om enskilda inom forskningsverksamhet.

I 21 kap. OSL finns också bestämmelsen om sekretess för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Det föreligger således en presumtion för att uppgift på begäran ska lämnas ut. Det är också tydligt att det i praktiken är omöjligt för den utlämnande myndigheten att bedöma alla de delar av den andra myndighetens personuppgiftsbehandling som krävs för att avgöra om den kommer att ske i enlighet med PUL. Även här råder det således osäkerhet om hur bestämmelsen ska tillämpas i praktiken (se avsnitt 5.6.3.5 ).

Sammanfattningsvis kan sägas att det finns många områden inom forskningsverksamheten som inte är reglerad genom någon primär sekretessbestämmelse. En del av de specialbestämmelser som finns har oklara tillämpningsområden och några av dem har raka skaderekvisit vilket innebär att skyddet inte är så starkt. Vidare är sekretesskyddet för uppgifter inom forskningsverksamhet splittrat och svårt att överblicka, vilket i sig gör det svårt att tillämpa.

9.3.6. Intresseavvägning

Det nu existerande sekretesskyddet för uppgift som rör enskilds personliga eller ekonomiska förhållanden i forskningsverksamhet är således svåröverskådligt och inte heltäckande. Det kan uppkomma situationer där känsliga uppgifter om enskilda i offentligt bedriven forskningsverksamhet inte skyddas av någon sekretessbestämmelse över huvud taget. Det innebär att uppgifterna är offentliga och ska lämnas ut om någon begär det.

Bristen på ett heltäckande sekretesskydd kan innebära praktiska problem i forskningsverksamheten. Att det finns ett sekretesskydd

28Prop. 2005/06:161 s. 34. 29Prop. 2005/06:161 s. 33 f.

hos den mottagande myndigheten är en omständighet som beaktas av den utlämnande myndigheten vid sekretessprövningen. SCB och Socialstyrelsen lämnar till exempel endast ut uppgifter om det står klart att uppgifterna kommer att skyddas av statistiksekretess enligt 24 kap. 8 § hos den mottagande myndigheten. Det har under utredningstiden också framkommit att det är många forskare som upplever att sekretessbestämmelserna är svåra att förstå och tillämpa. Denna osäkerhet kan leda till att uppgifter som egentligen efter sekretessprövning ska lämnas ut till andra myndigheter eller enskilda inte lämnas ut och tvärtom. Nuvarande reglering torde också göra det svårt för den enskilde att bedöma vilket skydd uppgifterna har hos myndigheten.

Från forskarsynpunkt är det enklaste att införa en sekretessbestämmelse som är tillämplig vid all forskningsverksamhet och som ger ett starkt sekretesskydd för de uppgifter om enskilda som förekommer i verksamheten. En sådan generell sekretessbestämmelse skulle få ett mycket brett tillämpningsområde. Forskning kan vara av mycket olika slag och långt ifrån alla uppgifter i forskningen kräver det starka sekretesskydd som till exempel förskrivs i bestämmelsen om statistiksekretess i 24 kap. 8 § OSL eller en sekretessbestämmelse med ett omvänt skaderekvisit som gäller för exempelvis hälso- och sjukvård (25 kap. 1 § OSL) och socialtjänst och därmed jämställd verksamhet (26 kap. 1 § OSL). Denna omständighet kan tala mot införandet av en sådan generell sekretessbestämmelse.

Med hänsyn till att en sekretessbestämmelse är en begränsning av en grundlagsstadgad rätt att ta del av allmänna handlingar bör införandet av nya sekretessbestämmelser ske restriktivt och endast om det finns ett behov av det. I den allmänna motiveringen i förarbetena till sekretesslagen (1980:100) anförs att behovet av och styrkan i en sekretess inte enbart kan bestämmas av sekretessintresset.30Detta måste i varje sammanhang vägas mot intresset av insyn i myndigheternas verksamhet. Offentlighetsintresset kan kräva att sådana uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet. Ett eventuellt införande av en ny sekretessbestämmelse måste därför föregås av en avvägning mellan sekretessintresset och insynsintresset.

När det gäller sekretessintresset i forskningsverksamhet kan jämförelser göras med uppgifter som samlas in för statistikändamål. Liksom inom statistiken kan de uppgifter om enskilda som används

30Prop. 1979/80:2 Del A s. 75 f.

för forskningsändamål vara av känsligt slag. Det kan också vara så att uppgifterna var för sig inte är så känsliga, men att de tillsammans innebär att känslig information om en person framträder. Liksom vid statistikverksamhet är ett tydligt sekretesskydd för uppgifter av olika slag avgörande för att allmänhetens förtroende för forskningen ska kunna upprätthållas. En generell sekretessbestämmelse som gäller för uppgift om den enskildes personliga och ekonomiska förhållanden i forskningsverksamhet torde också öka möjligheten för den enskilde att avgöra vilken sekretess uppgifterna kommer att omfattas av och i förlängningen också öka viljan att bidra med uppgifter till olika forskningsprojekt.

Vad gäller insynsintresset kan sägas att uppgifter som används för forskningsändamål inte används vid myndighetsutövning av något slag. Därtill tillkommer att uppgifter som inhämtas direkt från den enskilde, till exempel genom enkäter, samlas in med stöd av den enskildes samtycke. Allmänhetens behov av insyn i verksamheten torde därför i allmänhet vara mycket begränsat.

Sammanfattningsvis menar jag att sekretessbehovet överväger behovet av insyn i forskningsverksamhet. En sekretessbestämmelse till skydd för uppgift avseende enskilds personliga och ekonomiska förhållanden i forskningsverksamhet bör således införas.

9.3.7. Sekretessens styrka

I förarbetena till sekretesslagen anges att utgångspunkten vid utformningen av en ny sekretessbestämmelse är att det inte ska gälla mer sekretess än som är oundgängligen nödvändigt för att skydda det intresse som har föranlett bestämmelsen.31Sekretessbestämmelser som gäller till skydd för det allmännas verksamhet som avser myndighetsutövning är normalt försedda med raka skaderekvisit. Avser sekretesskyddet i stället uppgifter som enskilda inte är skyldiga att lämna in till en myndighet utan som den enskilde lämnar till myndigheten i förtroende gäller vanligtvis ett omvänt skaderekvisit. I vissa fall är sekretessen absolut, vilket innebär att det inte finns något skaderekvisit och att uppgiften i regel inte ska lämnas ut om det inte finns någon sekretessbrytande bestämmelse.

Den sekretessreglering som diskuteras här har till syfte att skydda uppgifter om den enskilde i forskningsverksamhet, bland annat uppgifter som den enskilde i förtroende lämnat till den myndighet som

31Prop. 1979/80:2 Del A s. 78.

bedriver forskning. Uppgifterna kommer inte att användas som underlag vid myndighetsutövning. Dessa omständigheter talar för att en eventuell sekretessbestämmelse bör förses med ett omvänt skaderekvisit. Sådant skaderekvisit gäller till exempel för uppgifter inom hälso- och sjukvården (25 kap. 1 § OSL), i kvalitetsregister och för uppgifter om enskildas hälsotillstånd och andra personliga förhållanden i PKU-register (25 kap. 15 § ).

För uppgift om enskild i statistikverksamhet och i sådana undersökningar som regeringen särskilt föreskrivit enligt 7 § OSF gäller absolut sekretess. Det starka sekretesskyddet motiveras i förarbetena till bestämmelsen med att offentlighetsintresset i detta fall ter sig förhållandevis svagt medan integritetsintresset däremot är påtagligt.32Det anförs att de uppgifter om enskilda personer som finns i de register som förs av till exempel SCB var för sig kan te sig harmlösa men att en sammanställning av sådana uppgifter däremot kan vara integritetskänslig. Behovet av ett starkt sekretesskydd beträffande statistiken beror också på att statistikkvaliteten kan bli dålig om den enskilde uppgiftslämnaren inte är säker på att hans eller hennes uppgifter inte kommer ut. Enligt propositionen talar även praktiska skäl för en långtgående statistiksekretess. Exempelvis SCB samlar in uppgifter dels direkt från enskilda, dels från myndigheter hos vilka uppgifterna kan vara antingen offentliga eller sekretessbelagda. Att i register där uppgifterna blandas skilja mellan olika källor och sekretessregler är knappast genomförbart.

Det kan konstateras att de argument som i förarbetena till sekretesslagen framförs för absolut sekretess för uppgifter i statistikverksamhet gör sig gällande även när det gäller uppgifter som inhämtats för forskningsverksamhet. Behovet av insyn från allmänhetens sida är förhållandevis litet. Däremot kan de uppgifter som används i ett forskningsprojekt vara av känslig karaktär och uppgifter som var för sig inte framstår som så känsliga kan i kombination med andra uppgifter bli det. Det är också viktigt att den enskilde kan känna förtroende för att uppgifter som används i forskningsverksamhet inte hamnar i orätta händer. Liksom i statistikverksamhet kan en forskare inhämta sina uppgifter från flera olika källor, både från olika myndighetsregister och direkt från enskilda. Det medför svårigheter att i de fall uppgifterna är blandade avgöra vilken sekretess som gäller för en specifik uppgift. Även här talar således praktiska skäl för en absolut sekretess.

32Prop. 1979/80:2 Del A s. 262.

De uppgifter som i dag hämtas från de statistikansvariga myndigheternas register, till exempel de register som förs av SCB eller hälsodataregistren som förs av Socialstyrelsen, omfattas av absolut sekretess enligt 24 kap. 8 §. Genom bestämmelsen i 11 kap. 3 § OSL överförs sekretessen till den forskningsverksamhet i allmän regi som uppgifterna överlämnas till. Jag menar att det är lämpligt att uppgifter som samlats in direkt från forskningspersonen, annan enskild eller myndighet som inte är statistikansvarig myndighet får samma skydd hos den mottagande myndigheten som när uppgiften inhämtats från en särskild verksamhet för framställning av statistik.

Sammanfattningsvis menar jag att uppgifter om den enskildes personliga och ekonomiska förhållanden bör omfattas av absolut sekretess i forskningsverksamhet.

9.3.8. Sekretesstiden

I sekretessbestämmelser anges regelmässigt för hur lång tid handlingssekretessen ska gälla. Det är skyddsintresset som avgör hur lång sekretesstiden bör vara. När det gäller uppgifter om enskildas personliga förhållanden bestäms ofta sekretesstiden till sjuttio år. Målet med en sekretesstid på sjuttio år är att skydda uppgift om enskilds personliga förhållanden under den enskildes eller honom eller henne närstående personers hela livstid.33 Sekretess till skydd för enskildas ekonomiska förhållanden brukar gälla i högst tjugo år. Det är därför lämpligt att bestämma sekretesstiden för uppgift om enskildas personliga förhållanden i forskningsverksamhet till högst sjuttio år, och i övrigt till högst tjugo år.

9.3.9. Placering av bestämmelsen och följdändringar

Den nya sekretessbestämmelsen bör lämpligen placeras i kapitel 24 OSL som innehåller bestämmelser till skydd för enskild inom forskning och statistik. Eftersom bestämmelsen ska gälla generellt inom forskningsverksamhet, på samma sätt som statistiksekretessen är generellt tillämplig i verksamhet hos myndighet som avser framställning av statistik, är det lämpligt att bestämmelsen placeras i början av kapitel 24. Eftersom bestämmelsen ska gälla generellt för all forskningsverksamhet behövs inte längre den bestämmelse som rör

33Prop. 1979/80:2 Del A s. 460 och 493 f.

sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål (24 kap. 1 § OSL) eller bestämmelsen om sekretess för uppgift i en upptagning som har dialektologiskt eller etnologiskt innehåll och som gjorts eller anskaffats för vetenskapligt ändamål (24 kap. 4§). Uppgifter i dessa undersökningar kommer att falla under tillämpningsområdet för den nya sekretessbestämmelsen. Inte heller behövs särskild reglering i 7 § OSF för vissa undersökningar.

Förslaget innebär att det kommer att finnas en primär sekretessbestämmelse för uppgift om enskilds personliga och ekonomiska förhållanden i forskningsverksamhet. Det innebär att den nuvarande regeln om överföring av sekretess när en myndighet lämnar över en sekretessreglerad uppgift till en annan myndighets forskningsverksamhet i 11 kap. 3 § OSL inte längre behövs. Även denna bestämmelse bör således utgå.

9.3.10. Sekretessbrytande bestämmelser

I 10 kap. 27 § OSL finns en generalklausul enligt vilken uppgift får lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Denna sekretessbrytande bestämmelse medger således att en sekretessbelagd uppgift lämnas till en annan myndighet om intresset av att uppgiften lämnas ut bedöms väga tyngre än det intresse som sekretessen ska skydda. Bestämmelsen är emellertid inte tillämplig på alla områden. Vissa uppgifter, till exempel uppgifter som skyddas av statistiksekretess enligt 24 kap. 8 § OSL, hälso- och sjukvårdssekretess enligt 25 kap. 1–8 §§ OSL eller socialtjänstsekretess enligt 26 kap. 1–6 §§ är undantagna från bestämmelsens tillämpningsområde.

Det finns dock situationer då det är möjligt att bryta sådan sekretess som har undantagits från generalklausulen. Det gäller bland annat vid vissa misstankar om brott. Till exempel hindrar inte hälso- och sjukvårdssekretessen eller socialtjänstsekretessen att uppgift lämnas till en åklagarmyndighet eller en polismyndighet om uppgiften angår misstanke om vissa brott mot unga som inte fyllt 18 år (10 kap. 21 och 22 §§ OSL). Vidare får en uppgift som angår misstanke om ett begånget brott och som är sekretessbelagd enligt bland annat 24 kap. 8 §, 25 kap. 1 §, 2 § andra stycket eller 3–8 §§ eller 26 kap. 1–6 §§ samma lag lämnas till en åklagarmyndighet, polismyndighet

eller annan myndighet som har till uppgift att ingripa mot brottet, men endast om misstanken angår brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år, försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år eller försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse i ett år om gärningen innefattat försök till överföring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smittskyddslagen (2004:168) (10 kap. 23 § OSL).

De uppgifter som används i forskningsverksamhet kan i många fall vara lika känsliga som de som lämnas av enskild inom hälso- och sjukvården eller inom socialtjänsten. Även sådana uppgifter bör därför undantas från generalklausulens tillämpningsområde. Det bör dock finnas möjlighet att göra undantag från sekretessen vid misstanke om sådan allvarlig brottslighet som anges i 10 kap. 23 § OSL. Bestämmelsen i 10 kap. 23 § och generalklausulen i 10 kap. 27 § bör därför ändras i enlighet med detta.

Min utgångspunkt är att absolut sekretess bör gälla för uppgift som rör enskilds personliga och ekonomiska förhållanden som används för forskningsändamål. Det innebär att uppgifterna som huvudregel inte får lämnas ut. Det finns dock tillfällen där ett utlämnande trots allt kan vara lämpligt. Inom forskningsverksamhet är det grundläggande att senare forskning ska kunna bygga på tidigare genomförda undersökningar. Det är också viktigt att det finns en möjlighet för utomstående att granska ett forskningsprojekt. Ett sätt att granska redan genomförd forskning är replikation eller att samma uppgifter används i nya forskningsprojekt. Det bör således finnas möjlighet för en myndighet som bedriver forskningsverksamhet att lämna ut uppgifter till annan myndighet som ska använda uppgifterna i sin forskning.

Vid misstanke om oredlighet vid forskning kan det bli aktuellt för en högskola eller ett universitet att genomföra en utredning. Sådan verksamhet utgör inte forskning och den förstnämnda sekretessbrytande bestämmelsen kan således inte tillämpas i dessa fall. En särskild sekretessbrytande bestämmelse krävs således även för granskning av forskningsverksamhet.

Utlämnande av uppgift som behövs för forskningsändamål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning bör endast vara tillåtet om det står klart att uppgiften kan röjas utan att den enskilde eller denna närstående lider men.

9.3.11. Överföring av sekretess

Förslaget innebär att om en uppgift lämnas från en myndighets forskningsverksamhet till en annan myndighets forskningsverksamhet gäller absolut sekretess även hos den mottagande myndigheten. Enligt 24 kap. 3 § OSL gäller vidare sekretess i verksamhet som består av etikprövning och tillsyn enligt etikprövningslagen för uppgift om enskilds personliga förhållanden med ett omvänt skaderekvisit och för uppgift om ekonomiska förhållanden med ett rakt skaderekvisit. Om personuppgifter däremot lämnas ut i granskningssyfte till en annan myndighet är varken den föreslagna bestämmelsen om forskningssekretess eller bestämmelserna i 24 kap. 3 eller 8 §§ tillämpliga. Det är då inte säkert att det finns någon sekretessbestämmelse som skyddar uppgifterna hos den mottagande myndigheten. Det bör därför införas en bestämmelse om överföring av sekretess som gör att den nya sekretessbestämmelsen blir tillämplig även hos den mottagande myndigheten. Denna bestämmelse bör lämpligen införas i stället för bestämmelsen i 11 kap. 3 § OSL som rör överföring av sekretess till forskningsverksamhet.

9.3.12. En definition av begreppet forskning

Enligt mitt förslag ska absolut sekretess gälla för uppgift om enskilds personliga och ekonomiska förhållanden i forskningsverksamhet. En fråga som bör diskuteras i detta sammanhang är vad som avses med forskningsverksamhet. För att den föreslagna bestämmelsen ska vara lätt att tillämpa är det viktigt att det tydligt framgår vilka uppgifter som faller under bestämmelsens tillämpningsområde. Det underlättar för en myndighet att i ett enskilt fall avgöra vilken sekretess som gäller för uppgifter hos en mottagande myndighet. Ur rättssäkerhetssynpunkt är det viktigt att myndigheterna tillämpar bestämmelsen på samma sätt. Möjligheten till det ökar om det finns en entydig definition av begreppet forskning i lagen. En tydlig definition av forskningsbegreppet borde också underlätta för den enskilde att avgöra vilka regler som gäller.

I 24 kap. 8 § OSL görs undantag från den absoluta sekretessen för uppgift som behövs för forskningsändamål. Vad som avses med forskningsändamål i detta sammanhang har inte preciserats i lagtexten. I förarbetena till bestämmelsen sägs rörande detta undantag endast att det kan finnas behov av att genombryta sekretessen i vissa andra

särskilda fall, till exempel för forskning om yrkessjukdomar.34Ledning för fastställande av begreppets innebörd får därför sökas på annat håll. Högsta förvaltningsdomstolen har i RÅ 2004 ref. 9 vid bedömningen av forskningsbegreppet bland annat sökt ledning i definitionen av forskning i etikprövningslagen och dess förarbeten. Enligt 2 § etikprövningslagen avses med forskning vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå. Vad som anges i förarbetena till bestämmelsen framgår av avsnitt 9.4.16. Jag har i betänkandet Vad är officiell

statistik föreslagit att begreppet forskning ska definieras i bestäm-

melsen om statistiksekretess genom en hänvisning till definitionen av forskning i etikprövningslagen.35 Jag menar att etikprövningslagens definition avgränsar forskningsbegreppet på ett lämpligt sätt. Med hänsyn härtill samt eftersom det är viktigt med en enhetlig tillämpning av forskningsbegreppet i OSL menar jag att en definition av forskningsbegreppet bör införas i den föreslagna sekretessbestämmelsen genom en hänvisning till definitionen av begreppet i etikprövningslagen.

9.3.13. Rätten att meddela och offentliggöra uppgifter

Enligt 1 kap. 1 § andra stycket TF står det varje svensk medborgare fritt att, med iakttagande av bestämmelserna i TF, i tryckt skrift yttra sina tankar och åsikter, offentliggöra allmänna handlingar samt meddela uppgifter och underrättelser i vilket ämne som helst. Motsvarande gäller enligt 1 kap. 1 § yttrandefrihetsgrundlagen (YGL) för rätten att uttrycka sig i radio eller TV eller annat medium som omfattas av YGL. Vidare följer det av 1 kap. 1 § tredje stycket TF och 1 kap. 2 § YGL att det står envar fritt att lämna uppgifter i vilket ämne som helst till vissa personkategorier och organ för publicering i de medier som de båda grundlagarna omfattar. Denna så kallade meddelarfrihet ger således en rätt att meddela och offentliggöra uppgifter genom att lämna uppgifter till någon annan för publicering eller på något annat sätt medverka till någon annans publicering, och rätt att själv offentliggöra uppgifter.

34Prop. 1979/80:2 Del A s. 264. 35SOU 2012:83 s. 364.

Enligt 3 kap. 1 § OSL innebär sekretess ett förbud att röja en uppgift muntligen, genom utlämnande av allmän handling eller på annat sätt. Bestämmelsen innebär således en tystnadsplikt avseende sekretessbelagda uppgifter. Den rätt att meddela och offentliggöra uppgifter som följer av TF och YGL har som huvudregel företräde framför denna tystnadsplikt. Rätten att meddela och offentliggöra uppgifter har dock aldrig företräde framför handlingssekretessen (7 kap. 3 § första stycket 2 och 5 § 1 TF samt 5 kap. 1 § första stycket och 3 § första stycket 2 YGL). Det innebär att det kan vara tillåtet att muntligen lämna en sekretessbelagd uppgift till en journalist eller att själv publicera uppgiften, men att det inte är tillåtet att med stöd av rätten att meddela och offentliggöra uppgifter lämna en allmän handling som innehåller en sekretessbelagd uppgift till en journalist eller att själv publicera en sådan handling.

Det finns dock fall där även bestämmelser om tystnadsplikt gäller före rätten att meddela och offentliggöra uppgifter. Vissa av dessa fall är reglerade direkt i TF och YGL. Där anges vidare att det inte är tillåtet att med stöd av rätten att meddela och offentliggöra uppgifter uppsåtligen åsidosätta en tystnadsplikt i de fall som anges i en särskild lag (7 kap. 3 § första stycket 3 och 5 § 2 TF och 5 kap. 1 § första stycket och 3 § första stycket 3 YGL). Den särskilda lag som avses i bestämmelserna är OSL. I 13 kap. OSL finns allmänna bestämmelser om rätten att meddela och offentliggöra uppgifter. Vidare har det i lagens fjärde–sjätte avdelningar tagits in bestämmelser av innebörden att den tystnadsplikt som följer dels av vissa sekretessbestämmelser, dels av förbehåll som uppställs med stöd av bestämmelser i OSL, har företräde framför meddelarfriheten. Bestämmelser om i vilka fall den tystnadsplikt som följer av bestämmelser om tystnadsplikt i andra författningar än OSL har företräde framför rätten att meddela och offentliggöra uppgifter har tagits in i lagens sjunde avdelning.

Vid införandet av en ny sekretessbestämmelse måste ställning tas till om den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter. Enligt förarbetena till sekretesslagen bör som grundprincip stor återhållsamhet iakttas vid prövningen av om undantag från rätten att meddela och offentliggöra uppgifter bör göras i ett särskilt fall.36En avvägning mellan intresset av sekretess och intresset av offentlig insyn ska göras. Det ansågs inte möjligt att dra upp fasta

36Prop. 1979/80:2 Del A s. 111.

riktlinjer för när begränsning bör få ske, men den enskilda sekretessbestämmelsens konstruktion ansågs kunna ge viss vägledning. När det är fråga om bestämmelser om absolut sekretess kan det finnas större anledning att överväga undantag från rätten att meddela och offentliggöra uppgifter än i andra fall. Detsamma gäller i viss mån sekretessbestämmelser med ett omvänt skaderekvisit. Det bör också beaktas om uppgiften har lämnats av en enskild i en förtroendesituation eller om uppgiften hänför sig till ett ärende om myndighetsutövning. I det förra fallet bör rätten att meddela och offentliggöra uppgifter normalt sett vara utesluten. När det gäller uppgifter som hänför sig till myndighetsutövning bör rätten att meddela och offentliggöra uppgifter i regel ha företräde.

Den nu föreslagna sekretessbestämmelsen avser uppgifter som används för forskningsändamål, bland annat uppgifter som lämnats direkt av den enskilde i förtroende. De ska inte användas i ärenden som innefattar myndighetsutövning. För sådana uppgifter ska enligt förslaget gälla absolut sekretess. Syftet med sekretessbestämmelsen är att stärka skyddet för de uppgifter som används i forskningsverksamhet och att i förlängningen öka förtroendet för forskningen. En önskad effekt är också att enskilda ska våga lämna ut uppgifter om sig själva för forskningsändamål. Behovet av insyn för att kunna granska hur myndighetens fullgör sina uppgifter framstår i sammanhanget inte som särskilt starkt. Många av de uppgifter som används i forskningen är av samma känsliga karaktär som de uppgifter som skyddas av statistiksekretess enligt 24 kap. 8 § OSL och sjukvårdssekretess enligt 25 kap. 1 § OSL. Mot denna bakgrund menar jag att den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen bör ha företräde framför rätten att meddela och offentliggöra uppgifter.

9.4. En ny lag om forskningsdatabaser

Förslag: En ny lag om forskningsdatabaser införs. Lagen ska ge

stöd för statliga universitet eller högskolor som omfattas av högskolelagen (1992:1434) och andra statliga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forskningsdatabaser. Lagen ska gälla om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personupp-

gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Om personuppgifter samlas in direkt från den enskilde får personuppgifterna behandlas endast om den enskilde har fått den information som anges i lagen och lämnat sitt uttryckliga samtycke till behandlingen. För återkallelse av ett lämnat samtycke tillämpas bestämmelserna i PUL.

En forskningsdatabas ska enligt lagen definieras som en databas (uppgiftssamling) med uppgifter som samlas in från enskilda eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt. Med forskning ska avses detsamma som enligt lag (2003:460) om etikprövning av forskning som avser människor.

PUL ska gälla vid behandling av personuppgifter, om inte annat följer av lagen.

Den myndighet som utför behandlingen av personuppgifter är personuppgiftsansvarig.

Behandling ska vara tillåten för

att skapa underlag för olika forskningsprojekt,

att lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt lagen om etikprövning av forskning som avser människor,

lämna ut uppgifter till en utredning av oredlighet i sådan forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning,

lämna ut uppgifter till den registrerade själv, med undantag för sådana uppgifter som inte direkt kan hänföras till en person, samt

lämna ut uppgifter om det finns en skyldighet i lag att göra det. I övrigt ska 9 § första stycket d och andra stycket PUL vara tillämpliga.

Uppgifter som hämtats från andra myndighetsregister för de ändamål som anges i lagen får behandlas under förutsättning att uppgifterna inte direkt kan hänföras till en person, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om att behandling av identifierbara uppgifter får ske.

Kodnyckelförfarande ska tillämpas i de fall personuppgifter som lämnas ut från forskningsdatabasen inte direkt kan hänföras till en enskild. Kodnyckeln ska bevaras hos den för forskningsdatabasen personuppgiftsansvarige i tjugo år från dagen för utlämnandet av uppgifterna. Tiden för bevarandet av kodnyckeln kan därefter förlängas på initiativ av den personuppgiftsansvariga myndigheten eller på begäran av forskningshuvudman som i sin forskning använder de uppgifter kodnyckeln är kopplade till.

En forskningsdatabas får innehålla endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt lagen. Som sökbegrepp i en forskningsdatabas får användas uppgifter som enligt lagen får ingå i en forskningsdatabas.

Utlämnande genom direktåtkomst till personuppgifter i databasen ska inte få förekomma.

Personuppgifter som inte direkt kan hänföras till en person och som behandlas med stöd av denna lag ska inte få behandlas i syfte att röja en persons identitet. Den som bryter mot detta ska kunna dömas för olovlig identifiering till böter eller fängelse i högst ett år, om gärningen inte är belagd med straff i brottsbalken eller PUL. I ringa fall ska inte dömas inte till ansvar.

Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om databasen. Forskningsdatabasen ska administreras i en särskild avgränsad enhet.

Personuppgifter som inte längre behövs för de ändamål som anges i lagen ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål.

Bestämmelserna i 26 § PUL om information efter ansökan gäller inte i fråga om personuppgifter som inte direkt kan hänföras till en person. Bestämmelserna i PUL om rättelse och skadestånd ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den föreslagna lagen.

Sekretess ska gälla för uppgift som avser en enskilds personliga eller ekonomiska förhållanden i verksamhet som avser förande av eller uttag ur databaser enligt den föreslagna lagen. Uppgift ska dock få lämnas ut i den utsträckning som framgår av lagen.

Bedömning: Vetenskapsrådet bör bereda frågan om vilka forsk-

ningsdatabaser som kan behövas och lämnar förslag till regeringen. Regeringen bör meddela föreskrifter om vilka universitet, högskolor och andra myndigheter som får behandla personuppgifter enligt lagen och vilka databaser som dessa får föra. Regeringen bör vidare meddela föreskrifter om vilken behandling som ska omfattas, begränsning av ändamål, innehåll, i vilka fall uppgiftsskyldighet ska föreligga, villkor för utlämnande av uppgifter ur forskningsdatabasen och krav på information.

9.4.1. Behov av en reglering

I utredningsdirektiven anges att det för närvarande är problematiskt för forskare att skapa register med känsliga personuppgifter som underlag för framtida forskning. Register som inte avser ett visst projekt, en del av ett projekt eller en på något liknande sätt bestämd forskning kan normalt inte godkännas av en etikprövningsnämnd. Jag har därför fått i uppdrag att föreslå lösningar för att kunna skapa register, här kallade forskningsdatabaser, som syftar till att insamlade personuppgifter ska kunna användas av forskare i flera olika forskningsprojekt.

Det är som huvudregel förbjudet att behandla känsliga personuppgifter enligt 13 § PUL. Från detta förbud finns emellertid vissa undantag. En forskningshuvudman kan få stöd för behandling av känsliga personuppgifter genom ett godkännande av en etikprövningsnämnd (19 § första stycket PUL och 3 § etikprövningslagen). Etikprövningsnämnden ska i sin prövning ta ställning till om samtycke ska inhämtas eller om de känsliga personuppgifterna får behandlas utan den enskildes samtycke.

Jag har i avsnitt 8.4.6 konstaterat att forskningsdatabaser måste kunna byggas av såväl personuppgifter som samlas in av forskare direkt från enskilda som av personuppgifter från myndighetsregister, och en kombination därav. När personuppgifter samlas in direkt från enskilda är det en förutsättning att samtycke finns. I de fall personuppgifter samlas in från andra myndighetsregister är det emellertid inte alltid praktiskt möjligt, eller lämpligt, att inhämta forskningspersonens samtycke. Det finns således ett behov av att kunna behandla känsliga personuppgifter i forskningsdatabaser även utan den enskildes samtycke.

Syftet med sådana databaser som här föreslås är att uppgifter ur databasen ska kunna användas för framtida ännu inte definierade forskningsprojekt. Enligt 6 § etikprövningslagen ska etikprövningsnämndens godkännande avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Centrala etikprövningsnämnden har därför ansett sig förhindrad att pröva projekt som inte i sig innebär specifika forskningsprojekt utan som syftar till att bygga upp en infrastruktur för framtida forskning som inte för närvarande är preciserad.37 Ett sätt att lösa den problematiken skulle kunna vara att utöka etikprövningslagens område till att omfatta även prövning av infrastrukturer för framtida forskning. Jag diskuterar denna lösning i avsnitt 8.4.6. Av skäl som jag där har utvecklat finner jag den lösningen mindre lämplig.

Som framgått av tidigare avsnitt finns det behov av att kunna skapa en databas med uppgifter från andra myndigheter. Registerhållande myndigheter anser sig emellertid med hänvisning till OSL och PUL förhindrade att lämna ut uppgifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forskningsprojekt. Det finns således ett behov av ett tydligt stöd för utlämnande av uppgifter till en forskningsdatabas för framtida forskning.

Eftersom insamlandet och bevarandet av känsliga personuppgifter i databaser för framtida forskning inte alltid kan få stöd genom ett godkännande av en etikprövningsnämnd och eftersom registerhållande myndigheter anser sig förhindrade att lämna ut uppgifter till en forskningsdatabas för framtida forskning krävs en särskild reglering av behandlingen av personuppgifter i forskningsdatabaser.

Enligt dataskyddsdirektivet är det möjligt för medlemsstaterna att besluta om andra undantag från förbudet att behandla känsliga personuppgifter än genom samtycke om det sker med hänsyn till ett viktigt allmänt intresse (artikel 8.4). Sådana undantag ska anmälas till Europeiska kommissionen (artikel 8.6). I p. 34 i direktivets inledning anges bland annat forskning som ett viktigt allmänt intresse. En förutsättning är emellertid att lämpliga skyddsåtgärder vidtas. Ett grundläggande krav på en reglering som medger behandling av personuppgifter, däribland känsliga personuppgifter, i en forskningsdatabas är att uppgifterna omgärdas med ett skydd som från integritetssynpunkt är tillfredsställande. Som framgått tidigare finns både nationell och internationell reglering på området som måste beaktas.

37 Centrala etikprövningsnämndens beslut 2011-03-04, dnr Ö 28-2010. Se även beslut 2009-05-29, dnr Ö 11-2009.

Det är viktigt att ta ställning till vem som ska kunna få uppgiften att hålla en forskningsdatabas för framtida forskning. Den ska bara kunna bli aktuell om ändamålet är att använda uppgifterna i betydelsefull forskning. Uppgifterna bör omgärdas av stark sekretess. Från integritetssynpunkt är det också viktigt att ta ställning till på vilka villkor och i vilken form uppgifter ska få lämnas ut.

9.4.2. Regleringens utformning

Bestämmelsen i 2 kap. 6 § andra stycket RF innebär att behandling av information om enskildas personliga förhållanden som sker utan den enskildes samtycke, som innebär övervakning eller kartläggning av den enskilde och som innebär ett betydande intrång i den personliga integriteten måste anges i lag. Bestämmelsen trädde i kraft den 1 januari 2011.

Skyddet för den personliga integriteten i RF kompletteras av artikel 8 i Europakonventionen. Enligt bestämmelsen har var och en rätt till respekt för sitt privat- och familjeliv, hem och korrespondens. Denna rätt får inskränkas endast med stöd av lag och i den utsträckning det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Offentliga myndigheters behandling av personuppgifter kan, beroende på omständigheterna, utgöra ingrepp i respekten för privatliv enligt artikel 8 andra stycket Europakonventionen.

Så länge en forskningsdatabas endast består av uppgifter som samlats in direkt från enskilda, och därmed också med forskningspersonens samtycke, faller den utanför grundlagsbestämmelsens tillämpningsområde. Jag menar dock att det ska vara möjligt att bygga upp forskningsdatabaser också med uppgifter som hämtats från andra myndighetsregister. I många sådana fall är det praktiskt omöjligt att begära in samtycke från samtliga forskningspersoner. Frågan är om sådana forskningsdatabaser ska anses falla under tillämpningsområdet för bestämmelsen i 2 kap. 6 § andra stycket RF och artikel 8 i Europakonventionen. I så fall skulle som huvudregel krävas en reglering i lag. Det skulle i praktiken innebära att det skulle krävas en ny lag för varje enskild forskningsdatabas. Som jag har utvecklat närmare i kapitel 6 anser jag dock att forskningsdatabaser inte rimligen kan anses utgöra ett så betydande intrång i den personliga

integriteten att det kräver en särskild lag för varje forskningsdatabas. Personuppgifterna i forskningsdatabasen ska inte användas vid myndighetsutövning och syftet med behandlingen av personuppgifterna är inte att kunna vidta åtgärder mot enskilda individer. Forskarna är vanligtvis ointresserade av de enskilda personerna då syftet är att studera mönster i en viss population. De uppgifter som samlats in ska få lämnas vidare endast för ändamålen att användas i forskningsprojekt eller granskning av forskning. En jämförelse kan här göras med lagen om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU). Den behandling av personuppgifter som IFAU har behov av att utföra för att fullgöra sitt uppdrag kan, enligt lagens förarbeten, i sig inte anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag.38Detta motiveras med att behandlingen till stor del avser anonymiserade personuppgifter för forskningsändamål.

Eftersom det inte finns något krav på lag skulle föreskrifter om forskningsdatabaser kunna regleras av regeringen genom förordning. Innan bestämmelsen i 2 kap. 6 § andra stycket RF infördes har frågan om hur myndigheters personuppgiftsbehandling ska regleras berörts i flera lagstiftningsärenden. I propositionen om offentlighet, integritet och ADB uttalade regeringen att en målsättning borde vara att i de fall register med ett stort antal registrerade och ett känsligt innehåll inrättas ska bestämmelser meddelas i form av lag.39Denna målsättning har bekräftats i senare lagstiftningsarbete.40

En forskningsdatabas för framtida forskning kommer att kunna innehålla uppgifter om ett stort antal personer och ett stort antal personuppgifter, även känsliga sådana. Min slutsats är därför att en reglering som möjliggör personuppgiftsbehandling i forskningsdatabaser bör ske i lagform.

38Prop. 2011/12:176 s. 19 f. 39Prop. 1990/91:60 s. 58. 40 Bet. 1990/91:KU 11 s. 11, bet. 1997/98: KU18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även t.ex. prop. 1997/98:108 s. 39, prop. 2009/10:80 s. 183 och prop. 2011/12:176 s. 20.

9.4.3. Hur bör en lagreglering avseende forskningsdatabaser utformas?

En lagreglering som har till syfte att möjliggöra behandling av personuppgifter som ska användas i framtida forskningsprojekt kan utformas på olika sätt. Ett sätt som nämnts är att stifta en särskild registerlag för varje forskningsområde. Ett sådant exempel är lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, ett annat lagen (2012:741) om behandling av personuppgifter vid IFAU. Metoden att stifta en särskild lag för varje register har dock betydande nackdelar. Sådana författningar reglerar ofta i detalj vilken information som får behandlas, vilka som får ha tillgång till uppgifterna och hur de får användas, vilket kan få till följd att systemändringar, till exempel på grund av ändringar i verksamheten eller den tekniska utvecklingen, måste föregås av motsvarande ändringar i registerlagen.

Ett system med lagreglering av varje enskild forskningsdatabas kan således lätt bli stelbent och innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet hos dem som ska använda uppgifterna för forskning. Detta gäller till exempel lagen om rättspsykiatriskt forskningsregister, vars syfte är att tillgodose behovet av personuppgifter för forsknings- och utvecklingsändamål inom rättspsykiatrin. Enligt uppgift från Rättsmedicinalverket sker inte längre någon registrering av uppgifter, bland annat eftersom de uppgifter som enligt lagen får registreras inte är de som behövs för att besvara de frågeställningar som forskarna i dag har.

En lämplig modell för författningsreglering är i stället en gemensam övergripande lag som kombineras med föreskrifter från regeringen i form av en särskild förordning för varje enskild forskningsdatabas. Den övergripande lagen, lämpligen kallad lagen om forskningsdatabaser, ska dra upp ramen för vad som kan regleras i form av förordning. Lagen ska också reglera de förhållanden som är gemensamma för samtliga sådana databaser och vars syfte är att skydda forskningspersonernas personliga integritet, det vill säga regler för ändamål, innehåll, sökbegrepp, direktåtkomst, intern elektronisk tillgång, gallring och villkor för utlämnande av uppgifter från forskningsdatabasen. De förhållanden som tas upp i lagen kan regleras mer i detalj i en förordning för respektive forskningsdatabas. I förordningarna kan också förhållanden som är specifika för varje databas regleras.

9.4.4. Vad är en forskningsdatabas?

Lagen bör innehålla en definition av vad en forskningsdatabas är. Med forskningsdatabas avses en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt.

9.4.5. Vilka forskningsdatabaser behövs?

Det är lämpligt att VR ges uppgiften att bereda frågan om vilka forskningsdatabaser som kan behövas i Sverige och gör en framställning till regeringen härom. Regeringen får sedan pröva om införandet av de föreslagna databaserna faller inom ramen för vad som är tillåtet enligt 2 kap. 6 § RF, artikel 8 andra stycket i Europakonventionen och PUL, och om så är fallet och regeringen i övrigt finner förslagen lämpliga, besluta om de förordningar som närmare ska reglera verksamheten. Behov av forskningsdatabaser som ska fungera som underlag i framtida forskning kan uppkomma inom alla forskningsområden och spännvidden av de ändamål som behandlingen kan komma att utövas för är därför stor. Det kommer således finnas ett behov att anpassa bestämmelserna till varje enskild forskningsdatabas.

9.4.6. Bör etikprövningslagens tillämpningsområde utvidgas?

Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa innebär att universitet och högskolor ges möjlighet att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika sjukdomar och för människors hälsa i övrigt. Personuppgifter som registrerats för detta ändamål får lämnas ut till forskningsprojekt under förutsättning att såväl forskningen som behandlingen av personuppgifter har godkänts enligt etikprövningslagen. Datainspektionen har anfört att lagen innebär en ingripande nyordning på forskningsområdet eftersom det innebär att insamling av känsliga personuppgifter för forskningsändamål i många fall inte längre kommer att behöva etikprövas.41Etikprövning kommer i stället att göras först

41Prop. 2012/2013:163 s. 27.

när uppgifterna ska börja användas i ett visst forskningsprojekt. Regeringen anför i propositionen att den inte delar Datainspektionens uppfattning att lagen innebär en genomgripande nyordning. Som exempel på liknande registerförfattningar anges lagen om hälsodataregister, hälsodataregisterförordningarna och lagen om behandling av personuppgifter vid IFAU, som samtliga ger stöd för uppbyggande av särskilda register för framtida forskningsändamål. Vidare framförs att uppgifter i PKU-registret, som enligt lagen (2002:297) om biobanker i hälso- och sjukvåden m.m. samlas in efter samtycke av barnets vårdnadshavare, enligt samma lag får användas för bland annat klinisk forskning. Det konstateras att etikprövning görs först när uppgifter från ovan nämnda register ska användas i konkreta forskningsprojekt. Det kan tilläggas att denna princip också gäller för insamling av uppgifter i kvalitetsregister och biobanksregister.

Som framgår av utredningsdirektiven har fråga uppkommit om det vore lämpligt att vidga etikprövningslagens tillämpningsområde så att det inte endast avser ett visst projekt eller del av ett projekt utan också omfattar uppbyggnaden av infrastrukturer. Som jag konstaterat i kapitel 8 är det dock inte en lämplig lösning. Problemet att registerhållande myndigheter inte anser sig kunna lämna ut uppgifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forskningsprojekt kommer att kvarstå. Den beredning som VR förutsätts göra och den prövning som sedan regeringen gör inför en ny databasförordning kan förutsättas innehålla etiska överväganden av det slag som utförs av en etikprövningsnämnd. Regeringen har i denna process möjlighet att inhämta åsikter från till exempel Centrala etikprövningsnämnden, SCB och Datainspektionen för att på detta sätt belysa förslagets etiska aspekter. Jag menar därför att etikprövningsnämndens tillämpningsområde inte bör utvidgas till att omfatta även skapandet av forskningsdatabaser.

9.4.7. Vilken behandling ska lagen omfatta?

Lagen ska gälla behandling av personuppgifter som sker för ändamålen att skapa underlag för och lämna ut uppgifter till olika forskningsprojekt som har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Lagen ska gälla för behandling av personuppgifter som är helt eller delvis automatiserad. Av avsnitt 5.3.4.4 framgår vad som avses med helt eller delvis auto-

matiserad behandling. Lagen ska också avse även annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, det vill säga i ett register enligt PUL:s definition (se avsnitt 5.3.4.4.).

Jag har tidigare konstaterat att forskningsdatabaser ska kunna innehålla både personuppgifter som samlas in direkt från enskilda och uppgifter från myndighetsregister. Om uppgifterna samlas in direkt från enskilda kan det antas att det sker med personens samtycke. Den enskilde kan ju välja att inte besvara frågorna i exempelvis en enkät. För att det inte ska uppstå tveksamhet om den enskilde har lämnat sitt samtycke och vad den enskilde har samtyckt till menar jag att finns skäl att införa krav på uttryckligt samtycke till behandlingen i de fall uppgifterna samlas in direkt från den enskilde. Med samtycke avses här detsamma som enligt PUL, det vill säga varje slag av frivillig, särskild otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Att samtycket ska vara uttryckligt innebär att det ska kommit till uttryck på något sätt som är möjligt för en utomstående att iaktta. Det är viktigt att den enskilde förstår vad han eller hon samtycker till och vad följden kan bli. Innan den enskilde lämnar sådant samtycke ska han eller hon därför ha fått viss information som framgår av lagen. Den enskilde kan i detta sammanhang samtycka till att kompletterande uppgifter om honom eller henne inhämtas från olika register.

Datainspektionen har i ärendet avseende LifeGene-projektet gjort bedömningen att ”framtida forskning” är ett alltför brett ändamål och har ifrågasatt om ett samtycke till ett sådant oprecist ändamål är förenligt med 10 § och 15 §§ PUL.42 När det gäller behandling av känsliga personuppgifter ställs stora krav på den information som ska föregå samtycket. Bland annat måste ändamålet vara tillräckligt preciserat i den information som lämnas. Datainspektionen ansåg inte att det kravet var uppfyllt i det aktuella ärendet. Ändamålet enligt den här föreslagna lagen är relativt brett (se avsnitt 9.4.13 och 9.4.17). Mitt förslag är dock att ändamålen bör preciseras i de särskilda förordningar som ska finnas för varje forskningsdatabas. Jag menar att det ska vara möjligt att lämna samtycke för behandling av personuppgifter för relativt breda ändamål. Samtycket ska

42 Datainspektionens beslut 2011-12-16 dnr 766-2011.

kunna avse forskning för de ändamål som anges i databasernas förordningar.

Ett samtycke måste alltid kunna återkallas. Enligt 12 § PUL innebär ett återkallande av samtycke att ytterligare personuppgifter om den registrerade därefter inte får behandlas. Bestämmelsen i PUL gäller enligt sin ordalydelse endast samtycken som lämnats enligt PUL:s bestämmelser. Det bör därför anges särskilt att 12 § PUL är tillämplig för samtycken som lämnats i enlighet med lagen om forskningsdatabaser.

Att 12 § PUL är tillämplig innebär att ytterligare uppgifter om den registrerade inte får behandlas efter det att samtycket återkallats. Redan insamlade uppgifter får dock behandlas även fortsättningsvis, enligt det ursprungliga samtycket. Sedan samtycket återkallats får uppgifterna dock inte uppdateras eller kompletteras.

När det gäller uppgifter som inte samlas in direkt från den enskilde är situationen en annan. I vissa fall finns det möjlighet att inhämta den enskildes samtycke innan registrering i forskningsdatabasen sker. I många fall torde detta inte vara möjligt, till exempel när det rör sig om väldigt många uppgifter eller i de fall de uppgifter som hämtas från ett myndighetsregister lämnas ut i kodad form. Ibland kan det finnas skäl för att behandling enligt lagen ska vara tillåten även om den enskilde motsätter sig det. Så har till exempel skett i 2 § lagen (2012:741) om behandling av personuppgifter vid IFAU. Bestämmelserna om behandling av personuppgifter som inhämtas från någon annan källa än den enskilde får genom bestämmelser i förordning anpassas till varje enskild forskningsdatabas.

9.4.8. Vilka ska få föra forskningsdatabaser?

9.4.8.1 Högskolorna och offentlighetsprincipen

Bestämmelser om statliga universitet och högskolor finns i högskolelagen (1992:1434) och högskoleförordningen (1993:100). När det gäller offentlighet och sekretess lyder de statliga högskolorna och universiteten under samma regler som andra statliga myndigheter. Således gäller bestämmelserna om rätten att ta del av allmänna handlingar enligt 2 kap. 1 § TF och möjligheten att begränsa denna rätt genom OSL även dessa högskolor och universitet.

9.4.8.2 Möjlighet för statliga myndigheter att bygga upp databaser för framtida forskning

Det kan, liksom i förarbetena till lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, konstateras att de register som har varit föremål för osäkerhet förs vid statliga högskolor och universitet.43 Behovet av att kunna bygga upp databaser för olika framtida forskningsprojekt har bekräftats vid mina kontakter med olika statliga universitet och högkolor.

Nästa fråga är om det är lämpligt att statliga högskolor och universitet får möjlighet att bygga upp register för att kunna använda för framtida forskning. Datainspektionen har uttryckt farhågor för att integritetsskyddsfrågorna inte kommer att tas tillräckligt på allvar om den ansvarige för personuppgiftsbehandlingen av databasen även är den som har direkt nytta av personuppgiftsbehandlingen i form av till exempel forskning, anslagsmedel med mera. Såväl de personuppgiftsansvariga universiteten och högskolorna som de enskilda forskarna har starka incitament att bevaka integritetsfrågorna. Vidare föreslår jag skärpta sekretessregler för data som behandlas för forskningsändamål.

Jag menar också att den föreslagna regleringen med en ramlag med gemensamma bestämmelser till skydd för den enskildes integritet och en specifik reglering för varje register genom förordning innebär att forskarnas behov av tillgång till registerdata noga vägs mot integritetshänsyn. Med ett sådant system kommer regeringen att ges möjlighet att bedöma om det lärosäte som föreslås få etablera en forskningsdatabas uppfyller de krav på säkerhet och kvalitet som kan ställas i detta sammanhang. Regeringen bör också vid utformandet av förordningen för varje enskilt register så långt möjligt specificera för vilka ändamål behandling av personuppgifter i databasen får ske och ange vilka kategorier av personuppgifter som får registreras i databasen. I förordning kan också regleras vilka regler som ska gälla för intern hantering av uppgifter och regler för utlämnande av uppgifter ur registret för att på så sätt definiera vilken behandling av uppgifterna som är tillåten. Vidare ska för utlämnande ur en forskningsdatabas krävas att personuppgiftsbehandling har godkänts vid en prövning enligt etikprövningslagen. Sammanfattningsvis menar jag att den prövning som kommer att föregå inrättandet av en forskningsdatabas, bestämmelserna i lagen som tar sikte på att skydda den enskildes integritet samt omständigheten

43 Prop. 2012/13 :163 s. 28.

att uttag ur databasen kommer att kräva ett godkännande av etikprövningsnämnden medför att integritetsskyddsfrågorna kommer att beaktas. De statliga högskolor och universitet som omfattas av högskolelagen bör således få möjlighet att behandla personuppgifter i forskningsdatabaser i syfte att uppgifterna ska få användas i framtida forskningsprojekt.

Behov att bygga upp databaser med uppgifter som kan användas för framtida forskning kan uppkomma även hos andra statliga myndigheter som har till uppgift att bedriva forskning. Exempel på sådana myndigheter är BRÅ och IFAU. Även sådana myndigheter bör kunna vara ansvariga för forskningsdatabaser enligt den föreslagna lagen.

9.4.8.3 Möjlighet för andra än statliga myndigheter att bygga upp forskningsdatabaser för framtida forskning

TF och OSL gäller för myndigheter. För privata forskningsorgan gäller däremot som huvudregel inte bestämmelserna om offentlighet och sekretess i TF och OSL. För sådana organ gäller således inte offentlighetsprincipen och de behöver inte heller följa de regler som gäller för utlämnande och sekretess enligt OSL. Skyddet för uppgifter om enskilda i forskning som genomförs i privat regi är beroende av att tystnadsplikt gäller i verksamheten. För uppgifter inom enskilt bedriven forskning finns inte, som till exempel inom privat hälso- och sjukvård, några generellt tillämpliga bestämmelser om tystnadsplikt.

10 kap. 14 § OSL stadgar att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas ut till enskild kan undanröjas genom ett förbehåll ska myndigheten göra ett sådant förbehåll när uppgiften lämnas ut till den enskilde. Bestämmelsen innebär att en myndighet kan lämna ut sekretessbelagda uppgifter till enskild, till exempel en forskare som bedriver forskning i privat regi, med ett förbehåll som begränsar den enskildes rätt att lämna uppgiften vidare eller utnyttja den och som innebär att den som tar emot uppgiften har tystnadsplikt. På detta sätt kan således vidare utlämning av personuppgifter som härrör från myndigheter begränsas. Någon motsvarande möjlighet finns inte för uppgifter som den enskilde forskaren själv samlat in.

Privata forskningsorgan väljer själva hur de bygger upp sitt integritetsskydd och när och hur utlämnande av handlingar får ske. I sammanhanget bör dock betonas att PUL gäller både statlig och privat verksamhet. Vidare finns inom de flesta forskningsområden etiska riktlinjer som ska följas för att få finansiering av till exempel forskningsråd. Som framförts tidigare finns det starka incitament för en forskningsorganisation att upprätthålla ett starkt sekretesskydd för uppgifter inom forskningsverksamhet. Det kan konstateras att ett privat forskningsorgan kan ha bestämmelser som är strängare än vad TF och OSL medger, men det behöver inte vara så. För att uppnå samma sekretesskydd för privata verksamheter som för statliga universitet och högskolor krävs särskild lagstiftning. Innan det kan bli aktuellt för forskningshuvudmän inom enskilt bedriven forskning att bygga upp forskningsdatabaser menar jag att det bör finnas någon form av grundläggande krav på tystnadsplikt inom forskning i privat regi. Så länge inte något sådant grundskydd finns anser jag att de forskningsdatabaser som här föreslås endast ska få byggas upp av statliga universitet och högskolor samt av statliga myndigheter som har till uppgift att bedriva forskning.

9.4.9. Finansiering och utvärdering av forskningsdatabaser

Som ovan anförts bör VR ha ansvar för beredningen av vilka statliga myndigheter som ska få bygga upp forskningsdatabaser enligt den föreslagna lagen. Det ska finnas ett tydligt behov av en databas inom det aktuella området och det ska ställas höga krav på kvalitet och säkerhet hos den verksamhet som ska hålla databasen. Tanken är att forskningsdatabasen ska bevaras under en längre tid och möjliggöra longitudinella studier eller jämförande studier över tid. Utgångspunkten bör vara att det endast ska finnas en forskningsdatabas för varje större forskningsfält i Sverige. Undantag från den huvudregeln ska särskilt motiveras. Databasen ska utgöra en nationell resurs som ska kunna användas av forskare i hela Sverige. Vad som avses med begreppet ”nationell resurs” redovisas i avsnitt 8.4.3. För att garantera långsiktighet och kvalitet i verksamheten bör finansieringen av forskningsdatabasen vara säkerställd för i vart fall åtta år. För att databasen verkligen ska bli en nationell resurs ska den myndighet som ska föra databasen ha kompetens och tillräckliga resurser att behandla ansökningar om uttag ur forskningsdatabasen inom rimlig tid och utlämnande till forskningsprojekt ska kunna ske till

rimliga kostnader. Principerna för avgifter vid uttag ur databasen bör regleras i överenskommelse mellan staten och myndigheten. Ett vetenskapligt råd bör vara knutet till forskningsdatabasen. Rådet bör vara ansvarigt för databasens uppbyggnad och utveckling samt ha möjlighet att behandla frågor av etisk karaktär som kan uppkomma i samband med databasen. VR ska ansvara för en regelbunden utvärdering av de databaser som etableras med stöd av den föreslagna lagen. Utvärderingen bör lämpligen ske exempelvis vart åttonde år och företrädelsevis av internationella utvärderingsgrupper.

9.4.10. Förhållande till personuppgiftslagen

Det följer av 2 § PUL att om det i annan lag eller i en förordning finns bestämmelser som avviker från PUL ska de bestämmelserna gälla i stället för PUL:s bestämmelser. PUL är således subsidiär i förhållande till särregleringar i andra författningar. När det gäller särregleringar i förhållande till PUL är det vanligaste att särregleringen endast kompletterar eller ersätter PUL i vissa avseenden. Den myndighet som ska behandla personuppgifter måste i dessa fall beakta bestämmelserna i både den särskilda registerförfattningen och i PUL. Denna teknik har bland annat använts i lagen om behandling av personuppgifter vid IFAU och i lagen om vissa register om vad arv och miljö betyder för människors hälsa. Ett annat sätt att reglera personmuppgiftsbehandlingen är att den särskilda registerförfattningen innehåller en heltäckande reglering av all personuppgiftsbehandling i en viss verksamhet. Det innebär vanligtvis att lagen innehåller en uppräkning av vilka regler i PUL som ska tillämpas. Lagrådet har kritiserat denna typ av lagstiftningsteknik, eftersom den innebär svårigheter att överblicka om dataskyddsdirektivet blir genomfört till fullo och det medför risk att hänvisningarna till PUL vid blir felaktiga eller ofullständiga.44Trots det har denna modell har används i senare lagstiftning, exempelvis polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145).

Det kan således konstateras att båda lagstiftningsteknikerna har använts i de särskilda registerförfattningarna under senare år. Jag menar att den lämpligaste lagstiftningsmodellen i nu aktuellt fall är att den föreslagna lagens bestämmelser, och de föreskrifter som kan komma att meddelas i anslutning till lagen, endast ersätter eller kompletterar PUL i frågor som är specifika för behandling av person-

44 Prop. 2000/01 :33 s. 88.

uppgifter i forskningsdatabaser. I övrigt ska PUL vara tillämplig. Att i lagen räkna upp alla de bestämmelser som ska gälla utöver lagens särbestämmelser gör lagen otymplig och svåröverskådlig. Den föreslagna lagen ska således endast innehålla de regler som är särskilda för behandlingen av personuppgifter i forskningsdatabaser. För tydlighetens skull bör det dock anges i lagen att PUL gäller om inget annat anges i lagen eller förskrifter som meddelats i anslutning till lagen.

9.4.11. Personuppgiftsansvar

Enligt 3 § PUL är den personuppgiftsansvarige den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Det är brukligt att i särskilda registerförfattningar ange vilken myndighet som är personuppgiftsansvarig. Det bör således framgå av lagen att den statliga myndighet som utför behandlingen av personuppgifter är personuppgiftsansvariga för behandlingen. Regeringen bör i de särskilda förordningar som ska införas för varje databas specificera vilken statlig myndighet som är personuppgiftsansvarig.

9.4.12. Ändamålet med behandlingen

Ändamålsbestämmelsen i en registerförfattning är av central betydelse för skyddet för den personliga integriteten. Den definierar vilka uppgifter som får tas in i registret och hur uppgifterna i registret får behandlas. Ändamålet reglerar också hur många personuppgifter som får behandlas och hur länge de får bevaras i registret. Ändamålsbestämmelsen är således den yttre ram som ska garantera att en personuppgift endast behandlas om det är motiverat och nödvändigt.

9.4.13. De primära ändamålen

Det primära ändamålet i en registerförfattning avser myndighetens eget behov av att behandla personuppgifter. I 9 § första stycket c PUL slås fast att den personuppgiftsansvariga ska se till att personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den så kallade finalitetsprincipen (9 §

första stycket d PUL) får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Behandling av personuppgifter för historiska, statistiska eller vetenskapliga skäl ska dock inte anses oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PUL).

Enligt det förslag till lag om forskningsdatabaser som jag lämnar ska de primära ändamålen för personuppgiftsbehandlingen vara att skapa underlag för och att lämna ut uppgifter till olika forskningsprojekt som är godkända enligt etikprövningslagen. Frågan är om denna ändamålsbestämmelse är tillräckligt specifik för att tillgodose dataskyddsdirektivets och PUL:s krav. Något prejudikat från EU-domstolen i frågan finns inte. Forskning har dock i tidigare lagstiftning ansetts utgöra ett tillräckligt specificerat ändamål.45

Jag är medveten om att det ändamål som anges i lagförslaget är relativt brett och att det kan motivera behandling av ett stort antal kategorier av personuppgifter. Ett sätt att avgränsa ändamålet är att definiera vad som avses med forskning i själva lagen. Definitionen av forskningsbegreppet diskuteras vidare i avsnitt 9.4.16.

Frågan är om första punkten i ändamålsbestämmelsen kan avgränsas ytterligare. Syftet med den föreslagna lagen är att möjliggöra för vissa myndigheter att inom olika ämnesområden kunna samla in uppgifter till en forskningsdatabas som ska kunna utgöra grund för framtida forskning. Det är därför inte möjligt att, såsom har skett när det gäller lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, ange inom vilka ämnesområden forskningen ska ske. Ändamålet måste vara tillräckligt brett för att inrymma alla de forskningsdatabaser som kan bli aktuella att bygga upp. Däremot bör ändamålet preciseras så långt som möjligt i de särskilda förordningar som ska ligga till grund för behandlingen av personuppgifter i de enskilda forskningsdatabaserna. Regeringen bör här så noggrant och detaljerat som möjligt ange ändamålet med behandlingen för respektive register. Ändamålsbestämmelsen i lagen sätter upp gränser för vad regeringen kan besluta i fråga om omfattningen av de enskilda databasernas ändamål och vilka uppgifter som får samlas in till dessa register.

Syftet med lagen är ju också att möjliggöra att insamlade personuppgifter lämnas ut till olika forskningsprojekt. Det bör därför uttryckligen framgå av ändamålsbestämmelsen. Även här kan regeringen i den förordning som reglerar databasen precisera vilken typ

45 Se t.ex. lagen (1998:543) om hälsodataregister och patientdatalagen (2008:355).

av forskningsprojekt som uppgifterna får lämnas ut till, till exempel genom att specificera ämnesområde, forskning avseende en viss sjukdomsgrupp etc.

Som framhållits tidigare kommer en sådan forskningsdatabas som föreslås potentiellt att innehålla ett stort antal personuppgifter som bevaras under lång tid. Det är därför av största vikt att uppgifterna i databasen endast används för sådan forskning som är seriös. För att personuppgifterna ska få användas bör vissa grundläggande krav på integritetsskydd vara uppfyllda. Ett krav för att få använda uppgifterna ur databasen bör därför vara att forskningsprojektet och personuppgiftsbehandlingen godkänts av en etikprövningsnämnd. Detta ska gälla även om uppgifterna inte definieras som känsliga personuppgifter enligt 13 § PUL eller avser lagöverträdelser m.m. enligt 21 § personuppgiftslagen. På detta sätt sker ytterligare en precisering under vilka förutsättningar uppgifter får lämnas ut till ett forskningsprojekt. Etikprövningslagens tillämpningsområde bör således utvidgas för att också omfatta forskning som innefattar behandling av personuppgifter från en forskningsdatabas enligt den föreslagna lagen om forskningsdatabaser.

9.4.14. Inhämtande av uppgifter till en forskningsdatabas

Jag har tidigare konstaterat att forskningsdatabaser ska kunna byggas av såväl personuppgifter som samlas in direkt från enskilda som av personuppgifter från myndighetsregister, och en kombination därav. En del av databasen kan till exempel vara uppgifter som samlats in direkt från enskilda som kompletteras med registeruppgifter och en annan del endast registeruppgifter. Ett annat exempel kan vara en databas med uppgifter om hela befolkningen eller ett stort urval därav som man följer med registeruppgifter och en mindre grupp som följs upp med intervjuer en eller flera gånger.

När uppgifter inhämtas direkt från den enskilde sker det med den enskildes samtycke. I samband med att uppgifterna inhämtas kan den enskilde också tillfrågas om forskningshuvudmannen får inhämta uppgifter om honom eller henne från myndighetsregister. På så sätt kan även inhämtandet av registeruppgifter ske med samtycke.

I de fall databasen eller en del av den endast består av uppgifter som hämtas från ett myndighetsregister har den enskilde i regel inte lämnat sitt samtycke. Som tidigare anförts är forskare vanligtvis inte i behov av att kunna identifiera enskilda individer och be-

handlingen av personuppgifter för forskningsändamål kan vanligtvis ske med anonymiserade uppgifter. Jag menar att huvudregeln ska vara att forskningsdatabaser eller den del därav som består av uppgifter som är hämtade från myndighetsregister ska bestå av kodade uppgifter. Kodnyckeln ska bevaras hos den statliga myndighet som står för utlämnandet av uppgifterna, vilket vanligtvis torde vara SCB eller Socialstyrelsen. Det kan dock finnas fall då det är nödvändigt för forskaren att ta del av identifierbara personuppgifter, till exempel om forskningspersonerna ska kontaktas eller om personuppgifter från myndighetsregister ska sambearbetas med uppgifter ur journaler. Det bör dock endast ske om det finns särskilda skäl.

9.4.15. Utlämnande av uppgifter från en forskningsdatabas

Som beskrivits ovan ska uppgifter ur forskningsdatabasen endast få lämnas ut under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts enligt etikprövningslagen. Uppgifter bör kunna lämnas ut såväl till forskningsprojekt där en myndighet är forskningshuvudman som till forskningsprojekt som bedrivs i privat regi.

Utlämnande av uppgifter från en forskningsdatabas ska vanligtvis avse personuppgifter som inte är direkt hänförliga till den enskilde. Det kan dock liksom när det gäller uttag ur andra myndighetsregister finnas fall då det är nödvändigt för forskaren att kunna identifiera enskilda individer. På vilket sätt uppgifter får lämnas ut från en forskningsdatabas bör regleras mer ingående i den förordning som ska finnas för varje forskningsdatabas.

9.4.16. Forskning

Enligt mitt förslag till lag om forskningsdatabaser ska personuppgifter få behandlas för två ändamål, dels för att skapa underlag för olika forskningsprojekt och dels för att lämna ut uppgifter till forskningsprojekt. Eftersom ändamålsbestämmelsen avgränsar vad uppgifterna i databasen får användas till är det viktigt att definiera vad som i lagen avses med begreppet forskning.

Enligt förslaget ska uppgifterna i en forskningsdatabas få användas i forskningsprojekt som godkänts enligt etikprövningslagen. Det är

därför lämpligt att anknyta till den definition av begreppet forskning som anges i etikprövningslagen.

Av definitionen i 2 § etikprövningslagen framgår att med forskning avses vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå omfattas inte av definitionen. I förarbetena anförs att utgångspunkten är att studentarbeten under grundutbildningen i normalfallet inte ska omfattas av etikprövningslagen, men att handledarna bör ha ett ansvar att se till att studentarbeten under grundutbildning etikprövas i de fall det krävs.46Forskning som bedrivs av forskarstuderande under forskarutbildning ska däremot normalt etikprövas.

Av den proposition som föregick etikprövningslagen framgår att definitionen bland annat bygger på OECD:s definition av forskningsbegreppet (Frascati Manual 1993 [OECD 1994]) enligt vilken forskning är ett systematiskt och metodiskt sökande efter ny kunskap och nya idéer, såväl när det sker utan någon bestämd tillämpning i sikte (grundforskning) som när det sker med en bestämd tillämpning i sikte (tillämpad forskning).47 Det anförs att forskningen är avgränsad till sitt innehåll genom bland annat den vetenskapliga frågeställning som ska besvaras, de metoder som ska användas och antalet forskningspersoner som ska ingå. Lagens forskningsbegrepp inbegriper också utvecklingsarbete på vetenskaplig grund. Därmed avses enligt propositionen ett idérikt och systematiskt utnyttjande av vetenskaplig och annan kunskap för att åstadkomma nya produkter, nya processer, nya system eller väsentliga förbättringar av existerande system. Det anförs också att avsikten är att forskningsbegreppet enligt etikprövningslagen bland annat ska omfatta allt det som omfattas av motsvarande begrepp enligt 19 § PUL.

I förarbetena dras också en skiljelinje mot kvalitetsarbete inom en myndighet. I 31 § hälso- och sjukvårdslagen (1982:763) sägs att inom hälso- och sjukvård ska kvaliteten i verksamheten systematiskt och fortlöpande utvecklas och säkras. Sådan och liknande verksamhet som utförs inom myndigheter ska enligt propositionen inte anses utgöra forskning i etikprövningslagens mening.

I senare förarbeten avseende vissa ändringar i etikprövningslagen diskuteras åter frågan om gränsdragning mot annan verksamhet.48 I

46Prop. 2002/2003:50 s. 92. 47Prop. 2002/03:50 s. 91 och 192 och prop. 2007/08:44 s. 19. 48Prop. 2007/08:44 s. 19.

propositionen betonas att definitionen av forskning ska ställa krav på att verksamheten bedrivs utifrån ett vetenskapligt förhållningssätt för att särskilja forskning från andra, närliggande, aktiviteter. Med vetenskap avses en kunskapsprocess där kunskap systematiseras och struktureras genom teoriutveckling och tillämpning av metodiska arbetsredskap. Genom att betona det vetenskapliga förhållningssättet såväl i inhämtande av ny kunskap som i utvecklingsarbete särskiljs forskning från annan verksamhet som kan ha liknande karaktär, såsom kvalitetssäkring, resultatuppföljning eller journalistiskt arbete. Med formuleringen "inhämta ny kunskap" avses även forskning som med ett vetenskapligt angreppssätt utförs i syfte att upprepa redan genomförda arbeten för att stärka eller ifrågasätta redan vunna resultat och påståenden.

Jag menar att den definition av begreppet forskning som finns i etikprövningslagen är väl avvägd och lämplig att tillämpa även i den här föreslagna lagen. En bestämmelse med en hänvisning till definitionen i etikprövningslagen bör därför införas i den föreslagna lagen om forskningsregister.

9.4.17. De sekundära ändamålen

Sekundära ändamål med en personuppgiftsbehandling avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Det är viktigt att forskning som utgår från uppgifter som hämtats från en forskningsdatabas som förs med stöd av lagen om forskningsdatabaser ska kunna granskas. I likhet med vad som gäller enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anser jag att ett sekundärt ändamål i den här föreslagna lagen bör vara granskning av forskning.49 Granskning av forskning kan genomföras genom att uppgifter i en forskningsdatabas används i nya forskningsprojekt. Om syftet är att replikera eller granska ett tidigare forskningsprojekt faller forskningen under det primära ändamålet. Granskning kan emellertid också ske genom att en högskola genomför en utredning om misstanke om oredlighet i forskning. Universitetet eller högskolan får under pågående utredning inhämta ett yttrande från expertgruppen för oredlighet i forskning hos Centrala etikprövningsnämnden (1 kap. 16 § högskoleförordningen (1993:100). Personuppgifter i en forskningsdatabas bör därför få lämnas ut till en sådan utredning som gäller forsk-

49Prop. 2012/13:163 s. 36.

ning som har skett med stöd av den föreslagna lagen och för att ett yttrande i samband med en sådan utredning ska kunna lämnas.

Som framgått ovan ska huvudregeln vara att uppgifter ur en forskningsdatabas endast ska lämnas ut till forskningsprojekt som är godkända enligt etikprövningslagen. Skyldighet att lämna ut uppgifter kan emellertid uppkomma genom bestämmelser i annan lagstiftning. Ett utlämnande av personuppgifter ur allmänna handlingar med stöd av tryckfrihetsförordningen kan till exempel ske utan att utlämnandet behöver anges som ett särskilt ändamål för vilken personuppgiftsbehandling är tillåten (8 § första stycket PUL). I 10 kap. OSL finns sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess som medför att sekretessbelagda uppgifter får lämnas ut i vissa situationer. Till exempel hindar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL). För att det inte ska uppstå konflikt mellan bestämmelsen i den föreslagna lagen och bestämmelser i annan lag som gäller så kallad uppgiftsskyldighet bör det uttryckligen anges i lagen om forskningsdatabaser att uppgifter får lämnas ut om det finns en skyldighet i lag att göra det. Det bör också uttryckligen framgå att personuppgifter som är registrerade enligt lagen alltid får lämnas ut till den registrerade själv. Det kan dock endast ske under förutsättning att den som är ansvarig för databasen har tillgång till identifierabara uppgifter.

Det följer av finalitetsprincipen att personuppgifter inte får lämnas ut för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. I de fall någon vill genomföra en behandling som inte omfattas av de ursprungliga ändamålen måste det således ske en prövning om det tänkta ändamålet inte är oförenligt med det ursprungliga ändamålet för behandling. Behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PUL). I lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa föreskrivs att behandling av personuppgifter som förs enligt lagen bara får behandlas får sådana ändamål som uttryckligen anges i lagen (8 § andra stycket). Behandling av personuppgifter med stöd av finalitetsprincipen och 9 § andra stycket PUL är således inte möjlig. Detta motiveras med att lagen avser behandling av särskilt känsliga uppgifter, bland annat uppgifter om resultat av genetiska undersökningar, och det endast

är fråga om en tillfällig lag.50 Jag menar att finalitetsprincipen och 9 § andra stycket PUL bör vara tillämplig när det gäller utlämnande av uppgifter från forskningsdatabaser som förs med stöd av den föreslagna lagen. Även om detta väsentligen utvidgar de ändamål som en uppgift i en forskningsdatabas kan lämnas ut till menar jag att integritetsskyddet för den enskilde ändå kan upprätthållas. Enligt mitt förslag om forskningssekretess kommer uppgifter från en forskningsdatabas endast att få lämnas ut för forskningsändamål och för granskning av forskning. Vid överlämnande till en annan myndighet kommer samma sekretess att gälla hos den mottagande myndigheten och lämnas uppgifterna till enskild kan utlämnande ske med förbehåll enligt 10 kap. 14 § OSL. Vidare kommer uppgifter ur en forskningsdatabas endast att få behandlas efter godkännande av en etikprövningsnämnd. Jag menar att det därför ändå kommer att finnas ett tillfredsställande skydd för de uppgifter som lämnas ut från databasen med stöd av finalitetsprincipen.

Som framgår av avsnitt 9.4.24 föreslår jag att uppgifter som inte längre behövs för de primära ändamålen ska gallras. Det ska dock vara möjligt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Det följer av 11 kap. 6 § OSL att om en arkivmyndighet får en uppgift från en annan myndighet som är sekretessbelagd hos den överlämnande myndigheten blir sekretessbestämmelsen tillämplig på uppgiften även hos arkivmyndigheten. Den föreslagna forskningssekretessen kommer således att vara tillämplig även efter det att uppgifterna överlämnats till en arkivmyndighet. Det är omöjligt att i dag förutse vilka uppgifter som samlas in till forskningsdatabaser som kommer att vara värdefulla för framtida forskning. Jag menar att en viktig funktion med en forskningsdatabas går förlorad om uppgifter som arkiverats inte kan användas för andra forskningsändamål än dem som uppgifterna ursprungligen samlades in för.

9.4.18. Sambearbetning och kodnyckelförfarande

Med sambearbetning mellan två personregister menas en maskinell bearbetning av uppgifter i ett register tillsammans med uppgifter i ett annat register hos den registeransvarige eller hos annan register-

50Prop. 2012/13:163 s. 38.

ansvarig.51 Även annan direkt överföring av uppgifter från ett personregister till ett annat räknas som sambearbetning.

Sambearbetning ger möjlighet att lägga samman uppgifter från olika register för att nå ny kunskap. Genom sambearbetning kan forskarna hitta samband och förklara uppkomsten av olika problem, till exempel orsaken till olika sjukdomar. Möjligheten att sambearbeta uppgifter från olika register är vanligtvis en förutsättning för framgångsrik registerforskning.

Den lag om forskningsdatabaser som jag föreslår kommer att möjliggöra många typer av databaser. Det kan röra sig om databaser som helt baseras på uppgifter som samlats in direkt från enskilda personer, på uppgifter som hämtas från andra register eller, vilket torde bli vanligast, på en kombination av registeruppgifter och uppgifter som samlats in direkt från enskilda. Ett viktigt syfte med forskningsdatabaser skulle gå förlorad om det inte också fanns möjlighet att kombinera uppgifterna i databasen med andra uppgifter. Enligt förslaget ska uppgifterna ur en forskningsdatabas endast få lämnas ut till projekt där forskningen och personuppgiftsbehandlingen godkänts enligt etikprövningslagen. Jag menar att skyddet för den enskildes integritet därmed kommer att upprätthållas. Sambearbetning med uppgifter från en forskningsdatabas med andra uppgifter bör således vara tillåtet så länge bearbetningen håller sig inom ramen för det ändamål som anges i lagen och den förordning som ska gälla för varje forskningsdatabas. Någon generell bestämmelse om sambearbetning av personuppgifter från forskningsdatabaser bör därför inte införas.

I de flesta fall kommer uppgifter från forskningsdatabasen att lämnas ut till forskningsprojekt i kodad form. För att möjliggöra senare uppdatering av uppgifterna bör den som är ansvarig för forskningsdatabasen vid utlämnande av kodade uppgifter förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. Det har under utredningen framkommit att det inte alltid är möjligt för en forskare att förutse när behov av senare uppdatering kan uppkomma. Det bör således vara obligatoriskt för den som är ansvarig för forskningsdatabasen att bevara en förteckning över beteckning och personnummer eller annan identitetsbeteckning, en så kallad kodnyckel, i 20 år. Tiden för kodnyckelns bevarande ska därefter kunna förlängas på begäran av den forskningshuvudman som den upprättades för

51Prop. 1981/82:189 s. 53, prop. 2002/03 :135 s. 58.

eller av annan forskningshuvudman som använder uppgifter som kodnyckeln avser i sin forskning. Den myndighet som ansvarar för registret ska också på eget initiativ, och behov finns, besluta att tiden för bevarande av kodnyckeln ska förlängas.

9.4.19. Innehåll

Bestämmelsen om databasens innehåll har liksom ändamålsbestämmelsen stor betydelse för skyddet för den personliga integriteten. Bestämmelsen definierar vilka personuppgifter som ska få samlas i databasen. Det är därför viktigt att innehållet anges tydligt och så avgränsat som möjligt. För att begränsa vilka uppgifter som får behandlas är det lämpligt att koppla innehållet i en forskningsdatabas till ändamålsbestämmelsen. På detta sätt blir det tydligt att det endast är de uppgifter som är relevanta för ändamålet som får behandlas i databasen. Nya uppgifter får endast tillföras databasen om de är nödvändigt för att tillgodose de ändamål för vilka databasen finns.

Det är inte möjligt att i den föreslagna lagen om forskningsdatabaser ange vilka uppgifter som ska vara tillåtna i de olika databaser som kan etableras med stöd av lagen. Det bör ankomma på regeringen att i respektive registerförordning närmare bestämma vad som får föras in i databasen och om det ska krävas samtycke från den person som uppgifterna avser. Regeringen har då möjlighet att noggrant överväga behovet av varje enskild uppgift i databasen. Vid dessa överväganden bör beaktas att samtliga registeruppgifter i databasen kan komma att användas som sökbegrepp.

9.4.20. Sökbegrepp

Information ur ett personregister tas fram genom att en uppgift som ingår i registret, till exempel personnummer, används som sökbegrepp vid bearbetning av registret.52 Möjligheten att använda vissa sökbegrepp kan emellertid ibland vara problematisk i integritetshänseende. Uppgifter som var för sig är harmlösa kan i en sammanställning framstå som integritetsstörande. Ett stort antal sökbegrepp kan ur detta perspektiv sägas öka risken för integritetsintrång. Därför innehåller en del särskilda registerförfattningar förbud mot att använda vissa sökbegrepp, till exempel känsliga personuppgifter. Det innebär

52SOU 1995:95 s. 120.

att varken myndigheten själv eller enskild kan ta fram information den vägen. På detta sätt stärks skyddet för den enskildes integritet, men följden blir också att registrets användbarhet begränsas.

Frågan är om det bör införas något sådant sökförbud i den föreslagna lagen om forskningsdatabaser. En omständighet som talar för en sådan begränsning är att de databaser som kan inrättas med stöd av den föreslagna lagen kommer att kunna innehålla en stor mängd känsliga personuppgifter.

Enligt mitt förslag ska regeringen inför inrättandet av en forskningsdatabas noggrant pröva för vilka ändamål uppgifterna i databasen ska få behandlas. Regeringen kan också i förordning specificera vilka uppgifter eller kategorier av uppgifter som får ingå i databasen. Endast uppgifter som är nödvändiga för databasens ändamål ska få förekomma i denna. Det innebär att innehållet i databasen och därmed också möjliga sökbegrepp är noga avvägt och begränsat. För att databasen ska vara användbar och ändamålsenlig bör det inte ställas upp några begränsningar av vilka sökbegrepp som får användas. Jag menar därför att användningen av uppgifter i forskningsdatabaserna inte ska begränsas genom förbud av vissa sökbegrepp i lagen.

9.4.21. Direktåtkomst

Sättet för elektroniskt informationsutbyte mellan myndigheter kan se olika ut. Ett sätt är att en eller flera myndigheter har elektronisk åtkomst, så kallad direktåtkomst, till varandras register, databaser eller informationssamlingar. Med direktåtkomst avses vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av.53

Syftet med den föreslagna lagen om forskningsdatabaser är att den ska möjliggöra databaser som ska ligga till grund för forskning och att dess uppgifter ska vara tillgängliga för många olika forskningsprojekt. Effektivitetsskäl skulle kunna tala för en direktåtkomst av uppgifter mellan den myndighet som för databasen och den myndighet som ska använda uppgifterna för specifika forskningsprojekt. I de fall de myndigheter som ska få behandla uppgifterna i forsk-

53 Se t.ex. prop. 2004/05:164 s. 83, 2009/10 :85 s. 168 och 2011/12 :45 s. 133.

ningsprojekt också är statliga myndigheter kommer den sekretess som gäller för uppgifterna hos den registerhållande myndigheten att överföras till den mottagande myndigheten, om det inte finns en primär sekretessbestämmelse som är tillämplig hos den mottagande myndigheten. I de fall mottagaren är ett privat forskningsinstitut kan användandet av uppgifterna förenas med förbehåll enligt 10 kap. 14 § OSL. Det finns emellertid integritetsskäl som med styrka talar mot en sådan reglering. En forskningsdatabas kommer att innehålla personuppgifter, även känsliga personuppgifter, om en stor mängd personer. Dessa kommer genom direktåtkomst att kunna göras tillgängliga för en annan myndighet utan att den mottagande myndigheten kommer ha ett egentligt behov av samtliga uppgifter. Att ett större antal personer har möjlighet att ta del av uppgifter ökar risken för obehörig vidarespridning även om de personer hos den andra myndigheten som får del av informationen har tystnadsplikt.54Bestämmelser om direktåtkomst medför vidare att en mottagande myndighet vid en begäran om utlämnande måste överföra och ta del av information för att kunna göra en sekretessprövning, även sådan information som den mottagande myndigheten egentligen inte är behov av i sin egen verksamhet (se avsnitt 5.3.5.2). Att flera myndigheter ska göra sekretessprövning avseende samma material ökar också risken för att de olika myndigheterna tillämpar den gällande sekretessbestämmelsen på olika sätt. Sammanfattningsvis menar jag att integritetsskäl talar mot att de mottagande myndigheterna ska ha direktåtkomst till personuppgifter i en forskningsdatabas. Lagen bör därför innehålla en bestämmelse av vilken det framgår att utlämnande av personuppgifter i databasen genom direktåtkomst inte får förekomma.

9.4.22. Förbud mot bakvägsidentifiering

Enligt 6 § statistiklagen får uppgifter i den officiella statistiken inte sammanföras med andra uppgifter i syfte att utröna enskilds identitet. I förarbetena till bestämmelsen anförs att det är mycket väsentligt att uppgifter som används inom den officiella statistiken har ett högt skydd.55 Det konstateras vidare att bestämmelserna i dåvarande sekretesslagen (1980:100) och datalagen (1973:289) inte gäller för de statistiska resultaten i form av tabeller och andra

54Prop. 1979/80:2 Del A s. 90. 55Prop. 1991:92:118 s. 17.

redovisningar. Med tillgång till flera tabeller och annan bakgrundsinformation finns det risk att någon uppsåtligen försöker avslöja enskild fysisk eller juridisk person. Det ansågs därför finnas skäl att införa en bestämmelse om förbud mot olovlig bakvägsidentifiering. Förbudet är straffsanktionerat.

Den föreslagna lagen om forskningsdatabaser kommer möjliggöra uppbyggandet av databaser med uppgifter som hämtas direkt från den enskilde, med uppgifter som hämtas från myndighetsregister samt en kombination av sådana uppgifter. När personuppgifter i en forskningsdatabas eller en del därav hämtas från ett myndighetsregister bör, som ovan anförts, utgångspunkten vara att de uppgifter som lämnas ut till databasen är kodade. Kodnyckeln bevaras hos den utlämnande myndigheten och är inte tillgänglig för den som är ansvarig för forskningsdatabasen. Detta utesluter emellertid inte möjligheten att identifiera en enskild person i det kodade materialet. Möjligheten att sammanföra ett antal variabler om en person medför alltid en risk för att personens identitet röjs. Det är viktigt att uppgifter som behandlas i forskningsdatabaserna har ett högt skydd och att risken för sådan så kallad bakvägsidentifiering minimeras. Det bör därför i lagen införas ett förbud mot behandling av kodade personuppgifter i syfte att röja en persons identitet. Förbudet ska gälla vid all behandling av kodade uppgifter, det vill säga både för dem som hanterar kodade uppgifter i forskningsdatabasen och för dem som tar emot kodade uppgifter från en forskningsdatabas. Överträdelse av förbudet ska kunna leda till böter eller fängelse i högst ett år.

9.4.23. Intern elektronisk åtkomst

Ett sätt att stärka integritetsskyddet för dem vars personuppgifter behandlas i forskningsdatabasen är att begränsa antalet personer som har rätt att ha åtkomst till uppgifterna samt att begränsa deras hantering av uppgifterna till det som är nödvändigt för att uppfylla ändamålet med databasen. Det bör därför uttryckligen framgå av lagtexten att det åligger den personuppgiftsansvarige att begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret.

9.4.24. Gallring

9.4.24.1 Om arkivering och gallring

Enligt 9 § första stycket PUL får personuppgifter inte bevaras under en längre tid än som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter som bevaras för historiska, statistiska eller vetenskapliga ändamål får dock bevaras under längre tid (9 § tredje stycket). Det följer av 8 § andra stycket första meningen PUL att bestämmelserna i lagen inte hindrar att en myndighet arkiverar personuppgifter som utgör allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Huvudregeln enligt arkivlagens bestämmelser är att allmänna handlingar ska bevaras. När det gäller gallring är arkivlagens bestämmelser dock subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning har de bestämmelserna företräde (10 § tredje stycket arkivlagen).

Bevarande är således utgångspunkten i arkivlagen. I de särskilda registerförfattningarna finns ofta särskilda bestämmelser om bevarande och gallring. Där är principen regelmässigt den motsatta i förhållande till arkivlagen, det vill säga att materialet ska förstöras efter en viss tid, om det inte finns direkta föreskrifter om bevarande i registerförfattningen eller i andra bestämmelser som meddelats med stöd av denna. Denna omvända princip har i förarbetena till arkivlagen ansetts motiverad av integritetsskäl.56

9.4.24.2 Tidigare lagstiftning

I lagen om hälsodataregister och de förordningar som meddelats med stöd av den lagen finns ingen särskild reglering av bevarande och gallring. Uppgifter i ett hälsodataregister ska således bevaras och gallras enligt reglerna i personuppgiftslagen och arkivlagstiftningen. Något behov av särreglering i fråga om bevarande och gallring ansågs inte finnas.57 Det angavs i förarbetena att en författningsreglering av möjligheten att gallra de uppgifter som finns i hälsodataregistren är viktig från både den enskildes och samhällets synpunkt. En alltför begränsad gallring kan medföra att känsliga uppgifter om den enskilde onödigtvis sparas, vilket kan upplevas

56Prop. 1989/90:72 s. 50 f. 57Prop. 1997/98:108 s. 59 f.

som ett intrång i den personliga integriteten. Som skäl för att inte införa särskilda bestämmelser om bevarande och gallring anfördes att utvärdering av nya behandlingsmetoder och epidemiologisk verksamhet kräver tillgång till material som är insamlat under lång tid. Det ansågs också viktigt att kunna följa utvecklingen inom hälso- och sjukvården under längre tidsperioder. Möjligheten att upptäcka förändringar av mindre omfattning, exempelvis när det gäller missbildningar, ansågs innebära att det är svårt att på förhand bestämma i vilken omfattning och hur länge uppgifter i hälsodataregister kan behöva bevaras innan det kan anses att uppgifterna förlorat sitt informationsvärde. Även möjligheten att använda uppgifterna i annan forskning ansågs medföra svårigheter att fastställa en tidpunkt när uppgifterna inte längre behövs i registret.

I patientdatalagen finns särskilda bestämmelser om bevarande och gallring. När det gäller nationella och regionala kvalitetsregister ska personuppgifter i ett sådant gallras när uppgifterna inte längre behövs för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet (7 kap. 10 § första stycket). Enligt samma bestämmelse andra och tredje styckena får en arkivmyndighet inom ett landsting eller en kommun dock meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. I de fall ett kvalitetsregister, efter föreskrift av regeringen, förs av någon annan personuppgiftsansvarig än en myndighet i kommun eller landsting, får även regeringen, eller den myndighet som regeringen bestämt, föreskriva längre bevarandetid för historiska, statistiska eller vetenskapliga syften. I förarbetena till patientdatalagen anfördes att arkivlagens princip om bevarande av allmänna handlingar inte ansågs vara en tillfredsställande lösning för personuppgifter i nationella och regionala kvalitetsregister.58En motsatt princip enligt vilken personuppgifterna ska gallras då de inte längre behövs för det primära ändamålet skulle bättre balansera önskemålet om att skydda den enskildes integritet gentemot behovet av att kunna genomföra långsiktig uppföljning.

Även i lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering finns en särskild bestämmelse om gallring. Enligt 14 § ska personuppgifter gallras så snart de inte behövs för de ändamål de behandlas för. Regeringen eller den myndighet som regeringen bestämmer har dock möjlighet att meddela föreskrifter om eller besluta att

58Prop. 2007/08:126 s. 193 f.

personuppgifter som inte längre behövs för de primära ändamålen och som därför ska gallras, ändå ska kunna bevaras för historiska, statistiska eller vetenskapliga ändamål. Det anförs i förarbetena till bestämmelsen att IFAU genom lagen kommer att ges möjlighet att även fortsättningsvis bygga upp och administrera varaktiga och förhållandevis omfattande samlingar av personuppgifter, som även kan innehålla vissa så kallade känsliga personuppgifter.59Merparten av de uppgifter som behandlas är inhämtade från andra myndigheter och IFAU kommer således att få bygga upp samlingar av personuppgifter som redan behandlas hos andra myndigheter. Detta talar enligt förarbetena för att IFAU bör åläggas en skyldighet att gallra personuppgifter som institutet inte längre behöver för sin verksamhet. Det anförs vidare att IFAU huvudsakligen ägnar sig åt registerbaserad forskningsverksamhet. De skäl för bevarande av allmänna handlingar som Riksarkivet åberopat för bevarande, nämligen rättsäkerhet och medborgerlig rätt till insyn och demokrati, gör sig därmed inte lika starkt gällande i institutets verksamhet som hos en myndighet vars verksamhet huvudsakligen innebär ärendehandläggning eller annan form av myndighetsutövning gentemot enskilda. Eftersom merparten av de uppgifter som IFAU behandlar ursprungligen har inhämtats från andra myndigheter, får vidare intresset av att uppgifterna bevaras anses tillgodosett genom att de myndigheter uppgifterna kommer ifrån i stor utsträckning bevarar och arkiverar uppgifterna i enlighet med arkivlagens bestämmelser. Vid en samlad bedömning ansågs integritetsskyddsintresset väga över intresset av att allmänna handlingar bevaras. Huvudregeln enligt lagen är således att personuppgifter som IFAU inte längre behöver för sin verksamhet ska gallras.

I lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa finns en bestämmelse om gallring. Enligt 12 § ska personuppgifter som inte längre behövs för ändamålen att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till sådan forskning gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. I propositionen konstateras att register som kommer att föras med stöd av lagen kommer att innehålla särskilt känsliga personuppgifter, bland annat uppgifter om genetiska undersökningsresultat.60Behandling av personuppgifter i sådana

59Prop. 2011/12:176 s. 54 f. 60Prop. 2012/13:163 s. 49.

register ska ske med stöd av den registrerades uttryckliga samtycke till behandling för vissa bestämda ändamål. De primära ändamålen för behandlingen är att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt samt att lämna ut uppgifter till sådan forskning under de närmare förutsättningar och i den form som anges i den föreslagna lagen. Avsikten är således att personuppgifter ska kunna sparas i registret under lång tid för att göra det möjligt att efter ett utlämnande genomföra longitudinella studier eller undersöka till exempel vad olika förhållanden i ungdomen har för betydelse för uppkomsten av sjukdom senare i livet. Det anförs att det därför är troligt att uppgifterna i registret kommer att behöva lagras för de primära ändamålen under mycket lång tid. Det kan dock inte uteslutas att det kan komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras. Slutsatsen är att lagen bör innehålla en särskild gallringsbestämmelse.

9.4.24.3 En särskild bestämmelse om gallring i lagen om forskningsdatabaser

Frågan är vilka regler för arkivering och gallring som ska gälla för den föreslagna lagen om forskningsdatabaser. Ska arkivlagens princip om bevarande vara gällande eller bör utgångspunkten vara den omvända? Vid denna bedömning ställs olika intressen mot varandra. Sådana databaser som möjliggörs genom den föreslagna lagen kommer kunna innehålla ett stort antal uppgifter, även känsliga uppgifter, som är hänförliga till särskilda individer. Detta är en omständighet som talar för en specialreglering med gallring som utgångspunkt. Uppgifterna i en forskningsdatabas ska inte användas vid myndighetsutövning mot enskilda individer och kravet på medborgerlig rätt till insyn och kontroll av myndighetens verksamhet är därför inte lika stark.

Andra omständigheter kan tala i motsatt riktning. Forskning kräver ofta tillgång till material insamlat under lång tid. Många projekt förutsätter att man har tillgång till uppgifter som ligger lång tillbaka i tiden. Syftet med lagen är att möjliggöra insamlandet av personuppgifter som ska kunna användas i olika ännu inte specificerade forskningsprojekt. Detta gör att det kommer att vara svårt att fastställa en tidpunkt när uppgifterna inte längre behövs i databasen. Vidare är möjligheten att granska tidigare utförd forskning viktig.

De nu redovisade omständigheterna talar för att arkivlagens principer om bevarande bör vara rådande.

I en registerförfattning som reglerar register med integritetskänsliga personuppgifter är det vanligt att det föreskrivs att personuppgifter ska gallras när uppgiften inte längre behövs för sitt ändamål. De primära ändamålen med behandlingen enligt den föreslagna lagen ska vara att skapa underlag för olika forskningsprojekt och att lämna ut uppgifter till olika forskningsprojekt. Detta är ändamål som kräver att uppgifterna bevaras under lång tid. Det är en förutsättning för att uppgifterna ska kunna användas i forskningen för exempelvis longitudinella studier. Dessa ändamål ger således i sig stöd för att bevara uppgifter för en lång tid framöver. Samtidigt är det viktigt att uppgifter som inte lägre behövs för ändamålet gallras. Det bör därför finnas en särskild bestämmelse om gallring som föreskriver att uppgifter som inte längre behövs för de primära ändamålen ska gallras.

I de bestämmelser om gallring som finns i de särskilda registerförfattningarna är det vanligt att regeringen eller den myndighet som regeringen bestämmer ges möjlighet att meddela föreskrifter om eller i ett enskilt fall besluta att uppgifterna ska bevaras för historiska, statistiska eller vetenskapliga ändamål. Det kan finnas situationer där det finns anledning att bevara uppgifter i ett forskningsregister som inte behövs för det primära ändamålet för historiska, statistiska och vetenskapliga ändamål. En sådan reglering bör därför införas i bestämmelsen om gallring.

9.4.24.4 Avveckling av forskningsdatabaser

Som ovan anförs ska huvudregeln vara att uppgifter som inte längre behövs för de primära ändamålen ska gallras. Om en forskningsdatabas inte längre behövs för sitt ändamål ska den avvecklas. Uppgifterna i en sådan databas ska i enighet med principen ovan gallras. Det kan dock finnas skäl att arkivera uppgifter från en avvecklad databas. Regeringen eller den myndighet som regeringen bestämmer ges därför möjlighet att meddela föreskrifter om eller i ett enskilt fall besluta att uppgifterna ska bevaras för historiska, statistiska eller vetenskapliga ändamål.

9.4.25. Information vid insamling

Av 23 § PUL följer att i de fall uppgifter samlas in direkt från den enskilde ska den personuppgiftsansvarige självmant lämna den enskilde information om behandlingen av personuppgifter. Av 25 § PUL framgår vilka uppgifter sådan information ska omfatta, till exempel uppgift om den personuppgiftsansvariges identitet och ändamålet med behandlingen. För att den enskilde ska få tillräckligt med information för att kunna avgöra om han eller hon vill godkänna behandlingen av uppgifterna kan det vara aktuellt att ställa ytterligare krav på vilken information som ska lämnas innan samtycke ges. Så har till exempel skett i 14 § lagen om vissa register om vad arv och miljö betyder för människors hälsa. Det är lämpligt att den enskilde är garanterad viss information innan samtycke lämnas. I lagen om forskningsdatabaser bör därför föreskrivas att den enskilde innan samtycke lämnas ska ha informerats om att det är frivilligt att lämna uppgifter, för vilka ändamål behandling kan ske och vilka uppgifter som får registreras. Information bör vidare ges om vilka sekretess- och säkerhetsbestämmelser som gäller för databasen, vem som är personuppgiftsansvarig och hur länge uppgifterna kan komma att sparas. Med hänsyn till svårigheten att bedöma hur länge en uppgift i en forskningsdatabas kan komma att behövas för sitt ändamål bör det vara tillräckligt att i detta sammanhang ange vilka gallringsbestämmelser som gäller. Rätten till rättelse av uppgifterna, till information enligt 26 § PUL, till skadestånd och att få uppgifter utplånade bör också framgå.

I bestämmelsen anges den information den enskilde i vart fall har rätt att få del av. Om det i något fall framkommer att det är lämpligt att annan information än den som anges i bestämmelsen bör ges kan det anges i den särskilda förordning som ska gälla för varje forskningsdatabas.

När det gäller uppgifter som inte samlas in direkt från den enskilde utan hämtas från någon annan källa gäller andra bestämmelser. Enligt 24 § PUL ska den personuppgiftsansvarige lämna den registrerade information om behandlingen av uppgifterna när de registreras. Från denna huvudregel finns dock undantag. Information behöver enligt andra stycket inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Med uttrycket ”lag eller någon annan författning” avses av riksdagen beslutad lag, förordningar beslutade av regeringen och föreskrifter som meddelats av myndighet. Sär-

skilda registerförfattningar som innehåller bestämmelser om att en viss myndighet ska föra ett visst register för vissa ändamål med vissa uppgifter som hämtas in på visst sätt faller således vanligtvis under undantagsbestämmelsen. Det krävs dock att författningsbestämmelserna om registrerandet av personuppgifter innehåller i stort sett den information som annars skulle ha lämnats enligt 25 § PUL.61Jag menar att den föreslagna ramlagen i förening med de särskilda förordningar som ska gälla för varje forskningsdatabas kommer att innehålla tillräckligt med information om vad en registrering innebär och vilka personer som kan bli registrerade för att motsvara den information som ska ges enligt 25 § PUL. Undantaget från informationsplikten enligt 24 § PUL kommer således att bli tillämpligt vid tillämpning av den föreslagna lagen om forskningsdatabaser.

9.4.26. Registerutdrag

Det följer av 26 § PUL att en enskild person har rätt att utan kostnad en gång om året få ut ett registerutdrag där det framgår om personuppgifter om henne eller honom behandlas och i så fall vilka uppgifter. Skyldighet att lämna ut information föreligger emellertid inte om det är särskilt föreskrivet i lag eller annan författning. Författningsgrundade bestämmelser om sekretess eller tystnadsplikt går således före skyldigheten att lämna registerutdrag.

I de fall uppgifter till en forskningsdatabas inhämtas direkt från den enskilde innebär kravet på registerutdrag vanligtvis inte något problem. När det gäller uppgifter i en forskningsdatabas som hämtas från andra myndighetsregister ska som ovan angetts utgångspunkten vara att uppgifterna överlämnas till forskningsdatabasen i kodad form. En skyldighet att lämna registerutdrag enligt 26 § PUL skulle innebära att den som är personuppgiftsansvarig för forskningsdatabasen vid begäran om registerutdrag skulle vara tvungen att identifiera uppgifterna, vilket i sig kan innebära ett integritetsintrång. Jag menar därför att den personuppgiftsansvarige endast bör ha en skyldighet att lämna information enligt 26 § PUL i de fall uppgifterna som behandlas i forskningsdatabasen är direkt hänförliga till en person.

61 Öman, S. och Lindblom, H.-O., Personuppgiftslagen En kommentar ( 25 september 2013, Zeteo) kommentaren till 24 §

9.4.27. Rättelse och skadestånd

Reglerna om rättelse och skadestånd i 28 och 48 §§ PUL gäller endast vid behandling av personuppgifter i strid med PUL. I den föreslagna lagen bör det därför särskilt anges att bestämmelserna om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den föreslagna lagen.

9.4.28. Sekretess

9.4.28.1 Sekretess till skydd för uppgifter i forskningsdatabaser

Det är viktigt att de uppgifter som behandlas i forskningsdatabaser har ett fullgott sekretesskydd. I avsnitt 9.3.3 och 9.3.4 finns en redogörelse för vilka sekretessbestämmelser som gäller till skydd för enskild inom forskning. För att stärka skyddet för uppgifter om den enskildes personliga och ekonomiska förhållanden föreslår jag i avsnitt 9.3 att sådana uppgifter bör omfattas av absolut sekretess i forskningsverksamhet. Utgångspunkten ska vara att sådana uppgifter inte får lämnas ut. Undantag ska få göras om uppgifterna ska användas för forskningsändamål eller för granskning av forskning. Samma starka sekretess bör gälla för uppgifter i en forskningsdatabas som förs med stöd av den föreslagna lagen. Den verksamhet som kommer att bedrivas med stöd av den föreslagna lagen är insamlande och utlämnande av uppgifter för forskningsändamål. Det är tveksamt om denna verksamhet kan sägas falla under begreppet forskningsverksamhet. För att det ska bli tydligt att sekretessbestämmelsen är tillämplig för uppgifter i en forskningsdatabas bör det anges särskilt i bestämmelsen.

9.4.28.2 Utlämnande av uppgifter till forskningsdatabaser

Jag har i avsnitt 8.4.6 argumenterat för att det ska var möjligt att bygga forskningsdatabaser för framtida forskning som innehåller personuppgifter från myndighetsregister. Jag menar således att det ska vara möjligt att bygga upp forskningsdatabaser med personuppgifter från olika statliga myndigheters register. Personuppgifterna kommer att omfattas av olika sekretessbestämmelser beroende på från vilken verksamhet de hämtas. De registerhållande myndigheterna ska vid begäran om uttag ur sina register göra en sekretess-

prövning för att bedöma om uppgifterna kan lämnas ut till den myndighet som är ansvarig för forskningsdatabasen. Om uppgifterna till exempel finns hos en statistikansvarig myndighet i en verksamhet som avser framställning av statistik är uppgifterna skyddade av statistiksekretess enligt 24 kap. 8 § OSL. Uppgifterna får då lämnas ut för forskningsändamål, om det står klart att uppgiften kan röjas utan att den enskilde eller någon annan närstående till denne lider skada eller men. För att den utlämnande myndigheten ska kunna bedöma vad utlämnandet kan leda till måste myndigheten ha information om vad uppgifterna kommer att användas till när de lämnats ut och vem som kommer att behandla uppgifterna. När det gäller ett avgränsat forskningsprojekt är detta ofta definierat. När det gäller sådana forskningsdatabaser som jag föreslår kommer det emellertid inte vara möjligt att ange de forskningsprojekt som uppgifterna i databasen kommer att användas till eller vem som kommer att behandla uppgifterna. Sannolikheten är därmed stor att den utlämnande myndigheten gör bedömningen att uppgifterna inte kan lämnas ut.

I 10 kap. offentlighets- och sekretesslagen finns vissa sekretessbrytande bestämmelser och undantag från sekretess. Enligt 10 kap. 28 § hindrar inte sekretess att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag och förordning. En sådan uppgift om uppgiftsskyldighet i en lag eller förordning ska således gälla före en sekretessbestämmelse för samma uppgift. På detta sätt kan man reglera skyldighet för myndigheter att lämna ut uppgifter av ett visst slag, en viss myndighets rätt att ta del av uppgifter i allmänhet eller reglera en myndighets skyldighet att lämna ut uppgifter till andra myndigheter. Det följer till exempel av 6 § förordningen om den officiella statistiken att statliga myndigheter har skyldighet att till statistikansvariga myndigheter lämna de uppgifter som behövs för framställning av officiell statistik.

Som tidigare anförts finns det starka skäl för att forskningsdatabaser ska kunna byggas av såväl uppgifter och prover som samlas in av forskare direkt från enskilda som av personuppgifter från myndighetsregister, och en kombination därav. Ett sätt att tillförsäkra den myndighet som för forskningsdatabasen tillgång till uppgifter ur andra myndigheters register är att ålägga andra myndigheter en skyldighet att lämna uppgifter till forskningsmyndigheten. Regeringen bör i de fall det anses nödvändigt att en databas innehåller uppgifter från andra myndigheter genom bestämmelser i den särskilda förordning som ska gälla för varje forskningsdatabas fastställa vilka

myndigheter som ska vara skyldiga att lämna uppgifter och vilka uppgifter som uppgiftsskyldigheten ska omfatta.

9.4.28.3 Särskild verksamhet

Den så kallade statistiksekretessen enligt 24 kap. 8 § offentlighets- och sekretesslagen gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. I bestämmelsen används således begreppet särskild verksamhet för att avgöra när uppgifter om enskilds personliga och ekonomiska förhållanden, som kan hänföras till den enskilde, är skyddade av statistiksekretess. I 10 § förordningen om den officiella statistiken anges att verksamhet för framställning av statistik ska vara organiserad så att den är avgränsad från myndighetens verksamhet i övrigt. På detta sätt säkerställs att statistiksekretessen blir tillämplig på de uppgifter som används för framställning av officiell statistik.62Enligt förarbetena till sekretesslagen åsyftas med begreppet särskild verksamhet myndigheternas egen produktion av statistik samt uppgiftsinsamling till annan myndighets statistikproduktion.63 Däremot omfattas inte statistik som framställs för att användas som underlag för ett beslut i ett ärende hos en myndighet, utan enligt förarbetena ska det vara fråga om en mera allmänt utredande verksamhet utan anknytning till något särskilt ärende. Framtagandet av officiell statistik hos de statistikansvariga myndigheterna är en typisk sådan verksamhet. Motsvarande framställning av statistik kan förekomma också hos andra myndigheter. Utmärkande är att verksamheten är organiserad som en egen enhet eller liknande. Det är sådan verksamhet som avses med uttrycket ”myndigheters särskilda verksamhet för att framställa statistik”.

Syftet med bestämmelsen i 10 § förordningen om den officiella statistiken är således att garantera ett starkt uppgiftsskydd för uppgifter inom statistikproduktionen. Jag menar att samma starka skydd bör säkerställas för uppgifter i forskningsdatabaser.

Sekretess gäller som huvudregel mellan myndigheter och mellan olika verksamhetsgrenar inom en myndighet (8 kap. 1 och 2 §§ OSL). För att det ska uppstå en sekretessgräns mellan olika verksamhets-

62 Statistikutredningen 2012 konstaterade vidare att statistiksekretessen tillämpas av betydligt fler myndigheter än de statistikansvariga myndigheterna. Myndigheterna själva säger sig då framställa statistik i en sådan särskild verksamhet som avses i 24 kap. 8 § offentlighets- och sekretesslagen och detta verkar inte ifrågasättas (SOU 2012:83 s. 360). 63Prop. 1979/80:2 Del A s. 263.

grenar inom en myndighet är det emellertid inte tillräckligt att det finns olika verksamhetsgrenar. Verksamheterna måste också organiseras på ett sådant sätt att de förhåller sig självständiga i förhållande till varandra.

De statliga myndigheter som ska ha rätt att bygga databaser enligt den föreslagna lagen ska se till att forskningsdatabasen administreras i en särskilt avgränsad enhet så att det inte ska råda någon tvekan om att den stränga forskningssekretessen är tillämplig för denna. En bestämmelse om detta bör införas i de särskilda förordningar som ska gälla för varje forskningsdatabas.

Det bör noteras att principen att sekretess gäller mellan olika verksamheter inom en myndighet medför att utlämnande till ett forskningsprojekt inom samma myndighet som för forskningsdatabasen ska ske under samma förutsättningar som om det hade varit ett projekt utanför myndigheten.

9.4.29. Regeringens möjlighet att meddela föreskrifter

Som framgått ovan kommer det vid sidan av den föreslagna lagen om databaser att behövas föreskrifter som meddelas av regeringen i förordning. Frågan är på vilken konstitutionell grund detta ska ske.

Normgivningsmakten är enligt 8 kap. RF fördelad mellan riksdagen och regeringen. Utgångspunkten är att de centrala delarna av normgivningen ska ligga hos riksdagen. I 8 kap. 2 § RF anges vilka föreskrifter som ska meddelas av riksdagen genom lag, det så kallade obligatoriska lagområdet. Det gäller framför allt föreskrifter som avser enskildas personliga ställning och om det personliga och ekonomiska förhållandet mellan enskilda, det som brukar kallas civilrätten. Även föreskrifter som avser förhållandet mellan enskilda och det allmänna under förutsättning att föreskrifterna gäller skyldigheter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden ska föreskrivas i lag.

Riksdagen kan i lag bemyndiga regeringen eller i vissa fall en kommun att meddela föreskrifter (8 kap. 3 och 9 §§ RF). Riksdagen får på så sätt delegera till regeringen att meddela föreskrifter som gäller skyldigheter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden.

Det finns också direkt stöd i RF för regeringen att meddela föreskrifter på vissa områden. Regeringen får således utan bemyndigande meddela föreskrifter om verkställighet av lag (8 kap. 7 § första

stycket 1 RF). Sådana bestämmelser kan fylla ut eller precisera lagbestämmelser. Därutöver får regeringen enligt 8 kap. 7 § första stycket 2 RF genom förordning meddela föreskrifter som inte enligt grundlag ska beslutas av riksdagen. Denna föreskriftsrätt brukar benämnas regeringens restkompetens.

Registerförfattningar faller under regeringens restkompetens. Det innebär att föreskrifter om ett register kan meddelas av regeringen genom förordning. Som anges i framställningen ovan har riksdagen och regeringen slagit fast att målsättningen dock bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i form av lag.64Enligt 8 kap. 8 § RF hindrar inte den omständigheten att regeringen får meddela föreskrifter i ett visst ämne att riksdagen meddelar föreskrifter i samma ämne. Det finns således inget som hindrar att, som jag har föreslagit, reglera föreskrifter om forskningsdatabaser i lagform. Om riksdagen har lagstiftat på området för regeringens restkompetens kan regeringen som huvudregel inte meddela föreskrifter på samma område. Detta följer enligt den så kallade formella lagkraftens princip, som anges i 8 kap. 18 § RF första stycket. I bestämmelsen anges att en lag inte får ändras eller upphävas på annat sätt än genom lag. Det finns inte heller något stöd i RF att bemyndiga regeringen att meddela föreskrifter i ett sådant fall. Om riksdagen vill att regeringen fortfarande ska ha möjlighet att meddela föreskrifter på området kan den genom en upplysningsbestämmelse markera var gränserna går för det område som riksdagen ”tagit tillbaka” och på så vis tydliggöra vilka föreskrifter regeringen kan meddela. För att regeringen ska kunna meddela närmare föreskrifter om förhållanden som regleras i lagen krävs således en upplysningsbestämmelse om det i lagen.

9.5. Biobanker

Förslag: Svenska biobanksregistret görs om till ett nationellt

system för registrering av biobanksprover som regleras i lag, Nationella biobanksregistret. Socialstyrelsen ska vara personuppgiftsansvarig för registret. PUL ska gälla vid behandling av personuppgifter, om inte annat följer av lagen.

64 Bet. 1990/91:KU 11 s. 11, bet. 1997/98:KU18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även till exempel. prop. 1997/98:108 s. 39, prop. 2009/10:80 s. 183 och prop. 2011/12:176 s.20.

Det bör under ett inledningsskede vara frivilligt för vårdgivare att lämna uppgifter till Nationella biobanksregistret. Registrering i registret ska vara frivilligt för den enskilde, efter att denne fått ta del av viss information. Undantag gäller för uppgifter om vävnadsprover som redan behandlas av vårdgivare före lagens ikraftträdande. Sådana uppgifter får behandlas utan den enskildes samtycke. Den enskilde ska däremot ha rätt att på begäran få sina uppgifter strukna ur registret. Socialstyrelsen ska ha ansvar för att på lämpligt sätt informera allmänheten om registret.

Uppgifter får bara behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m. i syfte att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik samt förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. Uppgifter får också lämnas ut om det finns en skyldighet enligt lag att göra det. I övrigt ska 9 § första stycket d och andra stycket PUL vara tillämpliga.

Nationella biobanksregistret får endast innehålla uppgifter som avser

provgivares identitet,

vilka andra personer som har att ta ställning till bevarande av vävnadsprover,

ställningstaganden till bevarande av vävnadsprover,

vävnadsprovers identitet, karaktär och hantering,

vem som behandlar uppgifter eller vävnadsprover,

till vem vävnadsprover utlämnas eller överlåts och

uppgift om diagnos och analysresultat. De uppgifter som ingår i registret ska få användas som sökbegrepp. Direktåtkomst till uppgifter i registret ska inte vara tillåtet. Socialstyrelsen ska begränsa sina anställdas och uppdragtagares elektroniska åtkomst till vad var och en behöver för att fullgöra sina arbetsuppgifter. Gallring av uppgifter i registret ska ske i enlighet med PUL:s bestämmelser.

Bestämmelserna i PUL om rättelse och skadestånd ska tillämpas på motsvarande sätt i fråga om behandling av personuppgifter som har skett i strid med den föreslagna lagen.

Sekretess ska gälla i Nationella biobanksregistret för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden. Uppgift ska dock få lämnas ut i den utsträckning som framgår av lagen om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. För uppgift i allmän handling ska sekretessen gälla i högst sjuttio år.

Sekretessen ska kunna brytas vid misstanke om allvarligare brottslighet. Den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter.

9.5.1. Bakgrund

Som jag tidigare har redovisat överlämnande Biobanksutredningen i november 2010 betänkandet En ny biobankslag (SOU 2010:81) till regeringen. Sedan betänkandet remissbehandlats beslutade Socialdepartementet att inte gå vidare med utredningens förslag utan att fortsätta att arbeta med förslaget inom departementet. Fråga har uppkommit om jag inom ramen för denna utredning skulle kunna gå vidare med några av Biobanksutredningens förslag som är avsedda att underlätta för forskningen. Jag har i detta arbete haft Biobanksutredningens förslag avseende spårbarhet av vävnadsprover och biobankernas behandling av personuppgifter som utgångspunkter.

9.5.2. Biobankslagen

I biobankslagen regleras hur humanbiologiskt material får samlas in, förvaras och användas för vissa ändamål, med respekt för den enskilda människans integritet (1 kap. 1 § biobankslagen). Lagen kompletteras av förordningen (2002:746) om biobanker i hälso- och sjukvården. Med biobank avses enligt definitionen i 1 kap. 2 § biobankslagen biologiskt material från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. Biobankslagen är tillämplig på en biobank som inrättats i Sverige i en vårdgivares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Lagen är också tillämplig på vävnadsprover från en biobank i en vårdgivares hälso- och sjukvårdsverksamhet som lämnats ut för att förvaras och användas hos en

annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och som även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Humanbiologiskt material som samlas in utanför hälso- och sjukvården omfattas inte av den nuvarande lagstiftningen. Enligt 1 kap. 3 § tredje stycket biobankslagen är lagen inte heller tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas en längre tid.

Enligt biobankslagen finns det alltid en huvudman för en biobank. Med huvudman avses vårdgivare, forskningsinstitution eller annan som innehar en biobank (1 kap. 2 § biobankslagen). Det är huvudmannen som fattar beslut om att inrätta en biobank, bestämmer för vilka ändamål biobanken ska användas och vem som ska vara ansvarig för den (2 kap. 1 § biobankslagen). Huvudmannen är skyldig att anmäla detta till Inspektionen för vård och omsorg (IVO).

En biobank får, förutom för vård och behandling och andra medicinska ändamål i en vårdgivares verksamhet, bara användas för ändamål som avser kvalitetssäkring, utbildning, forskning, klinisk prövning, utvecklingsarbete eller annan därmed jämförlig verksamhet (2 kap. 2 § biobankslagen). Ändamålen med biobanken ska bestämmas i samband med beslutet om att inrätta den (2 kap. 1 § biobankslagen). När vävnadsproverna och övriga uppgifter om provgivaren samlas in ska det vara bestämt för vilket ändamål de ska användas. Det gäller både vävnadsproverna i biobanken och uppgifterna om provgivaren som finns i anslutning till biobanken. I 2 kap. 3 § biobankslagen föreskrivs att i de fall avsikten är att en biobank ska användas för ändamål som avser forskning eller klinisk prövning får ett beslut att inrätta biobanken fattas först efter prövning och godkännande av en nämnd för forskningsetik. I praktiken är det emellertid inte så att en ny biobank inrättas när prover ska användas för forskning eller klinisk prövning, utan proverna hämtas vanligtvis i sådana fall från redan existerande biobanker. Användning av prover i en biobank för forskningsändamål och klinisk prövning ska godkännas av en etikprövningsnämnd.

Enligt 3 kap. 1 § biobankslagen ska provgivaren lämna sitt samtycke för att ett vävnadsprov ska få samlas in och bevaras i en biobank. Innan samtycket lämnas ska provgivaren få information om det eller de ändamål för vilka prov i biobanken får användas. Enligt

3 kap. 5 § biobankslagen får vävnadsprover som bevaras i en biobank inte användas för annat ändamål än som omfattas av tidigare information och samtycke utan att den som lämnat samtycket informerats om och samtyckt till det nya ändamålet. Avser det nya ändamålet forskning ska dock den etikprövningsnämnd som godkänner det nya ändamålet i samband därmed besluta om vilka krav som ska gälla i fråga om information och samtycke för att vävnadsproverna i banken ska få användas för detta.

I 4 kap. biobankslagen finns bestämmelser om utlämnande av vävnadsprover i en biobank. Av reglerna framgår att det är den ansvarige för biobanken som i första hand prövar frågan om utlämnande. Den som är ansvarig får dock överlämna frågan till huvudmannen för avgörande. Om den som ansvarar för en biobank hos en offentlig vårdgivare vägrar lämna ut prover i enlighet med en ansökan ska frågan på begäran av den sökande lämnas över till vårdgivaren för beslut (4 kap. 6 § biobankslagen). Vårdgivarens beslut får överklagas till IVO (6 kap. 7 § biobankslagen). Om en enskild vårdgivare och den som ansvarar för biobanken hos vårdgivaren anser att prover ur banken inte ska lämnas ut ska frågan överlämnas till IVO för prövning.

Utgångspunkten är att de vävnadsprover som lämnas ut ska vara avidentifierade eller kodade (4 kap. 4 § biobankslagen). Prover som avidentifierats omfattas inte längre av biobankslagen. Om personuppgifter lämnas ut samtidigt som ett kodat vävnadsprov ska de lämnas ut på ett sådant sätt att de inte kan kopplas samman med vävnadsprovet (4 kap. 10 § biobankslagen). Syftet med bestämmelsen är att slå fast att den som är ansvarig för en biobank ska se till att kodade eller avidentifierade vävnadsprover ur en biobank lämnas ut på ett sådant sätt de inte kan kopplas samman med uppgifter om den enskilde provgivaren, så att denne kan identifieras. I praktiken är bestämmelsen emellertid inte alltid möjlig att följa i forskningssammanhang. När prover lämnas ut i kliniska läkemedelsprövningar är de kodade och en kodnyckel med en förteckning av personnummer och kod finns kvar hos prövaren. Även i forskningsstudier är proverna ofta kodade när de lämnas till forskaren. Kodnyckeln bevaras då hos biobanken. I vissa studier är det dock nödvändigt att forskaren har tillgång till provgivarens identitet. Ett vanligt exempel är när information ska hämtas från flera källor, till exempel biobanker och kvalitetsregister. Om en forskare i dag behöver hitta prover från en viss patientgrupp, till exempel de som finns registrerade i ett visst kvalitetsregister, får forskaren efter etikgodkännande

begära ut uppgifter om personnummer för patienterna från aktuellt kvalitetsregister. Om kvalitetsregistret lämnar ut personnumren får forskaren därefter vända sig till biobanken och med utgångspunkt i personnumren fråga om det finns några prover för de aktuella patienterna. Biobanken kan i en sådan situation inte lämna ut kodade prover om forskaren ska ha möjlighet att länka uppgifterna från kvalitetsregistret till biobanksproverna. En diskussion förs nu att på landstings-, regional och nationell nivå om att införa en ”honest broker”, det vill säga en funktion som har tillstånd från huvudmannen eller huvudmännen att länka data från olika källor för forskarens räkning. Syftet är att forskaren då inte ska behöva ha tillgång till annat än kodade uppgifter och prov.

I lagen finns vidare vissa begränsningar när det gäller utlämnande av vävnadsprover till ett annat land.

Sammanfattningsvis reglerar biobankslagen i huvudsak hanteringen av själva vävnadsproverna i biobanker. När det gäller de register eller andra uppgiftssamlingar om provgivarna som kan finnas i anslutning till biobanken gäller främst patientdatalagen och PUL.

9.5.3. Bestämmelser om spårbarhet

I hälso- och sjukvården finns det ofta anledning att samla in vävnadsprover, till exempel blodprov eller cellprov, från patienter i samband med vård och behandling. För att proverna ska kunna användas för en patients vård eller behandling vid ett senare tillfälle eller för forskningsändamål krävs det att proverna som sparas i biobanker är spårbara. Detsamma gäller om det ska vara möjligt att hitta och förstöra en viss provgivares vävnadsprover om denne återkallar sitt samtycke. Biobankslagen innehåller inte något uttryckligt krav på spårbarhet för insamlade vävnadsprover. I 3 kap. 6 § biobankslagen anges att vävnadsprover för vilka samtycket har återkallats omedelbart ska förstöras eller avidentifieras. För att detta ska vara möjligt i praktiken krävs det att proverna kan spåras. I 3 kap. 7 § biobankslagen anges att uppgifter om information och samtycke m.m. enligt 3 kap. 1–6 §§ ska dokumenteras på lämpligt sätt i provgivarens patientjournal. En annan bestämmelse som är relaterad till spårbarhet av prover är 2 kap. 4 §. Enligt bestämmelsen ska en biobank förvaras på ett sådant sätt att vävnadsproverna inte riskerar att förstöras och att obehöriga inte får tillgång till

dem. Av 4 kap. 4 § biobankslagen följer att kodnycklar ska förvaras på ett betryggande sätt.

Biobankslagens regler kompletteras av bestämmelser i Socialstyrelsens föreskrifter och allmänna råd (SOSFS 2002:11) om biobanker i hälso- och sjukvården m.m. I 5 kap. finns bestämmelser om hantering av vävnadsprover. Enligt 5 kap. 1 § ska ett vävnadsprov som har tagits inom hälso- och sjukvården för att bevaras i en biobank ställas i ordning och märkas på ett sådant sätt att provet kan kopplas samman med de personuppgifter som finns i register eller i patientjournalen i anslutning till biobanken. Vidare gäller att vävnadsprovet ska märkas med ett identifieringsnummer, till exempel med en kod enligt det kodsystem som vårdgivaren har fastställt för utlämnande av prover.65 Ett vävnadsprov som samlas in för vård och behandling får dock märkas med provgivarens personuppgifter, om det är nödvändigt med hänsyn till patientsäkerheten. Enligt 5 kap. 2 § ska kodnycklarna förvaras på ett sådant sätt att de inte riskerar att förstöras och så att obehöriga inte får tillgång till dem. I den lokala instruktionen ska behöriga användare anges. Enligt allmänna råd till 5 kap. 2 § bör kodnycklarna inte förvaras tillsammans när flera koder används. När det gäller förvaring av vävnadsprover anges i 5 kap. 3 § att vävnadsproverna ska förvaras på ett sådant sätt att kvaliteten, spårbarheten och säkerheten i biobanken tillgodoses. Vidare anges det att vävnadsproverna och provgivarnas personuppgifter ska förvaras på ett sådant sätt att obehöriga inte får tillgång till uppgifterna och kan koppla samman dessa med vävnadsproverna.

9.5.4. Personuppgiftsbehandling

Biobankslagen innehåller ett fåtal bestämmelser om behandling av personuppgifter. Enligt 2 kap. 6 § biobankslagen ska IVO föra ett automatiserat register över biobanker, vilket ska användas för tillsyn, i forskningen och för framställning av statistik. Det får inte innehålla uppgifter om enskilda individer från vilka prover har tagits. I 5 kap. 4 § biobankslagen och 2 § förordningen om biobanker i hälso- och sjukvården m.m. anges att Stockholms läns landsting får föra ett särskilt register för screening av vävnadsprover från nyfödda barn

65 Med kod avses här ett löpnummer som ersatt provgivarens personuppgifter så att denne inte ska kunna identifieras. Förteckningen över vilka personuppgifter som motsvaras av vilka löpnummer, kodnyckeln, ska förvaras hos den vårdgivare som beslutat att samla in och förvara vävnadsprover (4 kap. 4 § biobankslagen).

för vissa ämnesomsättningsrubbningar (PKU-registret). Det anges vidare att landstinget är personuppgiftsansvarig för registret. Slutligen följer det av 6 kap. 2 § sista stycket biobankslagen att bestämmelserna i PUL om rättelse och skadestånd gäller vid behandling av personuppgifter enligt biobankslagen eller föreskrifter som har meddelats med stöd av lagen.

Verksamheten vid biobankerna består av insamling och bevarande av vävnadsprover samt behandling av de personuppgifter som hör till proverna.66 För biobankernas egen behandling av personuppgifter finns ingen särskild registerförfattning, utan behandlingen regleras av PUL. I anslutning till biobankerna bedrivs annan verksamhet i form av till exempel vård och behandling eller forskning, verksamheter som använder personuppgifter som hämtas från biobankernas verksamhet. Inom hälso- och sjukvården regleras behandling av personuppgifter av patientdatalagen. I de fall patientdatalagen inte innehåller några specialbestämmelser är PUL tillämplig på behandlingen av personuppgifter inom hälso- och sjukvården. PUL reglerar även personuppgiftsbehandling inom forskningsverksamhet.

Enligt PUL finns det alltid en personuppgiftsansvarig när personuppgifter behandlas. Personuppgiftsansvaret uppkommer automatiskt. Det är den personuppgiftsansvarige som ansvarar för att behandlingen av personuppgifter sker i överensstämmelse med bestämmelserna i PUL. Den personuppgiftsansvarige ska bland annat se till att behandlingen uppfyller de krav som anges i 9 § PUL, till exempel att personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Den personuppgiftsansvarige är enligt 26 § PUL skyldig att en gång per år till den som begär det lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte. Den personuppgiftsansvarige är vidare skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL har orsakat. Inom hälso- och sjukvården är den nämnd inom landstinget som ansvarar för vården eller annan myndighet eller det bolag som annars bedriver vården personuppgiftsansvarig.

I sammanhanget bör nämnas att det finns särskilda registerbestämmelser för den som har tillstånd att bedriva blodverksamhet i lagen (2006:496) om blodsäkerhet och för den som har tillstånd

66SOU 2010:81 s. 368.

att bedriva en vävnadsinrättning finns motsvarande bestämmelser i lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

9.5.5. Sekretess

Uppgifter i en biobank i en offentlig vårdgivares hälso- och sjukvårdsverksamhet skyddas av sekretess enligt OSL. I 25 kap. 1 § OSL anges att sekretess gäller inom hälso- och sjukvården för uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller i högst sjuttio år för uppgifter i allmänna handlingar.

Privata vårdgivare är inga myndigheter och varken rätten för allmänheten att ta del av handlingar eller uppgifter enligt TF eller offentlighets- och sekretesslagens regler gäller för dem. För den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården finns i stället bestämmelser om tystnadsplikt 6 kap.12–16 §§patientsäkerhetslagen (2010:659). Bestämmelserna är avsedda att ge patenten samma skydd som enligt OSL.

För PKU-registret finns en särskild sekretessbestämmelse i 25 kap. 15 § OSL. Sekretess gäller under samma förutsättningar som för hälso- och sjukvården i 25 kap. 1 § OSL.

9.5.6. Nationellt biobanksråd och Svenska biobanksregistret

Landstingen har som tidigare redovisats infört ett gemensamt informationssystem för spårbarhet av biobanksprover tagna inom svensk hälso- och sjukvård. Systemet, som har fått namnet Svenskt biobanksregister (SBR), finansieras av landstingen och samordnas via Inera AB. SBR är inte ett nationellt register, utan ett samarbete mellan Sveriges landsting och regioner. Hanteringen sker regionvis i regionala biobankscentra (RBC). RBC kan också ge också stöd i införandet av registret. Det finns sex RBC, ett för varje sjukvårdsregion. I varje region finns ett regionlandsting och ett antal övriga landsting. Ett RBC är inte en egen myndighet utan en organisation under regionlandstinget. Varje landsting är huvudman och personuppgiftsansvarig för sin del av registret. Genom personuppgiftsbiträdesavtal

mellan de personuppgiftsansvariga landstingen och regionlandstinget kan respektive RBC administrera SBR för sin region. Landstingen/regionerna uppdrar åt RBC att bistå med att på begäran av universitet, högskolor och andra intressenter söka efter prov i SBR samt lämna ut kodade uppgifter till behöriga mottagare om vilka prover som finns och vilken biobank/provsamling de tillhör.

Syftet med SBR är att göra det möjligt att spåra biobanksprover. Tanken är att systemet ska underlätta vården av enskilda patienter eftersom registret gör det möjligt att hitta tidigare prover som tagits på patienten. Systemet ska samtidigt vara ett redskap för forskning och verksamhetsutveckling genom att man på ett enkelt sätt ska kunna hitta prover som kan och får användas för forskning. Det ska också vara möjligt att hitta ett prov om den person som lämnat provet återkallar eller begränsar sitt samtycke.

SBR innehåller uppgifter om personnummer och namn på den som provet är taget från, provtagningsdatum, samtycke, typ av prov som tagits (till exempel om det är ett blodprov eller ett vävnadsprov) var på kroppen provet är taget (anatomisk lokalisation) samt i vilken biobank och provsamling provet är förvarat. Vårduppgifter, till exempel provsvar eller diagnoser, registreras inte.

Den planerade rutinen när en forskare vill få information om huruvida prover finns och så fall i vilken biobank de finns lagrade är att han eller hon ska kunna skicka in ansökan om datauttag till SBR. Om det inte finns några uppgifter om de efterfrågade biobanksproverna i SBR får forskaren besked om detta. Om uppgifter om efterfrågade biobanksprover finns i SBR, gör SBR en sammanställning av uppgifterna. SBR konstruerar en kodnyckel och uppgifterna om biobanksproverna kodas. Listan med kodade uppgifter skickas till sökanden med kontaktuppgifter till respektive biobank där proverna finns. SBR utlämnar därefter relevant kodnyckel till respektive biobank. Respektive biobank prövar frågan om utlämnande av registeruppgifter och utlämnande av biobanksprover.

9.5.7. Rapporten Gemensam svensk biobanksstruktur

NBR och BBMRI.se har i rapporten Gemensam svensk biobanks-

struktur 2013 lämnat förslag på åtgärder för enhetlig provhantering,

enhetlig datahantering, förvaltning, finansiering och kunskapsöverföring på biobanksområdet.

När det gäller datahantering anförs att en förutsättning för att öka användningen av biobanksprover är att biobanksanvändarna (forskare och personal inom vård och behandling) kan avgöra vilka insamlade prover som finns lagrade, vad de kan användas till och vilka prover som är jämförbara med varandra i analyshänseende.67Det konstateras att i nuläget utgör avsaknaden av ett gemensamt språk som beskriver biobanksprover en starkt begränsande faktor för utnyttjandet av svenska biobanker. Den arbetsgrupp som arbetat med rapporten har tagit fram ett förslag till en informationsstandard för beskrivning av blodbaserade biobanksprov. Standarden ska utgöra underlag vid utbyte av relevant provinformation mellan biobanker och biobanksanvändare och för anpassning av de informationssystem som används för inläsning, lagring och rapportering av provinformation. I rapporten konstateras vidare att det från biobanksanvändarnas synpunkt vore fördelaktigt med en gemensam hantering av beställningar för provinsamling och provuttag. I rapporten beskrivs genom två fall hur informationshanteringen vid en nationell provinsamling kan ske via en gemensam tjänsteplattform. Det anges att fortsatt arbete krävs för att utreda behoven av en nationell remisstandard för provinsamling, och för att i detalj definiera utformningen av tjänsteplattformen för beställningar av provinsamling och provuttag. Det betonas att elektronisk samtyckeshantering är central i sammanhanget för att säkerställa att insamling och uttag av prover sker i enlighet med provgivarnas beslutanderätt om ändamålen för provernas användning. I rapporten anförs att klinisk information, i synnerhet medicinsk diagnos hos provgivaren, är helt avgörande för att enskilda forskare ska kunna använda lagrade biobanksprover för framtida forskning. För att kunna utnyttja biobankerna till fullo krävs därför att biobanksprover kan tillgängliggöras i ett sammanhang där provinformation vid behov kan länkas till redan insamlade data i exempelvis kvalitetsregister eller medicinska journaler. Vidare anförs att en gemensam söktjänst för biobanksprover bör inrättas, exempelvis genom anpassning av SBR, och att tjänsten även bör omfatta möjligheten till länkning av information om biobanksprover till klinisk information i kvalitetsregister eller andra datakällor. Denna tjänst skulle enligt rapporten kunna förstärka integritetsskyddet hos provgivarna eftersom forskarna kan förses med kodade eller avidentifierade kliniska data länkade till information om biobanksprover. Det ger i sin tur möjlighet att göra

67 Rapport från projektgruppen Gemensam Svensk Biobanksstruktur 2013 s. 15.

beställningar av provuttag och efterföljande analys av de prover som bedömts vara värdefulla utan att röja identiteten hos individuella provgivare.

9.5.8. Problem relaterade till personuppgiftsbehandling

Som anges ovan regleras personuppgiftsbehandlingen i SBR av PUL. Varje landsting är personuppgiftsansvarig för sina personuppgifter i SBR. Personuppgiftsbiträdesavtal har upprättats mellan de personuppgiftsansvariga landstingen och det regionlandsting som RBC är kopplat till.

Ett personuppgiftsbiträde är enligt 3 § PUL den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet får bara behandla personuppgifterna enligt givna instruktioner och riktlinjer från den personuppgiftsansvarige. Biträdet råder inte över för vilka ändamål personuppgifterna ska behandlas. All den personuppgiftsbehandling som utförs av SBR måste således ha stöd i personuppgiftsbiträdesavtalet mellan det personuppgiftsansvariga landstinget och regionlandstinget. Genom personuppgiftsbiträdesavtalen har det regionlandsting som SBR är kopplat till bland annat fått fullmakt att lämna ut registerutdrag enligt 26 § PUL samt vidta åtgärder vid provgivarens begäran om rättelse eller utträde ur registret. Systemet med personuppgiftsbiträdesavtal är emellertid tungt att administrera och blir alltmer svårhanterligt i takt med att antalet vårdgivare ökar.

9.5.9. Problem relaterade till sekretess

Som ovan anförts skyddas uppgifterna i en biobank i den offentliga vården av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. Om någon, till exempel en forskare, begär att få ta del av en handling som innehåller uppgifter om ett biobanksprov ska en sekretessprövning göras. Denna prövning ska göras av den som är huvudman för biobanken, det vill säga respektive landsting eller region. Uppgiften att utföra sekretessprövningen kan inte överlämnas till det regionlandsting som SBR är kopplat till (jfr 2 kap. 14 § andra stycket TF). Att utlämnandeprövningen måste göras av det landsting eller den region som är huvudman för biobanken och inte av SBR innebär att utlämnandeprocessen blir omständlig och tar lång tid. Dessutom optime-

rar man inte insatserna från alla inblandade huvudmän om flera måste utföra sekretessprövning för samma studie.

9.5.10. Biobanksutredningens förslag avseende spårbarhet

I Biobanksutredningens uppdrag ingick bland annat att lämna förslag på ökad spårbarhet av biobanksprover och förslag på registerbestämmelser.68 Som åtgärd för att förbättra spårbarheten av biobanksprover föreslår utredningen att SBR ska lagregleras.69Förslaget innebär att SBR övergår från att vara ett system av register till att bli ett enda register för hela landet. Registret ska innehålla uppgifter som är tillräckliga för att varje vävnadsprov som hör till eller har hört till de ingående biobankerna ska kunna återfinnas. Uppgifter om provgivarnas aktiva ställningstaganden med mera ska registreras. Den landsomfattande registreringen ska vara frivillig för provgivarna. De ska ha rätt att motsätta sig att uppgifterna om ett vävnadsprov registreras i SBR och därmed görs tillgängligt för andra än den vårdgivare eller verksamhet i övrigt där provet togs. Utredningen föreslår vidare att det ska vara en skyldighet för alla vårdgivare, men inte för andra, att lämna dessa uppgifter till SBR. Skyldigheten bör enligt utredningen gälla även när vårdgivaren samlar in prover för en biobank i en annan verksamhet, till exempel vid klinisk läkemedelsprövning.

Utredningen föreslår att en av de stora offentliga vårdgivarna bör utses att föra registret.70 Denna vårdgivare ska ha personuppgiftsansvar för registret. Regeringen ska bemyndigas att bestämma vilken vårdgivare som ska föra SBR. Under förutsättning att en offentlig vårdgivare utses att föra SBR kommer OSL att vara tillämplig för verksamheten i registret.71Registret kommer att ta emot uppgifter från andra vårdgivare och lämna ut uppgifter till vårdgivare och till forskare. Uppgifterna som registret tar emot kommer i stor utsträckning att omfattas av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. Den skyldighet att lämna ut uppgifterna till SBR som utredningen föreslår kommer att innebära att uppgifter som omfattas av skyldigheten ska lämnas ut trots sekretessen, med stöd av 10 kap. 28 § OSL. Där anges att sekretess inte hindrar att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller

68 Dir. 2008:71 69SOU 2010:81 s. 346 f. 70SOU 2010:81 s. 351. 71SOU 2010:81 s. 352.

förordning. Eftersom uppgifterna som lämnas ut till SBR normalt omfattas av hälso- och sjukvårdssekretess är det viktigt att en motsvarande sekretess gäller för uppgifterna i registrets verksamhet. SBR:s verksamhet skulle enligt utredningen kunna sägas i allt väsentligt avse individinriktad hälso- och sjukvård och omfattas av hälso- och sjukvårdssekretessen enligt 25 kap. 1 § OSL på den grunden. Till viss del kommer verksamheten att avse annat än hälso- och sjukvård. Det är dock i vart fall fråga om sådan annan medicinsk verksamhet som avses i andra meningen i den nämnda bestämmelsen. För att säkerställa att SBR omfattas av hälso- och sjukvårdssekretessen ska, enligt utredningens mening, verksamheten anges bland exemplen på annan medicinsk verksamhet i 25 kap. 1 § OSL. Uppgifterna får därmed samma sekretesskydd i registret som uppgifterna hade hos den vårdgivare som lämnade ut uppgifterna till registret.

Enligt utredningens förslag ska även de som inte är skyldiga att registrera prover i SBR ha möjlighet att göra det om de så önskar. De biobanker som samlar in eller bevarar vävnadsprover utan att registrera dem i SBR ska vara skyldiga att föra register med motsvarande uppgifter som anges i SBR. Flera biobanker ska ha rätt att föra ett gemensamt biobanksregister.

9.5.11. Biobanksutredningens förslag avseende personuppgiftsbehandling

Utredningen föreslår att biobankslagen ska innehålla ett integritetsskydd för den enskilde som ska gälla vid personuppgiftsbehandling. Dessa bestämmelser ska gälla för all behandling av personuppgifter som sker i biobankens verksamhet. Bestämmelserna i biobankslagen ska dock inte gälla för den behandling av personuppgifter som sker inom den vård och behandling, forskning eller annan sådan verksamhet som bedrivs i anslutning till biobanken. De bestämmelser som föreslås i betänkandet gäller alltså enbart för den behandling av personuppgifter som sker vid biobanken, för att kunna hantera och spåra biobankens vävnadsprover.

Enligt utredningens förslag ska en biobank få behandla personuppgifter för

1. att säkerställa spårbarhet för vävnadsprover i den verksamhet

som bedrivs enligt biobankslagen,

2. uppgiftslämnande och utlämnande av vävnadsprover som sker i

överensstämmelse med lag eller förordning, samt

3. tillsyn, forskning och framställning av statistik.72

Enligt utredningen ska ändamålet med behandlingen av personuppgifter vara att säkerställa spårbarheten för vävnadsprover i den verksamhet som bedrivs enligt biobankslagen. Dessutom får vävnadsproverna enbart användas för de syften som är tillåtna enligt biobankslagen och som biobanken är registrerad för men inte för några andra syften. Den allmänna ändamålsbestämmelsen för biobankslagen sätter alltså en ytterligare gräns för användningen. Det saknas enligt utredningen anledning att i denna bestämmelse återupprepa den allmänna bestämmelse som reglerar biobankernas ändamål.

Det anförs att det med hänsyn till de registrerades integritet är väsentligt att inte andra personuppgifter behandlas i biobankernas verksamhet än vad som är befogat utifrån verksamhetens ändamål.73För att kunna uppnå spårbarhet behöver dock vissa personuppgifter behandlas. Utredningen föreslår att en biobank endast ska få behandla personuppgifter som avser

1. provgivares identitet,

2. vilka andra personer som tar ställning till vävnadsprovers

bevarande,

3. ställningstaganden till bevarande av vävnadsprover,

4. vävnadsprovers identitet, karaktär och hantering,

5. vem som behandlar uppgifter eller vävnadsprover, och

6. till vem vävnadsprover utlämnas, överlåts eller upplåts.74

Med identitet avses enligt utredningen namn, personnummer eller motsvarande samt koder som ersätter dessa uppgifter. Enligt utredningen kan det i vissa fall finnas behov av att registrera kontaktuppgifter, som adress eller telefonnummer. Detta bör anses ingå i begreppet identitet.

Utredningen anför att motsvarande uppgifter om andra personer än provgivarna kan komma att behöva registreras. Det gäller då personer som tar ställning till bevarandet av vävnadsprover, till exempel

72SOU 2010:81 s. 371 f. 73SOU 2010:81 s. 374. 74SOU 2010:81 s. 374 f.

vårdnadshavare till barn som inte har förmåga att själva avgöra frågan. Även för den nu aktuella gruppen är det identitetsuppgifter som ska kunna registreras. För sådana personer måste även uppgifter om i vilket förhållande de står till provgivarna anses ingå i den identitet som kan registreras, till exempel att det är en underårig provgivares mor som har motsatt sig att ett prov används för forskning.

Vidare anför utredningen att registret måste kunna ange uppgifter om de ställningstaganden till bevarande av vävnadsprover som görs. Det kan gälla att en provgivare har samtyckt till bevarande, har motsatt sig bevarande eller har inskränkt sitt samtycke till att avse endast ett visst angivet ändamål. Det kan gälla tidpunkter från vilka eller till vilka ett visst ställningstagande gäller.

Registret måste enligt utredningen också kunna ange uppgifter om vävnadsprovernas identitet, karaktär och hantering. Med identitet menas i detta sammanhang uppgifter om vilken eller vilka koder eller andra beteckningar som har getts till de enskilda proverna, till andra prover som proverna härstammar från (när ett prov har delats till flera prover) eller till provsamlingar som proverna hör till eller har hört till med mera. Till denna grupp av uppgifter räknas också ordernummer eller koder i samband med utlämnande av prover.

Uppgift om vävnadsprovernas karaktär avser vilken del av kroppen som proverna kommer ifrån eller vilket biologiskt material som ingår i proverna, vilka provtagningsmetoder som har använts samt vilken form som proverna är lagrade i eller vilket sätt som proverna förvaras på eller har förvarats på, till exempel uppgifter om temperatur.

Med vävnadsprovernas karaktär menas inte sådan information om provgivarna som kan härledas ur studier av vävnadsproverna, såsom analysresultat, diagnoser eller liknande. Det anförs att uppgifter om diagnos visserligen kan vara värdefulla för forskningen, när vävnadsprover ska eftersökas för ett forskningsprojekt. Om biobankerna får behandla sådana uppgifter kan de prover som projektet behöver eftersökas direkt hos biobanken, eller i SBR, i stället för att uppgifter om vilka personer som har diagnosen ska behöva sökas i andra register och att därefter biobanksregister ska användas för att ta reda på om dessa personer har lämnat något vävnadsprov som kan användas för projektet. När flera sökningar ska göras på det beskrivna sättet är risken för att överflödig information behandlas större än om sökningen sker direkt i biobanksverksamheten. Forskaren behöver då inte känna till namn eller personnummer på provgivarna och kan således hållas ovetande om vem proverna härrör

från.75Enligt utredningen är uppgifter om diagnoser emellertid särskilt känsliga, eftersom de anger något centralt om den registrerade personens hälsa. Dessa uppgifter behövs heller inte för att kunna söka reda på vävnadsprover när provgivare motsätter sig fortsatt bevarande och inte heller för att kunna finna prover för provgivarens vård och behandling. Behandlingen av dessa uppgifter står alltså inte i provgivarens eget omedelbara intresse, även om forskning ibland kan leda till kliniska tillämpningar som i sin tur kan komma till användning även för provgivaren. Uppgifter om analysresultat, diagnoser eller liknande ska därför, enligt utredningens mening, inte få behandlas inom ramen för biobankernas verksamhet, utan endast i den verksamhet som bedrivs i anslutning till biobanken, till exempel medicinsk vård och behandling eller forskning. Uppgifterna ska då behandlas endast i den utsträckning det är tillåtet enligt de regler som gäller för den aktuella verksamheten.

Med uppgift om provets hantering avses tidpunkter för provtagning och registreringar, var proverna har tagits, var de förvaras, vart eller varifrån de ska sändas eller har sänts eller annan sådan information, såsom uppgifter om utlämnande, överlåtelse, upplåtelse, förstörelse, avidentifiering eller andra skäl till att prover saknas i en provsamling. När vävnadsprover har lämnats ut för forskningsändamål bör forskningsstudien anges, till exempel genom en identitetsbeteckning.

Utredningen anför vidare att alla de angivna typerna av uppgifter inte kommer att behöva registreras för varje vävnadsprov, men att alla sådana uppgifter måste vara möjliga att registrera för att biobankerna ska kunna spåra varje enskilt prov för de olika tillåtna ändamålen enligt biobankslagen och kunna hålla tillräcklig ordning i provsamlingarna. Det konstateras till exempel att för att det ska vara möjligt att söka efter vävnadsprover som är av betydelse för viss forskning måste det kunna finnas ganska detaljerade uppgifter om proverna. För ett visst forskningsprojekt kanske det inte är möjligt att använda prover som har förvarats i rumstemperatur, utan enbart prover som har frysförvarats vid -20 eller -80 grader. För att sådana prover ska kunna efterforskas måste det vara tillåtet att behandla dessa uppgifter.

Utredningen anser att registret bör innehålla uppgifter om vem som behandlar uppgifter eller vävnadsprover, för att vävnadsproverna ska kunna hanteras på ett säkert sätt och inte förkomma. Det

75SOU 2010:81 s. 376 f.

kan vara fråga om den som har tagit ett prov, den som har beställt en analys av ett prov, den som utför analysen av provet, den som hanterar provet i samband med preparering eller för förvaring eller den som är ansvarig för biobanken och i denna egenskap kommer i kontakt med information om proverna. Sådana personuppgifter bör kunna anges eftersom de har betydelse för spårbarheten.

Av det föregående framgår att det i registren måste anges till vem vävnadsprover har utlämnats, överlåtits eller upplåtits, för att spårbarhetskravet ska kunna vara uppfyllt. Normalt är mottagaren ett landsting, en forskningsinstitution, ett aktiebolag eller någon annan juridisk person. Ibland är mottagaren i stället en fysisk person, som till exempel en enskild forskare. Det är då fråga om en personuppgift om denne, men inte om en känslig personuppgift enligt 13 § personuppgiftslagen. Uppgifter om mottagarens identitet måste kunna registreras.

Utredningen föreslår vidare att huvudmannen för biobanken ska vara personuppgiftsansvarig för behandlingen av personuppgifter i biobankens verksamhet.76 Den vårdgivare som för SBR ska vara personuppgiftsansvarig för behandlingen av personuppgifter i SBR. Den personuppgiftsbehandling som vårdgivarna utför när de samlar in och lämnar ut uppgifter till registret faller inom vårdgivarens ansvar enligt patientdatalagen. Överföringen av uppgifter från dessa vårdgivare till SBR ingår dock i personuppgiftsansvaret för SBR. Motsvarande gäller för utlämnande av personuppgifter från registret.

Enligt utredningens förslag ska den enskilde ha rätt att motsätta sig att uppgifter om ett vävnadsprov som han eller hon har lämnat registreras i SBR, om bevarandet av det tillhörande vävnadsprovet är beroende av den enskildes inställning. Utredningen ger också förslag på bestämmelser om sökbegrepp, tilldelning av behörigheter och kontroll av åtkomst, rättelse, skadestånd och överklagande vid behandling av personuppgifter i biobanksregister.

9.5.12. Sammanfattning av remissinstansernas synpunkter

9.5.12.1 Lagreglering av SBR

Flera universitet och landsting är positiva till att SBR lagstadgas. Flera landsting och bland andra Astra Zeneca anser vidare att det är bra att det är obligatoriskt för vårdgivare att registrera sparade prov

76SOU 2010:81 s. 381.

i SBR. Landstinget i Östergötland och Linköpings universitet motsätter sig utredningens förslag att enbart vårdgivare ska vara skyldiga att lämna in rapporter till registret. Smittskyddsinstitutet77 anser att det föreslagna registret även borde omfatta de prover som ingår i institutets biobank. Stockholms läns landsting, Landstinget Dalarna och Landstinget i Sörmland påpekar att det finns några fall där registerföring i SBR inte fyller någon funktion och till och med kan vara olämpligt, exempelvis prover som tagits med stöd av tvångslagstiftning, vävnader för transplantations- och transfusionsändamål samt PKU-biobankens register. Landstinget i Kalmar län ställer sig frågande till skyldigheten att registrera uppgifter om vävnadsprover som samlats in för annan biobank, till exempel för klinisk läkemedelsprövning. Göteborgs universitet anser att skyldigheten för vårdgivare att lämna uppgifter till SBR borde kunna tillämpas även för övrig offentligt stödd verksamhet. Landstinget Västernorrland menar att ansvarig forskare eller läkemedelsprövare själv ska kunna registrera sina provgivare i SBR i stället för att som nu överlåta denna uppgift åt hälso- och sjukvårdens biobank. Astra Zeneca och Läkemedelsindustriföreningen vill framhålla att det ska vara vårdgivarens ansvar att lämna personuppgifter till SBR även när det gäller uppdragsforskning. Uppsala universitet anser att förslaget innebär en onödig administration för vårdcentraler och provtagningsstationer som bistår med enbart provtagning vid denna typ av forskningsprojekt. Sveriges Kommuner och Landsting (SKL) anser att det bör vara upp till provtagande och provbevarande att bestämma vem som ska rapportera till SBR. Landstinget Västmanland menar att det bör tydliggöras i föreskrifterna att det är upp till huvudmännen att göra en överenskommelse om vem som rapporterar in uppgifter till SBR för att det inte ska bli ökade krav på registreringar. Karolinska Institutet (KI) anser att förslaget om att det ska vara obligatoriskt för alla vårdgivare att lämna uppgifter till SBR liksom mottagande biobanker i de fall det sker en utlämning framstår som överambitiöst. Linköpings universitet och Östergötlands läns landsting föreslår att Socialstyrelsen kan besluta om undantag från regeln om skyldighet att registrera prover och provsamlingar av särskilt integritetskänslig natur.

VR och KI anser att Socialstyrelsen ska hantera SBR. KI anser vidare att för att SBR ska kunna vara användbart för att underlätta forskning krävs att registret genom koppling till andra hälsodata-

77 Smittskyddsinstitutet har den 1 januari 2014 gått upp i Folkhälsomyndigheten.

register kan få inhämta och bevara information om sjukdomsdiagnoser på aggregerad nivå. Landstinget Dalarna anser att informationsskyldigheten till provgivare bör utvidgas till att omfatta även information om registrering i SBR. Regionala etikprövningsnämnden i Linköping vill betona vikten av att olika tillämpningsbestämmelser utformas så strikt att risken för missbruk minimeras. Landstinget i Östergötland föreslår att huvudregeln blir att alla biobanker ska lämna elektronisk information om samtliga sina prover till svenska biobanksregistret, senast 3–5 år efter att lagen träder i kraft.

Gentekniknämnden anser att det inte är rimligt att göra ett register obligatoriskt när det ännu inte är färdigutvecklat och prövat i praktiken. Centrala etikprövningsnämnden ifrågasätter om inte tanken på lagstiftning är alltför tidigt väckt då det nya registret medför behov av en stor administrativ insats från vårdpersonalens sida som inte ska underskattas. Landstinget i Kalmar län föreslår en omprövning av förslaget som innebär att det ska vara en skyldighet för alla vårdgivare – men inte för andra – att lämna uppgifter till SBR och i stället öppna möjligheten för biobankerna att ansluta sig till SBR utan att ställa något krav på detta. Jämtlands läns landsting bedömer att förslaget om att genom lagstiftning kräva att biobankernas vävnadsprover ska registreras i SBR medför en påtaglig risk att låsa fast utvecklingen vid en lösning som kanske inte är hållbar på sikt eller som inte smidigt kan anpassas till skilda slag av verksamheter eller till förändringar i dessa. Regionala etikprövningsnämnden i Umeå framhåller att ett gemensamt register över samtliga vävnadsprover i biobanker kommer att innebära onödig registrering av prov som har tagits inom vården och ett betydande mått av dubbelregistrering. Uppsala universitet ifrågasätter om det är rimligt att i lagen specificera vilken lösning som ska användas för spårbarhet. Region Skåne anser att förslaget förefaller illa genomtänkt med tanke på möjligheten att använda biobanksprover från olika huvudmän för forskning. Landstinget Västmanland anser att förslaget som innebär att SBR:s användare utvidgas till alla vårdgivare ställer orimliga krav på till exempel primärvården. Regionala etikprövningsnämnden i Umeå anser att etik- och konsekvensanalysen av ett nationellt svenskt biobanksregister är bristfällig. Biomedicinsk analytikerförening har svårt att bedöma hur förslaget kommer att påverka den administrativa bördan ute hos huvudmännen. Landstinget i Värmland menar att förslaget kommer att innebära en kostnadskrävande verksamhetsförändring.

Datainspektionen anser att det är svårt att överblicka konsekvenserna för integritetsskyddet som helhet beträffande både spårbarhetsregistrering och framtida forskning. Regionala etikprövningsnämnden i Lund konstaterar att en viktig fråga som lämnats därhän i betänkandet är hur spårbarheten ska fungera i praktiken. Landstinget i Uppsala län påpekar att de i lagförslaget är oklart hur spårbarhetskravet ska tillgodoses i fallet med överlämnande av prover mellan två huvudmän utan formell överlämning.

9.5.12.2 Biobankernas behandling av personuppgifter

Flera remissinstanser, bland andra Lunds universitet och Landstinget i Kalmar län är positiva till utredningens förslag gällande behandling av personuppgifter. SKL, Göteborgs universitet och en majoritet av remissinstanserna anser dock, till skillnad från utredningen, att uppgifter om analysresultat och diagnos bör vara tillåtna att behandla i biobankens eget register. Smittskyddsinstitutet, SKL, Unilabs samt flera landsting med flera påpekar att det inte är praktiskt möjligt att skilja på den verksamhet som bedrivs i biobanken och den som bedrivs i anslutning till biobanken då information för att bedriva vård finns i samma IT-system. Uppsala universitet samt flera landsting påpekar att en separation av prov från övrig information som till exempel diagnos försvårar för framtida forskning. Uppsala universitet påpekar att den skrivning som nu finns i lagförslaget om personuppgifter skulle medföra att biobanker inte kan förmedla en central provhantering och informationshanteringsservice. Uppsala universitet, Linköpings universitet, KI och Cancerfonden påpekar att en biobank som upprättas inom ramen för ett forskningsprojekt blir mindre användbar om inte känsliga personuppgifter också får registreras och behandlas. Landstinget Västernorrland bedömer att det är omöjligt att på ett säkert sätt bedriva biobanksverksamhet om inte biobanken även får tillgång till uppgifter såsom diagnos. Landstinget i Uppsala och Unilabs menar att det behövs en mycket mer flexibel skrivning där mer ansvar läggs på huvudmannen som får avgöra hur känsliga personuppgifter såsom diagnos behandlas. SKL, Astra Zeneca samt flera landsting påpekar att skapandet av nya system för biobankens "egna" verksamhet och för den verksamhet som bedrivs i anslutning till biobanken inte enbart skulle vara mycket kostsamt, utan också innebära en ökad risk för felregistrering på så vis att fel prov kopplas till ett visst analysresultat.

Cancerfonden anser att det vore av godo om det i en den nya biobankslagen framgick att det ska vara vägledande för utlämning av personuppgifter från andra register huruvida etikprövningsnämnd efter mensprövning godkänt förfarandet eller ej. Uppsala universitet föreslår att en särskild paragraf införs i den nya biobankslagen med innebörden att etikprövningsnämnderna ska göra en mensprövning av den behandling av personuppgifter som ingår i ett forskningsprojekt samt att denna mensprövning ska vara vägledande vid myndighetens utlämning av personuppgifter. KI anser att Socialstyrelsen bör ges ett bemyndigande att ta fram statistik om de medicinska diagnoser på biobanksnivå som behövs för att Sverige skall kunna delta i internationella biobankssamarbeten. Landstinget i Jönköpings län menar att man bör undersöka vilka möjligheter till selektering av information vid överföring som finns i dag.

Datainspektionen frågar sig om inte den enskildes integritetsskydd kan komma att försvagas inom hälso- och sjukvårdsområdet som helhet som en följd av förslagen. Regionala etikprövningsnämnden i Lund anser att det bör analyseras närmare vilka eventuella regelkonflikter som kan finnas hos huvudmän som är vårdgivare med regler om personuppgiftsbehandling i patientdatalagen, blodsäkerhetslagen eller vävnadslagen. Regionala etikprövningsnämnden i Umeå anser att frågan om utlämnande av journalhandlingar för forskningsändamål är otillräckligt analyserad och att patientens rättigheter inte tillgodoses i tillräcklig omfattning. Rättsmedicinalverket anser att det är oklart i vilken utsträckning biobankslagen bestämmelser om behandling av personuppgifter avses omfatta uppgift om avliden. Datainspektionen anser att det är en brist att det inte framgår vad som ska gälla för åtkomsten till personuppgifterna.

9.5.13. Slutsatser

Enligt Biobanksutredningens förslag ska SBR lagregleras och göras till ett nationellt system för registrering av biobankprover. Lösningen skulle innebära att det finns en huvudman som också är personuppgiftsansvarig för behandlingen av personuppgifter i SBR. Det skulle också innebära att det finns en central part som kan göra sekretessprövningen när någon begär uttag ur registret.

Många remissinstanser är positiva till idén om lagreglering av SBR och tillskapandet av ett nationellt register. En del menar att målsättningen är god men att det är för tidigt att göra systemet obliga-

toriskt. För att en centralisering av SBR ska förbättra spårbarheten krävs det att registret har en god täckning. Enligt utredningens förslag ska det vara en skyldighet för alla vårdgivare, men inte för andra, att lämna uppgifter till SBR. Bland remissinstanserna finns det vissa som vill att den skyldigheten ska utökas utöver prover som tas utanför hälso- och sjukvården, andra menar att skyldigheten inte bör gälla alla prover som tas inom hälso- och sjukvården, till exempel prover som tas för kliniska prövningar.

Biobanksutredningens förslag angående behandling av personuppgifter är avsett att tillämpas på såväl SBR som biobanker. I förslaget anges att bestämmelserna inte ska gälla den personuppgiftsbehandling som avser vård och behandling, forskning eller annan sådan verksamhet som bedrivs i anslutning till biobanken. Utredningen utgår således från att det är möjligt att skilja mellan den behandling av personuppgifter som sker i själva biobankens verksamhet och den behandling som sker i hälso- och sjukvård eller forskning som bedrivs i anslutning till denna. Förslaget har på denna punkt kritiserats av många remissinstanser. Att göra en sådan åtskillnad bedöms i praktiken vara svårt. Utredningens förslag på lagreglering av biobankernas behandling av personuppgifter kan emellertid användas som en utgångspunkt vid utformningen av ett förslag på lagreglering av personuppgiftsbehandling i SBR. Med hänsyn till de synpunkter som framkommit under remissbehandlingen finns dock skäl att göra vissa modifieringar.

9.5.14. En särskild lag om Nationella biobanksregistret

9.5.14.1 Intresseavvägning

Det är tydligt att det finns ett behov av ett nationellt register för biobanksprover för att förbättra spårbarheten av prover. Frågan är vilka konsekvenser ett sådant register kan medföra från integritetssynpunkt. Registret kommer att innehålla en stor mängd uppgifter om ett stort antal personer och kommer att bevaras under lång tid. Enligt mitt förslag ska registret bland annat innehålla uppgift om diagnos och analysresultat, som utgör känsliga personuppgifter enligt PUL:s definition. Att uppgifter förvaras på detta sätt kan innebära ökad risk för att informationen sprids till en större krets än nödvändigt eller missbrukas på något sätt.

Ett rikstäckande register för biobanksprover kan leda till förbättring av vården för den enskilda patienten. Registret medför att det blir lättare att undersöka om det finns tidigare prover tagna på patienten, även om prover lämnats i olika delar av landet. Med ett nationellt register blir det lättare att hitta till exempel referensprov med en sällsynt blodgrupp eller ovanlig antikropp eller alla gynekologiska cellprov från en patient som har utvecklat cancer. Registret gör det vidare möjligt att vid misstanke om ärftliga sjukdomar hitta släktingars prover.

Ett skäl att införa ett nationellt register är också att det förbättrar den enskildes möjlighet att utöva sin rätt att återkalla sitt samtycke till användningen av vävnadsprover. Det är inte alltid lätt för den enskilde att komma ihåg var vävnadsprover har lämnats och vilken biobank de tillhör. Systemet med ett nationellt biobanksregister gör det lättare för den enskilde att få överblick över vilka vävnadsprover som finns och var de bevaras.

Ett nationellt register för vävnadsprover skulle vidare vara en stor tillgång för forskningen som kan leda till värdefull ny kunskap. Ett sådant register gör det lättare att koppla samman uppgifter från olika källor, till exempel biobanker och kvalitetsregister eller hälsodataregister. De resultat som kan uppnås med forskningen kan i förlängningen leda till utveckling av vård och behandling och därmed en förbättrad situation för enskilda patienter.

Enligt förslaget ska uppgifter om vävnadsprover som huvudregel endast få registreras i det nationella registret om den enskilde lämnat sitt samtycke till registreringen. När det gäller uppgifter om vävnadsprover som redan behandlas inom vården när registret införs bedöms det vara praktiskt omöjligt att införa ett krav på samtycke för registrering. I stället ska den enskilde alltid ha möjlighet att begära att uppgifter om honom eller henne i registret utplånas. Det bör i detta sammanhang framföras att den enskilde enligt biobankslagen alltid lämnar samtycke till bevarandet av ett prov och för vilka ändamål det får användas. Det är endast registreringen av uppgifterna i det nationella registret som den enskilde inte har lämnat sitt samtycke till.

För att minska risken för att uppgifter i ett spårbarhetsregister missbrukas ska behandlingen av uppgifterna i registret regleras på lämpligt sätt. Endast uppgifter som behövs för ändamålet att spåra prover ska få registreras. De enskildes rätt till självbestämmande ska garanteras genom god information. Den interna hanteringen av uppgifterna i registret och utlämnande av uppgifter från registret

ska regleras. Vidare ska uppgifterna skyddas av stark sekretess. Uppgifterna bör även vara omgärdade av god teknisk säkerhet. Sammanfattningsvis menar jag att de integritetsrisker som finns kan minimeras genom ett lämpligt regelverk och att de fördelar som ett nationellt spårbarhetsregister medför uppväger riskerna för integriteten.

9.5.14.2 Lagens tillämpningsområde

Liksom Biobanksutredningen anser jag att SBR bör utvecklas till ett nationellt system för registrering av biobanksprover, lämpligen kallat Nationella biobanksregistret.

Enligt 2 kap. 6 § andra stycket RF är var och en skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (se vidare 5.3.2). Behandling som sker med den enskildes samtycke faller utanför grundlagsbestämmelsens tillämpningsområde. Registrering i Nationella biobanksregistret ska som huvudregel vara frivilligt för den enskilde. Behandling av historiska data ska dock få ske utan att den enskilde lämnat sitt uttryckliga samtycke. Eftersom behandling av personuppgifter i ett sådant register som här föreslås kan anses utgöra en sådan begränsning av integritetsskyddet som avses i 2 kap. 6 § andra stycket RF bör reglering ske i lag.

I biobankslagen regleras hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. En biobank definieras enligt lagen som material från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. Med människa avses levande eller avliden person eller foster (1 kap. 2 § biobankslagen). Med personuppgifter avses enligt PUL:s definition endast personer som är i livet (3 § PUL). Uppgifter om avlidna och foster utgör således inte personuppgifter enligt PUL:s definition. Registret bör dock få innehålla uppgifter om vävnadsprover från avlidna och foster. För tydlighets skull bör det därför i lagen anges att Socialstyrelsen får behandla uppgifter i Nationella biobanksregistret. Lagen ska avse behandling av uppgifter som är helt eller delvis automatiserad.

9.5.14.3 Vem ska föra Nationella biobanksregistret?

Enligt Biobanksutredningens förslag bör en av de stora offentliga vårdgivarna utses att föra det nationella biobanksregistret. Utredningen föreslår att regeringen bemyndigas att bestämma vilken vårdgivare som ska föra registret. Utredningen redogör emellertid inte för skälen till varför en vårdgivare bör föra registret.

Jag menar att ett nationellt register över biobanksprover bör föras av Socialstyrelsen. Socialstyrelsen för i dag ett flertal hälsodataregister enligt lagen om hälsodataregister och har kompetens och rutin att föra omfattande register med känsliga personuppgifter. Det skulle också innebära en fördel ut ett forskningsperspektiv då det på myndigheten redan finns en organisation till stöd för forskningsverksamhet. Socialstyrelsen har i dag i uppgift att ge stöd vid sambearbetning av uppgifter från kvalitetsregister och andra register. Sambearbetning av uppgifter från kvalitetsregister och biobanksregister torde bli vanligt. Om uppgiften att föra ett nationellt biobanksregister läggs på Socialstyrelsen kan myndigheten vara behjälplig vid sambearbetning av till exempel uppgifter från hälsodataregister och uppgifter ur biobanksregistret. Forskare kan då få ut kodade uppgifter och efter prövning hos en biobank också biologiska prover från samma personer, samtidigt som Socialstyrelsen behåller kodnyckeln.

Uppgifter i det nationella biobanksregistret ska även kunna användas för är att kunna spåra prover som kan använda i den enskildes vård och behandling samt när den enskilde återkallat sitt samtycke. Socialstyrelsen har i dag inte uppgiften att bistå vården gällande vårdbehov. Det har därför ifrågasatts om myndigheten har möjlighet att tillräckligt snabbt bistå vården med den information som behövs för den enskildes vård. Det har också framförts att ett nationellt biobanksregister skiljer sig väsentligt från de register Socialstyrelsen redan för. Uppgifter till hälsodataregistren lämnas till Socialstyrelsen genom uppgiftsskyldighet som regleras i lag och registrering av uppgifter sker utan den enskildes samtycke. Enligt förslaget ska det vara frivilligt för vårdgivare att lämna uppgifter till Nationella biobanksregistret och den enskilde ska som huvudregel ha lämnat samtycke till registrering. Nya rutiner kommer att behövas för att hantera samtycket från enskilda. Är det den vårdgivare som samlat in provet eller Socialstyrelsen som ska ta ansvaret för att uppgiften om samtycket är aktuell? Hur ofta ska registret uppdateras? Ska Socialstyrelsen ha ansvar för att återkoppla till den som bevarar provet

om den enskilde återkallar sitt samtycke? Jag menar att det får ankomma på Socialstyrelsen att organisera registret så att det är möjligt att lämna den service till vårdgivare som krävs i vårdsammanhang. Det bör också ankomma på myndigheten att utveckla rutiner för registrering av den enskildes samtycke och bistå den som återkallat sitt samtycke så att proverna förstörs eller avidentifierats. Trots den nya organisation som kommer att krävas bedömer jag ändå att Socialstyrelsen är den myndighet som bör ha ansvar för Nationella biobanksregistret.

9.5.14.4 Skyldighet att lämna uppgifter till Nationella biobanksregistret

Biobankslagen är tillämplig på en biobank som inrättats i Sverige i en vårdgivares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Lagen är också tillämplig på vävnadsprover från en biobank i en vårdgivares hälso- och sjukvårdsverksamhet som lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och som även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. För att Nationella biobanksregistret ska kunna uppfylla det önskade syftet på god spårbarhet för vävnadsprover är det viktigt med hög täckningsgrad. De allra flesta vävnadsprover tas inom hälso- och sjukvården. Det finns visserligen många biobanker utanför hälso- och sjukvåden men de består framför allt av prover som hämtats från hälso- och sjukvården. Det nationella registret torde därmed få en god täckning om vårdgivarna lämnar uppgifter till Nationella biobanksregistret.

För att registret ska bli användbart är det viktigt att vårdgivarna lämnar uppgifter om prover till registret. Ett sätt att uppnå det är att som Biobanksutredningen föreslå att uppgiftslämnande till registret ska vara obligatoriskt. Till skillnad från utredningen anser jag emellertid att det i ett inledningsskede bör vara frivilligt för vårdgivare att lämna uppgifter till Nationella biobanksregistret. På sikt bör dock ett krav på uppgiftslämnande för vårdgivare införas. Hur detta krav ska utformas bör utredas vidare. I samband därmed bör även utredas närmare vilket behov det finns av registrering av vävnadsprover för kliniska prövningar som tas inom vården.

Landstingen har infört och finansierar RBC, bland annat för att bistå sin region med att hantera och införa SBR. Det är lämpligt att denna funktion finns kvar. RBC har kontakt med biobankerna och biobankssamordnarna i respektive region och bör därför kunna bistå landstingen och Socialstyrelsen att få in uppgifter till Nationella biobanksregistret.

Det finns också samlingar med prover som tagits utanför hälso- och sjukvåden. Dessa omfattas inte av biobankslagens bestämmelser. Sådana biobanker kan finnas hos universitet, högskolor, företag eller hos en myndighet, till exempel Livsmedelsverket. Proverna används vanligen för forskningsstudier och kliniska prövningar. Det bör finnas en möjlighet även för sådana biobanker att registrera uppgifter om prover i ett nationellt register. Det har dock inte varat möjligt att inom ramen för denna utredning bedöma de närmare förutsättningarna för att detta ska kunna ske. Även denna fråga bör utredas vidare.

9.5.14.5 Förhållande till personuppgiftslagen

Av 2 § PUL följer att i de fall det i annan lag eller förordning finns bestämmelser som avviker från PUL ska de bestämmelserna gälla. Lagen om Svenskt biobanksregister bör innehålla de särbestämmelser som ska gälla för behandlingen av personuppgifter i registret. I övrigt ska PUL:s bestämmelser vara tillämpliga.

9.5.14.6 Den registrerades inställning till personuppgiftsbehandling

Uppgifterna i Nationella biobanksregistret ska hämtas från vårdgivare som faller under biobankslagens tillämpningsområde. Registrering i Nationella biobanksregistret ska vara frivilligt för den enskilde. Om den enskilde inte lämnar sitt samtycke till registrering i det nationella registret kommer uppgifterna såldes endast att registreras lokalt, hos den vårdgivare där provet togs. Innan den enskilde tar ställning ska han eller hon få utförlig information om vad registreringen innebär. Av informationen bör framgå att det är frivilligt att lämna uppgifter, för vilka ändamål behandling kan ske och vilka uppgifter som får registreras. För att den enskilde ska ha möjlighet att bilda sig en uppfattning om vad registreringen innebär bör informationen även omfatta en rad andra omständigheter, till exempel de sekretess- och

säkerhetsbestämmelser som gäller för registret med mera. Den registrerade ska också ha rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas.

Sådant samtyckes- och informationskrav som beskrivs ovan är möjligt att föreskriva för de uppgifter om vävnadsprover som börjar behandlas hos vårdgivare som omfattas av biobankslagen efter det att den föreslagna lagen trätt i kraft. Lämpliga rutiner för information och inhämtande av samtycke får utarbetas. För uppgifter som redan behandlas av en vårdgivare när lagen träder i kraft är situationen en annan. När det gäller dessa prover är det inte alltid möjligt att lämna den information som anges i första stycket eller inhämta den enskildes samtycke för registrering i Nationella biobanksregistret. Vävnadsproverna och tillhörande uppgifter har samlats in under en lång tid och det rör sig om ett mycket stort material. Att kontakta samtliga registrerade är knappast möjligt, dels för att det är alltför tidskrävande och kostsamt, dels för att det i vissa fall inte kommer vara möjligt eftersom den registrerade avlidit eller av annan anledning inte kan nås. För att kunna användas för spårbarhet av biobanksprover krävs det dock att registret innehåller ett stort och så långt som möjligt heltäckande material. Här måste således en avvägning mellan olika intressen göras.

Ur ett integritetsperspektiv är det viktigt att den enskilde har rätt att själv bestämma hur hans eller hennas personuppgifter ska användas. Ett krav på samtycke för registrering av gamla uppgifter skulle i praktiken innebära att sådana data i många fall inte skulle kunna registreras i Nationella biobanksregistret. Ett nationellt system för spårbarhet av biobanksprover ökar emellertid möjligheten att förbättra vården för den enskilde, till exempel genom att patologer och mikrobiologer om ett referensprov behövs på ett enkelt sätt kan hitta prover som tidigare tagits på patienten. Ett heltäckande nationellt system är också användbart om den enskilde vill återkalla sitt samtycke. Vidare finns det ett stort samhälleligt intresse av att den resurs som biobankerna utgör kan utnyttjas bättre än vad som i dag är fallet. Ett nationellt register för biobanker medför att förutsättningarna för forskning förbättras, eftersom det blir lättare att hitta prover som kan användas för forskningsändamål. Det kan i sin tur leda till forskningsresultat som kan vara till nytta för många. För att utgöra en reell resurs som kan användas för forskning krävs det ofta stora material. Stora material kan ge kunskap som inte kan nås på annat sätt. Om gamla uppgifter inte skulle få behandlas i

Nationella biobanksregistret kommer det dröja upp till tio år innan registret utgör en reell resurs för forskningen.

Mot bakgrund av det anförda anser jag att uppgifter om biobanksprover som redan nu finns hos vårdgivare ska få registreras i Nationella biobanksregistret även om den enskilde inte har fått den information som anges i den föreslagna lagen och gett sitt uttryckliga samtycke. Den enskilde ska däremot ha rätt att på begäran få sina uppgifter strukna ur registret. En sådan reglering hindrar naturligtvis inte att en vårdgivare inhämtar samtycke i enlighet med föreslagna lagen om det är möjligt.

För att de registrerade ska ha möjlighet att utnyttja sin möjlighet att utträda ur registret är det viktigt att allmänheten på ett lämpligt sätt informeras om Nationella biobanksregistrets existens, dess ändamål och innehåll. Det bör åligga Socialstyrelsen att på lämpligt sätt informera allmänheten om registret.

9.5.14.7 Underåriga

Enligt föräldrabalken har ett barns föräldrar rätt och skyldighet att bestämma om barnets personliga angelägenheter (6 kap. 11 § föräldrabalken). Barnets vårdnadshavare ska i takt med barnets stigande ålder och utveckling ta allt större hänsyn till barnets synpunkter och önskemål. Står barnet under vårdnad av två vårdnadshavare utövas vårdnaden av dem tillsammans (6 kap. 13 § föräldrabalken).

PUL innehåller inte någon särskild reglering när det gäller underåriga. I 10 § PUL föreskrivs att personuppgiftsbehandling endast är tillåten under vissa förutsättningar. En sådan är att den registrerade har lämnat sitt samtycke till behandlingen. Den som faktiskt kan tillgodogöra sig information och som faktiskt kan avge en frivillig viljeyttring kan lämna ett rättsligt giltigt samtycke. Frågan om när någon har uppnått sådan ålder och mognad att han eller hon förstår vad samtycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare har antagits kunna lämna samtycke för den som inte kan bli informerad eller avge en viljeyttring.78 Enligt Datainspektionen kan den som är underårig lämna giltigt samtycke till en tilltänkt behandling om han eller hon är kapabel att förstå innebörden av samtycket. Huruvida även den underåriges vårdnadshavare måste lämna sitt samtycke

78SOU 1997:39 s. 342, jfr Öman S. och Lindblom, H.-O., Personuppgiftslagen – en kommentar, 4:e uppl. s. 109.

varierar från fall till fall och beror på faktorer som ålder, uppgifternas art och ändamålet med behandlingen. Datainspektionen har ansett att den som fyllt 15 år normalt är kapabel att själv ta ställning till samtyckesfrågan.79

Uppgifter om ett vävnadsprov som redan behandlas hos en vårdgivare när lagen om Nationella biobanksregistret träder i kraft ska enligt huvudregeln inte få behandlas i Nationella biobanksregistret om den enskilde motsätter sig det. I de fall den registrerade är underårig är det i stället den underåriges vårdnadshavare som har möjlighet att motsätta sig behandlingen. När det gäller uppgifter som registreras i sådan verksamhet som avses i biobankslagen efter ikraftträdandet av denna lag och som avser minderåriga bör huvudregeln vara att en underårig inte får registreras i Nationella biobanksregistret utan att den underåriges vårdnadshavare fått sådan information som anges avsnitt 9.5.19. och därefter lämnat sitt samtycke.

I de fall den underårige uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan ska dock reglerna om samtycke gälla den underårige själv.

9.5.14.8 Beslutsoförmögna

I juni 2012 tillsattes en särskild utredare med uppdrag att lämna förslag till en reglering för personer som på grund av att de är beslutsoförmögna helt eller delvis saknar möjlighet att fullt ut vara delaktiga eller på annat sätt utöva sitt självbestämmande i situationer då detta förutsätts inom hälso- och sjukvård, tandvård eller forskning. Utredningen80 ska efter tilläggsdirektiv redovisa sina slutsatser senast den 1 januari 2015. Bestämmelserna om beslutsoförmögna i nu aktuell lag bör följa övrig reglering på området, varför utredningens slutsatser bör avvaktas.

9.5.14.9 Personuppgiftsansvar

Socialstyrelsen ska vara personuppgiftsansvarig för behandling av personuppgifter i registret.

79 Datainspektionen informerar – Samtycke enligt personuppgiftslagen s. 10. 80 Utredningen om beslutsoförmögna personers ställning i hälso- och sjukvård, tandvård, socialtjänst och forskning (S 2012:06).

9.5.14.10 Behandling av personuppgifter

Det följer av 9 § PUL att uppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Som tidigare diskuterats är ändamålsbestämmelsen i en registerförfattning av central betydelse, särskilt när det gäller känsliga personuppgifter enligt 13 § PUL. Ändamålsbestämmelsen anger ramen för registrets innehåll och på vilket sätt uppgifterna i registret får tillämpas. Hur ändamålet avgränsas är således av betydelse för skyddet för den personliga integriteten.

Syftet med det nationella biobanksregistret ska vara att möjliggöra spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § biobankslagen. Det ska således anges som det primära ändamålet med behandlingen. Behandling av personuppgifter i registret bör dock endast vara tillåten för vissa syften; att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik eller förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. På detta sätt sker ytterligare en specificering av ändamålet.

Exakt hur detaljerad en ändamålsbeskrivning ska vara får avgöras från fall till fall. Riksdag och regering har dock tidigare gjort bedömningen att forskning är ett tillräckligt preciserat ändamål enligt dataskyddsdirektivet.81 Sammanfattningsvis bedömer jag att den ovan angivna ändamålsbeskrivningen är tillräckligt preciserad för att uppfylla direktivets och PUL:s krav.

Reglerna om allmänna handlingar och offentlighetsprincipen har företräde framför bestämmelserna i PUL. Utlämnande av uppgifter med stöd av TF kan således ske utan hinder av bestämmelserna i PUL (8 § första stycket PUL). I 10 kap. OSL finns sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess som medför att sekretessbelagda uppgifter får lämnas ut i vissa situationer. Till exempel hindar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL). För att det inte ska råda någon oklarhet om förhållandet mellan den föreslagna lagen och annan lagstiftning som innebär en uppgiftsskyldighet bör uppgifter också få lämnas ut från registret om det finns en skyldighet enligt lag att göra det.

Ett grundläggande krav för att uppgifter ska få lämnas ut från Nationella biobanksregistret är att behandlingen inte är oförenlig med det ändamål för vilket uppgifterna samlades in. Det följer av

81 Se t.ex. lag om hälsodataregister med tillhörande förordningar samt patientdatalagen.

den så kallade finalitetsprincipen (9 § d PUL). Enligt andra stycket samma bestämmelse ska behandling för historiska, statistiska och vetenskapliga ändamål inte anses oförenliga med det ändamål för vilka uppgifterna samlades in. För att tydliggöra att principen är tillämplig vid behandling av personuppgifter i Nationella biobanksregistret bör lagen innehålla en uttrycklig hänvisning till bestämmelserna i 9 § PUL.

9.5.14.11 Innehåll

Med hänsyn till den registrerades integritet är det viktigt att endast sådana uppgifter som är nödvändiga för ändamålet behandlas i Nationella biobanksregistret. Ändamålet är att möjliggöra spårbarhet av vävnadsprover. Det bör således för det första vara tillåtet att behandla uppgift om provgivarens identitet. Jag instämmer i Biobanksutredningens definition av vad som ska anses ingå i begreppet identitet (se avsnitt 9.5.11).

När det gäller vävnadsprover från en underårig får, i de fall den underårige inte uppnått sådan ålder och mognad att hon eller han själv kan lämna samtycke, sådana inte samlas in och bevaras utan att den underåriges vårdnadshavare informerats om avsikten och om det eller de ändamål för vilka biobanken får användas och därefter lämnat sitt samtycke (3 kap. 2 § biobankslagen). Det kan således finnas skäl att registrera identitetsuppgifter även för de personer som har att ta ställning till bevarandet av ett vävnadsprov, det vill säga vanligtvis vårdnadshavare.

Ett av syftena med Nationella biobanksregistret är att möjliggöra för den registrerade att återkalla sitt samtycke. I registret bör det därför finnas uppgifter om de ställningstaganden som den enskilde gjort till bevarande av prover. Den enskilde kan till exempel inskränka sitt samtycke till ett visst eller vissa ändamål.

När det gäller uppgift om vävnadsprovers identitet, karaktär och hantering gör jag samma bedömning som Biobanksutredningen (se avsnitt 9.5.11) utom vad gäller uppgift om diagnos och analysresultat. Enligt Biobanksutredningens förslag ska sådana uppgifter inte få registreras.82 Detta har kritiserats av många remissinstanser. Det skulle underlätta för forskare om uppgift om diagnos och analysresultat fanns i ett nationellt biobanksregister. Jag delar den upp-

82SOU 2010:81 s. 375.

fattningen. Bestämmelserna bör därför vara utformade så att även diagnos och analysresultat kan registreras i det nationella registret.

När det gäller uppgift om vem som behandlar uppgifter eller vävnadsprover, och till vem vävnadsprover utlämnas eller överlåts instämmer jag i Biobanksutredningens bedömning. Angående uppgift om till vem vävnadsprover har utlämnats eller överlåtits anför utredningen att mottagaren ibland kan vara en fysisk person, till exempel en enskild forskare. Det bör noteras att utlämnande av vävnadsprover i dag endast sker till juridiska personer.

9.5.14.12 Sökbegrepp

De uppgifter som enligt lagförslaget ska ingå i Nationella biobanksregistret bör få användas som sökbegrepp.

9.5.14.13 Direktåtkomst

Som anges i avsnitt 5.3.5.2 kan direktåtkomst innebära särskilda risker ur ett integritetsperspektiv. Utlämnande genom direktåtkomst av personuppgifter i Nationella biobanksregistret bör därför inte vara tillåtet.

9.5.14.14 Tillgång till personuppgifter

Socialstyrelsen ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret.

9.5.14.15 Information

Huvudregeln ska vara att registrering av en personuppgift i Nationella biobanksregistret endast får ske om den enskilde lämnat sitt samtycke. För att den enskilde ska kunna bedöma vad ett samtycke innebär bör han eller hon innan samtycket lämnas få detaljerad information om vissa förhållanden som är av betydelse. Av informationen bör det framgå att det är frivilligt att lämna uppgifter, för vilka ändamål behandling kan ske och vilka uppgifter som får registreras. Det bör också framgå vilka sekretess- och säkerhets-

bestämmelser som gäller för registret, vem som är personuppgiftsansvarig, hur länge uppgifterna kan komma att sparas, rätten till rättelse av uppgifterna, rätten till information enligt 26 § PUL och rätten till skadestånd. Rätten att få uppgifter utplånade bör också framgå.

9.5.14.16 Rätt att får uppgifter utplånade

Den registrerade ska ha rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. En sådan begäran ska vara skriftlig och undertecknas av den registrerade. Begäran ska lämnas till den personuppgiftsansvarige, det vill säga till Socialstyrelsen. För registrerad som är underårig gäller att begäran ska undertecknas av den registrerades vårdnadshavare, om inte denna själv har nått sådan ålder och mognad att han eller hon kan ta ställning i frågan. Det är den registrerade som har bevisbördan för att en begäran om utplåning har lämnats och när så skett.

Socialstyrelsen är skyldig att så snart som möjligt efter begäran inkommit utplåna uppgifterna. Uppgifterna ska förstöras så att de inte går att återskapa. Socialstyrelsen har bevisbördan för att utplåning av uppgifterna har skett. Om den registrerades begäran innebär att också prover eller uppgifter som finns hos en biobank ska förstöras eller innebörden i ett givet samtycke ska ändras bör Socialstyrelsen vara behjälplig att föra denna begäran vidare till berörda huvudmän för biobankerna.

9.5.14.17 Gallring

Det följer av 9 § första stycket PUL att personuppgifter inte får bevaras under en längre tid än som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter som bevaras för historiska, statistiska eller vetenskapliga ändamål får dock bevaras under längre tid (9 § tredje stycket PUL). Enligt 8 § andra stycket första meningen PUL har arkivlagens bestämmelser företräde. Där föreskrivs att bestämmelserna i PUL inte hindrar att en myndighet arkiverar personuppgifter som utgör allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I arkivlagen är bevarande utgångspunkten. Allmänna handlingar får gallras, men det krävs särskilda föreskrifter eller beslut för att gallring ska få ske.

Om det finns avvikande bestämmelser om gallring i annan lag eller i förordning har de bestämmelserna företräde. När det gäller de särskilda registerförfattningarna är principen vanligtvis den motsatta i förhållande till arkivlagen, det vill säga att materialet ska förstöras efter en viss tid, om det inte finns direkta föreskrifter om bevarande i registerförfattningen eller i andra bestämmelser som meddelats med stöd av denna.

Frågan är vilken princip som ska vara gällande för uppgifter i Nationella biobanksregistret. Frågan om gallring har diskuterats bland annat i förarbetena till hälsodatalagen.83Där angavs att gallring av uppgifter i hälsodataregistren är viktig både ur den enskildes och ur samhällets synpunkt, men att utvärdering av nya behandlingsmetoder och epidemiologisk verksamhet kräver tillgång till material som är insamlat under lång tid. Det ansågs också viktigt att kunna följa utvecklingen inom hälso- och sjukvården under längre tidsperioder. Möjligheten att upptäcka förändringar av mindre omfattning, exempelvis när det gäller missbildningar, ansågs innebära att det är svårt att på förhand bestämma i vilken omfattning och hur länge uppgifter i hälsodataregister kan behöva bevaras innan det kan anses att uppgifterna förlorat sitt informationsvärde. Även möjligheten att använda uppgifterna i annan forskning ansågs medföra svårighet att fastställa en tidpunkt när uppgifterna inte längre behövs i registret. Jag menar att samma argument gör sig gällande i detta sammanhang. För att uppfylla det huvudsakliga syftet, spårbarhet av vävnadsprover, är det lämpligt att bevarande är huvudregel. Någon särskild bestämmelse om gallring krävs därför inte.

9.5.14.18 Rättelse och skadestånd

Bestämmelserna om rättelse i 28 § PUL och 48 § PUL om skadestånd gäller enligt sina ordalydelser endast vid behandling av personuppgifter i strid med PUL. I den föreslagna lagen om Nationella biobanksregistret bör det därför särskilt anges att bestämmelserna om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den föreslagna lagen.

83Prop. 1997/98:108 s. 59 f.

9.5.14.19 Övriga bestämmelser

Regeringen bör i förordning föreskriva att Socialstyrelsen får meddela de ytterligare föreskrifter som behövs för verkställighet av lagen om Nationella biobanksregistret.

9.5.14.20 Sekretess

Utlämnande av uppgifter från vårdgivare

Uppgifter i Nationella biobanksregistret kommer i huvudsak att hämtas från sjukvården. Enligt 25 kap. 1 § offentlighets- och sekretesslagen gäller sekretess inom hälso- och sjukvården för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Sekretess gäller även mellan myndigheter, således även mellan offentliga vårdgivare och Socialstyrelsen. Enligt mitt förslag ska det under den inledande tiden vara frivilligt för vårdgivare att lämna uppgifter till det nationella biobanksregistret. När det gäller uppgifter om vävnadsprover som samlas in av vårdgivare efter det att lagen om Nationella biobanksregistret trätt i kraft ska registrering i registret endast vara tillåtet om den enskilde lämnat sitt samtycke. Av 10 kap. 1 § OSL följer att sekretess för enskild inte hindrar att en uppgift lämnas till en annan myndighet om den enskilde samtycker till det. Det är således möjligt att i samband med att samtycke om registrering i registret inhämtas även inhämta samtycke till utlämnande av uppgift från vårdgivaren till Socialstyrelsen.

När det gäller uppgifter om ett vävnadsprov som samlats in före ikraftträdandet av den här föreslagna lagen är det inte möjligt att inhämta ett sådant samtycke för samtliga uppgifter. För att utlämnande av uppgifter från vårdgivare till Nationella biobanksregistret ska vara möjligt krävs det en sekretessbrytande bestämmelse som tillåter att uppgifter lämnas från vårdgivaren till Socialstyrelsen för att behandlas i svenskt biobanksregister. En sådan sekretessbrytande bestämmelse bör införas i 25 kap. OSL.

Biobankslagen gäller även för biobanksprover hos privata vårdgivare. När det gäller uppgifter inom privat hälsovård finns bestämmelser om tystnadsplikt i 6 kap. 12–13 § patientsäkerhetslagen

(2010:659). Enligt bestämmelserna får den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses dock inte att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning. För att uppgifter om biobanksprover ska kunna överlämnas från den privata hälsovården till Nationella biobanksregistret krävs en bestämmelse som klargör att uppgift får lämnas från sjukvåden till Nationella biobanksregistret.

Sekretess för uppgifter i Nationella biobanksregistret

I det register som kommer att föras enligt den lag som föreslås kommer det att finnas uppgifter som vanligtvis skyddas av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. Många av uppgifterna kommer att vara sådana som utgör känsliga personuppgifter enligt 13 § PUL. Det rör sig således om uppgifter som typiskt sett är av mycket känslig natur. Eftersom registret kommer att föras av en myndighet, Socialstyrelsen, kommer bestämmelserna om handlingsoffentlighet i 2 kap. TF att bli tillämpliga. Offentlighetsprincipen och regelverket kring offentlighet- och sekretess beskrivs närmare i avsnitt 5.6.2. Rätten att ta del av allmänna handlingar får endast begränsas om det är påkallat med hänsyn till visa i bestämmelsen angivna intressen samt om begränsningen anges noga i en särskild lag, OSL.

I kapitel 5 finns en redogörelse för de sekretessbestämmelser som gäller till skydd för enskilda. Det kan konstateras att den enda bestämmelse som kommer att bli direkt tillämplig i fråga om Nationella biobanksregistret är bestämmelsen i 21 kap. 1 § OSL. Enligt bestämmelsen gäller sekretess med ett rakt skaderekvisit vilket innebär en presumtion för offentlighet.

Jag har tidigare gjort bedömningen att uppgifter i Nationella biobanksregistret endast ska få behandlas för att säkerställa spårbarhet för vävnadsprover i syfte att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik samt förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. Därutöver ska utlämnande ur registret endast vara tillåtet om det finns en skyldighet i lag att göra det. Dessa bestämmelser om begränsning av behandlingen av personuppgifter innebär dock inte att uppgifterna inte kan lämnas

ut med stöd av offentlighetsprincipen. För att begränsa möjligheten att lämna ut uppgifter med stöd av offentlighetsprincipen krävs en särskild bestämmelse i OSL. Frågan om en sekretessbestämmelse ska införas och i så fall vilken styrka sekretessen ska ha ska avgöras efter en avvägning mellan sekretessintresset och intresset av insyn i verksamheten.

Som anges ovan kommer de uppgifter som kan komma att behandlas i Nationella biobanksregistret i stor utsträckning att vara av integritetskänslig natur, bland annat analysresultat och diagnoser. För att uppgifterna ska skyddas av sekretess talar också den omständigheten att uppgifterna inte endast ska behandlas i syfte att möjliggöra vård och behandling av den enskilde samt möjliggöra återkallelse av samtycke. Registret kommer också möjliggöra sökning av vävnadsprover för forskningsändamål, kvalitetssäkring och statistik. Uppgifterna i registret kommer inte att användas vid myndighetsutövning mot enskilda. Allmänhetens intresse av insyn i registret kan därför inte bedömas som särskilt starkt. Jag menar att sekretessintresset i det här fallet väger tyngre än behovet av insyn och att en särskild sekretessbestämmelse bör införas för uppgifter i Nationella biobanksregistret.

Nästa fråga är med vilken styrka sekretessen bör gälla. Uppgifterna i det föreslagna registret kommer att hämtas från hälso- och sjukvården. Inom hälso- och sjukvård gäller sekretess för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men (25 kap. 1 § OSL). Sekretess gäller således med ett omvänt skaderekvisit, det vill säga det råder en presumtion för att uppgifterna inte ska lämnas ut. Detsamma gäller för uppgift om enskilda i det så kallade PKU-registret som förs med stöd av biobankslagen (5 kap. 4–7 §§ biobankslagen). Vidare kan konstateras att uppgifter i hälsodataregister som förs av Socialstyrelsen och uppgifter i miljömedicinska, socialmedicinska, psykiatriska eller andra medicinska studier som utförs på forskningsinrättningar omfattas av absolut statistiksekretess enligt 24 kap. 8 § OSL och 7 § OSF. Som ovan anförts kommer det föreslagna registret att innehålla uppgifter av känslig natur. Registret kommer vidare att innehålla uppgifter om ett stort antal individer och de kommer att bevaras i registret under lång tid. Historiska data ska få registreras utan den enskildes uttryckliga samtycke. Uppgifterna i registret kommer att vara av samma känsliga karaktär som de som finns i PKU-registret och hälsodataregistren. Det är därför viktigt att personuppgifter

som överförts till Nationella biobanksregistret skyddas av stark sekretess. Jag menar att det är motiverat att de uppgifter som behandlas i registret ska skyddas av absolut sekretess, motsvarande den som gäller enligt 24 kap. 8 § OSL. En sådan bestämmelse bör därför införas i 25 kap. OSL. Sekretess bör gälla i verksamhet som avser förande av eller uttag ur Nationella biobanksregistret för uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde.

Utlämnande av uppgifter från Nationella biobanksregistret

Som konstaterats ovan ska uppgifter i Nationella biobanksregistret få behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § biobankslagen i syfte att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik samt förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. Med behandling avses också utlämnande av uppgifter ur registret. Därutöver ska personuppgifter som behandlas i registret också få lämnas ut om det finns en skyldighet enligt lag att göra det. För att uppgifterna ska kunna lämnas ut krävs en sekretessbrytande bestämmelse. Sekretessen bör inte hindra att uppgifter lämnas ut enligt vad som framgår av den föreslagna lagen. Jag menar dock att det är rimligt att uppgifterna i Nationella biobanksregistret har samma skydd som till exempel uppgifter i hälsodataregister. Uppgifter ska således endast få lämnas ut för ovan angivna ändamål, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

När det gäller uppgift som behövs för den enskildes vård och behandling bör noteras att sekretess till skydd för enskild inte hindrar att en uppgift lämnas till en myndighet om den enskilde samtycker till det (10 kap. 1 § OSL). En uppgift torde således vanligtvis kunna lämnas från Nationella biobanksregistret till vårdgivande myndighet med stöd av den enskildes samtycke. I de fall samtycke inte kan inhämtas eller uppgiften inte rör den enskilde själv utan till exempel en släkting borde en sekretessprövning vanligtvis leda till att en uppgift kan lämnas ut, eftersom uppgiften hos mottagaren kommer att skyddas av hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. I de fall mottagaren är en privat vårdgivare gäller i stället tystnadsplikt enligt 6 kap. 12–16 §§ i patientsäkerhetslagen. Även

när det gäller behandling av personuppgifter i syfte att förstöra eller avidentifiera personuppgifter när samtycke har återkallats bör det kunna ske med den enskildes samtycke.

Sekretesstiden

Sekretesskydd för enskildas personliga förhållanden brukar i regel gälla i mellan femtio och sjuttio år. Det saknas skäl att här frångå denna praxis. Det register som föreslås kommer att kunna innehålla personuppgifter om både barn och vuxna. Sekretess för uppgifterna bör därför gälla i sjuttio år.

Generalklausulen

Enligt generalklausulen i 10 kap. 27 § OSL får en sekretessbelagd uppgift lämnas till en myndighet om det är uppenbart att intresset av att uppgift lämnas har företräde framför det intresse som sekretessen ska skydda. Bestämmelsen gäller dock inte när det rör sig om sekretess enligt bland annat 24 kap. 8 § (statistiksekretess), 25 kap. 1–8 §§ (hälso- och sjukvårdssekretess) och 26 kap. 1–6 §§ (sekretess inom socialtjänsten) OSL. De uppgifter som kan komma att registreras i Nationella biobanksregistret är av likartat slag som de som skyddas av ovan nämnda sekretessbestämmelser. Det är därför rimligt att göra undantag från generalklausulens tillämpningsområde när det gäller utlämnande av uppgifter från det föreslagna registret. Det bör dock finnas möjlighet att bryta sekretessen vid misstanke om allvarligare brottslighet. Bestämmelserna i 10 kap. 23 och 27 §§ OSL bör ändras i enlighet med ovan.

Rätten att meddela och offentliggöra uppgifter

När det är fråga om att införa en ny sekretessbestämmelse måste också ställning tas till om den föreslagna sekretessbestämmelsen ska ha företräde framför rätten att meddela och offentliggöra uppgifter enligt 1 kap. 1 § TF och 1 kap. 1 och 2 §§ YGL. Uppgifterna i Nationella biobanksregistret kommer enligt förslaget att skyddas av absolut sekretess. Uppgifterna kommer att registreras i registret efter samtycke från den registrerade och de kommer inte att användas för myndighetsutövning. De uppgifter som kommer att registreras

i Nationella biobanksregistret är sådana som vanligtvis förekommer inom hälso- och sjukvård. Den tystnadsplikt som gäller inom hälso- och sjukvård inskränker som huvudregel rätten att meddela och offentliggöra uppgifter.84 Skyddet för uppgifterna bör inte vara sämre om de behandlas i Nationella biobanksregistret än om de behandlas inom hälso- och sjukvården. Den tystnadsplikt som följer med den föreslagna sekretessbestämmelsen bör därför inskränka rätten att meddela och offentliggöra uppgifter.

84 Undantag gäller för uppgift om verkställighet av beslut om omhändertagande eller beslut om vård utan samtycke, 25 kap. 18 § OSL.

10. Ikraftträdande och övergångsbestämmelser

Förslag: Lagen om forskningsdatabaser, lagen om Nationella

biobanksregistret samt ändringarna i lagen om den officiella statistiken, lagen om etikprövning av forskning som avser människor, offentlighets- och sekretesslagen och patientsäkerhetslagen ska träda i kraft den 1 januari 2016.

Bedömning: Bestämmelsen i 27 § lagen om etikprövning av

forskning som avser människor bör gälla i sin äldre lydelse beträffande ärenden som inkommit till etikprövningsnämnden före ikraftträdandet. I övrigt behövs inte några övergångsbestämmelser.

Lagen om forskningsdatabaser är avsedd att efterträda den tillfälliga lagen (2013:794)om vissa register för forskning om vad arv och miljö betyder för människors hälsa som gäller till och med den 31 december 2015 och lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering som gäller till samma tidpunkt. Lagen om forskningsdatabaser och de ändringar som krävs till följd av denna bör därför träda i kraft den 1 januari 2016.

Med lagen införs en ny straffbestämmelse i 13 § som rör förbud mot bakvägsidentifiering. I 5 § lagen (1964:163) om införande av brottsbalken finns det allmänna bestämmelser om vilken lag som ska tillämpas i fråga om straffansvar när det skett lagändringar efter det att en gärning begicks. Av bestämmelsen framgår bland annat att ingen får dömas för gärning för vilken det inte var stadgat straff när den begicks. Denna princip gäller utan att det behöver anges särskilt. Några särskilda övergångsbestämmelser bedöms inte heller i övrigt vara nödvändiga.

Lagen om Nationella biobanksregistret och följdändringar i offentlighets- och sekretesslagen (2009:400) och patientsäkerhetslagen (2010:659) bör träda i kraft så snart som möjligt, lämpligen den 1 januari 2016. Inte heller här krävs några särskilda övergångsbestämmelser.

När det gäller förslaget om ändring av lagen (2001:99) om den officiella statistiken bör ändringen träda i kraft så snart som möjligt. Det bör dock ges tilläckligt med tid för de statistikansvariga myndigheterna att bygga upp ett system för bevarande av kodnycklar. Ändringen bör därför träda i kraft den 1 januari 2016. Inga särskilda övergångsbestämmelser behövs.

Även när det gäller förslagen till ändring av lagen (2003:460) om etikprövning av forskning som avser människor som avser obligatoriskt rådgivande yttrande och ett förenklat förfarande i de regionala etikprövningsnämnderna bör genomförande ske så fort som möjligt, lämpligen den 1 januari 2016. När det gäller bestämmelserna om ett förenklat förfarande i 27 § bör äldre föreskrifter gälla för ärenden som inkommit till etikprövningsnämnden före ikraftträdandet.

Ändringarna i OSL i anledning av förslaget om forskningssekretess bör även det ske så snart som möjligt och lämpligen senast vid samma tid som den nya lagen om forskningsdatabaser införs, den 1 januari 2016. Några särskilda övergångsbestämmelser behövs inte. Utlämnande av uppgifter och allmänna handlingar som sker efter ikraftträdandet ska följa de nya föreskrifterna, oavsett när begäran om att få ta del av uppgifterna eller handlingarna gjordes.

11. Konsekvenser

11.1. Inledning

I detta kapitel redovisas konsekvenserna av mina förslag i enlighet med 14–15 a §§kommittéförordningen (1998:1474) och 6–7 §§ förordning (2007:1244) om konsekvensutredning vid regelgivning.

Enligt utredningsdirektiven ska jag vidare noga avväga mina förslag till lösningar för att förbättra förutsättningarna för registerbaserad forskning mot behovet av skydd för den enskilda individens personliga integritet. Jag ska redovisa dessa avvägningar och förslagens konsekvenser såväl för skyddet för enskilda människors integritet som för forskningens förutsättningar. Jag ska vidare redovisa konsekvenserna av mina förslag för registerhållande myndigheter och andra berörda myndigheter, universitet och högskolor eller andra organisationer där forskningen utförs.

11.2. Konsekvenser enligt 14 §

Enligt 14 § kommittéförordningen ska, om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt ska dessa redovisas och när det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska utredningen föreslå en finansiering.

Av de förslag som redovisas i betänkander bedömer jag att följande kan komma att påverka kostnaderna eller intäkterna för staten och landstingen:

  • I avsnitt 9.1 finns förslag om vissa ändringar som avser etikprövningen. Jag föreslår att ärenden i regionala etikprövningsnämnden som avser forskning som endast innefattar behandling av per-

sonuppgifter som hämtats från myndighetsregister och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde ska få avgöras av ordföranden ensam. Jag föreslår också att de regionala etikprövningsnämnderna ska åläggas att lämna rådgivande yttrande över forskning som avser människor men som inte omfattas av etikprövningslagens tillämpningsområde. Vidare förslår jag att etikprövningslagen ska tillämpas på samtliga forskningsprojekt som innefattar behandling av personuppgifter som behandlas med stöd den föreslagna lagen om forskningsdatabaser, oavsett om behandlingen avser känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) (PUL) eller lagöverträdelser med mera enligt 21 § PUL eller inte.

Det är svårt att bedöma hur dessa förslag sammantaget kommer att påverka etikprövningsnämndernas arbetsbelastning. Det har inte varit möjligt att få fram uppgifter om hur stor andel av de ärenden som i dag behandlas som avser behandling av anonymiserade uppgifter. Det är också svårt att bedöma i vilken utsträckning lagen om forskningsdatabaser kommer att leda till fler ansökningar om etiktillstånd för forskningsprojekt. I vart fall kommer effekten att märkas först efter ett antal år. Att etikprövningsnämnderna blir skyldiga att avge rådgivande yttranden kan innebära en viss ökning av arbetsbelastningen.

Etikprövningsnämnderna är anslagsfinansierade men kostnaderna ska enligt gällande regelverk täckas av avgifter som betalas av sökande, så förslagen innebär inte behov av särskild statlig finansiering.

  • I avsnitt 9.2 föreslår jag att de statistikasvariga myndigheterna vid utlämnande av uppgifter som inte direkt kan hänföras till en enskild alltid ska förse uppgifterna med en kod och vara skyldiga att bevara kodnyckeln för uppgiftena i 20 år. Förslaget kan i ett initialskede innebära ökade kostnader för de statistikansvariga myndigheterna i form av utvecklande av lämpliga system för bevarande av kodnycklar. Man ska dock komma ihåg att de statistikansvariga myndigheterna redan i dag bevarar kodnycklar i stor utsträckning och att ett enhetligt system kan leda till förenklingar eftersom myndigheten och forskningshuvudmannen inte behöver reglera frågan om kodnyckelns bevarande särskilt. Min bedömning är att eventuella kostnadsökningar kommer att vara tillfälliga och rymmas inom befintliga ramar. Vidare kommer för-

slaget att innebära minskade kostnader för forskningshuvudmännen, såväl statliga som privata. Förslaget kommer att innebära förbättrade möjligheter att komplettera de uppgifter som redan begärts ut inom ett forskningsprojekt i stället för att tvingas begära ut helt nya uppgifter, med ökade kostnader som följd. Förslaget kommer även medföra effektivitetsvinster i form av möjligheter att bygga vidare på redan utförd forskning som utförts av en annan forskningshuvudman.

  • I avsnitt 9.4 föreslår jag en lag om forskningsdatabaser som ska göra det möjligt för statliga universitet och högskolor och statliga myndigheter som har i uppdrag att bedriva forskning att bygga upp databaser med personuppgifter som ska utgöra underlag för framtida ännu inte definierade forskningsprojekt. Förslaget innebär att Vetenskapsrådet (VR) ska bereda frågan om vilka forskningsdatabaser som behövs och lämna förslag till regeringen samt ha ansvar för regelbunden utvärdering av forskningsdatabaserna. Jag bedömer att den beredning som under de närmaste åren kan bli aktuell inför introduktionen av en sådan lag ryms inom de ökade anslag VR redan har fått för att främja registerbaserad forskning. Huruvida förslaget kommer att leda till fler forskningsdatabaser i framtiden än vad som nu finns går inte att i dag bedöma. I första hand kommer lagen att ge ett rättsligt stöd för flera av de forskningsdatabaser som redan är etablerade. Det får ankomma på VR att inför nästa forskningspolitiska proposition, som kan beräknas presenteras år 2016, överväga hur denna satsning ska prioriteras. Handhavandet av forskningsdatabaser såsom nationella infrastrukturer kan innebära ökade kostnader, men samtidigt innebär de en rationalisering när det gäller att tillhandahålla underlag till framtida forskning.
  • I avsnitt 9.5 föreslår jag att ett nationellt register för biobanksprover, Nationella biobanksregistret, ska inrättas. Förslaget innebär att Socialstyrelsen ska föra ett register över de biobanksprover som faller inom biobankslagens tillämpningsområde för att möjliggöra spårbarhet av vävnadsprover för vissa angivna syften. Förslaget kommer att innebära ökade kostnader för Socialstyrelsen för att bygga upp registret och en organisation för administration av registret. För att registret ska bli användbart krävs det att det innehåller både de uppgifter om vävnadsprover som redan i dag finns registrerade hos olika vårdgivare och uppgifter som kommer samlas in framöver, vilket kommer kräva ett omfattande

arbete. Det Nationella biobanksregistret kommer att skilja sig från de register som redan i dag finns hos Socialstyrelsen, dels eftersom det är frivilligt för vårdgivaren att lämna uppgifter, dels för att den enskilde ska lämna sitt samtycke till behandling av uppgifter i registret. Det krävs därför delvis en annan typ av organisation än den som finns på myndigheten i dag. Myndigheten måste på ett effektivt sätt kunna hantera begäran om uppgifter från vårdgivare för den enskildes vård och behandling. En ny organisation krävs också för att hantera uppgiftslämning till registret från vårdgivare, hantering av samtycken och regelbunden uppdatering av uppgifter i registret och ett system för att bistå den enskilde vid återkallelse av samtycke. Det krävs också en organisation som kan sköta utlämnande av uppgifter ur registret för forskning, kvalitetssäkring och statistikändamål. Socialstyrelsen bör vidare ha det huvudsakliga ansvaret för att informera allmänheten om det nya registret så att den som inte önskar medverka har möjlighet att stryka sina uppgifter i registret. Det är svårt att bedöma hur mycket uppbyggandet och administrationen av ett nationellt biobanksregister kommer att kosta, men det är realistiskt att anta att det skulle innebära en kostnad på några tiotal miljoner kronor. Svenska biobanksregistret finansieras i dag av landstingen. Att ansvaret att föra Nationella biobanksregistret läggs på Socialstyrelsen kommer således leda till besparingar för landstingen. När det gäller de enskilda vårdgivarna innebär förslaget ingen utökad skyldighet att lämna uppgifter till registret. Utlämnande av uppgifter till det av landstingen finansierade Svenska biobanksregistret sker redan i dag, så förslaget torde inte leda till ökade kostnader i detta avseende. Förslaget innehåller dock ett nytt krav på att viss information ska lämnas till patienten och inhämtande av samtycke för att registrering av uppgifter i Nationella biobanksregistret ska få ske. Denna information bör lämpligen inhämtas i samband med information och inhämtande av samtycke för bevarande av själva vävnadsprovet. De nya reglerna kan emellertid ändå förväntas kräva utbildning av personalen och utarbetande av nya rutiner med mera som tar resurser i anspråk i form av personalens arbetstid. I det system som finns i dag är varje landsting huvudman och personuppgiftsansvarig för sin del av Svenska biobanksregistret. Systemet kräver omfattande administration eftersom det inte finns någon central enhet som kan vara personuppgiftsansvarig eller på central nivå pröva frågor om utlämnande av uppgifter från registret enligt offentlighets- och sekretess-

lagen (2009:400) (OSL). Förslaget innebär att uppgifter om vävnadsprover kommer att finnas i ett centralt register och att utlämnande av uppgifter från registret kommer att kunna prövas av Socialstyrelsen. Systemet kommer göra det lättare att lokalisera prover som behövs för vård, forskning, statistik och när den enskilde återkallat sitt samtycke. Min bedömning är att de inledande kostnaderna för uppbyggnad av registret hos Socialstyrelsen och för utbildning och utveckling av lämpliga rutiner hos vårdgivaren uppvägs av de förenklingar som registret innebär och att förslaget ur ett samhällsekonomiskt perspektiv, i vart fall på några års sikt, torde medföra vinster.

11.3. Konsekvenser enligt 15 §

I 15 § kommittéförordningen anges att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen ska konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Jag bedömer inte att de förslag som jag lämnar i betänkandet har någon direkt effekt i dessa avseenden.

11.4. Konsekvenser enligt 15 a §

Av 15 a § kommittéförordningen följer att om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. I de nämnda paragraferna innehåller ett antal bestämmelser om vad en konsekvensutredning ska innehålla. Jag kommer nedan att redogöra för dessa bestämmelser och hur förslagen i betänkandet förhåller sig till dem.

11.4.1. En beskrivning av problemet och vad man vill uppnå

De svenska registren utgör en unik resurs för forskningen men utnyttjas av olika skäl inte till fullo. Jag har i kapitel 8 utförligt redogjort för bakgrunden till dagens situation och vilka hinder som finns för registerbaserad forskning.

Det övergripande syftet med förslagen i betänkandet är att, med hänsyn taget till skyddet för den enskildes integritet, lämna författningsförslag och andra förslag i syfte förbättra möjligheterna för registerbaserad forskning. I utredningsdirektiven specificeras vilka frågor uppdraget avser. För det första ska jag lämna förslag som innebär att registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål. När det gäller den frågan har jag kunnat konstatera att problemen ofta bottnar i administrativa hinder. Jag menar att många av de problem med utlämnandeprocessen som forskarna upplever kan lösas om uppgiften att bistå forskarna blir en prioriterad uppgift för de statistikansvariga myndigheterna, särskilt för Statistiska centralbyrån (SCB). Många av problemen kan också hanteras i det av VR inrättade registerdatarådet. På det tekniska planet kan utlämnade underlättas genom utveckling av MONA-systemet.

I uppdraget ingår också att underlätta sambearbetning av registeruppgifter för forskningsändamål. Jag har konstaterat att sambearbetning av registeruppgifter fungerar förhållandevis väl redan i dag. På sikt kan sambearbetning underlättas genom utveckling av ett så kallat federerat system.

Vidare ska jag föreslå hur man på ett integritetssäkert sätt kan samla in personuppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. Det är för närvarande inte möjligt för forskare att skapa register med personuppgifter som underlag för framtida forskning. Orsakerna till detta beskrivs utförligt i avsnitt 8.4.1. Mitt förslag är att införa en lag om forskningsdatabaser som kompletteras med särskilda förordningar om de specifika forskningsdatabaserna. Lagen ska stärka skyddet för den enskildes integritet genom att till exempel reglera för vilka ändamål uppgifter i forskningsdatabaser får behandlas och vilka uppgifter som får behandlas. Lagen innehåller också andra integritetsskyddande bestämmelser, såsom förbud mot direktåtkomst, reglering av intern åtkomst till personuppgifter och förbud mot bakvägsidentifiering.

Slutligen ska jag också undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning. Jag konstaterar att den nuvarande sekretessregleringen är oklar och till vissa delar ofullständig. Detta leder till osäkerhet hos forskarna om vilka sekretessbestämmelser som är tillämpliga, vilket kan leda till problem exempelvis om någon begär ut uppgifter från forskningsverksamheten. Det kan också leda till ovilja hos allmänheten att medverka i forskningsprojekt om det är oklart om de uppgifter de lämnar kommer att skyddas av sekretess. Jag föreslår därför en ny sekretessbestämmelse som innebär absolut sekretess för uppgifter inom forskningsverksamhet, med möjlighet att lämna ut uppgifter till annan forskningsverksamhet och för granskning av forskning.

Vissa förslag är avsedda att på ett mer generellt plan förenkla för registerbaserad forskning. Dit hör förslaget om ett förenklat förfarande i regionala etikprövningsnämnden för forskningsprojekt som enbart ska behandla anonymiserade uppgifter från myndighetsregister. Vidare föreslår jag ett system för bevarande av kodnycklar för att underlätta uppdatering och vidareutveckling av redan utförd forskning. Även förslaget till ett nationellt biobanksregister har bland annat till syfte att underlätta för forskningen.

11.4.2. En beskrivning av alternativa lösningar som finns för det man vill uppnå och vilka effekterna blir om någon reglering inte kommer till stånd

Som anges ovan är det övergripande syftet med förslagen att förbättra förutsättningarna för registerbaserad forskning, samtidigt som skyddet för den enskildes integritet ska upprätthållas och förstärkas. Målet är att de förslag till nya eller ändrade regler jag lämnar ska medföra att myndighetsregister och andra datakällor ska kunna utnyttjas mer effektivt för forskningsändamål. Detta gäller till exempel förslaget om ett förenklat förfarande i etikprövningsnämnden i vissa fall, förslaget om ändring av bestämmelserna om kodnyckelförfarande och förslaget till lag om Nationella biobanksregistret. Alternativet till att inte genomföra dessa ändringar och förslag är att bevara nuvarande lagstiftning, vilket enligt min bedömning inte gynnar registerbaserad forskning på samma sätt.

När det gäller uppdraget att göra det möjligt att skapa register som syftar till att insamlade personuppgifter ska kunna användas av

forskare i flera olika forskningsprojekt som håller sig inom ramen för det för registret angivna forskningsändamålet föreslår jag att en särskild lag om forskningsdatabaser ska införas. Lagen ska kombineras med föreskrifter från regeringen i form av en särskild förordning för varje enskild forskningsdatabas. Min bedömning är, som framgår av avsnitt 9.4.2, att en reglering som möjliggör personuppgiftsbehandling i forskningsdatabaser bör ske i lagform. Ett alternativ till den föreslagna regleringen hade varit att föreslå att det stiftas en särskild lag för varje forskningsdatabas, vilket definitivt skulle innebära högre kostnader för den lagstiftande processen. Detta alternativ bedömer jag som alldeles för tungrott. Som konstateras i avsnitt 9.4.6 är det inte heller tillräckligt att utöka tillämpningsområdet för lagen (2003:460) om etikprövning av forskning som avser människor, etikprövningslagen, till att avse även forskningsdatabaser. En sådan modell löser inte problemet med möjligheten för registerhållande myndigheter att lämna ut uppgifter till en sådan databas eller de invändningar Datainspektionen har mot behandling av personuppgifter för breda ändamål.

Etikprövning av forskning som innefattar behandling av känsliga personuppgifter och lagöverträdelser med mera infördes i samband med etikprövningslagen år 2004. Innan dess var det möjligt att behandla sådana uppgifter om behandlingen var nödvändig och samhällsintresset av den forskning där behandlingen ingick övervägde den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kunde innebära. Ett alternativ hade varit att åter ta bort kravet på etikprövning av forskning som innefattar känsliga personuppgifter och lagöverträdelser. Min bedömning är dock att systemet med etikprövning utgör ett lämpligt skydd för den enskildes integritet och bör kvarstå. Att forskningen prövas av en oberoende nämnd kan enligt min bedömning bidra till att upprätthålla förtroendet för forskningen. Jag föreslår dock att detta förfarande i vissa fall kan förenklas något (se avsnitt 9.1.1).

11.4.3. Uppgifter om vilka som berörs av regleringen

Förslagen avseende etikprövningen (avsnitt 9.1.1–9.1.3) berör etikprövningsnämnderna. Det berör också de enskilda forskarna, som förhoppningsvis kommer att uppleva fördelar genom ett enklare och snabbare förvarande och genom att vara försäkrade att vid behov få ett rådgivande yttrande från nämnden.

Förslaget om ändring av bestämmelserna om kodnyckelförfarandet (avsnitt 9.2) berör de statistikansvariga myndigheterna. Förslaget om en ny sekretessbestämmelse för uppgifter i forskningsverksamhet berör alla myndigheter som utför forskning, det vill säga främst universitet och högskolor men även andra såsom IFAU, BRÅ, Rikspolisstyrelsen och Rättsmedicinalverket.

Förslaget till ny lag om forskningsdatabaser (avsnitt 9.4) medför att de statliga universiteten och högskolorna samt statliga myndigheter som har i uppdrag att utföra forskning ges möjlighet att bygga upp forskningsdatabaser med uppgifter som kan ligga till grund för olika ännu inte definierade forskningsprojekt. Myndigheten blir då personuppgiftsansvarig och ansvarig för behandlingen av personuppgiftsbehandlingen sker i enlighet med lagen och PUL. Förslaget rör också dem vars uppgifter lagen är avsedd att skydda och de myndigheter som kommer att lämna ut uppgifter för behandling i en forskningsdatabas. Förslaget rör också etikprövningsnämnderna eftersom alla forskningsprojekt som innefattar behandling av personuppgifter som härrör från en forskningsdatabas ska godkännas enligt etikprövningslagen.

Förslaget om lagen om Nationella biobanksregistret rör Socialstyrelsen som enligt förslaget ska vara personuppgiftsansvarig för registret. Förslaget berör också dem vars uppgifter kommer att behandlas i registret, det vill säga provgivarna och i vissa fall provgivarnas vårdnadshavare. Berörda är även de vårdgivare och andra aktörer varifrån uppgifter om vävnadsprover hämtas.

11.4.4. Uppgifter om vilka kostnadsmässiga och andra konskevenser regleringen medför och en jämförelse av konsekvenserna för de övervägda regleringsalternativen

Dessa konsekvenser redovisas i avsnitt 11.2.

11.4.5. En bedömning av om regleringen överensstämmer med eller går utöver de skyldigheter som följer av Sveriges anslutning till Europeiska unionen

Jag bedömer att förslagen är förenliga med de skyldigheter som följer av Sveriges anslutning till EU. Inom EU pågår arbetet mot en ny dataskyddsförordning. Arbetet har emellertid inte kommit så långt

att det är möjligt att förutse hur regleringen kommer att se ut och vilka effekter den kommer att få. Jag har därför utformat förslagen så de står i överensstämmelse med hur regelverket ser ut i dag. Det är således möjligt att justeringar kan behöva göras om och i så fall när en sådan dataskyddsförordning träder i kraft.

11.4.6. En bedömning av om särskilda hänsyn behöver tas när det gäller tidpunkten för ikraftträdande och om det finns behov av speciella informationsinsatser

Lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa innebar att det infördes ett rättsligt stöd för statliga universitet och högskolor att behandla personuppgifter i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Lagen är tidbegränsad till och med den 31 december 2015 och i mitt förslag till en särskild lag om forskningsdatabaser är avsedd att efterträda denna lag. Lagen om forskningsdatabaser och de följdändringar som görs i OSL och etikprövningslagen som görs som en följd av den, bör därför träda i kraft den 1 januari 2016. Samma tidsbegränsning gäller för lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering. De förslag och överväganden som redovisas i denna utredning kan ha betydelse även för vad som framöver ska hända med den.

När det gäller behovet av speciella informationsinsatser bedömer jag att det kan vara lämpligt när det gäller förslaget till lag om Nationella biobanksregistret. Enligt förslaget ska uppgifter om vävnadsprover som samlas in efter lagens ikraftträdande endast få registreras i Nationella biobanksregistret om den enskilde eller, i de fall uppgifterna rör en underårig, den enskildes vårdnadshavare efter information lämnat sitt samtycke till att uppgifterna behandlas. I de fall uppgifterna redan behandlas hos en vårdgivare vid tidpunkten för ikraftträdandet har jag gjort bedömningen att det skulle innebära en oproportionerligt stor arbetsinsats att begära samtycke från provgivaren. Enligt förslaget ska sådana uppgifter få registreras i Nationella biobanksregistret utan den enskildes samtycke, men med möjlighet för honom eller henne att motsätta sig behandling när den påbörjats. Denna så kallade optout-möjlighet förutsätter att allmänheten informeras om att registret inrättas så att det finns reella

möjligheter för den som inte vill vara registrerad att begära utträde. Införandet av ett nationellt biobanksregister i enlighet med mitt förslag kan därför komma att kräva särskilda informationsinsatser.

11.4.7. Effekten för företag

Av 7 § förordningen om konsekvensutredning vid regelgivning följer att i de fall regleringen kan få effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt ska konsekvensutredningen, utöver vad som följer av 6 § och i den omfattning som är möjlig, innehålla en beskrivning antalet företag som berörs, vilka branscher företagen är verksamma i samt storleken på företagen, vilken tidsåtgång regleringen kan föra med sig för företagen och vad regleringen innebär för företagens administrativa kostnader, vilka andra kostnader den föreslagna regleringen medför för företagen och vilka förändringar i verksamheten som företagen kan behöva vidta till följd av den föreslagna regleringen, vilken utsträckning regleringen kan komma att påverka konkurrensförhållandena för företagen, hur regleringen i andra avseenden kan komma att påverka företagen och om särskilda hänsyn behöver tas till små företag vid reglernas utformning.

Som tidigare anförts är det huvudsakliga syftet med förslagen att förbättra möjligheterna för registerbaserad forskning. Den forskning som behandlas i detta betänkande är till större delen sådan som utförs av statliga myndigheter. Det bör dock påpekas att det även finns privata företag, till exempel läkemedelsföretag, som bedriver registerbaserad forskning och att även dessa kommer att gynnas av förslagen. De nya bestämmelserna om kodnyckelförfarandet ska tillämpas både vid utlämnande till myndigheter och till forskning i privat regi. Uppgifter i forskningsdatabaser enligt den föreslagna lagen om forskningsdatabaser och uppgifter i Nationella biobanksregistret ska kunna användas av såväl myndigheter som privata forskningsenheter.

11.5. Konsekvenser för skyddet för den personliga integriteten och forskningen

Konsekvenserna av förslagen med avseende på skyddet för enskilda människors integritet och för forskningens förutsättningar diskuteras utförligt i samband med presentation av förslagen, se kapitel 9. En mer principiell diskussion om relationen mellan registerbaserad forskning och personlig integritet förs också i kapitel 6.

12. Författningskommentar

12.1. Förslaget till lag om ändring av lagen (2001:99) om den officiella statistiken

Första stycket har ändrats på så sätt att bestämmelsen endast avser

16 §

utlämnande av uppgifter från en statistikansvarig myndighet för forskningsändamål. Reglerna som avser utlämnande för statistikändamål har flyttats till 17 §. Liksom tidigare avser bestämmelsen en statistikansvarig myndighets utlämnande av uppgifter som inte direkt kan hänföras till den enskilde. Bestämmelsen innebär att myndigheten vid sådant utlämnande alltid ska förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande. Denna beteckning, vanligtvis ett löpnummer, är unikt och motsvarar en individ i det utlämnade materialet.

Av andra stycket framgår att en förteckning över vilken beteckning som motsvarar ett visst personnummer, en så kallad kodnyckel, ska bevaras hos den myndighet som upprättat den i 20 år efter utlämnandet av uppgifterna som kodnyckeln avser. I de fall uppgifter från flera myndigheter ska sambearbetas och kodnyckeln därför används av flera myndigheter ska kodnyckeln bevaras hos den statistikansvariga myndighet som har upprättat den. Efter 20 år kan tiden för bevarandet av kodnyckeln förlängas av den myndighet som bevarar den eller på begäran av någon av de forskningshuvudmän som använder kodnyckeln i sin forskning.

Syftet med bestämmelsen är liksom tidigare att möjliggöra longitudinella studier och studier som är likartade med longitudinella. Bestämmelsen medför att kodnyckeln inte endast ska sparas i de fall forskningshuvudmannen uttryckligen begärt det, utan i samtliga fall en statistikansvarig myndighet lämnar ut anonymiserade uppgifter. Det är vanligt att forskningsprojekt utvecklas och förändras

efter hand, och det är inte alltid möjligt att förutse i vilka fall uppdatering av forskningsmaterialet kan komma att behövas. Kodnyckeln ska bevaras för att göra det möjligt att senare komplettera uppgifterna i ett visst forskningsprojekt. Ett annat viktigt syfte med bestämmelsen är att göra det möjligt för en annan forskningshuvudman än den som utförde det ursprungliga projektet att göra en uppföljning, replikation eller granskning av samma projekt.

Huvudregeln är att kodnycklen ska bevaras i 20 år. Det kan dock finnas longitudinella studier där det kan finnas behov av att kunna uppdatera uppgifter även därefter. Det kan även finnas forskningsstudier som bygger på den ursprungliga som behöver kunna uppdateras även därefter eller uppkomma behov av granskning av ett utfört projekt. Bestämmelsen medför en möjlighet för den statistikansvariga myndigheten att besluta att kodnycklen ska bevaras om det finns ett behov av det. Tiden för bevarande ska även på begäran av en forskningshuvudman som använder kodnyckeln i sin forskning kunna förlängas.

Det händer att en kodnyckel ändras efter hand som ett forskningsprojekt utvecklas. För att möjliggöra uppföljning och granskning av projektet är det viktigt att samtliga versioner av kodnyckeln bevaras.

Det bör noteras att bestämmelsen endast avser att reglera de statistikansvariga myndigheternas upprättande och bevarande av kodnummer och kodnycklar. Bestämmelsen påverkar inte reglerna som rör forskningshuvudmännens behandling av personuppgifter. I de fall användning av en bevarad kodnyckel kommer att medföra behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) eller lagöverträdelser m.m. enligt 21 § personuppgiftslagen krävs således att den planerade behandlingen har godkänts av en etikprövningsnämnd.

Bestämmelsen behandlas i avsnitt 9.2.6.

Tredje stycket motsvarar andra stycket i den tidigare lydelsen.

Stycket har justerats språkligt.

17 §

Bestämmelsen reglerar en statistikansvarig myndighets utlämnande av uppgifter som inte direkt kan hänföras till en enskild för behandling för statistikändamål. Bestämmelsen motsvarar 16 § i den tidigare lydelsen avseende utlämnande till behandling för statistik.

18 §

I paragrafen anges att den som har fått personuppgifter som avses i 16 § första stycket och 17 § första stycket inte behöver lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter. Bestämmelsen har ändrats till följd av att utlämnande för forskningsändamål och statistikändamål har delats upp på två olika paragrafer.

12.2. Förslaget till lag om ändring av lagen (2003:460) om etikprövning av forskning som avser människor

3 §

Bestämmelsen har ändrats på så sätt att lagen (2003:460) om etikprövning av forskning som avser människor också ska tillämpas på forskning som innefattar behandling av personuppgifter i en forskningsdatabas som förs med stöd av lagen (0000:00) om forskningsdatabaser. Det innebär att forskning som innefattar behandling av personuppgifter som hämtats från en sådan forskningsdatabas endast får utföras om den godkänts vid en etikprövning. Det gäller oavsett vilken typ av personuppgifter det rör sig om, det vill säga även om det inte är känsliga personuppgifter som avses 13 § personuppgiftslagen (1998:204) eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen.

Ändringen behandlas i avsnitt 9.1.3.

5 a §

Paragrafen är ny. Bestämmelsen om rådgivande yttrande har flyttats från förordningen (2003:615) om etikprövning av forskning som avser människor. Paragrafen medför att en regional etikprövningsnämnd på begäran är skyldig att ge ett rådgivande yttrande avseende forskning som inte anges i 3 eller 4 §§ lagen (2003:460) om etikprövning av forskning som avser människor och därmed faller utanför

lagens tillämpningsområde. Bestämmelsen är bara tillämplig på sådan verksamhet som utgör forskning enligt etikprövningslagens definition. Rådgivande yttrande kan till exempel bli aktuellt för forskningsprojekt som inte faller under etikprövningslagen tillämpningsområde men där en institution eller forskningsfinansiär kräver en etikprövning eller när det krävs etikprövning för publicering av forskningsresultat. Det kan röra sig om behandling av personuppgifter som inte är känsliga enligt 13 § personuppgiftslagen (1998:204) eller tillhör kategorin lagöverträdelser med mera enligt 21 § samma lag, men ändå är av sådan känslig karaktär att etikprövning bör ske. Ett annat exempel är forskning som bedrivs av svenska forskare och finansieras med svenska medel i ett land där det inte krävs någon etikprövning för att utföra sådan forskning som kräver etikprövning i Sverige.

Arbeten som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå utgör inte forskning enligt etikprövningslagens definition. För sådana arbeten ska det fortfarande vara frivilligt för de regionala etikprövningsnämnderna att avge yttrande.

Bestämmelsen behandlas i avsnitt 9.1.2.

27 §

Paragrafen har ändrats på så sätt att en avdelning i en regional etikprövningsnämnd är beslutsför med ordföranden ensam även vid prövning av ärenden som avser forskning som endast innefattar behandling av personuppgifter som hämtats från myndighetsregister med uppgifter som primärt samlats in för andra ändamål än forskning och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde.

Av Centrala etikprövningsnämndens praxis följer att forskningsprojekt som endast innefattar behandling av anonymiserade personuppgifter ur myndighetsregister i regel anses medföra mycket små risker för den personliga integriteten. I sådana ärenden krävs ingen värdering av projektets nytta, eftersom nyttan då alltid kan sägas överväga risken. Bestämmelsen gäller vid behandling av personuppgifter från myndighetsregister som primärt samlats in för andra ändamål, för till exempel administration eller statistik. Bestämmelsen utgör en möjlighet för nämnden att överlämna sådana ärenden att avgöras av ordföranden ensam. Bestämmelsen är fakultativ och finner ordföranden att ett ärende är av sådan karaktär att det bör behandlas i nämnden kan ett ärenden åter hänvisas dit.

Bestämmelsen behandlas i avsnitt 9.1.1.

12.3. Förslaget till lag om ändring av offentlighets- och sekretesslagen (2009:400)

10 kap.

23 §

Paragrafen innehåller en sekretessbrytande bestämmelse som avser uppgiftslämnande vid misstankar om vissa begångna brott. Bestämmelsen har ändrats så att inte sekretessen enligt bestämmelsen om forskningssekretess i 24 kap. 1 § eller sekretess i verksamhet som avser förande eller uttag ur register som förs med stöd av lagen (0000:00) om Nationella biobanksregistret enligt 25 kap. 15 a § hindrar uppgiftslämnande under de förutsättningar som anges i bestämmelsen.

Ändringen behandlas i avsnitten 9.3.10 och 9.5.14.20.

27 §

Enligt den så kallade generalklausulen i paragrafens första stycke hindrar sekretess inte att en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Andra stycket har ändrats så att även bestämmelsen om forsknings-

sekretess i 24 kap. 1 § och sekretess i verksamhet som avser förande och uttag ur det register som förs enligt lagen (0000:00) om Nationella biobanksregistret i 25 kap. 15 a § ska undantas från generalklausulens tillämpningsområde.

Ändringen behandlas i avsnitten 9.3.10 och 9.5.14.20.

11 kap.

3 §

Paragrafen innehåller en bestämmelse om överföring av sekretess vid forskningsverksamhet. Paragrafens första stycke har ändrats med innebörden att i de fall en myndighet får en uppgift som är belagd med sekretess enligt den nya bestämmelsen om forskningssekretess i 24 kap. 1 § från en annan myndighet blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten.

Ändringen behandlas i avsnitt 9.3.11.

24 kap.

Första stycket har ändrats så att absolut sekretess ska gälla i forsk-

1 §

ningsverksamhet för uppgift som avser enskildas personliga eller ekonomiska förhållande och som kan hänföras till den enskilde. Bestämmelsen är tillämplig i all typ av forskningsverksamhet, således även psykologisk undersökning som utförs för forskningsändamål som tidigare reglerades i bestämmelsen.

Sekretessen är absolut, vilket innebär att uppgifter som huvudregel inte ska lämnas ut. I bestämmelsen anges dock vissa undantag från sekretessen. Uppgift som behövs för forskningsändamål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning får lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

Andra stycket är nytt. Bestämmelsen innebär att sekretess enligt

första stycket ska gälla även i verksamhet som avser förande av eller uttag ur databaser enligt lagen (0000:00) om forskningsdatabaser. Verksamheten i en databas enligt lagen om forskningsdatabaser är inte att betrakta som forskningsverksamhet i sig eftersom syftet med databasen endast är att skapa underlag för och lämna ut uppgifter till forskningsprojekt. För att sekretessen i första stycket ska bli tillämplig på uppgifter i verksamheten krävs således särskild hänvisning i bestämmelsen.

Tredje stycket motsvarar det tidigare andra stycket och anger hur

länge sekretessen ska gälla. Bestämmelsen har ändrats på så sätt att sekretessen ska gälla i sjuttio år om uppgiften avser enskilds personliga förhållande, annars i tjugo år.

Fjärde stycket är nytt och definierar vad som avses med forsk-

ning i paragrafen. Forskning definieras i bestämmelsen på samma sätt som i etikprövningslagen. Enligt 2 § etikprövningslagen avses med forskning vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå.

Bestämmelsen behandlas i avsnitt 9.3.

9 §

Paragrafen anger i vilka fall den tystnadsplikt som följer av sekretessbestämmelser i kapitlet inskränker rätten att meddela och offentliggöra uppgifter som följer av bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

Paragrafen har ändrats så att även den tystnadsplikt som följer av 1 § inskränker rätten att meddela och offentliggöra uppgifter.

Ändringen behandlas i avsnitt 9.3.13.

25 kap.

11 §

Paragrafen innehåller ett antal sekretessbrytande bestämmelser som medger utlämnande av uppgifter för vilka gäller hälso- och sjukvårdssekretess enligt 1 §.

Bestämmelsen har ändrats så att sekretess enligt 1 § inte heller hindrar att uppgift lämnas till register som förs med stöd av lagen (0000:00) om Nationella biobanksregistret.

Ändringen behandlas i avsnitt 9.5.14.20.

15 a §

Paragrafen, som är ny, innehåller i första stycket en bestämmelse om så kallad absolut sekretess i verksamhet som avser förande av eller uttag ur register som förs med stöd av lagen (0000:00) om Nationella biobanksregistret. Sekretessen gäller för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden.

Andra stycket innehåller undantag från sekretessen. Uppgifter får

lämnas ut i den utsträckning som framgår av lagen. Det innebär att uppgifter får lämnas ut för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m. i syfte att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik samt förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. Utlämnande får dock endast ske om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Personuppgifter får också lämnas ut om det finns en skyldighet enligt lag att göra det. I tredje stycket anges att sekretessen gäller i högst sjuttio år.

Bestämmelsen behandlas i avsnitt 9.5.14.20.

18 §

Paragrafen anger i vilka fall den tystnadsplikt som följer av sekretessbestämmelser i kapitlet inskränker rätten att meddela och offentliggöra uppgifter som följer av bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

Första stycket har ändrats så att även den tystnadsplikt som följer

av 15 a § inskränker den grundlagsskyddade rätten att meddela och offentligöra uppgifter.

Ändringen behandlas i avsnitt 9.5.14.20.

12.4. Förslaget till lag om ändring av patientsäkerhetslagen (2010:659)

6 kap.

12 §

Paragrafen innehåller bestämmelser om tystnadsplikt för den som tillhör eller har tillhört hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården.

Andra stycket är nytt och innehåller en bestämmelse som innebär

att tystnadsplikt enligt första stycket inte hindrar att uppgift lämnas till register som förs med stöd av lagen (0000:00) om Nationella biobanksregistret. Lagen (2002:297) om biobanker i hälso- och sjukvården är tillämplig på vårdgivare i såväl allmän som privat regi. För personal inom den enskilda sjukvåden gäller genom bestämmelser i patientsäkerhetslagen samma tystnadsplikt som för personal inom den allmänna sjukvåden. För att det ska vara möjligt att överlämna uppgifter om enskildas hälsotillstånd och andra personliga förhållanden från den enskilda sjukvåden till Nationella biobanksregistret krävs en bestämmelse med undantag från den lagstadgade tystnadsplikten. Syftet med bestämmelsen är således att möjliggöra utlämnande av uppgifter från enskilda vårdgivare till Nationella biobanksregistret.

Ändringen behandlas i avsnitt 9.5.14.20.

12.5. Förslaget till lag om forskningsdatabaser

1 §

Paragrafen anger lagens tillämpningsområde.

Av första stycket framgår att lagen gäller sådan behandling av personuppgifter som utförs av statliga universitet och högskolor som omfattas av högskolelagen (1992:1434)samt andra statliga myndigheter som har i uppdrag att bedriva forskning och som behandlas för de ändamål som anges i lagen. Lagen är vidare endast tillämplig vid de angivna myndigheternas behandling av personuppgifter för ändamålet att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forskningen som behandlingen av uppgifterna i projektet har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Syftet med lagen är att möjliggöra för statliga universitet och högskolor samt andra statliga myndigheter som har i uppdrag att bedriva forskning att skapa databaser med personuppgifter som ska kunna användas i olika ännu inte definierade forskningsprojekt. Utanför lagens tillämpningsområde faller således behandling som utförs av sådana universitet och högskolor som anges i första stycket, men som ingår i ett visst forskningsprojekt som har godkänts enligt lagen om etikprövning av forskning som avser människor.

Enligt andra stycket gäller lagen om behandlingen är helt eller delvis automatiserad. Lagen gäller vidare vid viss manuell behandling av personuppgifter, nämligen om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Manuell behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier, så kallat ostrukturerat material enligt 5 a § personuppgiftslagen (1998:204), faller utanför lagens tillämpningsområde.

Av tredje stycket följer att i de fall personuppgifter samlas in direkt från den enskilde får personuppgifter behandlas endast om han eller hon har fått viss information och därefter lämnat sitt uttryckliga samtycke till behandlingen. I de fall personuppgifter inhämtas direkt från den enskilde, till exempel genom enkäter eller andra frågeformulär, kan det vanligtvis antas att uppgiftslämnandet sker med den enskildes samtycke. Genom att merverka lämnar ju personen ett i vart fall underförstått samtycke. Det bör i dessa sammanhang dock

vara tydligt om den enskilde har lämnat samtycke och vad samtycket omfattar. I de fall uppgifter samlas in direkt från den enskilde föreskrivs därför krav på uttryckligt samtycke. Med samtycke avses i detta sammanhang detsamma som i personuppgiftslagen (1998:204), det vill säga varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Att samtycket ska vara uttryckligt innebär att viljeyttringen ska lämnas på ett tydligt iakttagbart sätt. Samtycket behöver inte avges skriftligt, men ur bevishänseende kan det vara lämpligt att dokumentera att samtycke lämnats och vad det omfattar.

Bestämmelsen behandlas i avsnitt 9.4.7.

2 §

Paragrafen innehåller definitioner av vissa begrepp.

Med forskningsdatabas avses i lagen en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att tillhandahålla uppgifter till flera olika framtida forskningsprojekt. En forskningsdatabas ska enligt lagens definition kunna innehålla både personuppgifter som samlats in direkt från enskilda till genom till exempel undersökningar, och uppgifter som hämtats från andra myndigheters register, till exempel Socialstyrelsens hälsodataregister eller Statistiska centralyråns (SCB) befolkningsregister. En forskningsdatabas ska också kunna innehålla båda dessa typer av uppgifter. Att en databas är en nationell infrastruktur innebär att den är avsedd att utgöra en nationell resurs för forskning och vara utformad så ett den kan utgöra en tillgång för forskare i hela landet. En forskningsdatabas ska också ha till syfte att utgöra underlag för olika framtida ännu inte definierade forskningsprojekt. Utanför lagens definition faller således forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller en på liknande sätt bestämd forskning som enligt 6 § lagen (2003:460) om etikprövning av forskning som avser människor kan godkännas av en etikprövningsnämnd.

Med forskning avses i lagen detsamma som enligt lagen om etikprövning av forsning, det vill säga vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs

inom ramen för högskoleutbildning på grundnivå eller avancerad nivå.

Bestämmelsen behandlas i avsnitten 9.4.4 och 9.4.16.

3 §

I bestämmelsen regleras lagens förhållande till personuppgiftslagen (1998:204). I paragrafen anges att personuppgiftslagen ska gälla vid behandling av personuppgifter enligt lagen, om inte annat följer av lagen. Definitionerna i 3 § personuppgiftslagen gäller således även vid tillämpning av lagen om inte annat anges.

Bestämmelsen behandlas i avsnitt 9.4.10.

4 §

I paragrafen anges att de statliga myndigheter som utför behandlingen av personuppgifter är personuppgiftsansvariga. De myndigheter som kan bli aktuella som personuppgiftsanvariga är enligt 1 § statliga universitet och högskolor samt andra statliga myndigheter som har i uppdrag att utföra forskning. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen för och medlen för behandlingen av personuppgifter. Den personuppgiftsansvariga har vidare ansvar för att bestämmelserna i lagen och tillämpliga bestämmelser i personuppgiftslagen följs.

Bestämmelsen behandlas i avsnitt 9.4.11.

5 §

I paragrafen anges de primära ändamål för vilka personuppgifter får behandlas enligt lagen.

Det första ändamålet är att skapa underlag för olika forskningsprojekt. Syftet med behandlingen ska således inte vara att skapa underlag för ett visst, redan definierat projekt utan att samla in uppgifter som kan utgöra underlag för olika framtida forskningsprojekt. Med begreppet ”skapa underlag” avses olika former av behandlingar som krävs för att föra en välfungerande databas, såsom insamling, registrering, bevarande och uppdatering av personuppgifter.

Det andra primära ändamålet är att lämna ut uppgifter till forskningsprojekt. Utlämnande får bara ske under förutsättning att projektet godkänts enligt 6 § lagen (2003:460) om etikprövning av forskning som avser människor. Godkännande krävs oavsett vilken typ av personuppgifter som ska behandlas, det vill säga även om

behandlingen inte omfattar känsliga personuppgifter enligt 13 § eller uppgift om lagöverträdelser med mera enligt 21 § personuppgiftslagen (1998:204). Bestämmelsen utvidgar således etikprövningslagens tillämpningsområde.

Uppgifter i en forskningsdatabas får lämnas ut både till forskningsprojekt som drivs av en statlig myndighet och till forskningsprojekt i enskild regi.

Bestämmelsen behandlas i avsnitt 9.4.13.

6 §

I paragrafen anges de sekundära ändamålen med behandlingen.

I första stycket anges att uppgifter som behandlas för de ändamål som anges i 5 § också får lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Det huvudsakliga syftet med en forskningsdatabas enligt lagen ska vara att göra det möjligt att bygga upp databaser som kan utgöra underlag för forskningsprojekt och att lämna ut uppgifter till sådana projekt. För att möjliggöra granskning av sådana projekt som använder personuppgifter från en forskningsdatabas krävs att utlämnande får ske även till en högskola eller ett universitet som genomför en utredning om misstanke om oredlighet i forskning. Bestämmelsen möjliggör också lämnande av uppgifter till Centrala etikprövningsnämnden för att nämnden enligt 1 kap. 16 § högskoleförordningen (1993:100) ska kunna avge yttrande i samband med en sådan utredning. I de fall granskningen sker genom annan forskning, exempelvis replikation av tidigare utförd forskning, gäller bestämmelserna i 5 §.

I andra stycket anges att personuppgifter som har registrerats med stöd av lagen alltid får lämnas ut till den registrerade själv. Detta följer redan av bestämmelserna i personuppgiftslagen (1998:204) men anges för tydlighets skull uttryckligen i lagen. Bestämmelsen är dock inte tillämplig när det gäller personuppgifter som inte direkt kan hänföras till en person. I sådana fall är det inte möjligt för den registerhållande myndigheten att identifiera vilka uppgifter som hör till en viss person.

Bestämmelserna behandlas i avsnitt 9.4.17.

7 §

I första meningen anges att personuppgifter som behandlas för de ändamål som anges i 5 § utöver vad som anges i 6 § får lämnas ut om det finns en skyldighet i lag att göra det. Skyldighet att lämna ut uppgifter kan uppkomma genom bestämmelser i annan lagstiftning. Reglerna om allmänna handlingar och offentlighetsprincipen har till exempel företräde framför bestämmelserna i personuppgiftslagen (1998:204). Utlämnande av uppgifter med stöd av bestämmelserna i tryckfrihetsförordningen kan alltså ske utan hinder av personuppgiftslagen (8 § personuppgiftslagen). Ett annat exempel är skyldighet att enligt 43 § personuppgiftslagen lämna uppgifter i samband med Datainspektionens tillsyn av personuppgiftsbehandlingen. Även vissa särskilda registerförfattningar innehåller bestämmelser om uppgiftsskyldighet. För att inte tveksamhet ska uppkomma anges i lagen att uppgifter får lämnas ut från en forskningsdatabas om det finns en skyldighet i lag att göra det. Bestämmelsen gäller alla typer av uppgifter, även känsliga personuppgifter enligt 13 § och uppgift om lagöverträdelser med mera enligt 21 § personuppgiftslagen.

Av andra meningen framgår genom en hänvisning till personuppgiftslagen att den så kallade finalitetsprincipen gäller vid personuppgiftsbehandling enligt lagen. Enligt principen, som framgår av 9 § första stycket d personuppgiftslagen, får personuppgifter inte lämnas ut för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Av andra stycket samma bestämmelse följer att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. Bestämmelsen medför att uppgifter i en forskningsdatabas alltid får behandlas för historiska, statistiska och vetenskapliga ändamål, oavsett för vilket ändamål uppgifterna ursprungligen samlades in. Dock gäller de krav på personuppgiftsbehandlingen som i övrigt följer av personuppgiftslagen och lagen (2003:460) om etikprövning av forskning som avser människor.

Bestämmelsen behandlas i 9.4.17.

8 §

I paragrafen anges att uppgifter som hämtats från andra myndighetsregister för de ändamål som anges i 5 § får behandlas under förutsättning att uppgifterna inte direkt kan hänföras till en person. Undantag gäller om regeringen eller den myndighet regeringen be-

stämmer har meddelat föreskrifter om att behandling av identifierbara uppgifter får ske.

Enligt bestämmelsen ska uppgifter som inhämtats från myndighetsregister i syfte att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt enligt 5 § som huvudregel vara anonymiserade. Forskare har i de flesta fall inget behov av att kunna identifiera enskilda individer. Av integritetsskäl bör därför utgångspunkten vara uppgifterna inte direkt ska gå att hänföra till enskilda individer. Det kan dock finnas situationer där identifiering av enskilda individer är nödvändig för forskningen. Det kan till exempel handla om forskning där forskaren behöver kunna jämföra uppgifter i journaler med registeruppgifter eller där enskilda ska kontaktas. Regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om i vilka fall det ska vara möjligt att behandla identifierbara personuppgifter som härrör från ett myndighetsregister.

Bestämmelsen behandlas i 9.4.14.

9 §

I första stycket anges att i de fall de personuppgifter som lämnas ut från en forskningsdatabas inte direkt kan hänföras till en enskild ska den personuppgiftsansvarige i samband med utlämnandet förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. En förteckning över vilken beteckning som hör samman med vilken person ska sedan sparas hos den utlämnande myndigheten i 20 år efter det att den upprättats. Den myndighet som är ansvarig för forskningsdatabasen är således skyldig att vid utlämnande av anonymiserade uppgifter förse uppgifterna med en särskild beteckning, ett löpnummer. Förteckningen över vilken beteckning som motsvarar vilken individ, en så kallad kodnyckel, ska sparas för att möjliggöra uppdatering av materialet i ett forskningsprojekt. Kodnyckelförfarandet ska också möjliggöra för en annan forskningshuvudman att bygga vidare på eller granska det forskningsprojekt som kodnyckeln ursprungligen skapades för. Det kan förekomma longitudinella studier som pågår längre än 20 år. När kodnyckeln bevarats i 20 år kan tiden för bevarandet därför förlängas av den myndighet som bevarar den eller på ansökan av forskningshuvudman som använder uppgifter som kodnyckeln är kopplad till.

Enligt andra stycket ska i de fall en uppgift rättats, blockerats eller utplånats i forskningsdatabasen den personuppgiftsansvariga myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till. I de fall kodade personuppgifter har lämnats ut till ett forskningsprojekt har forskningshuvudmannen inte själv möjlighet att på begäran av den registrerade rätta, blockera eller utplåna uppgifter om den registrerade. Bestämmelsen medför en skyldighet för den myndighet som är ansvarig för forskningsdatabasen att vidta de åtgärder som krävs för att uppgifterna ska kunna ändras hos forskningshuvudmannen.

Enligt tredje stycket behöver den som har fått personuppgifter enligt första stycket inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter. Enligt 24 § personuppgiftslagen (1998:204) ska den personuppgiftsansvariga självmant lämna den registrerade information om behandlingen, om personuppgifterna samlas in från någon annan källa än den registrerade själv. Det följer vidare av 28 § personuppgiftslagen att den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats med stöd av personuppgiftslagen eller föreskrifter som har utfärdats med stöd av personuppgiftslagen. Bestämmelsen i tredje stycket fastställer att undantag från dessa bestämmelser ska göras i de fall forskningshuvudmannen inte själv kan identifiera den registrerade.

Bestämmelserna behandlas i avsnitt 9.4.18.

10 §

I paragrafen anges att en forskningsdatabas endast får innehålla de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt 5 §. Uppgifter som inte kan hänföras till databasens ändamål är inte tillåtna.

Det är inte möjligt att förutse vilka typer av uppgifter som kommer att behöva registreras i de forskningsdatabaser som kan bli aktuella att skapa med stöd av lagen. Innehållet i forskningsdatabasen har därför knutits till det ändamål som forskningsdatabasen upprättas för. I den förordning som kommer att finnas för varje forskningsdatabas bör databasens ändamål och innehåll specificeras. En

forskningsdatabas får således innehålla endast uppgifter som behövs för den forskning som anges närmare i databasens förordning.

Bestämmelsen behandlas i avsnitt 9.4.19.

11 §

I paragrafen anges att endast de uppgifter som anges i 10 § får användas som sökbegrepp i ett forskningsregister.

I vissa särskilda registerförfattningar finns begränsningar i vilka begrepp som får användas som sökbegrepp. Dessa begränsningar har oftast införts av integritetsskäl. För att en forskningsdatabas ska vara ändamålsenlig bör dock sökning kunna göras på alla de begrepp som enligt 10 § får registreras i databasen. Skyddet av den enskildes integritet ska i stället beaktas vid valet av vilka uppgifter som ska få registreras och de övriga säkerhetsåtgärder som ska vidtas i samband med behandlingen av personuppgifter.

Bestämmelsen behandlas i avsnitt 9.4.20.

12 §

Paragrafen reglerar utlämnande genom direktåtkomst.

Med direktåtkomst avses att någon har elektronisk åtkomst till någon annans databas och kan genomföra sökning efter information i databasen utan att den som är ansvarig för databasen har kontroll över vilka uppgifter som mottagaren tar del av. Direktåtkomst innebär dock inte att mottagaren har möjlighet att påverka innehållet i databasen. Paragrafen innebär ett förbud mot att genom sådan direktåtkomst lämna ut personuppgifter från forskningsdatabaser som förs med stöd av lagen. Förbudet gäller både utlämnande till andra myndigheter och till en annan självständig verksamhetsgren inom den registerförande myndigheten.

Bestämmelsen behandlas i avsnitt 9.4.21.

13 §

Paragrafen innehåller ett förbud mot att behandla uppgifter som inte direkt kan hänföras till en person i syfte att röja en persons identitet.

Uppgifter i en databas som förs med stöd av denna lag ska som huvudregel lämnas ut i anonymiserad form. Även om uppgifterna är anonymiserade kan det genom så kallad bakvägsidentifiering ändå vara möjligt att identifiera enskilda personer i ett material. Så är till exempel fallet om en forskare har tillgång till ett flertal variabler,

till exempel ålder, kön och yrke, och att det genom att lägga samman dessa variabler går att utröna vilken individ som ligger bekom de anonymiserade uppgifterna. Bestämmelsen innehåller ett förbud mot behandling av personuppgifter som syftar till att röja en persons identitet. Sådant avslöjande som sker oavsiktligt är således inte straffbart. Bestämmeseln gäller endast vid utlämnande av uppgifter som inte direkt kan hänföras till den enskilde.

Bestämmelsen behandlas i avsnitt 9.4.22.

14 §

Paragrafen innehåller en bestämmelse om intern elektronisk åtkomst. Bestämmelsen innebär att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna utföra sina arbetsuppgifter när det gäller forskningsdatabasen. Det kan till exempel avse uppgiften att inhämta nya uppgifter till forskningsdatabasen, lämna ut uppgifter från forskningsdatabasen eller sköta uppgifter som rör gallring och arkivering.

Bestämmelsen har sin utgångspunkt i resonemanget att integritetsrisken blir större ju fler personer inom en organisation som har tillgång till en personuppgift. Syftet med bestämmelsen är att definiera vem som får behandla uppgifter i databasen och för vilka ändamål för att på så sätt förhindra att uppgifterna behandlas av ett större antal personer än nödvändigt.

I 30–32 §§personuppgiftslagen (1998:204) finns ytterligare bestämmelser om säkerhet vid behandling som ska beaktas. Av dessa bestämmelser framgår bland annat att den eller de personer som arbetar under den personuppgiftsansvariges ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Det framgår också att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga uppgifterna är.

Bestämmelsen behandlas i avsnitt 9.4.23.

15 §

Paragrafen gäller gallring av personuppgifter i en forskningsdatabas.

Personuppgifter som inte längre behövs för ändamålen att utgöra underlag för olika forskningsprojekt och för att lämnas ut till forskningsprojekt som godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor ska gallras om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett särskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen innebär att uppgifterna ska utplånas eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. Uppgifterna får med andra ord inte längre utgöra personuppgifter i personuppgiftslagens (1998:204) bemärkelse. Paragrafen utgör en sådan bestämmelse om gallring i annan författning som enligt 10 § tredje stycket arkivlagen (1990:782) ska gälla före arkivlagens bestämmelser om bevarande av allmänna handlingar.

Bestämmelsen innebär att personuppgifter i en forskningsdatabas ska förstöras när den inte längre behövs för de primära ändamålen. Eftersom ändamålet är att utgöra underlag för framtida forskning medger det i sig att uppgifterna vanligtvis kan bevaras under en lång tid. Det kan dock uppstå att situationer där det framgår att uppgifterna inte kommer att vara användbara för framtida forskning. De ska då som huvudregel gallras.

Bestämmelserna om gallring blir också aktuella vid avvecklingen av en databas. Personuppgifterna i databasen ska då som huvudregel gallras, om inte särskilda föreskrifter eller ett särskilt beslut om bevarande finns.

Paragrafen gäller även för sådana kodnycklar som behandlas i 9 §. När den föreskrivna 20-årsperioden passerat och förlängning inte begärts ska de som huvudregel gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett särskilt fall beslutat att de ska bevaras för historiska, statistiska eller vetenskapliga ändamål.

Bestämmelsen behandlas i avsnitt 9.4.24.

16 §

I paragrafen anges att 26 § personuppgiftslagen (1998:204) om information efter ansökan inte gäller i fråga om personuppgifter som inte direkt kan hänföras till en person.

Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. För att stärka integritetsskyddet ska som huvudregel uppgifter i en forskningsdatabas som hämtats från myndighetsregister behandlas i anonymiserad form. Ett informationskrav enligt 26 § personuppgiftslagen skulle dock innebära att den personuppgiftsansvarige skulle vara tvungen att identifiera enskilda personer i materialet. Bestämmelsen slår fast att informationskravet i 26 § personuppgiftslagen inte gäller i de fall den personuppgiftsansvarige inte själv har möjlighet att identifiera enskilda individer i materialet.

Bestämmelsen behandlas i 9.4.26.

17 §

I bestämmelsen anges vilken information den enskilde har rätt till när uppgifter samlas in direkt från den enskilde. Informationen ska lämnas innan samtycke ges.

I personuppgiftslagen (1998:204) finns inga särskilda regler om vem som kan lämna ett giltigt samtycke. Den som faktiskt kan tillgodogöra sig informationen och som faktiskt kan avge en frivillig viljeyttring anses kunna lämna samtycke. För underåriga gäller som huvudregel föräldrabalkens bestämmelser. Av 6 kap. 11 § föräldrabalken följer att den som är underårig och inte själv kan tillgodogöra sig information och ta ställning till frågan företräds av sin vårdnadshavare. Om det finns två vårdnadshavare ska båda få information och lämna samtycke. Är en av vårdnadshavarna till följd av frånvaro, sjukdom eller annan orsak förhindrad att ta del av beslutet samtycke och kan detta inte utan olägenhet uppskjutas kan samtycket lämnas av den andre ensam (6 kap. 13 § föräldrabalken).

I avsnitt 9.4.25. anges närmare vilken information som ska lämnas. Bestämmelsen är inte uttömmande. Om det i något fall framkommer att det är lämpligt att någon ytterligare information än den som anges i bestämmelsen bör ges kan det anges i den särskilda förordning som ska gälla för respektive forskningsdatabas.

18 §

I paragrafen finns en bestämmelse om rättelse och skadestånd. Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid överträdelser av den lagen. Genom denna bestämmelse görs personuppgiftslagen bestämmelser tillämpliga på motsvarande sätt i fråga om personuppgifter som har behandlats i strid med denna lag.

Bestämmelsen behandlas i 9.4.27.

19 §

I paragrafen anges att den som bryter mot förbudet mot olovlig identifiering i 13 § ska dömas för olovlig identifiering till böter eller fängelse i högst ett år, om gärningen inte är belagd med straff i brottsbalken eller personuppgiftslagen (1998:204). Om uppgifterna som framkommit om den enskilde till exempel har använts för att utsätta någon för ärekränkning ska således bestämmelserna i 5 kap. brottsbalken tillämpas. Vidare finns bestämmelser om straff i 49 § personuppgiftslagen.

Enligt bestämmelsen ska det i ringa fall inte dömas till ansvar. Vad som avses med ringa får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Vid bedömningen kan till exempel vägas in uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som bakvägsidentifieringen inneburit.

Bestämmelsen behandlas i 9.4.22.

20 §

Bestämmelsen innehåller upplysning om vilka föreskrifter regeringen kan meddela när det gäller forskningsdatabaser. Regeringen får för det första meddela ytterligare föreskrifter om vilka statliga universitet och högskolor eller andra statliga myndigheter som får föra forskningsdatabaser enligt denna lag och vilka forskningsdatabaser enligt lagen som får föras. Regeringen får vidare meddela begränsning av ändamål för vilka personuppgifter får behandlas och vilka uppgifter som en forskningsdatabas enligt 9 § får innehålla. Regeringen får vidare meddela begränsningar av behandling av uppgifter i en forskningsdatabas. Detta innefattar bland annat vilka källor uppgifterna i databasen ska hämtas från och vilken information den personuppgiftsansvarige ska vara skyldig att lämna till den som registreras i forskningsdatabasen. Regeringen får också meddela be-

gränsningar vid behandling genom utlämnande av uppgifter från en forskningsdatabas, till exempel att endast anonymiserade uppgifter får lämnas ut till ett enskilt forskningsprojekt. Regeringen får också meddela bestämmelser om uppgiftsskyldighet för myndigheter avseende uppgifter till en forskningsdatabas och begränsningar i rätten till intern elektronisk åtkomst.

Bestämmelsen regleras i avsnitt 9.4.29.

12.6. Förslaget till lag om Nationella biobanksregistret

1 §

I paragrafen anges att Socialstyrelsen får utföra helt eller delvis automatiserad behandling av uppgifter i Nationella biobanksregistret.

Med behandling avses enligt 3 § personuppgiftslagen (1998:204) varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.

Personuppgift definieras i 3 § personuppgiftslagen som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Ett vävnadsprov enligt lagen (2002:297) om biobanker i hälso- och sjukvåden m.m. kan emellertid vara hämtat både från levande och avlida personer samt foster. Även uppgifter om prover från avlidna och ännu inte födda personer får behandlas av Socialstyrelsen i Nationella biobanksregistret.

Lagen ska avse behandling av uppgifter som är helt eller delvis automatiserad.

Av bestämmelsen framgår att registret ska heta Nationella biobanksregistret.

Bestämmelsen behandlas i avsnitt 9.5.14.2.

2 §

I paragrafen framgår att Socialstyrelsen är personuppgiftsansvarig för behandlingen av personuppgifter i Nationella biobanksregistret. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen (1998:204) den som ensam eller tillsammans med andra bestämmer ändamålen

med och medlen för behandlingen av personuppgifter. Den personuppgiftsansvarige ansvarar också för att behandlingen i övrigt är förenlig med denna lag och personuppgiftslagens bestämmelser.

Bestämmelsen behandlas i avsnitt 9.5.14.3

3 §

Paragrafen reglerar hur lagen förhåller sig till personuppgiftslagen (1998:204). Enligt 2 § personuppgiftslagen gäller bestämmelser i annan lag eller i en förordning som avviker från denna lag framför bestämmelserna i personuppgiftslagen. Av förevarande bestämmelse följer att personuppgiftslagens bestämmelser gäller vid behandling av personuppgifter, om inte annat följer av lagen eller föreskrifter som meddelats med stöd av lagen.

Bestämmelsen behandlas i avsnitt 9.5.14.5.

4 §

Paragrafen innehåller bestämmelser om den enskildes inställning till registrering av personuppgifter i Nationella biobanksregistret. Bestämmelsen avser uppgift om vävnadsprover i biobanker enligt 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m., det vill säga en biobank som inrättats i Sverige i en vårdgivares hälso- och sjukvårdsverksamhet eller vävnadsprover från en sådan biobank, vilka lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och vilka även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Bestämmelsen är inte tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas en längre tid. I bestämmelsen görs skillnad mellan uppgifter om vävnadsprover i en biobank som redan har samlats in och behandlas vid lagens ikraftträdande och sådana som samlas in och behandlas först efter lagens ikraftträdande.

Enligt första stycket får uppgifter om vävnadsprover i en biobank som behandlas när lagen träder i kraft inte behandlas i Nationella biobanksregistret om den registrerade motsätter sig det. Det innebär att uppgifterna om proverna får föras över till Nationella biobanksregistret utan den enskildes samtycke. Om den registrerade motsätter sig behandling ska hans eller hennes uppgifter omedelbart strykas

ur registret. Detta så kallade optout-system kräver således inte den enskildes samtycke för registrering men ger alltid den enskilde rätt att motsätta sig fortsatt behandling. Bestämmelsen hindrar inte att samtycke inhämtas från den enskilde om det är möjligt. Särskilda bestämmelser gäller enligt 5 § för underåriga.

Enligt andra stycket får uppgifter om vävnadsprover från en biobank som börjar behandlas efter det att lagen trätt i kraft inte registreras i Nationella biobanksregistret utan att den som uppgifterna avser uttryckligen har samtyckt till det. Med samtycke avses här detsamma som i personuppgiftslagen (1998:204) det vill säga varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det finns inget krav på att samtycket ska vara skriftligt. I kravet att det ska vara en otvetydig viljeyttring ligger att dock att samtycket ska ha kommit till uttryck på något sätt som en utomstående kan iaktta. För att det inte ska råda något tvivel om vad den enskilde har samtyckt till kan det vara lämpligt att samtycket avges skriftligen. Vilken information den enskilde ska ha fått del av innan han eller hon avger sitt samtycke anges i 12 §. Särskilda bestämmelser gäller enligt 5 § för underåriga.

Bestämmelsen behandlas i avsnitt 9.5.14.6.

5 §

I paragrafen regleras registrering av uppgifter som rör underåriga i Nationella biobanksregistret.

I bestämmelsens första stycke slås fast att uppgifter om vävnadsprover i en biobank enligt lag (2002:297) om biobanker i hälso- och sjukvården m.m. som avser en underårig som behandlas när denna lag träder i kraft inte får behandlas i Nationella biobanksregistret om den underåriges vårdnadshavare motsätter sig det.

När det gäller uppgifter om vävnadsprover i en biobank enligt biobankslagen som avser en underårig och som börjar behandlas efter ikraftträdandet av denna lag gäller enligt andra stycket att registrering inte får ske utan att den underåriges vårdnadshavare har fått sådan information som anges i 12 § och därefter lämnat sitt samtycke.

Av tredje stycket framgår att om den underårige uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan gäller vad som sagt den underårige själv. Personuppgiftslagen (1998:204) innehåller inte någon särskild reglering när det gäller underåriga. I

10 § personuppgiftslagen föreskrivs att personuppgiftsbehandling endast är tillåten under vissa förutsättningar, bland annat att den registrerade har lämnat sitt samtycke till behandlingen. Den som faktiskt kan tillgodogöra sig information och som faktiskt kan avge en frivillig viljeyttring anses kunna lämna ett rättsligt giltigt samtycke. Frågan om när någon har uppnått sådan ålder och mognad att han eller hon förstår vad samtycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare har antagits kunna lämna samtycke för den som inte kan bli informerad eller avge en viljeyttring. Enligt Datainspektionen kan den som är underårig lämna giltigt samtycke till en tilltänkt behandling om han eller hon är kapabel att förstå innebörden av samtycket. Huruvida även den underåriges vårdnadshavare måste lämna sitt samtycke varierar från fall till fall och beror på faktorer som ålder, uppgifternas art och ändamålet med behandlingen. Datainspektionen har ansett att den som fyllt 15 år normalt är kapabel att själv ta ställning till samtyckesfrågan.

Bestämmelsen behandlas i avsnitt 9.5.14.7.

6 §

I paragrafen anges för vilka primära ändamål uppgifter i Nationella biobanksregistret får behandlas.

Ändamålsbestämmelsen är av central betydelse, eftersom den anger den allmänna ramen för registrets innehåll och vad det får användas till. Det är den personuppgiftsansvarige som har ansvar för att uppgifterna i registret behandlas i enlighet med registrets ändamål.

Bestämmelsen gäller den personuppgiftsbehandling som ska utföras i Nationella biobanksregistret. För behandling av personuppgifter avseende vävnadsprover inom hälso- och sjukvåden eller i forskningsverksamhet gäller patientdatalagen (2008:355) och personuppgiftslagen (1998:204).

Personuppgifter i Nationella biobanksregistret får behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m. för vissa i bestämmelsen angivna syften. Det huvudsakliga ändamålet med Nationella biobanksregistret är således att göra det möjligt att lokalisera var ett specifikt vävnadsprov förvaras. Med vävnadsprov avses detsamma som i 1 kap. 2 § lagen om biobanker i hälso- och sjukvården m.m., det vill säga biologiskt material

från människa. Bestämmelsen omfattar både uppgifter som i personuppgiftslagen betecknas som känsliga och andra personuppgifter.

Enligt första punkten får uppgifter behandlas för att säkerställa spårbarhet för vävnadsprover i syfte att möjliggöra vård och behandling av den registrerade. Exempel på när prov kan behöva sökas för vårdändamål är om en patient har vårdats på olika håll i landet eller vid misstanke om ärftliga sjukdomar som fordrar utredning av släktingars prover. Att hitta prover för kvalitetssäkringsändamål är också viktigt i vårdsammanhang, exempelvis för att hitta referensprover med en sällsynt blodgrupp eller en ovanlig antikropp eller för att hitta alla gynekologiska cellprover på en patient som senare utvecklat cancer.

Av andra punkten framgår att uppgifter i registret får behandlas i syfte att göra det möjligt att hitta prover som behövs för forskning, kvalitetssäkring och framställning av statistik. När det gäller forskning gör registret det till exempel möjligt att hitta prover för en grupp personer med en viss sjukdom eller prover från samma person som tagits vid olika tillfällen. Registret gör det också möjligt att ta reda på vilka som motsatt sig att deras vävnadsprover används för forskning. För forskning som innefattar behandling av känsliga personuppgifter gäller krav på etikgodkännande enligt 13 och 19 §§ i personuppgiftslagen och lagen (2003:460) om etikprövning av forskning som avser människor. Enligt 31 § hälso- och sjukvårdslagen (1982:763) ska kvaliteten inom hälso- och sjukvåden systematiskt och fortlöpande utvecklas och säkras. Uppgifterna i registret ska kunna användas för sådant ändamål. Bestämmelsen gör det också möjligt att behandla personuppgifter för statistikändamål, till exempel för Socialstyrelsens statistikproduktion.

I tredje punkten anges att uppgifter i registret får behandlas i syfte att möjliggöra förstörande eller avidentifiering av vävnadsprover när den registrerade återkallat sitt samtycke. Av 3 kap. 1 § lagen om biobanker i hälso- och sjukvården m.m. följer att vävnadsprover endast får samlas in och bevaras i en biobank om provgivaren lämnat sitt samtycke. Samtycket kan när som helst återkallas och avser återkallelsen all användning ska provet ska förstöras eller avidentifieras. Nationella biobanksregistret ska göra det möjligt att samla de registrerades samtycken centralt för att enklare kunna hitta vävnadsprover oavsett var i landet provet förvaras i de fall den enskilde återkallar sitt samtycke. Med avidentifiering menas i detta sammanhang att kopplingen mellan person och vävnadsprov tas bort så att det inte längre går att härleda vem provet är taget från.

Bestämmelsen behandlas i avsnitt 9.5.14.10.

7 §

I första meningen anges att anges att uppgifter, utöver vad som anges i 6 §, får lämnas ut om det finns en skyldighet i lag att göra det. Sådan skyldighet kan till exempel uppkomma enligt reglerna om allmänna handlingar och offentlighetsprincipen i tryckfrihetsförordningen. Utlämnande av uppgifter med stöd av bestämmelserna i tryckfrihetsförordningen kan ske utan hinder av bestämmelserna i personuppgiftslagen (1998:204). Det följer av 8 § första stycket personuppgiftslagen. Ett annat exempel är skyldighet att enligt 43 § personuppgiftslagen lämna uppgifter i samband med Datainspektionens tillsyn av personuppgiftsbehandlingen.

Av andra meningen framgår genom en hänvisning till personuppgiftslagen att den så kallade finalitetsprincipen gäller vid personuppgiftsbehandling enligt lagen. Enligt principen, som framgår av 9 § första stycket d personuppgiftslagen, får personuppgifter inte lämnas ut för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Av andra stycket samma bestämmelse framgår att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. Bestämmelsen medför att uppgifter i Nationella biobanksregistret alltid får behandlas för historiska, statsistiska och vetenskapliga ändamål, oavsett för vilket ändamål uppgifterna ursprungligen samlades in.

Bestämmelsen behandlas i avsnitt 9.5.14.10.

8 §

Paragrafen anger vilka uppgifter Nationella biobanksregistret får innehålla.

Enligt första punkten får uppgift om provgivarens identitet registreras. Med identitet avses namn, personnummer eller samordningsnummer eller koder som ersätter dessa uppgifter. Till identitetsuppgifter hör också kontaktuppgifter till den registrerade, såsom adress, telefonnummer och mailadress.

Av andra punkten framgår att uppgift om vilka andra personer som har att ta ställning till bevarande av vävnadsprover får registreras. Det gäller främst identitetsuppgift för vårdnadshavare till en person som inte själv kan lämna ett giltigt samtycke. Med identitetsuppgift avses detsamma som i första punkten.

I tredje punkten anges att uppgift om ställningstagande till bevarande av vävnadsprover får registreras. Det handlar om alla typer av

ställningstagande avseende vävnadsprover, såsom att provgivaren lämnat sitt samtycke till att vävnadsprovet bevaras och används för samtliga de ändamål för vilka en biobank får användas enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. eller att vävnadsprover endast får bevaras och användas för vissa ändamål. Det kan också avse uppgift om att provgivaren motsatt sig bevarande av vävnadsprover eller att det saknas uppgift om provgivarens ställningstagande, vilket kan vara aktuellt om patienten var oförmögen att lämna samtycke vid provtagningstillfället.

Enligt fjärde punkten får uppgift om provets identitet, karaktär och hantering registreras. Med provets identitet avses uppgift om provernas koder eller andra identitetsbeteckningar. Uppgift om provets karaktär avser till exempel information om var på kroppen provet är taget och vilket material som proverna består av. Med begreppet avses också vilken provtagningsmetod som använts och hur proverna är lagrade, till exempel uppgift om i vilken temperatur provet förvaras. Bestämmelsen tillåter även att uppgifter om provets hantering registreras. I begreppet innefattas uppgift om när provet togs, var det förvaras, till vem det har överlämnats och övriga uppgifter om utlämnande, överlåtelse, förstörande eller avidentifiering. När vävnadsprover har lämnats ut för forskningsändamål bör forskningsstudien anges.

För att möjliggöra spårbarhet av vävnadsprover får även enligt

femte punkten uppgift om vem som behandlar vävnadsprover eller

uppgifter om vävnadsprover registreras. Det kan gälla uppgift om vem som har tagit ett prov, vem som har beställt en analys av ett prov, vem som utfört analysen av provet eller vem som hanterar provet i samband med preparering eller förvaring av provet.

Uppgift om till vem vävnadsprov utlämnats eller överlåtits får enligt sjätte punkten registreras i Nationella biobanksregistret.

Av sjunde punkten följer att uppgift om diagnos och analysresultat får registreras i registret. Med diagnos avses en bestämning och benämning av sjukdom, skada, störning eller förändring i kroppsfunktion. Diagnosen anges vanligen i form av en diagnoskod, en statistisk kod för klassificering av sjukdomar och relaterade hälsoproblem. Denna klassifikation kan även innehålla symtom, onormala fynd och besvär.

Bestämmelsen behandlas i avsnitt 9.5.14.11.

9 §

Paragrafen reglerar vilka sökbegrepp som får användas vid sökning i Nationella biobanksregistret. Av bestämmelsen följer att det inte finns någon begränsning av att använda uppgifter i registret som sökbegrepp.

Bestämmelsen behandlas i avsnitt 9.5.14.12.

10 §

Av paragrafen följer att Socialstyrelsen har ansvar för att begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om Nationella biobanksregistret. Med uppdragstagare avses bland annat personuppgiftsbiträde enligt 3 § personuppgiftslagen (1998:204). Syftet med begränsningen är att stärka skyddet för den personliga integriteten genom att se till att uppgifterna i registret sprids till så få personer som möjligt. Utöver denna bestämmelse gäller personuppgiftslagens regler om lämpliga säkerhetsåtgärder vid personuppgiftsbehandling (30–31 §§). Av dessa bestämmelser framgår bland annat att den eller de personer som arbetar under den personuppgiftsansvariges ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Det framgår också att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga uppgifterna är.

Bestämmelsen behandlas i avsnitt 9.5.14.14.

11 §

Paragrafen reglerar utlämnande av direktåtkomst till uppgifter i Nationella biobanksregistret. Med direktåtkomst avses att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. I bestämmelsen slås fast att utlämnande till

annan från Nationella biobanksregistret genom direktåtkomst inte får förekomma. Bestämmelsen utgör inte hinder för utlämnande av uppgifter på medium för automatiserad behandling, till exempel genom e-post, DVD-skiva eller USB-minne. Bestämmelsen reglerar inte frågan om uppgifter med hänsyn till bestämmelser om sekretess får lämnas ut eller inte utan endast på vilket sätt uppgifter i registret får lämnas ut.

Bestämmelsen behandlas i avsnitt 9.5.14.13.

12 §

I paragrafen anges vilken information den enskilde ska ha fått ta del av innan han eller hon lämnar samtycke att registreras i Nationella biobanksregistret.

Enligt 4 § andra stycket får uppgifter om vävnadsprover i en biobank som börjar behandlas efter ikraftträdandet av denna lag inte registreras i Nationella biobanksregistret utan att den som uppgifterna rör har samtyckt till registreringen. För att den som lämnar ett vävnadsprovprov ska kunna avgöra om och i så fall vilka integritetsrisker registreringen i biobanksregistret innebär och om han eller hon är villig att medverka är det viktigt att provgivaren garanteras tillräcklig information. I det fall den som lämnar provet är minderårig ska informationen ges till vårdnadshavarna.

I 25 § personuppgiftslagen (1998:204) anges vilken information den personuppgiftsansvarige självmant ska lämna den registrerade vid insamling av personuppgifter. Enligt punkten c i nämnda paragraf ska informationen omfatta ”all övrig information som behövs för att den registrerade ska kunna ta tillvara sina rättigheter i samband med behandlingen”. Nu aktuell bestämmelse utgör en precisering av denna punkt. I bestämmelsen anges att informationen ska innehålla uppgift om att det är frivilligt att lämna uppgifter, för vilka ändamål behandling kan ske enligt 6 och 7 §§ och vilka uppgifter som får registreras enligt 8 §. Av informationen ska också framgå de sekretess- och säkerhetsbestämmelser som gäller för registret och vem som är personuppgiftsansvarig för registret. När det gäller uppgift om hur länge uppgifterna sparas är det tillräckligt att informera om vilka regler som gäller för gallring och arkivering av uppgifter i registret. Den enskilde bör vidare upplysas om rätten till rättelse av uppgifterna, rätten till information enligt 26 § personuppgiftslagen, rätten till skadestånd, och rätten att få uppgifter utplånade. Uppräkningen är inte uttömmande utan anger endast vilken informa-

tion som den enskilde i vart fall ska få del av. Informationen bör lämpligen lämnas vid insamlandet av uppgifterna, det vill säga vanligtvis i samband med att proverna tas inom hälso- och sjukvården.

Bestämmelsen behandlas i avsnitt 9.5.14.15.

13 §

Paragrafen innehåller bestämmelser om den registrerades rätt att få uppgifter utplånande.

Av bestämmelsen följer att den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. Begäran om utplåning ska göras skriftligen hos Socialstyrelsen, eller till den Socialstyrelsen har hänvisat till, till exempel ett personuppgiftsbiträde. Begäran ska vara undertecknad av den registrerade personligen. Det är således inte tillräckligt att begäran är undertecknad av ett ombud. Är den registrerade underårig ska begäran vara undertecknad av den registrerades vårdnadshavare. Det är den registrerade som har bevisbördan för att en begäran om har gjorts och vid vilken tidpunkt det har skett.

Uppgifterna ska utplånas så snart som möjligt efter en begäran inkommit. Bestämmelsen innebär att de registrerade personuppgifterna ska förstöras så att de inte går att återskapa. Det räcker således inte att anonymisera uppgifterna eller att överföra den elektroniska informationen till pappershandlingar.

All form av förstörande eller ändring av uppgifter utgör gallring i arkivlagens bemärkelse. Bestämmelsen om rätten till utplåning utgör en sådan bestämmelse om gallring som enligt 10 § tredje stycket arkivlagen tar över skyldigheten enligt den lagen att bevara allmänna handlingar.

Om begäran om utplåning inte endast avser uppgifter i Nationella biobanksregistret utan även innebär en begäran om att själva vävnadsproverna ska förstöras bör det vara Socialstyrelsens ansvar att vidarebefordra denna begäran till huvudmännen för biobankerna.

Bestämmelsen behandlas i avsnitt 9.5.14.16.

14 §

I paragrafen finns en bestämmelse om rättelse och skadestånd.

Bestämmelserna om rättelse och skadestånd i personuppgiftslagen (1998:204) gäller enligt sin lydelse endast vid överträdelse av den lagen. Genom denna paragraf görs personuppgiftslagens bestäm-

melser tillämpliga även när personuppgifter behandlas i strid med denna lag.

Bestämmelsen behandlas i avsnitt 9.5.14.18.

Kommittédirektiv 2013:8

Förutsättningar för registerbaserad forskning

Beslut vid regeringssammanträde den 17 januari 2013.

Sammanfattning

Inom forskning som förutsätter tillgång till personanknutna registeruppgifter kan två samhälleliga intressen stå i konflikt med varandra, å ena sidan intresset av att bedriva forskning som ger upphov till ny viktig kunskap och å andra sidan intresset av att skydda den enskilda individens integritet. Det är av stor vikt att regelverket tillgodoser den enskilda individens integritetsskydd för att bibehålla allmänhetens förtroende för forskningen. Med detta som bakgrund ska en särskild utredare få i uppdrag att undersöka förutsättningarna för att bedriva s.k. registerbaserad forskning.

Utredaren ska lämna författningsförslag och andra förslag i syfte att

  • registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet,
  • sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och
  • göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.

Utredaren ska även

  • undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning.

Vid utformningen av samtliga förslag ska utredaren göra en avvägning mellan forskningens behov av tillgång till uppgifter och den enskildes rätt till personlig integritet.

Uppdraget ska redovisas senast den 30 juni 2014.

Bakgrund

Registerbaserad forskning

De svenska registren med personuppgifter utgör en potential för världsledande forskning. I propositionen Ett lyft för forskning och innovation (prop. 2008/09:50) framhölls att dessa registeruppgifter skulle kunna utnyttjas effektivare och mera samordnat och ge Sverige unika förutsättningar för att utföra angelägen tvärvetenskaplig forskning.

I dataskyddssammanhang används ofta begreppen register och databaser samt andra begrepp som avser avgränsade uppgiftssamlingar. I det följande avses med register även databaser, elektroniska ärendehanteringssystem eller motsvarande samlingar av uppgifter och med registerbaserad forskning den forskning som innefattar behandling av uppgifter som forskare dels hämtat från uppgiftssamlingar hos myndigheter, dels själva samlat in genom olika mätningar eller direkt från enskilda.

Författningsreglering av personuppgiftsbehandling för registerbaserad forskning

Forskare som behandlar personuppgifter måste följa den lagstiftning som finns för sådan behandling.

På unionsrättslig nivå regleras behandling av personuppgifter i Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. I meddelandet Ett samlat grepp på skyddet av personuppgifter

i Europeiska unionen (KOM/2010/0609) aviserade EU-kommissionen en strategi för en översyn av EU:s dataskyddsreglering. Inom EU bereds för närvarande ett förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning).

De dataskyddsregler som antagits inom ramen för Europarådet finns främst i den europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108), den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. Konventionen kompletteras av ett antal rekommendationer som har antagits av ministerkommittén om hur personuppgifter bör behandlas inom olika områden. Sverige har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. Under 2010 har Europarådet inlett en översyn av denna konvention. Denna översyn pågår.

På nationell nivå är de i detta sammanhang mest relevanta lagarna personuppgiftslagen (1998:204, PUL), genom vilken dataskyddsdirektivet har genomförts i svensk rätt, de s.k. registerförfattningarna, offentlighets- och sekretesslagen (2009:400, OSL) och lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen).

PUL innehåller grundläggande bestämmelser om bl.a. behandling av personuppgifter, personuppgiftsansvar, information till den registrerade, skadestånd och straff.

Behandling av personuppgifter regleras också i ett stort antal registerförfattningar som innehåller särregleringar på olika områden i förhållande till PUL, t.ex. patientdatalagen (2008:355). Sådana författningar kan reglera behandling av personuppgifter i regelrätta register, men de kan också reglera behandling av personuppgifter inom en viss verksamhet, i en databas, i ett eller flera ärendehanteringssystem eller i löpande texter. Registerförfattningarna saknar en sinsemellan enhetlig struktur och begreppsbildning. En särskild utredare har därför fått i uppdrag att bl.a. utarbeta en generell modell för reglering av registerfrågor (dir. 2011:86). Registerförfattningarna innehåller ofta bestämmelser om direktåtkomst och annat elektroniskt utlämnande av uppgifter som påverkar hur eller om forskare kan få tillgång till uppgifter. De kan också innehålla bestämmelser om personuppgiftsansvar, information, samtycke och sambearbetning, som kan påverka möjligheten för forskare att få tillgång till uppgifter i syfte att göra t.ex. bortfallsanalyser.

OSL innehåller sekretessbestämmelser och bestämmelser om bl.a. myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handlingar.

I etikprövningslagen finns det bestämmelser om etikprövning av forskning som avser människor och biologiskt material från människor. Den tillämpas på forskning som innefattar behandling av dels sådana uppgifter som i PUL betecknas som känsliga personuppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv (13 § PUL), dels uppgifter om lagöverträdelser m.m. (21 § PUL). Förutom bestämmelser om godkännande av sådan forskning innehåller lagen bl.a. bestämmelser om utlämnande av personuppgifter, information och samtycke.

Bland övriga lagar som i vissa sammanhang kan vara relevanta för registerbaserad forskning kan nämnas lagen (2001:99) om den officiella statistiken även om den inte i huvudsak reglerar användningen av registeruppgifter för forskningsändamål. Den innehåller bl.a. bestämmelser om officiell statistik och viss annan statistik som tas fram hos en statistikansvarig myndighet.

Ändamålsbestämmelser för behandling av personuppgifter

Av 3 § PUL följer att såväl insamling som utlämnande av personuppgifter utgör behandling av personuppgifter. Enligt artikel 6.1b i dataskyddsdirektivet och 9 § första stycket c PUL får personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I 9 § d PUL föreskrivs att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). En behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in (artikel 6.1b i dataskyddsdirektivet och 9 § andra stycket PUL).

När det gäller hur ändamålen i en registerförfattning ska formuleras har regeringen uttalat att syftet med ändamålen i en registerförfattning är att ange en yttersta ram inom vilken personuppgifter får behandlas och att det ligger i sakens natur att ändamålsbestämmelser ofta måste formuleras tämligen generellt (prop. 1997/98:97 s. 121).

Den närmare regleringen i PUL och etikprövningslagen

Känsliga personuppgifter får enligt 19 § PUL behandlas för forskningsändamål om behandlingen har godkänts enligt etikprövningslagen. Sådana personuppgifter får även behandlas för statistikändamål om behandlingen är nödvändig av något av de skäl som anges i 10 § samma lag och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Om behandlingen har godkänts av en forskningsetisk kommitté ska de angivna förutsättningarna anses uppfyllda.

Det är vidare förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 § PUL). Även sådana uppgifter om lagöverträdelser m.m. får dock behandlas för forskningsändamål av andra än myndigheter om behandlingen har godkänts enligt etikprövningslagen.

Enligt 3 och 6 §§ etikprövningslagen får forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. bara utföras om forskningen har godkänts vid en etikprövning. I forskningen får dessutom behandling av de känsliga personuppgifterna bara ske om även själva behandlingen av personuppgifterna har godkänts vid etikprövningen. Ett godkännande av en etikprövningsansökan ska avse ett visst projekt, en del av projekt eller en på något liknande sätt bestämd forskning. Om det inte finns något sådant godkännande har forskaren alltså inte rätt att behandla sådana personuppgifter som avses i 13 eller 21 §§ PUL. I sådana fall är den myndighet som förfogar över uppgiften också förhindrad att lämna ut uppgifterna enligt 21 kap. 7 § OSL. Enligt sistnämnda bestämmelse gäller sekretess för en personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften efter ett utlämnande kommer att behandlas i strid med PUL.

Utlämnande av uppgifter för forskningsändamål

Registeruppgifter som ingår i allmänna handlingar omfattas av offentlighetsprincipen. Bestämmelser om allmänna handlingar finns i 2 kap. tryckfrihetsförordningen (TF). Skyldigheten att lämna ut en allmän handling omfattar inte bara s.k. konventionella handlingar, t.ex. pappershandlingar, och s.k. färdiga elektroniska handlingar utan

även s.k. potentiella allmänna handlingar, dvs. sammanställningar av uppgifter ur en upptagning för automatiserad behandling. En sådan sammanställning utgör en allmän handling under förutsättning att den kan tas fram med rutinbetonade åtgärder (2 kap. 3 § andra stycket TF).

En sammanställning av uppgifter ur en upptagning för automatiserad behandling som innehåller personuppgifter utgör inte en allmän handling om myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig (2 kap. 3 § tredje stycket TF). Så kallade ändamålsbegränsningar och villkorade sökförbud i registerförfattningar anses dock normalt inte begränsa handlingsbegreppet (prop. 2007/08:160 s. 69 och prop. 2009/10:85 s. 154 f.). Det gör däremot s.k. absoluta sökförbud, dvs. en bestämmelse som innebär att en myndighet under inga omständigheter får söka på en viss typ av uppgift.

När en uppgift i en myndighets register begärs utlämnad av en annan enskild än den registrerade, ska myndigheten alltså först ta ställning till om uppgiften finns i en allmän handling. Om det konstateras att uppgiften finns i en allmän handling, ska myndigheten därefter pröva om uppgiften omfattas av sekretess. Om så är fallet kan uppgifterna eventuellt lämnas ut med stöd av någon sekretessbrytande bestämmelse (se t.ex. 10 kap. OSL).

Någon allmän bestämmelse i OSL om utlämnande av uppgifter för forskningsändamål finns inte. I förarbetena till den tidigare sekretesslagen (1980:100), SekrL, diskuterades bl.a. utlämnande av uppgifter för forskningsändamål (prop. 1979/80:2 Del A s. 346). Det konstaterades då att om den efterfrågade uppgiften är hemlig enligt en sekretessbestämmelse som innehåller ett s.k. skaderekvisit torde skadeprövningen ofta kunna resultera i ett utlämnande av uppgiften. Det erinrades i detta sammanhang om att om mottagaren är en offentlig institution överförs sekretessen till institutionen (nuvarande 11 kap. 3 § OSL) samt att en enskild forskare kan åläggas tystnadsplikt med stöd av 14 kap. 9 § SekrL (nuvarande 10 kap. 14 § OSL). Vidare anfördes att forskningens behov kan tillgodoses enligt särskilda föreskrifter och att forskningen i vissa fall får tillgång till uppgifter med stöd av den s.k. generalklausulen (nuvarande 10 kap. 27 § OSL) eller efter dispens från regeringen enligt 14 kap. 8 § SekrL (nuvarande 10 kap. 6 § OSL).

En myndighet är inte skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift (2 kap. 13 § TF). Om uppgifterna ska

lämnas ut, finns det alltså normalt ingen skyldighet för myndigheten att göra det elektroniskt. Om det föreligger hinder mot att lämna ut uppgifterna elektroniskt enligt en registerförfattning, får uppgifterna således endast lämnas ut på papper.

Enligt 6 kap. 5 § OSL ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Denna skyldighet är mer långtgående än skyldigheten att lämna ut allmänna handlingar till allmänheten enligt tryckfrihetsförordningen, eftersom skyldigheten enligt 6 kap. 5 § OSL omfattar varje uppgift en myndighet förfogar över, alltså inte bara uppgifter ur allmänna handlingar. Om det är fråga om en sekretessbelagd uppgift och en s.k. sekretessbrytande bestämmelse (3 kap. 1 § OSL) är tillämplig innebär den sekretessbrytande bestämmelsen i kombination med 6 kap. 5 § OSL att en myndighet är skyldig att lämna ut uppgiften till en myndighet som begär det. I vilken form uppgifterna kan lämnas avgörs, om det är fråga om personuppgifter, av personuppgiftsregleringen. Det kan vidare vara så att registerförfattningen hos den myndighet som förfogar över uppgifterna är försedd med en uttömmande ändamålsreglering som inte möjliggör utlämnande för forskningsändamål. I sådana fall uppstår en normkonflikt mellan ändamålregleringen i registerförfattningen och uppgiftsskyldigheten enligt 6 kap. 5 § OSL (jfr SOU 2003:99 s. 231 f. och dir. 2011:86 s. 22).

I 24 kap. OSL finns det bestämmelser om sekretess till skydd för enskild inom forskning och statistik. I s.k. longitudinella forskningsprojekt, dvs. mätningar av utvecklingen över tid av en och samma företeelse, används ofta den officiella statistikens datamaterial. Som huvudregel gäller enligt 24 kap. 8 § OSL sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Det kan i sammanhanget nämnas att regeringen i ett beslut efter sekretessprövning enligt 24 kap. 8 § OSL funnit att uppgifter om enskilda i ett myndighetsregister som förs utan samtycke med stöd av bl.a. lagen om hälsodataregister kan lämnas ut för genomförande av bortfallsanalys inom

ramen för ett forskningsprojekt som godkänts vid etikprövning (dnr S2009/10484/FS).

Om särskilt behov föreligger får en statistikansvarig myndighet lämna ut uppgifter som inte direkt kan hänföras till en enskild enligt 16 § lagen (2001:99) om den officiella statistiken. I samband med utlämnandet får myndigheten förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna (s.k. löpnummer). På så sätt kan en forskare återkommande under ett forskningsprojekt få uppdateringar av de registeruppgifter som tidigare har lämnats ut från en myndighet när nya uppgifter tillkommer i registren, utan att enskildas identitet röjs. Enligt Vetenskapsrådets rapport Rättsliga förutsättningar för en databasinfrastruktur för forskning (11:2010) finns otydligheter i nuvarande regelverk då de två regelverken OSL och lagen om den officiella statistiken ska tillämpas tillsammans.

Sambearbetning av uppgifter från myndigheters register

För att kunna utnyttja den fulla potentialen i registeruppgifter vid forskning uppkommer ofta behov av sambearbetning av data från olika register. Vid sambearbetning måste uppgifter om samma person som hämtats från olika register kunna sammankopplas. I de fall samtliga registeruppgifter finns hos en och samma myndighet, t.ex. hos SCB, kan sambearbetningen ske redan på denna myndighet. Forskarna får då tillgång endast till oidentifierbara uppgifter. I andra fall kan registeruppgifterna finnas hos olika myndigheter. Dessa uppgifter kan då inte vara helt oidentifierbara, eftersom sammankopplingen då omöjliggörs. Det uppstår därmed särskilda frågor om lagstiftningen kring individens integritetsskydd.

Sambearbetning av registeruppgifter kan underlättas genom att det skapas nya databasinfrastrukturer för bestämda, men relativt allmänt hållna, forskningsändamål. Sambearbetning av data kan också ske genom teknologi som möjliggör att data hanteras i befintliga register och att bearbetning av data enbart sker i samband med det aktuella analystillfället. Sambearbetning av data kan då genomföras utan att nya databasinfrastrukturer behöver skapas eller att data som redan finns i ett register behöver lagras även i andra register. Att ytterligare utveckla sådana tekniska möjligheter för att på ett resurseffektivt och praktiskt genomförbart sätt genomföra sam-

bearbetning av data skulle innebära att den enskilde forskaren enbart skulle få tillgång till redan bearbetade och avkodade data. Stora sambearbetade register som lagras permanent borde därmed på sikt i många fall kunna avvecklas och skyddet för den enskildes integritet kunna stärkas.

I ett tilläggsdirektiv (dir. 2012:15) till Statistikutredningen 2012 (Fi 2011:05) gav regeringen utredaren i uppdrag att föreslå organisatoriska och tekniska åtgärder som kan underlätta registerbaserad forskning och samtidigt skydda och stärka individens integritet. Utredaren föreslog i ett delbetänkande, Registerdata för forskning (SOU 2012:36) bl.a. att en ny myndighet bör inrättas med uppgift att stödja och utveckla registerbaserad forskning. Den nya myndigheten bör enligt utredaren bl.a. få ansvar för att upprätta ett register över befintliga register och att underlätta datahantering och fjärråtkomst till datauppgifter. I propositionen Forskning och innovation (2012/13:30) gjorde regeringen bedömningen att Vetenskapsrådet bör få i uppdrag att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål och i budgetpropositionen för 2013 (prop. 2012/13:1) anslås medel till myndigheten för inrättandet av en informations- och rådgivningsfunktion för registerbaserad forskning.

Behandling av personuppgifter som samlas in för framtida forskningsändamål

Det är för närvarande problematiskt för forskare att skapa register med känsliga personuppgifter som underlag för framtida forskning. Det kan t.ex. röra sig om longitudinella forskningsprojekt där många uppgifter om ett stort antal individer samlas in för att användas i olika forskningsprojekt. Sådana register som inte avser ett visst projekt, en del av ett projekt eller en på något liknande sätt bestämd forskning kan normalt inte godkännas av en etikprövningsnämnd. Centrala etikprövningsnämnden har avvisat ansökningar om etikprövning för sådana forskningsprojekt med hänvisning till att projektet är alltför ospecificerat och det inte går att bedöma ur forskningsetisk synpunkt eller att projektet syftar till att bygga upp en infrastruktur för forskning och inte i sig innefattar någon forskning. Nämnden anser sig i sådana fall inte ha någon rättslig möjlighet att

pröva ansökan och göra sin bedömning (se t.ex. projekten med nämndens dnr Ö 11-2009 och dnr Ö 28-2010).

Nämnden anför i en av avslagsmotiveringarna att det kan anföras skäl för att etikprövningslagen borde utvidgas till att gälla även projekt för behandling av personuppgifter för att bygga upp resurser som är avsedda att utgöra underlag för framtida forskning.

Utlämnande av känsliga personuppgifter från myndigheter kan möjliggöras om en särskild registerförfattning finns för det aktuella registret. Ett exempel på en sådan särskild reglering är lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering.

Frågan vilken reglering som krävs för att ett register med känsliga uppgifter ska kunna skapas i syfte att ligga till grund för framtida forskning har särskilt uppmärksammats i ett beslut från Datainspektionen om projektet LifeGene (dnr 766-2011).

Sekretess för uppgifter som behandlas inom ramen för forskning

När en forskare har fått tillgång till uppgifter som ska behandlas inom ramen för forskning är nästa fråga vilken sekretess som gäller för uppgifterna hos myndigheten. Flera bestämmelser i OSL kan bli aktuella, t.ex. sekretessbestämmelserna till skydd för enskilda dels i vissa forskningssammanhang (24 kap. 1–6 §§ OSL), dels i särskild verksamhet som avser framställning av statistik och andra jämförbara undersökningar (24 kap. 8 § OSL och 7 § offentlighets- och sekretessförordningen [2009:641]). Sekretessbestämmelserna till skydd för uppgift om en enskilds personliga förhållanden oavsett i vilket sammanhang uppgifterna förekommer kan också aktualiseras (21 kap. OSL). Vidare kan andra sekretessbestämmelser bli aktuella till följd av bestämmelsen om överföring av sekretess till forskningsverksamhet (11 kap. 3 § OSL). Det står dock inte alltid klart vilka bestämmelser det är som är tillämpliga eller om det överhuvudtaget finns några tillämpliga sekretessbestämmelser. Detta gäller inte minst när det är fråga om uppgifter som lämnats av en enskild direkt till den myndighet som bedriver forskningen.

Uppdraget

Inom forskning som förutsätter tillgång till personanknutna registeruppgifter kan två samhälleliga intressen stå i konflikt med varandra, å ena sidan intresset av att bedriva forskning som ger upphov till ny viktig kunskap och å andra sidan intresset av att skydda den enskilde individens integritet. Det är av stor vikt att regelverket tillgodoser den enskildes integritetsskydd för att bibehålla allmänhetens förtroende för forskningen.

Utlämnande av personuppgifter för forskningsändamål

Systematiska sammanställningar över hela eller delar av befolkningen i Sverige och systemet med personnummer har resulterat i att det i dag finns en stor mängd register med personuppgifter. Registeruppgifterna är unika och i vissa fall spårbara under lång tid. Det gör dem till en viktig källa för att studera angelägna frågor kring sambandet mellan samhällsförhållanden, ekonomi, arbetsmarknad, sjukdom och hälsa. Trots detta utnyttjas inte registren på ett sådant sätt att deras fulla potential att ta fram ny kunskap tas tillvara. För detta behövs bättre samordning och tydligare reglering.

Som nämnts tidigare anses det enligt dataskyddsdirektivet och PUL inte vara oförenligt med det ändamål för vilket en uppgift ursprungligen samlats in att behandla uppgiften för historiska, statistiska eller vetenskapliga ändamål. Den komplicerade regleringen kring användandet av personuppgifter i register, hur de olika författningarna ska tillämpas tillsammans och när undantag för forskning är tillämpligt försvårar dock i vissa fall utlämnande av personuppgifter för forskningsändamål.

Utredaren ska därför

  • analysera vilka hinder som finns i författningar och regelverk som försvårar för registeransvariga myndigheter att lämna ut uppgifter för forskningsändamål,
  • med beaktande av integritetsaspekter föreslå lösningar för att underlätta för registeransvariga myndigheter att lämna ut uppgifter för forskningsändamål, och
  • lämna nödvändiga författningsförslag.

Att sambearbeta uppgifter från olika register och att skapa register för forskningsändamål

För att kunna realisera den potential som de svenska registren utgör för att ta fram ny kunskap skulle registren behöva utnyttjas effektivare. Det behövs samordning mellan statistikansvariga myndigheter för att skapa en tydlig ansvarsfördelning och undvika överlappning. Registerregleringen behöver förändras för att förbättra forskares möjligheter att sambearbeta personuppgifter från olika myndigheters register under förutsättning att projektet godkänts av en etikprövningsnämnd. Det finns vidare, trots nya tekniska lösningar för sambearbetning av data, ibland behov av att skapa register med bestämda men relativt allmänt hållna forskningsändamål, dvs. register som är uppbyggda i syfte att insamlade personuppgifter ska kunna användas av forskare i flera olika forskningsprojekt som håller sig inom ramen för det angivna ändamålet. Detta är bl.a. viktigt inom samhällsvetenskaplig, beteendevetenskaplig, ekonomisk och medicinsk forskning. Likaså är det väsentligt att studera samband mellan t.ex. arv och miljö och uppkomster av olika sjukdomar inom den medicinska och epidemiologiska forskningen där data samlas in från patienter eller friska frivilliga som deltar i större forskningsprojekt, t.ex. longitudinella studier.

Utredaren ska därför

  • med beaktande av integritetsaspekter föreslå lösningar för att underlätta sambearbetning av registerdata för forskningsändamål,
  • föreslå lösningar för att kunna skapa register som syftar till att insamlade personuppgifter ska kunna användas av forskare i flera olika forskningsprojekt som håller sig inom ramen för det för registret angivna forskningsändamålet, bl.a. i syfte att genomföra s.k. mikrosimulering,
  • föreslå lösningar för att kunna uppdatera och tillföra nya uppgifter till register eller databaser t.ex. för longitudinella studier, och
  • lämna nödvändiga författningsförslag.

Sekretess vid behandling av personuppgifter för forskningsändamål

Som nämnts tidigare finns det en bestämmelse om överföring av sekretess som blir tillämplig när myndigheter lämnar uppgifter till forskningsverksamhet. Det finns vidare flera s.k. primära, sekretessbestämmelser till skydd för enskilda som gäller i olika forskningssammanhang. Det står dock inte alltid klart vilka bestämmelser det är som är tillämpliga eller om det överhuvudtaget finns några tillämpliga sekretessbestämmelser.

Utredaren ska därför

  • analysera om den befintliga sekretessregleringen är tillräcklig för att skydda enskildas integritet vid forskning, och
  • lämna nödvändiga författningsförslag.

Konsekvensbeskrivningar

Utredaren ska noga avväga sina förslag till lösningar för att förbättra förutsättningarna för registerbaserad forskning mot behovet av skydd för den enskilda individens personliga integritet. Utredaren ska redovisa dessa avvägningar och förslagens konsekvenser såväl för skyddet för enskilda människors integritet som för forskningens förutsättningar. Utredaren ska vidare redovisa konsekvenserna av sina förslag för registerhållande myndigheter och andra berörda myndigheter, universitet och högskolor eller andra organisationer där forskningen utförs.

Samråd och redovisning av uppdraget

Utredaren ska samråda med forskningsutförare, etikprövningsorganisationen samt Statistiska centralbyrån (SCB) och andra relevanta registerhållande myndigheter för att ta del av deras erfarenhet av frågor som rör personuppgifter och register. Utredaren ska vidare samråda med Vetenskapsrådet och andra relevanta forskningsfinansiärer för att ta del av deras erfarenhet av frågor som rör registerbaserad forskning.

Utredaren ska följa arbetet i Informationshanteringsutredningen (Ju 2011:11) och Utredningen om rätt information i vård och omsorg (S 2011:13).

Utredaren ska också följa arbetet inom EU med kommissionens förslag till ny dataskyddsförordning och arbetet med översynen av Europarådets dataskyddskonvention.

Utredaren ska hålla sig informerad om arbetet med utvecklingen av de nationella kvalitetsregistren.

Uppdraget ska redovisas senast den 30 juni 2014.

(Utbildningsdepartementet)