Myndigheten för vård- och omsorgsanalys (Vård- och omsorgsanalys) har till uppgift att ur ett patient-, brukar- och medborgarperspektiv följa upp och analysera verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg. Det är ur detta perspektiv vårt yttrande tar sin utgångspunkt.
Övergripande kommentar
Vård- och omsorgsanalys välkomnar i huvudsak de förslag som lämnas i promemorian.
Det är angeläget att det skapas möjligheter att långsiktigt bygga upp och förvalta forskningsdatabaser med personuppgifter som kan utgöra underlag för flera olika framtida forskningsprojekt. Detta måste ske inom ramen för en tydlig och rättssäker reglering som i tillräcklig grad säkrar skyddet av den personliga integriteten och den enskildes rätt till självbestämmande, insyn och kontroll. Vi bedömer att promemorians författningsförslag som helhet är väl avvägda och väsentligen uppfyller dessa krav. På några punkter är vi dock kritiska.
Vi tillstyrker i huvudsak förslagen till lag och förordning om vissa forskningsdatabaser men anser att lagen behöver kompletteras med bestämmelser som reglerar frågan om information och samtycke när det gäller behandling av uppgifter om barn. Vi vill också framhålla att det är angeläget att det utreds vidare om och hur personuppgifter från personer med nedsatt beslutsförmåga ska kunna användas som underlag för framtida forskningsprojekt.
Vi avstyrker förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400), OSL, i dess nuvarande form, eftersom vi bedömer att förslaget ger ett otillräckligt sekretesskydd för personuppgifterna i forskningsdatabaser.
Nedan följer våra mer detaljerade synpunkter på och reflektioner kring utredarens förslag i relevanta delar.
Synpunkter på specifika förslag och avsnitt
1 Författningsförslag och 5.7 Samtycke och information vid behandling av personuppgifter
Den föreslagna nya lagen om vissa forskningsdatabaser anger i 2 kap. 4 § att personuppgifter i en forskningsdatabas får behandlas bara om den registrerade har samtyckt till det, om inte annat följer av den föreslagna lagen. Det ligger nära till hands att tolka denna bestämmelse som att den nya lagen innehåller en uttömmande reglering av vilka samtycken som får ligga till grund för en personuppgiftsbehandling i en forskningsdatabas.
Ingen bestämmelse i den föreslagna lagen ger möjlighet för någon annan än den registrerade själv att lämna ett samtycke för dennes räkning.
Av den föreslagna 2 kap. 7 § framgår indirekt att det ändå förutsätts att en vårdnadshavare ska kunna samtycka till behandling av ett barns personuppgifter. Utredaren menar att detta följer av föräldrabalkens generella reglering av bestämmanderätten i frågor som rör barn och är så självklart att ingen bestämmelse om det behöver införas i den nya lagen. Vi delar inte den bedömningen. Det är, enligt vår uppfattning, fullt rimligt att tolka den föreslagna 2 kap. 4 § som en specialregel som innebär att det, när det specifikt gäller forskningsdatabaser, inte under några förhållanden är möjligt att samla in uppgifter från ett barn som inte har uppnått tillräcklig ålder och mognad för att själv kunna samtycka till behandlingen.
Av underlaget i promemorian framgår dessutom att det inte ens för utredaren är självklart vid vilken tidpunkt bestämmanderätten ska övergå från vårdnadshavaren till barnet eller i vilka situationer både den underårige själv och vårdnadshavaren ska inkluderas i informations- och samtyckesförfarandet. Resonemanget i promemorian bygger på att en sammanvägning ska göras och att såväl den allmänna dataskyddsregleringen som bestämmelserna i lagen (2003:460) om etikprövning av forskning som avser människor och lagen (1990:52) med särskilda bestämmelser om vård av unga har betydelse. Med dessa regelverk som grund ska en individuell bedömning göras för varje enskild forskningsdatabas, där det ska beaktas vad barnets deltagande innebär, hur känsliga uppgifterna är och vilka integritetsrisker registreringen kan tänkas innebära på lång sikt. En fråga som inte alls berörs är vad som ska gälla om den ena av två vårdnadshavare, men inte den andra, samtycker till insamlandet.
Utöver att själva lagen är otydlig finns det alltså inte heller i promemorians resonemang något underlag till förarbeten som kan ge tydlig ledning för den som ska hantera informations- och samtyckesprocesserna. Sammantaget ser vi en risk för att den föreslagna regleringen kan skapa svårigheter i den praktiska tillämpningen och leda till en bristande rättssäkerhet och enhetlighet. Vår bedömning är att det behövs en tydlig lagreglering av frågan om information och samtycke när det gäller uppgifter om underåriga.
Den föreslagna regleringen innebär vidare att det inte i några situationer kommer att vara tillåtet att behandla uppgifter om vuxna personer med nedsatt beslutsförmåga i en forskningsdatabas. Den nya lagen innehåller inte några bestämmelser som möjliggör insamling av uppgifter om människor som inte kan lämna ett fullt informerat samtycke till behandlingen. Frågan berörs inte heller i promemorian i övrigt. Detta är en brist som riskerar att allvarligt begränsa möjligheterna till forskning om bland annat demenssjukdomar. Det är angeläget att det utreds vidare om och hur personuppgifter från personer med nedsatt beslutsförmåga kan användas som underlag för framtida forskningsprojekt med tillräckligt skydd av den personliga integriteten och rätten till insyn, självbestämmande och kontroll.
1 Författningsförslag, 8 Sekretessfrågor, 5.12.4 Uppgiftsskyldighet och 5.7.4 Övrig information till den registrerade
Utredaren anger att en absolut sekretess för uppgifter som avser enskilds personliga förhållanden ska gälla i verksamheter som avser förande av eller uttag ur forskningsdatabaser. Samtidigt innebär dock den föreslagna regleringen att flera av de sekretessbrytande bestämmelserna i OSL kommer att vara tillämpliga. Bland annat ska samtliga uppgifter i databaserna få lämnas ut till brottsutredande myndigheter vid misstankar om brott för vilka det inte är föreskrivet lindrigare straff än fängelse ett år eller försök till brott för vilka det inte är föreskrivet lindrigare straff än fängelse två år. Detta kommenteras inte närmare i promemorian. Trots att förslaget innebär att personuppgifter utan den registrerades samtycke kan komma att användas för ändamål av en helt annan art än det de samlades in för, och trots att denna användning sannolikt kommer att upplevas som mycket integritetskänslig, innehåller promemorian ingen egentlig intresseavvägning alls. Det görs ingen analys av hur möjligheten att använda uppgifter i brottsutredningar kan påverka förtroendet för forskningsdatabaserna eller människors vilja att ställa sina egna eller sitt barns personuppgifter till förfogande. Det diskuteras inte om regleringen kan snedvrida tillgängligheten av uppgifter genom att äventyra en representativ medverkan. Inte heller görs någon etisk analys av i vad mån det är godtagbart att människor som frivilligt och oegennyttigt ställer personliga uppgifter till förfogande för ospecificerade framtida forskningsprojekt därigenom ska löpa en ökad risk att dömas till ansvar för brott. Eftersom ingen intresseavvägning har gjorts framgår vidare inte hur stort värde de aktuella uppgifterna bedöms kunna ha för den brottsutredande verksamheten.
Den föreslagna nya lagen kräver att den registrerade, innan samtycke lämnas, informeras om de sekretess- och säkerhetsbestämmelser som gäller för forskningsdatabasen. Utredaren har dock inte specifikt kommenterat vad informationskravet innebär i förhållande till de sekretessbrytande bestämmelserna. Promemorian innehåller inga resonemang om hur det ska säkerställas att den registrerade får tillräcklig information om innebörden av denna relativt komplexa och svårtillgängliga reglering och inte heller någon analys av forskningshuvudmännens förutsättningar att lämna sådan information.
Sammanfattningsvis anser vi att utredningen i dessa delar är bristfällig. Vi kan inte, utifrån det underlag som ges i promemorian, ta ställning till om och i så fall under vilka förutsättningar uppgifter ur forskningsdatabaserna bör få lämnas ut i syfte att utreda brott. Vi bedömer dock att de möjligheter till utlämnande som ges i den föreslagna regleringen under alla förhållanden är för långtgående. Om det över huvud taget ska vara möjligt att lämna ut uppgifter ur databaserna till brottsutredande myndigheter, måste dessa möjligheter vara begränsade till situationer där det handlar om betydligt grövre brottslighet.
Beslut om detta yttrande har fattats av generaldirektör Jean-Luc af Geijerstam. I handläggningen har chefsjuristen Catarina Eklundh Ahlgren, analyschefen Caroline Olgart Höglund samt utredaren Nils Janlöv deltagit. Juristen Eva Bucksch har tagit fram remissvaret och har även varit föredragande.