Det behövs en prövning i varje enskilt fall vid riskfyllda

utan samtycke

10.1 Det behövs en prövning i varje enskilt fall vid riskfyllda behandlingar

Utredningens bedömning: Det behövs en prövning i varje en-skilt fall av en extern oberoende instans för att Myndigheten för vård- och omsorgsanalys ska få utföra särskilt riskfyllda behand-lingar.

Problemet vid reglering av behandling av personuppgifter vid myn-digheter som har i uppdrag att göra analyser, uppföljningar eller tillsyn (eller bedriva spaning), som kräver behandling av personupp-gifter, är att dessa myndigheter som regel behöver behandla alle-handa personuppgifter för vitt skilda konkreta ändamål som i prak-tiken inte låter sig sammanfattas på förhand i lagstiftning på ett sådant sätt att behandlingen kan begränsas. Så är fallet när det gäller Myndigheten för vård- och omsorgsanalys behov av behandling av personuppgifter. En ändamålsbestämmelse i lag med förutsättningar för att behandling ska få ske skulle därför behöva vara så allmänt hållen att man, enligt utredningens bedömning, inte gärna kan över-låta åt myndigheten att själv tillämpa den i de fall det gäller mer integritetskänslig behandling av personuppgifter.

Motsvarande problem med att på förhand fastställa tillräckligt konkreta förutsättningar för behandling av personuppgifter finns vid forskning, som ju kan avse vad som helst och kräva vilka per-sonuppgifter som helst. Myndigheten för vård- och omsorgsanalys

konkretiserar i sin verksamhet med uppföljning och analys fråge-ställningarna på motsvarande sätt som vid forskning och använder samma metoder som vid forskning för att besvara dessa.

Vid forskning är problemet, när det gäller känsliga personupp-gifter och upppersonupp-gifter om lagöverträdelser, numera löst genom systemet med etikprövning som innebär att en extern instans med expert-kompetens enligt ganska konkreta avvägningsnormer i varje enskilt fall bedömer om integritetsintrånget är försvarligt med hänsyn till intresset av behandlingen.

På datalagens tid löstes problemet genom att det krävdes tillstånd av Datainspektionen för att få föra ett forskningsregister och att inspektionen kunde förena tillståndet med skräddarsydda villkor. När personuppgiftslagen infördes 1998 avskaffades tillståndssystemet för nya behandlingar. Behandling av känsliga personuppgifter för forsk-ningsändamål var enligt den ursprungliga lydelsen av personupp-giftslagen tillåten med samtycke eller efter en kvalificerad intresse-avvägning.¹ Behandlingen var tillåten om den var nödvändig och om samhällsintresset av det forskningsprojekt där behandlingen ingick klart vägde över den risk för otillbörligt intrång i enskildas person-liga integritet som behandlingen kunde innebära. Det betonades att det behövde göras en prövning i varje enskilt fall och att den som regel skulle göras av någon oberoende instans. Därför infördes också en bestämmelse om att förutsättningarna enligt den kvalificerade intresseavvägningen skulle anses uppfyllda om behandlingen hade godkänts av en forskningsetisk kommitté. Med forskningsetisk kommitté avsågs ett sådant särskilt organ för prövning av forsk-ningsetiska frågor som hade företrädare för såväl det allmänna som forskningen och som var knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierade forskning.

Genom införandet 2004 av etikprövningslagen avskaffades möj-ligheten för den personuppgiftsansvarige att själv avgöra om och under vilka förutsättningar behandling utan samtycke av känsliga personuppgifter (och uppgifter om lagöverträdelser) för forsknings-ändamål var tillåten. Den prövningen anförtroddes åt de då nyinrätt-ade oberoende etikprövningsnämnderna, med en person med domar-kompetens som ordförande och i övrigt ledamöter med vetenskaplig

kompetens och ledamöter som företräder allmänna intressen. I etik-prövningslagen infördes också mer precisa bestämmelser om hur prövningen och den kvalificerade intresseavvägningen skulle gå till.

Sedan 2008 ska också forskning som sker med samtycke prövas av etikprövningsnämnd.

Myndigheten för vård- och omsorgsanalys har behov av att behandla vissa känsliga personuppgifter, uppgifter om lagöverträdel-ser och att i vissa fall behandla personuppgifter i sådan omfattning att det, med hänsyn till den stora mängden personuppgifter, uppgifternas integritetskänsliga karaktär och behovet av att koppla samman uppgifterna, innebär en kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen (särskilt riskfyllda behandlingar). Det är utredningens slutsats att det bästa sättet att tillfredsställande reglera när Myndigheten för vård- och omsorgsanalys ska få utföra särskilt riskfyllda behand-lingar är att föreskriva att det i varje enskilt fall ska göras en be-dömning av en oberoende och kompetent instans. I kapitel 11–13 redogörs närmare för vilka särskilt riskfyllda behandlingar som Myndigheten för vård- och omsorgsanalys behöver utföra och som bör prövas av en oberoende och kompetent instans.

En del av de analyser Myndigheten för vård- och omsorgsanalys utför sker till följd av uttryckliga uppdrag från regeringen. Om analysprojekten underställs en extern prövning av ett annat organ innebär det en risk för att myndigheten, om ett godkännande inte lämnas, inte kan utföra uppdraget. Lämpligheten i en sådan kon-struktion kan därför diskuteras. Det är dock bara den metod för uppdragets utförande som varit underställd prövningen som inte kan användas om ett godkännande inte lämnas. I många fall kommer myndigheten att kunna anpassa uppläggningen av projektet på ett sätt som gör att regeringsuppdraget ändå kan utföras, exempelvis genom att den del som innefattar särskilt känslig behandling av personuppgifter utgår eller justeras.

Forskningsdatautredningen har övervägt om kravet på etikpröv-ning i etikprövetikpröv-ningslagen bör utvidgas till att gälla all behandling av personuppgifter för forskningsändamål i stället för att som i dag endast omfatta behandling av känsliga personuppgifter och upp-gifter om lagöverträdelser. En sådan utvidgning skulle innebära att

även behandling av personuppgifter som inte innebär någon integri-tetsmässig risk skulle omfattas av kravet på etikprövning. Vid be-handling av personuppgifter som inte innebär risk för kränkning av den personliga integriteten finns det dock enligt Forskningsdata-utredningen inte något behov av etikprövning. En utvidgning av etikprövningslagens tillämpningsområde till att omfatta all behand-ling av personuppgifter för forskningsändamål skulle därför, enligt Forskningsdatautredningen, undergräva syftet med etikprövnings-lagen och riskera att urholka förtroendet för systemet. Forsknings-datautredningen har av den anledningen gjort bedömningen att tillämpningsområdet för etikprövningslagen inte bör omfatta all behandling av personuppgifter för forskningsändamål.² I ett remitterat utkast till lagrådsremiss om behandling av personuppgifter för forsk-ningsändamål görs samma bedömning.³

Mot denna bakgrund anser utredningen att det inte är lämpligt att införa ett krav på en extern prövning av alla myndighetens pro-jekt. Detta kan inte heller anses nödvändigt av integritetsskyddsskäl eller annars.

10.2 Någon extern prövning behövs inte vid samtycke