Väljs en annan instans ska den göra

Utredningens alternativa förslag: Ett projekt får godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand-lingen kan innebära. Ett godkännande får förenas med villkor.

För Etikprövningsmyndigheten och Överklagandenämnden för etik-prövning finns det som framgått (avsnitt 10.4.1) redan ett beprövat regelverk om vad som krävs för ett godkännande som kan användas också vid prövningen av Myndigheten för vård- och omsorgsanalys analysprojekt. Om någon annan instans än Etikprövningsmyndig-heten eller Överklagandenämnden för etikprövning ska göra pröv-ningen av myndighetens projekt, behövs det en ny norm att göra prövningen mot. Ett alternativ vore förstås att föreskriva att instansen vid prövning och godkännande ska tillämpa etikprövningsorganens regelverk för forskning (6–11 §§ etikprövningslagen) på motsvar-ande sätt. Utredningen har emellertid ansett att den, för den händelse den etablerade etikprövningsorganisationen inte skulle anses vara aktuell, bör lämna ett alternativt förslag till en egen materiell be-stämmelse som en alternativ instans kan tillämpa vid prövning och godkännande av myndighetens projekt.

Som utredningen redogjort för i avsnitt 10.4.1, var behandling av känsliga personuppgifter för forskningsändamål enligt den ursprung-liga lydelsen av 19 § första stycket personuppgiftslagen tillåten om

behandlingen var nödvändig och samhällsintresset av det forsknings-projekt där behandlingen ingick klart vägde över den risk för otill-börligt intrång i enskildas personliga integritet som behandlingen kunde innebära. I förarbetena betonades att det behövde göras en prövning i varje enskilt fall och att den som regel skulle göras av någon oberoende instans. Avvägningsnormen gav uttryck för en restriktiv tillämpning och betonade att behandlingen måste vara nödvändig samtidigt som en intresseavvägning skulle göras. Reger-ingen ansåg att det inte var nödvändigt att i lagtexten ytterligare precisera normen utan det kunde överlåtas åt rättstillämpningen att med användande av normen och allt efter rådande värderingar och utvecklingen i samhället avgöra vilka behandlingar som kunde tillåtas.²¹

När möjligheten för den personuppgiftsansvarige att själv göra en avvägning enligt 19 § första stycket personuppgiftslagen togs bort, infördes i etikprövningslagen ett krav på att behandlingen ska vara nödvändig för att forskning ska kunna utföras samt att risken för intrång i forskningspersonernas personliga integritet ska vägas upp av forskningens vetenskapliga värde. Regeringen konstaterade att detta innebar att den avvägningsnorm som dittills funnits i 19 § första stycket personuppgiftslagen i stället fördes in i etikprövnings-lagen.²² Etikprövningslagens bestämmelser är således en utveckling av personuppgiftslagens tidigare krav på intresseavvägning vid be-handling av känsliga personuppgifter för forskningsändamål.

I 19 § andra stycket personuppgiftslagen fanns motsvarande avvägningsnorm, som tidigare fanns för behandling för forsknings-ändamål, kvar för statistikändamål. Känsliga personuppgifter fick behandlas för statistikändamål, om behandlingen var nödvändig och om samhällsintresset av det statistikprojekt där behandlingen ingick klart vägde över den risk för otillbörligt intrång i enskildas person-liga integritet som behandlingen kunde innebära.

Enligt artikel 9.2 j i dataskyddsförordningen får känsliga person-uppgifter behandlas för statistiska ändamål på grundval av unions-rätten eller medlemsstaternas nationella rätt, vilken ska stå i pro-portion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades

21 Prop. 1997/98:44 s. 70 f.

grundläggande rättigheter och intressen. I förarbetena till dataskydds-lagen anges att det inte heller nu är lämpligt att genom lagstiftning på förhand avgöra exakt i vilka fall behandling av känsliga person-uppgifter ska få ske för statistiska ändamål.²³ I dataskyddslagen infördes i stället en avvägningsnorm motsvarande den som fanns i 19 § andra stycket personuppgiftslagen. Behandling av känsliga per-sonuppgifter för statistiska ändamål får således ske om samhälls-intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära (3 kap. 7 § dataskyddslagen). En motsvarande bestämmelse infördes för statistikansvariga myndig-heters framställning av annan statistik än officiell statistik i 15 § statistiklagen.²⁴

Som redan framhållits utgör eller påminner myndighetens verk-samhet i flera avseenden om statistisk verkverk-samhet och den påminner också om forskningsverksamhet (se vidare avsnitt 7.1.3, 7.2.5 och 17.3). En motsvarande avvägningsnorm som enligt 3 kap. 7 § data-skyddslagen bör därför passa bra vid prövning och godkännande av myndighetens projekt. Utredningen föreslår att myndighetens pro-jekt ska få godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.

Motsvarande omständigheter som enligt förarbetsuttalanden tidi-gare skulle beaktas vid tillämpningen av bestämmelsen om behand-ling för statistikändamål i 19 § andra stycket personuppgiftslagen och som fortfarande gäller vid behandling för statistikändamål enligt 3 kap. 7 § dataskyddslagen bör beaktas vid den helhetsbedömning som ska göras vid prövningen av den externa instansen.²⁵ Det är således aktuellt att bedöma bl.a. vikten av det aktuella projektet, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vad mån den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna förrycka undersökningsresultatet. Vid intresseavvägningen bör också beaktas

23 Prop. 2017/18:105 s. 124.

24 Prop. 2017/18:107 s. 37 ff.

25 Prop. 2017/18:105 s. 124.

om information i någon form lämnas till de berörda. Även frågan om i vilken utsträckning den som begär det ska ha rätt att bli struken kan beaktas vid intresseavvägningen.²⁶

Prövningen och godkännandet ska avse ett visst projekt. Om ett projekt innefattar flera klart avgränsade delprojekt, varav bara något innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, behöver emellertid bara det delprojektet prövas och godkännas för att behandlingen av personuppgifter ska vara tillåten.

Detta förutsätter att samhällsintresset av redan delprojektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Om inte delprojektet i sig uppfyller detta, kan hela projektet behöva prövas i ett sammanhang.

Ett beslut om att godkänna myndighetens projekt bör kunna för-enas med villkor som ska uppfyllas för att behandlingen av person-uppgifter ska få ske. Sådana villkor kan behövas t.ex. beträffande formerna för urvalet av deltagare i en studie, inhämtande av sam-tycke eller lämnande av information.