Långsiktig reglering av vissa forskningsdatabaser

Betänkande 2024/25:UbU6

2024/25:UbU6

Sammanfattning

Utskottet ställer sig bakom regeringens förslag om långsiktig reglering av vissa forskningsdatabaser.

Utskottet tillstyrker förslaget om en ny lag om vissa forskningsdatabaser, som ska komplettera befintlig dataskyddsreglering. Regelverket ska göra det möjligt för universitet och högskolor att föra forskningsdatabaser som har ett särskilt vetenskapligt värde ur ett långsiktigt perspektiv i syfte att skapa underlag för olika forskningsprojekt. Personuppgifter i en sådan forskningsdatabas ska samlas in och behandlas med de registrerades frivilliga medverkan. Utskottet tillstyrker även regeringens förslag till ändringar i offentlighets- och sekretesslagen. Ändringarna föreslås såväl för att skydda enskildas integritet som för att kompletterande uppgifter ska kunna inhämtas i en verksamhet med en forskningsdatabas från t.ex. registerhållande myndigheter. Syftet med förslagen är att förbättra förutsättningarna för registerbaserad forskning samtidigt som de registrerades personliga integritet skyddas.

Den nya lagen om vissa forskningsdatabaser ersätter den tidsbegränsade lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, som upphör att gälla den 31 december 2024. Den nya lagen och lagändringarna i offentlighets- och sekretesslagen föreslås träda i kraft den 1 januari 2025.

Utskottet tillstyrker även upphävandet av lagen om rättspsykiatriskt forskningsregister. Den föreslås upphöra att gälla vid utgången av 2024. Vidare tillstyrker utskottet den följdändring i lagen om Rättsmedicinalverkets behandling av personuppgifter som föreslås träda i kraft den 1 januari 2025.

Behandlade förslag

Proposition 2024/25:19 Långsiktig reglering av vissa forskningsdatabaser.

Innehållsförteckning

Utskottets förslag till riksdagsbeslut

Redogörelse för ärendet

Ärendet och dess beredning

Propositionens huvudsakliga innehåll

Utskottets överväganden

Lagförslag om långsiktig reglering av vissa forskningsdatabaser

Utskottets ställningstagande

Bilaga 1
Förteckning över behandlade förslag

Propositionen

Bilaga 2
Regeringens lagförslag

Utskottets förslag till riksdagsbeslut

Lagförslag om långsiktig reglering av vissa forskningsdatabaser

Riksdagen antar regeringens förslag till

1. lag om vissa forskningsdatabaser,

2. lag om ändring i offentlighets- och sekretesslagen (2009:400),

3. lag om upphävande av lagen (1999:353) om rättspsykiatriskt forskningsregister,

4. lag om ändring i lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter.

Därmed bifaller riksdagen proposition 2024/25:19 punkterna 1–4.

Stockholm den 21 november 2024

På utbildningsutskottets vägnar

Fredrik Malm

Följande ledamöter har deltagit i beslutet: Fredrik Malm (L), Åsa Westlund (S), Josefin Malmqvist (M), Linus Sköld (S), Robert Stenkvist (SD), Caroline Helmersson Olsson (S), Oskar Svärd (M), Mats Wiking (S), Jörgen Grubb (SD), Marie-Louise Hänel Sandström (M), Daniel Riazat (V), Mathias Bengtsson (KD), Anders Alftberg (SD), Anders Ådahl (C) och Paula Örn (S).

Redogörelse för ärendet

Ärendet och dess beredning

I betänkandet behandlar utskottet regeringens proposition 2024/25:19 Långsiktig reglering av vissa forskningsdatabaser. En tidsbegränsad lag har gällt i avvaktan på en långsiktig reglering av forskningsdatabaser, lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (i propositionen benämnd Lifegene-lagen). I den nu aktuella propositionen behandlas de förslag som har lämnats i promemorian Långsiktig reglering av forskningsdatabaser (U2022/04089). Vidare behandlas ett tillkännagivande som riksdagen har lämnat till regeringen om villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund (bet 2018/19:UbU5 punkt 2, rskr. 2018/19:44).

Regeringen har bett Lagrådet att yttra sig över lagrådsremissens lagförslag och följer Lagrådets synpunkter. I förhållande till lagrådsremissens lagförslag har dessutom vissa språkliga ändringar gjorts.

Regeringens förslag till riksdagsbeslut finns i bilaga 1 och lagförslaget i bilaga 2.

Propositionens huvudsakliga innehåll

I propositionen föreslås en ny lag om vissa forskningsdatabaser, som ska komplettera befintlig dataskyddsreglering. Regelverket ska göra det möjligt för universitet och högskolor att föra forskningsdatabaser som har ett särskilt vetenskapligt värde ur ett långsiktigt perspektiv i syfte att skapa underlag för olika forskningsprojekt. Personuppgifter i en sådan forskningsdatabas ska samlas in och behandlas med de registrerades frivilliga medverkan. Regeringen föreslår också ändringar i offentlighets- och sekretesslagen (2009:400), såväl för att skydda enskildas integritet som för att kompletterande uppgifter ska kunna inhämtas i en verksamhet med en forskningsdatabas från t.ex. registerhållande myndigheter. Syftet med förslagen är att förbättra förutsättningarna för registerbaserad forskning samtidigt som de registrerades personliga integritet skyddas.

Den nya lagen om vissa forskningsdatabaser ersätter den tidsbegränsade lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, som upphör att gälla den 31 december 2024.

Slutligen föreslås att lagen (1999:353) om rättspsykiatriskt forskningsregister upphävs. Detta leder också till en följdändring i lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter.

Den nya lagen och lagändringarna föreslås träda i kraft den 1 januari 2025.

Utskottets överväganden

Lagförslag om långsiktig reglering av vissa forskningsdatabaser

Utskottets förslag i korthet

Riksdagen antar regeringens förslag till ny lag om vissa forskningsdatabaser, som ska komplettera befintlig dataskyddsreglering. Den nya lagen ersätter den tidsbegränsade lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Riksdagen antar även regeringens förslag till ändringar i offentlighets- och sekretesslagen, som bl.a. syftar till att skydda enskildas integritet. Riksdagen antar vidare regeringens förslag om att upphäva lagen om rättspsykiatriskt forskningsregister, med en följdändring i lagen om Rättsmedicinalverkets behandling av personuppgifter.

Propositionen

Bakgrund

Regeringen anger att databaser har stor betydelse för forskning och att det finns behov av ytterligare reglering. Inom många vetenskapsområden finns det behov av att samla in uppgifter om och från individer för att kunna besvara olika typer av forskningsfrågor. Registerbaserad forskning kan sägas vara forskning där man använder sig av data som finns i register som förs av myndigheter eller andra organisationer. En förutsättning för att kunna bedriva registerbaserad forskning är att forskare kan arbeta i databaser som innehåller stora mängder data som kombineras och sambearbetas på olika sätt. Inom vissa forskningsområden behövs tillgång till individdata, dvs. personuppgifter, för att kunna besvara forskningsfrågorna. De personuppgifter som behöver behandlas kan vara identifierande personuppgifter eller pseudonymiserade personuppgifter, dvs. personuppgifter som avidentifierats på så sätt att de inte längre kan kopplas till en viss person utan kompletterande uppgifter.

För att behandla känsliga personuppgifter eller uppgifter om lagöverträdelser i ett forskningsprojekt krävs tillstånd av Etikprövningsmyndigheten enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Med känsliga personuppgifter avses särskilda kategorier av personuppgifter som till sin natur är särskilt känsliga och som har ett starkt skydd enligt EU:s dataskyddsförordning, t.ex. uppgifter om hälsa.

Många forskningsfrågeställningar inom medicin, samhällsvetenskap eller humaniora kan besvaras genom att forskningen använder uppgifter som samlats in direkt från olika individer i form av exempelvis enkäter, tester, mätningar och upptagningar. Dessa uppgifter samlas in med samtycke från forskningspersonerna. Forskningsperson används här i betydelsen en levande människa som forskningen avser. Det kan också vara så att olika typer av uppgifter behöver kombineras. Inom ramen för ett forskningsprojekt sammanställer forskaren sina rådata på ett strukturerat sätt för att dessa ska kunna utgöra grunden för forskningen. Detta görs normalt i en databas som är specifik för det enskilda forskningsprojektet. Sådana databaser kallas här projektdatabaser.

Ett godkännande enligt etikprövningslagen kan dock inte lämnas för en databas som enbart förs i syfte att lämna ut personuppgifter till andra forskningsprojekt. Sådana databaser kallas här forskningsdatabaser. Detta är bakgrunden till att den tidsbegränsade lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa infördes (Lifegene-lagen). De grundläggande förutsättningarna för att lämna ut uppgifter från registret till ett forskningsprojekt är att projektet och behandlingen av personuppgifterna har godkänts enligt etikprövningslagen och att forskningen bedrivs vid en myndighet.

Eftersom Lifegene-lagen och den anslutande förordningen upphör att gälla vid utgången av december 2024 finns det enligt regeringen behov av att införa en ny reglering. Eftersom forskningen ständigt utvecklas med nya inriktningar och nya forskningsfält behöver en långsiktig reglering täcka fler forskningsfält. Regeringen anger att det dessutom finns behov av att se över regleringen av vissa äldre register som har kommit att utvecklas till att bli forskningsdatabaser liksom regleringen av sekretess och tystnadsplikt.

Gällande rätt

Viktiga bestämmelser till skydd för den personliga integriteten finns bl.a. i regeringsformen (RF), den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande rättigheterna (Europakonventionen), som gäller som lag i Sverige (se artikel 8 om att var och en har rätt till skydd för sitt privatliv), och EU:s stadga om de grundläggande rättigheterna (se artikel 7 samt artikel 8 där det anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne).

När det gäller behandling av personuppgifter finns den centrala regleringen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd dataskyddsförordningen, och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen. I dataskyddsförordningen finns vissa bestämmelser som särskilt reglerar behandling av personuppgifter för forskningsändamål. När det gäller forskning finns därutöver bl.a. etikprövningslagen och Lifegene-lagen.

Ytterligare en lag som innehåller bestämmelser till skydd för enskildas integritet som har särskild relevans när det gäller forskningsdatabaser är offentlighets- och sekretesslagen (OSL). Bestämmelserna i OSL får bl.a. betydelse för möjligheten att samla in uppgifter till en forskningsdatabas, nämligen när det är fråga om insamling av uppgifter från myndighetsregister, där registerförande myndigheter ska bedöma om det är förenligt med den gällande sekretesslagstiftningen att lämna ut uppgifter. Regleringen i OSL har också betydelse för möjligheten att skydda personuppgifter i en forskningsdatabas.

Frågor kopplade till arkivering och gallring aktualiseras i samband med att uppgifter som använts i forskningssammanhang inte längre ska användas. Enligt 2 kap. 23 § tryckfrihetsförordningen (TF) får grundläggande föreskrifter om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar meddelas i lag. Den centrala regleringen finns i arkivlagen (1990:782), men även dataskyddsförordningen och dataskyddslagen innehåller viss reglering av relevans.

Regeringens förslag och bedömningar

Den tidsbegränsade Lifegene-lagen behöver ersättas av en mer generell lag

Regeringen bedömer att det behövs en ny lag som ersätter den tidsbegränsade lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa (Lifegene-lagen). Även den nya lagen bör utgå från enskildas frivilliga medverkan men ha ett mer generellt tillämpningsområde.

Regeringens bedömning är att personuppgiftsbehandling genom att bygga upp och föra en forskningsdatabas är en behandling för vetenskapliga forskningsändamål enligt EU:s dataskyddsförordning och att en särreglering för vissa forskningsdatabaser är en tillåten kompletterande nationell reglering till dataskyddsförordningen.

Skälen för regeringens bedömning

Regeringen anser att det är angeläget att det skapas möjligheter att långsiktigt bygga upp och förvalta forskningsdatabaser med personuppgifter som kan utgöra underlag för flera olika framtida forskningsprojekt. Med undantag för den tidsbegränsade Lifegene-lagen med tillhörande förordning finns det i dagsläget ingen särskild nationell reglering av behandling av personuppgifter i forskningsdatabaser, dvs. sådana databaser som endast förs i syfte att lämna ut personuppgifter till forskningsprojekt. Den personuppgiftsbehandling som sker i andra register än Lifegene är dock inte oreglerad utan sker inom ett rättsligt ramverk, enligt regeringen. För behandling av personuppgifter inom forskningsområdet är EU:s dataskyddsförordning och dataskyddslagen den primära reglering som gäller och ska följas. Dessutom är regleringen i etikprövningslagen av central betydelse. All behandling av personuppgifter som utförs i verksamheter inom forskningsområdet, däribland den som sker i verksamhet med olika typer av databaser, regleras alltså av bestämmelserna i dataskyddsförordningen liksom kompletterande nationell lagstiftning av betydelse för verksamheten.

Den nya lagens omfattning

Regeringen föreslår att en ny lag som reglerar villkoren för behandling av personuppgifter i vissa forskningsdatabaser ska införas. Den nya lagen ska vara en ramlag som kompletteras av föreskrifter i förordning, i vilka regeringen föreskriver bl.a. vilka forskningsdatabaser som ska få föras med stöd av lagen.

Regeringen anger att syftet med lagen ska vara dels att ge lärosäten möjlighet att i forskningsdatabaser skapa underlag för flera framtida forskningsprojekt som inte är definierade när databasen byggs upp eller när personuppgifter till den annars samlas in, dels att säkerställa att de registrerades personliga integritet skyddas vid den insamling och övriga behandling av personuppgifter som görs i verksamhet med dessa forskningsdatabaser.

Regeringen föreslår vidare att lagen ska gälla vid behandling av personuppgifter i verksamheter med sådana forskningsdatabaser

där insamlingen och registreringen av personuppgifter görs genom de registrerades frivilliga medverkan
vars huvudsakliga syfte är att skapa underlag för flera framtida forskningsprojekt
som är av särskilt vetenskapligt värde för forskningen i ett långsiktigt perspektiv.

Rätt att få föra forskningsdatabaser

Regeringen föreslår att behandling av personuppgifter i en forskningsdatabas ska få utföras i verksamhet som bedrivs vid ett lärosäte som är

ett statligt universitet eller en statlig högskola som har rätt att utfärda examen på forskarnivå eller
en enskild utbildningsanordnare som har tillstånd att utfärda examen på forskarnivå enligt lagen om tillstånd att utfärda vissa examina och som enligt offentlighets- och sekretesslagen och bilagan till den lagen ska jämställas med myndigheter i sin verksamhet med forskningsdatabasen.

Vidare anger regeringen i sitt förslag att det lärosäte som för en forskningsdatabas ska vara personuppgiftsansvarigt för den behandling av personuppgifter som utförs i verksamheten med forskningsdatabasen.

Rättslig grund för behandling av personuppgifter och förhållande till annan dataskyddsreglering

För att en behandling av personuppgifter ska vara laglig måste den ha stöd i någon av de rättsliga grunder som anges i artikel 6.1 i EU:s dataskyddsförordning. De rättsliga grunder som är relevanta för behandling av personuppgifter för forskningsändamål är enligt regeringen främst samtycke (enligt artikel 6.1 a), uppgift av allmänt intresse (enligt artikel 6.1 e) och intresseavvägning (enligt artikel 6.1 f).

Regeringen bedömer att personuppgiftsbehandlingen i en forskningsdatabas ska basera sig på de registrerades frivilliga medverkan för att omfattas av lagens tillämpningsområde men att samtycke inte bör vara den rättsliga grunden för behandlingen. I stället anser regeringen att den rättsliga grund som är aktuell att tillämpa är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse.

Enligt regeringens förslag ska det införas en upplysningsbestämmelse i lagen om vissa forskningsdatabaser som tydliggör att lagen kompletterar EU:s dataskyddsförordning. I lagen ska det också införas en upplysningsbestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats med stöd av den lagen gäller vid behandling av personuppgifter enligt lagen, om inte annat följer av lagen om vissa forskningsdatabaser eller föreskrifter som meddelats i anslutning till den lagen.

Ändamål med behandlingen av personuppgifter och beslut om forskningsdatabaser

Regeringen föreslår att personuppgifter ska få samlas in och i övrigt behandlas i verksamhet med en sådan forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser för de övergripande ändamålen att

skapa underlag för flera framtida forskningsprojekt inom de forskningsområden som är angivna för forskningsdatabasen
lämna ut uppgifter till sådana forskningsprojekt
lämna ut uppgifter till forskningsprojekt inom de forskningsområden som är angivna för forskningsdatabasen, även om projekten redan påbörjats innan forskningsdatabasen inrättats.

Personuppgifter som samlats in och behandlas för de övergripande ändamålen enligt ovan ska därutöver bara få behandlas för ändamålen att lämnas ut enligt bestämmelser om utlämnande i ramlagen samt, när de inte längre behövs för ovannämnda ändamål, för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Regeringen föreslår att den ska få meddela föreskrifter som avgränsar vilket eller vilka forskningsområden en forskningsdatabas ska skapa underlag för och lämna ut uppgifter till.

Regeringen bedömer att den föreslagna modellen, där övergripande ändamål med personuppgiftsbehandlingen i forskningsdatabaser anges i ramlagen i förening med att det närmare ändamålet för varje forskningsdatabas anges i förordning för respektive forskningsdatabas, uppfyller kravet på ändamålsbegränsning i EU:s dataskyddsförordning.

Regeringen föreslår vidare att den ska få meddela föreskrifter om vilka forskningsdatabaser som får föras och om vilka lärosäten som får behandla personuppgifter enligt lagen. Regeringens bedömning är att Vetenskapsrådet bör få i uppgift att bereda framställningar om att få föra en forskningsdatabas enligt lagen om vissa forskningsdatabaser.

Villkor för behandlingen av personuppgifter

Regeringen föreslår att personuppgifter som huvudregel ska få behandlas i en forskningsdatabas endast om den registrerade har samtyckt till det. Detta gäller oaktat om uppgifterna inhämtats direkt från den enskilde eller genom kompletterande insamling från andra källor. Undantag från huvudregeln ska uttömmande anges i lagen. I verksamheten med en forskningsdatabas ska dock utan samtycke sådana personuppgifter få samlas in och behandlas som är nödvändiga för att kunna identifiera och kontakta en person i en urvalsgrupp med förfrågan om medverkan i forskningsdatabasen. Sådan behandling ska inte få pågå under längre tid än vad som är nödvändigt.

Vidare föreslår regeringen att kompletterande insamling av uppgifter från andra källor än de som kunnat definieras redan i samband med att samtycke till behandling i forskningsdatabasen lämnas får göras utan samtycke bara om den registrerade informerats om insamlingen och inte uttryckligen motsätter sig denna.

När det gäller personuppgifter för underåriga som samlats in med samtycke från den registrerades vårdnadshavare får uppgifterna bara fortsätta att behandlas efter att den registrerade blivit myndig om den registrerade informerats om behandlingen och inte uttryckligen motsätter sig den.

Enligt regeringens förslag ska den registrerade, utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen, innan han eller hon lämnar samtycke eller i samband med att han eller hon får information efter myndighetsdagen, även informeras om

att all registrering och medverkan i verksamheten vid forskningsdatabasen är frivillig och att den registrerade när som helst kan avbryta sin medverkan helt eller delvis och återta sitt samtycke samt effekten av att samtycket återtas
vilka slags uppgifter som får registreras i forskningsdatabasen
att den registrerade kommer att informeras om kompletterande insamling av uppgifter blir aktuell och på vilket sätt sådan information kommer att lämnas
de sekretess- och säkerhetsbestämmelser som gäller för forskningsdatabasen
sin rätt att begära att få information om vilka forskningsprojekt uppgifter om honom eller henne lämnats ut till
vilken som är tillsynsmyndighet
rätten till skadestånd.

Enligt regeringens förslag ska den registrerade ha rätt att när som helst återta sitt samtycke till att hans eller hennes personuppgifter behandlas i en forskningsdatabas. Om den registrerade återtar sitt samtycke får uppgifter om den registrerade därefter inte behandlas för att lämnas ut till forskningsprojekt. Om den registrerade begär det ska den personuppgiftsansvarige underrätta de personuppgiftsansvariga för de forskningsprojekt som uppgifterna om den registrerade har lämnats ut till om att den registrerade har återtagit sitt samtycke till behandling av hans eller hennes personuppgifter i forskningsdatabasen.

Personuppgifter som ska få behandlas

Regeringen föreslår att det i en forskningsdatabas i fråga om personuppgifter bara ska få finnas

uppgifter som den registrerade har lämnat i syfte att de ska ingå i forskningsdatabasen
uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i forskningsdatabasen
uppgifter om, och resultatet från, undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i forskningsdatabasen
kontaktinformation till den registrerade
kompletterande uppgifter om den registrerade som inhämtats från andra källor
kategoriseringar av sådana uppgifter som avses i 1–5
identitetsbeteckningar för de registrerade (kodnycklar eller motsvarande information för identifiering)
uppgifter om utlämnande som har skett till forskning.

Regeringen föreslår att den ska få meddela föreskrifter om begränsningar av vilka personuppgifter som får behandlas i en forskningsdatabas.

Vidare föreslår regeringen att känsliga personuppgifter får behandlas om det är nödvändigt för de ändamål som har angetts i den föreslagna lagen. Genetiska uppgifter och personuppgifter om lagöverträdelser föreslås bara få behandlas om regeringen har meddelat föreskrifter om det.

Integritetsskydd inom verksamheten

Regeringen föreslår att den som arbetar vid ett lärosäte där det finns en verksamhet med en forskningsdatabas får ta del av personuppgifter i den verksamheten endast om han eller hon arbetar i verksamheten och behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter med forskningsdatabasen samt bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till personuppgifter om registrerade i verksamheten med en forskningsdatabas. Sådan åtkomst ska begränsas till vad som behövs för att en anställd eller en uppdragstagare ska kunna fullgöra sina arbetsuppgifter med forskningsdatabasen. Den personuppgiftsansvarige ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Den personuppgiftsansvarige ska göra systematiska och återkommande kontroller av dokumentationen i syfte att kontrollera om någon obehörigen kommit åt personuppgifter i forskningsdatabasen, enligt regeringens förslag.

Villkor för utlämnande av uppgifter

Regeringen bedömer att det kommer att vara de forskningsområden som anges för forskningsdatabasen på förordningsnivå som utgör ramen för vilka forskningsprojekt uppgifter får lämnas ut till. Regeringen föreslår att personuppgifter och uppgifter om avlidna till ett forskningsprojekt bara får lämnas ut till sådana fysiska eller juridiska personer som ska tillämpa OSL eller till fysiska personer som omfattas av tystnadsplikt enligt lagen om vissa forskningsdatabaser. Det föreslås även att regeringen ska få meddela föreskrifter om begränsningar av utlämnande av personuppgifter från en forskningsdatabas.

Regeringen föreslår vidare att uppgifter från en forskningsdatabas till ett forskningsprojekt, om forskningen omfattas av etikprövningslagens krav på etikprövning, bara får lämnas ut om både forskningen och behandlingen av personuppgifter i forskningen har godkänts enligt den lagen. Regeringen bedömer att utlämnande av personuppgifter till forskningsprojekt som faller utanför etikprövningslagens tillämpningsområde inte kan anses innefatta sådana risker för de registrerades integritet att etikprövningslagens tillämpningsområde bör utvidgas. Enligt regeringen bör det inte heller införas någon bestämmelse som innebär att uppgifter får lämnas ut till forskning som ska utföras i ett annat land om forskningen har granskats etiskt och godkänts i det andra landet i ett förfarande som motsvarar etikprövning i Sverige.

Regeringen föreslår att personuppgifter och uppgifter om avlidna ska få lämnas ut från en forskningsdatabas till forskningshuvudmannen för ett forskningsprojekt som uppgifter från forskningsdatabasen har lämnats ut till om det behövs för att utreda oredlighet i forskning eller annan avvikelse från god forskningssed. Personuppgifter och uppgifter om avlidna ska, utöver de fall som anges i lagen, bara få lämnas ut om det finns en skyldighet att göra det enligt lag eller förordning, enligt regeringen.

Uppgifter som lämnas ut ska skyddas

Regeringen föreslår att utlämnande till forskningsprojekt och till forskningshuvudmän i samband med utredning om oredlighet vid forskning m.m. som huvudregel bara får avse personuppgifter som är pseudonymiserade eller skyddade på likvärdigt sätt. Personuppgifter får dock vara direkt identifierbara vid utlämnandet, om det är nödvändigt för att uppfylla ändamålet med den forskning eller den utredning som uppgifterna ska lämnas ut till.

Om personuppgifter eller uppgifter om avlidna som har lämnats ut från en forskningsdatabas är pseudonymiserade eller skyddade på likvärdigt sätt, får kompletterande uppgifter för att identifiera en registrerad, inbegripet de registrerades personnummer eller motsvarande identitetsbeteckning, lämnas ut till en myndighet, om det är nödvändigt för att myndigheten ska kunna lämna ut uppgifter om samma personer till det forskningsprojekt som uppgifter från forskningsdatabasen har lämnats ut till. Den personuppgiftsansvarige ska bevara en förteckning över de kompletterande uppgifter som behövs för att identifiera en registrerad så länge det är nödvändigt.

Regeringen föreslår att den registrerade ska ha rätt att på begäran få information om vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut till. Vidare framför regeringen att begreppet direktåtkomst inte är definierat i lag men att det vanligtvis avser att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Regeringen föreslår att personuppgifter inte ska få lämnas ut genom direktåtkomst annat än till den registrerade själv.

Lagen om rättspsykiatriskt forskningsregister

Regeringen föreslår att lagen ska upphävas och att den till lagen anknytande bestämmelsen tas bort.

Skälen för regeringens förslag

Regeringen framför att det har framkommit att registret inte har tillgodosett de forskningsbehov som finns på området och lagen inte har tillhandahållit de möjligheter som behövs för att bedriva en kvalitativ rättspsykiatrisk forskning. I stället har forskningen kommit att bedrivas på universiteten, utan användning av registret. Rättsmedicinalverket har valt att inte längre föra något register enligt den aktuella regleringen och har framfört att myndigheten är positiv till förslaget att lagen upphävs.

Bestämmelser i OSL om verksamhet med forskningsdatabaser

Regeringen föreslår att sekretess ska gälla i verksamhet som avser förande av eller uttag ur en forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser för en uppgift som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde. Uppgiften ska dock få lämnas ut i den utsträckning som framgår av den lagen och anslutande förordning. Vidare ska en uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde få lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider men. För uppgift i en allmän handling ska sekretessen gälla i högst 70 år. Om en uppgift som omfattas av sekretessbestämmelsen överförs till en annan myndighet ska sekretessbestämmelsen bli tillämplig även hos den mottagande myndigheten.

Enligt regeringens mening är det av integritetsskäl angeläget att upprätthålla sekretessen i förhållande till andra myndigheter också när det gäller verksamhet som avser att föra eller hämta uppgifter ur en forskningsdatabas enligt den nya lagen om vissa forskningsdatabaser. Den nya sekretessen föreslås därför undantas från generalklausulens tillämpningsområde i 10 kap. 27 § OSL, vilken anger att en sekretessbelagd uppgift får lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Det ska dock vara möjligt att bryta sekretessen vid misstanke om vissa allvarligare brott, enligt regeringens förslag.

Vidare föreslår regeringen att den tystnadsplikt som följer av sekretessbestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter. Det ska i lagen om vissa forskningsdatabaser också införas en upplysning om att det i OSL finns bestämmelser om sekretess i verksamhet med en forskningsdatabas, enligt regeringens förslag.

Skälen för regeringens förslag

Regeringen framhåller bl.a. att uppgifter som avses behandlas i forskningsdatabaser enligt lagen om vissa forskningsdatabaser kan vara av mycket integritetskänslig natur och också vara känsliga personuppgifter. Det finns alltså ett starkt intresse av att kunna skydda dessa uppgifter genom bestämmelser om sekretess på motsvarande sätt som uppgifter i verksamhet som avser förande av eller uttag ur register enligt Lifegene-lagen. Vetskapen om att det finns ett sekretesskydd för uppgifterna i en forskningsdatabas är mycket betydelsefull för det frivilliga deltagandet och villigheten att lämna personuppgifter till en forskningsdatabas, enligt regeringen. När det gäller frågan om insynsintresset finns det enligt regeringen ett intresse av att kunna granska den forskning som bedrivs på grundval av uppgifter från registret. Det är dock av största vikt att upprätthålla integritetsskyddet och de registrerades förtroende för att enskilda ska vilja bidra med sina uppgifter till en forskningsdatabas. Enligt regeringen kommer det att finnas möjlighet att granska forskningen, t.ex. för att utreda oredlighet. Sammantaget bedömer regeringen att skälen för sekretess väger tyngre än intresset av insyn, därav förslaget om en sekretessbestämmelse i OSL.

Tystnadsplikt hos enskilda mottagare för uppgifter från forskningsdatabaser

Regeringen föreslår att det i lagen om vissa forskningsdatabaser ska införas en bestämmelse om tystnadsplikt. En enskild forskningshuvudman som är en fysisk person eller den som är eller har varit verksam hos en enskild forskningshuvudman som inte anges i bilagan till OSL ska inte obehörigen få röja vad denne har fått veta om en enskilds personliga förhållanden genom personuppgifter eller uppgifter om avlidna som mottagits från en forskningsdatabas. Det föreslås vidare att det ska upplysas om att i det allmännas verksamhet och för sådana organ som anges i bilagan till OSL gäller den lagen. Den tystnadsplikt som följer av bestämmelsen ska inskränka den grundlagsfästa rätten att meddela och offentliggöra uppgifter.

Ytterligare ett undantag från den absoluta statistiksekretessen

Regeringen föreslår att tillämpningsområdet för bestämmelserna i OSL om undantag från den absoluta statistiksekretessen ska utvidgas till att också omfatta uppgifter som behövs i en forskningsdatabas som förs med stöd av lagen om vissa forskningsdatabaser.

Sekretessbestämmelserna för det rättspsykiatriska forskningsregistret

Regeringen föreslår att bestämmelsen om sekretess för det rättspsykiatriska forskningsregistret och den anslutande bestämmelsen om inskränkt meddelarfrihet ska upphävas.

Skälen för regeringens förslag

Med anledning av att regeringen föreslagit att lagen (1999:353) om rättspsykiatriskt forskningsregister ovan ska upphöra föreslås relevanta bestämmelser i OSL upphävas. Enligt regeringen kan det dock finnas ett visst fortsatt behov av sekretesskydd av uppgifter i den tidigare verksamheten med det rättspsykiatriska forskningsregistret, både i Riksmedicinalverkets verksamhet och hos forskningshuvudmän. Det kvarvarande behovet av sekretesskydd föreslås åstadkommas genom en övergångsbestämmelse (se nedan).

Samlad integritets- och proportionalitetsanalys

Regeringen bedömer att den personuppgiftsbehandling som möjliggörs av den föreslagna lagen är förenlig med EU:s dataskyddsförordnings krav på proportionalitet. Behandlingen utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i Europakonventionen och Europeiska unionens stadga om de grundläggande rättigheterna, enligt regeringen.

Ikraftträdande- och övergångsbestämmelser

Lagen om vissa forskningsdatabaser

Regeringen föreslår att lagen om vissa forskningsdatabaser ska träda i kraft den 1 januari 2025. Vissa bestämmelser i lagen om vissa forskningsdatabaser om villkor för behandling av personuppgifter, nämligen krav på samtycke, information och begränsning av tillåtet innehåll, ska inte gälla för sådana uppgifter som har registrerats i tiden innan en verksamhet med en forskningsdatabas kommit att omfattas av lagens tillämpningsområde. Bestämmelsen om information och möjlighet att motsätta sig fortsatt behandling för den som registrerats genom samtycke från vårdnadshavare ska dock tillämpas för den som fyller 18 år först efter att lagen blivit tillämplig på forskningsdatabasen.

Lagen om ändring i offentlighets- och sekretesslagen

Regeringen föreslår också att lagen om ändring i offentlighets- och sekretesslagen ska träda i kraft den 1 januari 2025. Bestämmelsen om sekretess i verksamhet som avser förande av eller uttag ur register enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska fortfarande gälla i den äldre lydelsen för sådana uppgifter som före ikraftträdandet av den nya lagen om vissa forskningsdatabaser har lämnats ut i enlighet med bestämmelsen om överföring av sådan sekretess i den äldre lydelsen.

Den upphävda bestämmelsen om sekretess ska fortfarande gälla för uppgifter som avsett förande av eller uttag ur register som förts enligt den upphävda lagen om rättspsykiatriskt forskningsregister.

Den inskränkning i rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen som följer av 24 kap. 9 § offentlighets- och sekretesslagen i den äldre lydelsen, ska fortfarande gälla för uppgift som avsett förande av eller uttag ur register som förts enligt den upphävda lagen om rättspsykiatriskt forskningsregister.

Lagen om rättspsykiatriskt forskningsregister och lagen om Rättsmedicinalverkets behandling av personuppgifter

Regeringen föreslår att lagen om rättspsykiatriskt forskningsregister ska upphöra att gälla vid utgången av 2024. En följdändring i lagen om Rättsmedicinalverkets behandling av personuppgifter ska träda i kraft den 1 januari 2025.

Tillkännagivande om villkor för privata och offentliga forskningsutförare

I samband med behandlingen av förslagen i propositionen Behandling av personuppgifter för forskningsändamål (prop. 2017/18:298) tillkännagav riksdagen för regeringen det som utbildningsutskottet anförde om att regeringen bör se över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund (bet. 2018/19:UbU5 punkt 2, rskr. 2018/19:44). Enligt tillkännagivandet innebär det oklarheter i förutsättningarna för forskningen att privaträttsliga forskningsutförare endast kan använda sig av den rättsliga grunden uppgift av allmänt intresse i vissa fall, nämligen om det finns krav på tillstånd för viss forskning eller om forskningen behandlar uppgifter om lagöverträdelser. Vidare anfördes i tillkännagivandet bl.a. att det är viktigt att näringslivet investerar i forskning och innovation och att ny lagstiftning inte försvårar förutsättningarna för privata forskningsutförare (bet. 2018/19:UbU5 s. 31).

Regeringen anger att regleringen i EU:s dataskyddsförordning, till skillnad från det s.k. dataskyddsdirektivet, sammanfattningsvis innebär följande. Personuppgiftsbehandling inom privat utförd forskning kan bara ske med stöd av den rättsliga grunden uppgift av allmänt intresse om uppgiften av allmänt intresse är fastställd i unionsrätten eller nationell rätt. I nu aktuellt fall avses uppgiften att forska. Det har inte kommit till regeringens kännedom att regleringen i dataskyddsförordningen har medfört några praktiska problem för privata forskningsutförare att behandla personuppgifter för forskningsändamål. Det har inte heller framkommit att dataskyddsförordningen har medfört några problem för samarbete mellan t.ex. myndigheter (som enligt lag eller förordning har i uppgift att bedriva forskning) och privata forskningsutförare (som kan åberopa andra rättsliga grunder i dataskyddsförordningen).

Med hänsyn till detta, till principen om forskningens frihet och till svårigheten att fastställa själva forskningsuppgiften för privata forskningsutförare i nationell rätt, gör regeringen bedömningen att det inte är lämpligt att införa en reglering av privata forskningsutförares forskningsuppgifter i nationell rätt på det sätt som skulle krävas för att sådana uppgifter skulle anses vara fastställda i nationell rätt i enlighet med dataskyddsförordningen. Regeringen anger att tillkännagivandet därmed får anses slutbehandlat.

Utskottets ställningstagande

Utskottet välkomnar förslaget om en långsiktig reglering av vissa forskningsdatabaser. Enligt utskottet är det positivt att en ny lag om vissa forskningsbaser nu kan införas efter den tidsbegränsade Lifegene-lagen. Den nya lagen säkerställer att det kommer att vara möjligt för lärosäten att i forskningsdatabaser skapa underlag för forskningsprojekt samtidigt som de registrerades personliga säkerhet skyddas i verksamhet med sådana forskningsdatabaser. Enligt utskottet är det också viktigt att bestämmelser i OSL ändras i enlighet med den nya lagen. Enligt utskottet innebär de föreslagna regleringarna sammantaget att förutsättningarna för registerbaserad forskning förbättras samtidigt som de registrerades personliga integritet skyddas. Utskottet ställer sig därmed bakom regeringens förslag av de skäl som anförs i propositionen. Utskottet ställer sig också bakom regeringens övriga förslag till lagändringar.

Utskottet delar även regeringens bedömning att riksdagens tillkännagivande om villkor för privata och offentliga forskningsutövare får anses slutbehandlat.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2024/25:19 Långsiktig reglering av vissa forskningsdatabaser:

1. Riksdagen antar regeringens förslag till lag om vissa forskningsdatabaser.

2. Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400).

3. Riksdagen antar regeringens förslag till lag om upphävande av lagen (1999:353) om rättspsykiatriskt forskningsregister.

4. Riksdagen antar regeringens förslag till lag om ändring i lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter.

Bilaga 2

Regeringens lagförslag