Stockholms universitet har av Utbildningsdepartementet ombetts att yttra sig över Kompletterande promemoria till betänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). Universitetet har följande att anföra.
Sammanfattande bedömning
Stockholms universitet tillstyrker utredarens förslag om att det bör införas en bestämmelse i forskningsdatalagen om lagens territoriella tillämpningsområde och delar bedömningen att etableringslandsprincipen bör gälla som utgångspunkt, då detta är i linje med dataskyddsförordningens principer och nuvarande nationell reglering. Universitetet föreslår dock att konsekvensanalysen ses över med avseende på risken att viss forskning inte kan utföras då forskningsutföraren i vissa situationer varken kan få etikgodkännande eller giltigt samtycke för behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser.
Är regleringen av tillämpningsområdet för forskningsdatalagen förenlig med tillämpningsområdet för etikprövningslagen?
Utredaren noterar att det kan uppkomma situationer i vilka personuppgiftsbehandlingen i forskningsverksamhet som bedrivs på ett verksamhetsställe i Sverige utförs utanför Sverige och forskningsutföraren inte kan få ett etikgodkännande för en behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser. Enligt utredaren ska den personuppgiftsansvarige i en sådan situation förlita sig på samtycke från de registrerade enligt artikel 6.1 i förordningen. Det är dock inte helt klart i vilken mån detta alternativ är tillgängligt för offentliga forskningsaktörer. I delbetänkandet SOU 2017:50 diskuteras flera olika begränsningar när det gäller offentliga forskningsaktörers möjlighet att använda sig av samtycke som rättslig grund. Utredaren bedömer också att offentliga forskningsaktörer framför allt har att utgå från dataskyddsförordningens artikel 6.1 e, uppgift av allmänt intresse (s. 141). En typ av begränsning som diskuteras är att det kan råda betydande ojämlikhet vid samtycke lämnat till offentliga forskningsaktörer. Även om ett sådant hinder inte alltid kan anses föreligga, utan snarare bör prövas från fall till fall, framhåller utredaren att utgångspunkten rimligen är att sådant hinder föreligger. Det är då upp till den personuppgiftsansvarige att visa att frivillighet råder (s. 166-167).
Mer allmänt kan det också inom vissa forskningsprojekt uppkomma hinder för inhämtande av samtycke som har med praktiska eller metodologiska begränsningar att göra. Även om inga juridiska hinder föreligger kan det ibland vara så att det med hänsyn till forskningens syfte och metod inte är lämpligt eller möjligt att inhämta samtycke från de registrerade innan personuppgiftsbehandlingen påbörjas.
Det tycks därmed finnas en risk (om än begränsad) att den sammantagna föreslagna regleringen kan innebära att viss forskning inte kan utföras, nämligen forskningsverksamhet som (i) bedrivs på ett verksamhetsställe i Sverige men utförs utanför Sverige, (ii) innebär behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser och (iii) är sådan att någon typ av hinder för inhämtande av giltigt samtycke föreligger. I dessa fall skulle det kunna vara så att det varken är möjligt att få etikgodkännande för behandlingen (eftersom etikprövningslagen inte är tillämplig) eller att inhämta giltigt samtycke, vilket skulle innebära att behandlingen skulle vara olaglig.
Att en sådan risk föreligger följer av utredarens egna bedömningar i SOU 2017:50 samt i den kompletterande promemorian. Stockholms universitet anser dock att risken inte framhålls i tillräckligt hög grad. Den nämns inte i konsekvensanalysen och eventuella hinder för inhämtande av giltigt samtycke tas inte upp överhuvudtaget i diskussionen rörande förenligheten mellan etikprövningslagens och forskningsdatalagens respektive tillämpningsområde. Universitetet föreslår därför att konsekvensanalysen ses över och förtydligas i detta avseende.
