Framsida » Avgöranden » Överföring av forskningsregister

Överföring av forskningsregister

Dnr 1236/41/10

Ärendet:

En företrädare för ett konkursbo kontaktade dataombudsmannens byrå i ett ärende som gällde överföring av forskningsregister vilket en stiftelse som gått i konkurs hade i sin besittning. Eftersom man ville slutföra forsknings projekten, gällde förfrågan speciellt forskningsregister som behandlade pågående forskningsprojekt. I detta samband handlar det uttryckligen om projekt där stiftelsen har varit registerförare. Företrädaren frågade även huruvida man för överförandet av registret bör söka tillstånd av Riksarkivet i enlighet med personuppgiftslagens 35 §?

Dataombudsmannens ställningstagande:

Pågående forskningsprojekt

Enligt dataombudsmannens uppfattning beror förutsättningarna för överföringen av uppgifterna på grunden för deras behandling. Personuppgifterna kan behandlas på basis av det samtycke som fåtts av den person som personuppgifterna berör. Ifall att samtycke inte kan fås på grund av det stora antal personer som det är fråga om eller annan liknande orsak, så kan man för behandling av uppgifterna ansöka om myndighetslov. Myndighetslov skall ansökas om t.ex. då man vill använda personuppgifter ur riksomfattande register.

För forskningen bildas hos forskarna ett eget personregister, vars uppgiftskälla varit det andra registret. I huvudregel finns det tre typer av forskningsregister; 1) forskningsregister, vars innehåll i sin helhet baserar sig på de registrerades samtycke, 2) forskningsregister, som utöver samtycken även baserar sig på registeruppgifter som fåtts ur myndighetsregister, samt 3) forskningsregister som enbart baserar sig på uppgifter som genom lov fåtts ur olika myndigheters register.

Uppgifter som fåtts genom samtycke

För att man skall kunna behandla perosnuppgifter på basis av samtycke bör de berättigande grunderna i personuppgiftslagens 3 § 1 mom. 7 p. föreligga. Samtycket bör vara frivilligt, särskilt och basera sig på information. För de känsliga uppgifternas del skall samtycket vidare vara uttryckligt, för att vara i enlighet med personuppgiftslagens 12 § 1 mom 1 p. I personuppgiftslagens 24 § förutsätts att den registrerade informeras om behandlingen av personuppgifterna. För att man skall kunna anse att den registrerade gett sitt samtycke till insamlande av uppgifterna, bör den registrerade i enlighet med personuppgiftslagens 24 § ha blivit informerad om alla de relevanta scenarion som kan följa av behandlingen efter samtycke.

Även lagen om medicinsk forskning (488/1999) förutsätter i 6-8 § att forskningsobjektet gett sitt samtycke. Angående samtyckets innehåll stadgas närmare i statsrådets förordning (313/2004).

Enligt de uppgifter som dataombudsmannen har fått, är det fråga om situationer där ett pågående forskningsprojekt ämnas slutföras, även om den registeransvarigas verksamhet har upphört. Det är nödvändigt att forskningsregistret skall fortsätta existera, för att projektet skall kunna slutföras. Det aktiva forskningsregistret bör kunna uppdateras för att projektet skall kunna slutföras. Grunden för behandlingen av personuppgifterna förändras inte på grund av att man vill slutföra det ursprungliga forskningsprojektet, för vilket ett uttryckligt samtycke givits. Enligt de uppgifter som dataombudsmannen fått, så skulle personerna som startade projektet även fortsätta forskningen och slutföra projektet. Dessa personer var de som ursprungligen gavs samtycke till att behandla personuppgifterna. Ombudsmannen läts förstå att uppgifterna som behandlas i huvudsak är doktorsavhandlingar och i dem hänvisade vetenskapliga artiklar.

Enligt dataombudsmannens uppfattning kan det i liknande undantagsfall vara möjligt att pånytt ordna förandet av register i de fall där behandlingen av personuppgifterna är ändamålsenlig och man kan försäkra sig om lagenigheten. Förutsättningar för omorganisering är att 1) ändamålet med uppgifternas behandling inte förändras, alltså att behandlingen av uppgifterna sker i enlighet med informationen som getts då samtycket gavs, 2) uppgifternas sekretessbeläggning i registret inte ändras och 3) att man försäkrar att uppgifterna är skyddade i enlighet med personuppgiftslagen 5 § och 32 §. Forskningens registerförare svarar för att förandet av register och behandlingen av personuppgifterna sker på ett lagligt sätt under hela forskningstiden samt efter att den slutförts.

Enligt personuppgiftslagens 5 § skall den registeransvarige behandla personuppgifterna i enlighet med lag samt iaktta aktsamhet och god informationshantering och även i övrigt förfara så att skyddet av den registrerades privatliv och andra grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten inte begränsas utan en i lag angiven grund. Samma skyldighet har den som i egenskap av självständig näringsidkare eller företagare handlar för den registeransvariges räkning.

Enligt personuppgiftslagens 32 § 1 mom skall den registeransvarige genomföra de tekniska och organisatoriska åtgärder som behövs för att skydda personuppgifterna mot obehörig åtkomst och mot förstöring, ändring, utlämnande och översändande som sker av misstag eller i strid med lag eller mot annan olaglig behandling. Vid genomförandet av åtgärderna skall hänsyn tas till de tillgängliga tekniska möjligheterna, kostnaderna som orsakas av åtgärderna, uppgifternas art, mängd och ålder samt vilken betydelse behandlingen av uppgifterna har med avseende på integritetsskyddet.

Desto känsligare uppgifter registret innehåller, desto bättre skall säkerheten verkställas. Omorganisering och överföring av registret leder till att standarden på säkerheten ytterligare skall betonas. Den registeransvariga för forskningsregistret skall försäkra att både den manuella och den automatiska behandlingen av personuppgifterna sker på ett ändamålsenligt och skyddat sätt, och att skyddandet av uppgifterna sker enligt de ovan nämnda paragraferna.

Eftersom ändringen i registerföringen är markant, så skall de registrerade informeras om omorganiseringen samt om att det är möjligt att ta tillbaka samtycket. Det är också skäl att uppdatera registerbeskrivningarna i enlighet med personuppgiftslagens 10 §, så att uppgiften om den nya registeransvariga är tillgänglig för allmänheten. I övrigt anser dataombudsmannen att det inte finns ärenden som bör uppmärksammas på grund av överföringen.

För de forskningsprojekts del, vilka inte längre kommer att fortsätta och för vilkas del personregistret inte längre kommer att vara i aktiv användning, bör 34 § i personuppgiftslagen följas. Enligt denna skall ett personregister som inte längre behövs för den registeransvariges verksamhet förstöras, om det inte särskilt bestäms att de registrerade uppgifterna skall bevaras eller om registret inte skall överföras till ett arkiv på det sätt som avses i 35 §.

Uppgifter som fåtts på basis av myndighetslov

Till den del som de sparade uppgifterna fåtts ur myndighetsregister på basis av lov, så är överföringen av uppgifterna beroende av vad som nämnts i avtalsvillkoren. Till exempel enligt avtalsvillkoren hos Institutet för hälsa och välfärd, kommer att; Om en markant omorganisering sker i en organisation som utför forskning eller om det för registerförarens del sker ändringar, så bör det om detta anmälas till den myndigheten som beviljat lovet, och dessa skall överväga huruvida lovet kan fortskrida. På detta sätt bör kontakt tas från registerförarens sida till den samtyckande myndigheten.

Arkiverade forskningsregister

Enligt personuppgiftslagens 14 § 4 punkt får personuppgifterna inte sparas om de inte längre behövs för att bedriva forskningen eller för att säkerställa riktigheten av dess resultat.

Då uppgifterna inte längre är nödvändiga, skall personregistret förstöras eller överföras till arkivering eller uppgifterna i registret ges en sådan ändrad form att den som uppgifterna hänför sig till inte kan identifieras.

Enligt personuppgiftslagens 35 § 2 mom kan ett personregister som är betydelsefullt för vetenskaplig forskning eller av någon annan orsak överföras till arkivet vid en högskola eller en sådan inrättning eller myndighet till vars uppgifter det enligt lag hör att bedriva forskning, om riksarkivet har beviljat tillstånd till detta. Riksarkivet kan bevilja en sammanslutning, en stiftelse och en inrättning tillstånd att till sitt arkiv överföra personregister som har tillkommit i den egna verksamheten och som uppfyller ovan nämnda villkor. Riksarkivet skall i sitt tillståndsbeslut ge föreskrifter om hur skyddet av registren skall ordnas och om hur användningen av personuppgifter skall övervakas.

Personuppgiftslagens 35 § berör alltså specifikt överföring av personregister för arkivering.

En privatperson får arkivera personuppgifter endast då riksarkivet ger tillstånd till detta efter att ha hört dataombudsmannen i enlighet med 35 § i parsonuppgiftslagen. Oftast förutsätts av ett forskningsregister som innehåller personuppgifter att registerföraren är en myndighet, vilken då kan arkivera uppgifterna i enlighet med arkivlagen.

 
Publicerad 6.2.2014