Användning av hälsodata för forskningsändamål - En undersökning av kraven i dataskyddsförordningen och etikprövningslagen

Sammanfattning: Hälsodata har stor betydelse för forskning om sjukdomar och behandlingsmetoder. Ett sätt att genomföra forskningen är att samla in hälsodata direkt för det specifika forskningsändamålet. Ett annat sätt är att återanvända hälsodata som redan har samlats in för andra ändamål för det aktuella forskningsändamålet. De två centrala regelverken som reglerar när och hur hälsodata får användas inom forskning är dataskyddsförordningen och etikprövningslagen. Syftet med uppsatsen är därför att klargöra de rättsliga förutsättningarna att behandla hälsodata för vetenskapliga forskningsändamål enligt dataskyddsförordningen och etikprövningslagen. För att uppfylla syftet klargörs gällande rätt genom en rättsdogmatisk metod. Uppsatsen första frågeställning är vilka krav som ställs i dataskyddsförordningen för behandling av hälsodata för forskningsändamål. Inledningsvis ställs i dataskyddsförordningen krav på ändamålsbegränsning, uppgiftsminimering och att behandlingen ska vara nödvändig. Vidare ställs krav på etikprövning och att behandlingen omfattas av andra lämpliga skyddsåtgärder. Som exempel på sådana skyddsåtgärder nämns särskilt pseudonymisering och anonymisering. Ytterligare exempel på skyddsåtgärder är informerat samtycke och organisatoriska åtgärder. Den andra frågeställningen är vilka krav som ställs i etikprövningslagen för behandling av hälsodata för forskningsändamål och hur har kraven i dataskyddsförordningen beaktats i svensk rätt. I etikprövningslagen stadgas kravet på etikprövning. Etikprövningen görs utifrån vissa allmänna utgångspunkter. Etikprövningen enligt etikprövningslagen säkerställer att lämpliga skyddsåtgärder vidtas enligt artikel 89.1 GDPR vid behandling av hälsodata för forskningsändamål. Dessutom beaktas kravet på ändamålsbegränsning, uppgiftsminimering och att behandlingen ska vara nödvändig genom den forskningsetiska avvägningen. I Överklagandenämndens praxis ställs flera krav på skyddsåtgärder. Tekniska skyddsåtgärder, som pseudonymisering och anonymisering, kan utgöra lämpliga skyddsåtgärder vid behandling av hälsodata för forskningsändamål. Anonymisering utgör alltid en lämplig skyddsåtgärd vid all forskning med hälsodata, men krävs endast i undantagsfall om risken för identifiering av registrerade är för stor. Pseudonymisering utgör som huvudregel en lämplig skyddsåtgärd vid registerforskning Rättsliga skyddsåtgärder, som informerat samtycke och opt-out-förfarande, utgör lämpliga skyddsåtgärder som krävs vid forskning som innebär journalgranskning. Registerforskning kan däremot som huvudregel genomföras utan informerat samtycke eller opt-out-förfarande. Slutligen krävs enligt etikprövningslagen att organisatoriska skyddsåtgärder införs samt att det även kan ställas krav vid etikprövningen på ytterligare organisatoriska skyddsåtgärder vid behandling av hälsodata för forskningsändamål.