Nationell lagstiftning, EU och ny teknik för utlämnande av data

STATISTISKA CENTRALBYRÅN 1(7) 23:e Nordiska Statistikermötet Session 4 Nationell lagstiftning, EU och ny teknik för utlämnande av data Inledning Uppgifter som samlas in för statistik utgör en väsentlig del av den information som bildar underlag för forskningen. Idag bedrivs registerbaserad forskning i betydande utsträckning i både Sverige och andra länder. Sverige och de övriga nordiska länderna har internationellt sett unika möjligheter att bedriva forskning baserat på registerdata. Under de senaste åren har också efterfrågan från forskare och andra att få tillgång till mikrodata för egna analyser och statistikbearbetningar ökat. Utvecklingen av analyser inom forskningen har alltmera gått över till studier baserade på longitudinella data om främst individer och företag. För att tillgodose forskarnas behov har SCB inrättat ett antal forskningsregister som gjorts tillgängliga för forskare. Dessa register kan också kombineras med information från andra källor/register. Det är av stor vikt att regelverket kring användningen av uppgifter som samlats in för framställning av statistik har en klar och ändamålsenlig utformning. Det fordras klara regler för verksamheten som inger förtroende, inte minst för de som lämnar uppgifter till statistiken. Skyddet kring de enskilda uppgifterna spelar här en betydelsefull roll. Lagstiftningen rörande sekretess och skydd för enskildas integritet utgör därvid en väsentlig del av skyddet för uppgifter om enskilda. Denna lagstiftning är också av stor betydelse för möjligheten att lämna ut mikrodata till bl.a. forskare. Det är lagstiftningen som bestämmer gränserna för t.ex. på vilket sätt, till vem och för vilka ändamål uppgifter kan lämnas ut. Att gällande regler följs är av stor betydelse för att bl.a. uppgiftslämnarna och allmänheten skall ha förtroende för myndigheterna. Inom ramen för gällande lagstiftning finns dock möjligheter för forskare att bedriva forskning baserad på mikrodata. Lagstiftning Av särskild betydelse i Sverige är lagen om den officiella statistiken (statistiklagen), sekretesslagen och personuppgiftslagen. Därtill kommer EU:s reglering rörande konfidentialitet för statistiska uppgifter. Dataskyddsdirektivet Den svenska personuppgiftslagen utgår, liksom motsvarande lagar i de övriga nordiska länderna, från Europaparlamentets och Rådets direktiv 95/46/EG (dataskyddsdirektivet) och det finns därför anledning att redogöra

STATISTISKA CENTRALBYRÅN 2(7) för de principerna i direktivet som har betydelse för utlämnande av mikrodata. Dataskyddsdirektivet innehåller grundläggande regler om när och hur personuppgifter får behandlas. Personuppgifter är all slags information som direkt eller indirekt kan knytas till en fysisk person som är i livet. För att avgöra om en person är identifierbar (om uppgifter indirekt eller direkt kan knytas till en person) skall man enligt direktivet beakta alla hjälpmedel som i syfte att identifiera personen rimligen kan komma att användas. Direkt identifierbara uppgifter är bl.a. namn och personnummer. Indirekt identifiering kan vara när identifiering av en person är möjlig bl.a. genom en kombination av uppgifter, t.ex. ålder, yrke, bostadsort etc. I vissa fall kan uppgifter hänföras till en så begränsad grupp personer att en enskild individ med hjälp av andra uppgifter enkelt kan identifieras. Uppgifterna skall i dessa fall betraktas som personuppgifter. I Sverige anses även kodade uppgifter som personuppgifter så länge det finns en kodnyckel bevarad med vars hjälp det är möjligt att identifiera enskilda individer. Det saknar betydelse var och hos vem kodnyckeln förvaras. Detsamma gäller krypterade uppgifter. Om det inte längre finns någon som helst möjlighet att koppla uppgifterna till en enskild person är det dock inte längre fråga om personuppgifter och direktivet är följaktligen inte tillämplig. Enligt dataskyddsdirektivet måste personuppgifter som behandlas vara adekvata och relevanta. De får behandlas bara om det är nödvändigt för ändamålet med behandlingen. Man får inte behandla fler uppgifter eller bevara dem längre tid än som är nödvändigt med hänsyn till ändamålet med behandlingen. Uppgifter får vidare bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt direktivet är dock behandling av personuppgifter för bl.a. statistiska och vetenskapliga ändamål särskilt gynnad. Senare behandling för sådana ändamål anses inte oförenlig med de ursprungliga ändamål för vilka uppgifterna samlades in. Särskilda regler gäller för behandling av känsliga personuppgifter. Med känsliga uppgifter avses uppgifter angående ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, fackligt medlemskap samt hälsa eller sexualliv. Känsliga uppgifter får behandlas bl.a. vid uttryckligt samtycke av den registrerade, när behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten, för att skydda vitala intressen hos den registrerade eller någon annan och under vissa förutsättningar inom hälsooch sjukvården. Behandling av känsliga personuppgifter för forskningsändamål är i Sverige tillåten, förutom efter ett uttryckligt samtycke från den registrerade, om behandlingen har godkänts av en forskningsetisk nämnd. Godkännande av en forskningsetisk nämnd krävs även när det gäller behandling av uppgifter om brott. Sedan den 1 januari 2004 har Sverige en särskild lag som reglerar

STATISTISKA CENTRALBYRÅN 3(7) etikprövning av forskning som avser människor. Lagen omfattar även registerbaserad forskning. Om inget annat följer av reglerna om sekretess får personuppgifter behandlas och lämnas ut för sådana forskningsprojekt som är tillåtna enligt personuppgiftslagens regler. Statistiklagen Utöver personuppgiftslagen finns också särskilda bestämmelser om behandling av personuppgifter i lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken. Enligt dessa författningar får en statistikansvarig myndighet behandla personuppgifter för framställning av officiell statistik. Personuppgifter som samlats in för officiell statistik får dock även användas för annan statistik och forskning. En förutsättning är att de nya ändamålen inte är oförenliga med de ursprungliga. Sekretesslagen Även om det med stöd av dataskyddsdirektivet/personuppgiftslagstiftningen är tillåtet att lämna ut uppgifter kan begränsningar finnas i de lagar som reglerar sekretess/konfidentialitet för statistiska uppgifter. Enligt den svenska sekretesslagen gäller sekretess i sådan särskild verksamhet hos myndighet som avser framställning av statistik för uppgift som avser enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Med enskild avses såväl fysiska som juridiska personer. Uppgift som behövs för forsknings- eller statistikändamål och uppgift, som inte genom namn, annan identitetsbeteckning eller därmed jämförbart förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon honom närstående lider skada eller men. Sekretesslagens regler innebär att uppgifter som hämtas in i statistikverksamheten är hemliga. Efter en prövning får dock uppgifter lämnas ut för statistik eller forskningsändamål eller i avidentifierad form om man kan konstatera att det inte leder till skada eller men för den enskilde. Lagstiftningens utformning och de bakomliggande motiven har lett fram till att SCB har en sekretesspolicy som innebär att verket i princip endast lämnar ut avidentifierade uppgifter för statistik och forskningsändamål. Uppgifter lämnas i princip endast ut för särskilda specificerade projekt och med begränsning till de uppgifter som behövs för angivet ändamål. Avidentifierade uppgifter kan också i vissa fall lämnas ut för utredningsändamål.

STATISTISKA CENTRALBYRÅN 4(7) Vid utlämnande till andra myndigheter måste SCB vid utlämnandeprövningen ta hänsyn till om materialet kommer att vara sekretesskyddat hos mottagaren eller inte. Om uppgifterna inte kan skyddas av sekretess är ett utlämnande av mikrodata inte möjligt. Ett utlämnande till andra myndigheter med egen statistikverksamhet är möjlig då dessa har samma statistiksekretess för uppgifterna som SCB har. När det gäller utlämnande till en myndighet för forskning så innebär gällande regler att statistiksekretessen följer med till den myndighet som får uppgifterna. SCB kan efter utlämnandet till annan myndighet inte reglera den myndighetens användning av uppgifterna. Den mottagande myndighetens användning av uppgifterna begränsas av sekretesslagens och personuppgiftslagens regler. Vid ett utlämnande av uppgifter ut till enskilda organisationer och institutioner kan utlämnandet förenas med ett särskilt förbehåll om sekretess. I ett förbehåll kan föreskrivas bl.a. att användningen och/eller spridningen av det utlämnande materialet begränsas och att det skall förvaras på ett sätt som är betryggande ur säkerhetssynpunkt. Uppgifterna enbart får i princip endast användas för det ändamål forskaren preciserat i sin ansökan. Vidare erinras om att uppgifterna inte får sammanföras med andra uppgifter i syfte att utröna enskilds identitet. Förbehållen är straffsanktionerade. EU:s förordning om gemenskapsstatistik Ministerrådet antog den 17 februari 1997 förordningen nr 322/97 om gemenskapsstatistik. Syftet med förordningen är att upprätta en rättslig ram för framställning av gemenskapsstatistik. Av särskilt intresse i detta sammanhang är bestämmelserna om förtrolighet med avseende på statistik. En uppgift skall enligt förordningen anses förtrolig när det är möjligt att identifiera statistiska objekt antingen direkt eller indirekt och därigenom röja särskild information. Den sekretessregel som finns i förordningen säger att förtroliga uppgifter som erhållits enbart för framställning av gemenskapsstatistik skall användas av nationella myndigheter och gemenskapsmyndigheten enbart för statistiska ändamål, om inte uppgiftslämnarna otvetydigt har lämnat sitt samtycke till att uppgifterna används för andra ändamål. Den nationella myndighet som är ansvarig för framställningen av dessa uppgifter kan dock, med undantag från vad nyss sagts, under vissa förutsättningar och för vetenskapliga syften bevilja tillgång till förtroliga uppgifter som erhållits för gemenskapsstatistik. Den svenska sekretesslagen skall i princip vara i överensstämmelse med förordningens regler. Utlämnande till utlandet Forskningen har blivit alltmer internationell och det finns därför ett stort intresse från forskare i andra länder att få tillgång till bl.a. mikrodata från Sverige och de övriga nordiska länderna.

STATISTISKA CENTRALBYRÅN 5(7) Ett av syftena med dataskyddsdirektivet är att underlätta flödet av personuppgifter mellan medlemsländerna. Direktivet innehåller dock bestämmelser som begränsar möjligheterna att lämna ut uppgifter till land utanför EU (tredje land). Överföring av personuppgifter till tredje land får ske endast om landet ifråga säkerställer en adekvat skyddsnivå. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där. Om ett tredje land inte garanterar en adekvat skyddsnivå är överföring av personuppgifter till det landet förbjudet. Undantag från detta förbud kan medges bl.a. om den registrerade lämnar sitt samtycke. Ett samtycke skall avse just själva överföringen av personuppgifter till tredje land. Vid inhämtandet av samtycke skall framgå bl.a. vilka som är mottagare samt de särskilda ändamålen med behandlingen. EG-kommissionen kan vidare enligt artikel 25.6 i dataskyddsdirektivet fatta bindande beslut i frågan om ett land har en adekvat skyddsnivå. EGkommissionen har fattat beslut om adekvat skyddsnivå i Schweiz, Ungern och Kanada samt enligt s.k. safe harborprinciper i USA. I Sverige har regeringen föreskrivit att personuppgifter får överföras till ett tredje land om EG-kommissionen har konstaterat att landet har en adekvat skyddsnivå. Safe harbor-principerna innebär att kommissionen har beslutat att adekvat skydd säkerställs genom de principer om integritetsskydd i kombination med frågor och svar som USA:s handelsministerium utfärdat. Organisationer i USA kan frivilligt ansluta sig till safe harbor-systemet. Om en organisation som offentligt deklarerat att den uppfyller villkoren för safe harbor tar emot personuppgifter från EU skapas en presumtion för att det föreligger en adekvat skyddsnivå för de överförda personuppgifterna. En förutsättning för att en organisation skall kunna ansluta sig till safe harborsystemet är att organisationen omfattas av de lagstadgade befogenheter som tillkommer någon av de myndigheter i USA (Federal Trade Commission och Förenta staternas transportministerium) som är bemyndigade att handlägga bl.a. klagomål och att utverka skadestånd åt enskilda. I Sverige har Datainspektionen vidare getts möjlighet att föreskriva om ytterligare undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Inspektionen kan både meddela generella föreskrifter om undantag samt meddela beslut om undantag i enskilda fall. Personuppgiftsansvariga kan således ansöka om undantag för vissa bestämda överföringar som de avser att genomföra.

STATISTISKA CENTRALBYRÅN 6(7) Särskilda regler för utlämnande av uppgifter till utlandet finns också i sekretesslagen. Enligt sekretesslagen får uppgift för vilken sekretess gäller inte röjas för utländsk myndighet eller mellanfolklig organisation annat än om utlämnande sker i enlighet med särskild föreskrift om det i lag eller förordning. Därutöver får uppgifter lämnas till en utländsk myndighet om uppgifterna i motsvarande situation skulle få lämnas till en svensk myndighet. En sekretessprövning måste alltså göras enligt de principer som gäller för utlämnande inom Sverige. Det måste dessutom stå klart att uppgiftslämnandet är förenligt med svenska intressen. SCB är restriktiv när det gäller utlämnande av mikrodata till utlandet. Detta beror framför allt på att den svenska lagstiftningen inte kan skydda uppgifter som lämnas till annat land. Nya metoder för utlämnande av mikrodata Den svenska lagstiftning innehåller inte några bestämmelser om på vilket sätt SCB får lämna ut uppgifter. Under förutsättning att bestämmelserna i sekretesslagen och personuppgiftslagen följs kan SCB välja metod för utlämnande. I Sverige får forskarna idag ta del av mikrodata via CD-rom och DVD och kan därigenom bearbeta uppgifterna vid sina egna institutioner och andra arbetsplatser. För att öka tillgängligheten till mikrodata samtidigt som säkerhet och sekretess i hanteringen av mikrodata kan öka håller SCB på och utvecklar ett system för utlämnande av mikrodata via Internet. Denna metod för utlämnande av mikrodata har tillämpats av Danmarks Statistik sedan 2001. Danmarks Statistiks system för utlämnande av mikrodata via Internet har också utgjort modell för det svenska systemet. Systemet beräknas kunna tas i bruk under hösten 2004. Systemet innebär att forskaren får tillgång till databaser och kan göra bearbetningar av dem via Internet. Mikrodata finns fysikt kvar på SCB, men användaren kan se avidentifierade poster på sin egen dataskärm. Tillgången via Internet ska utformas på ett sätt som innebär att användaren av mikrodata inte på något negativt sätt märker att data inte finns i den egna datorn. Användare kommer inte att kunna kopiera eller skriva ut information, men ges möjlighet att via en enkel SMTP-tjänst, utvecklad på SCB, kunna skicka e-post med bifogade filer understigande en viss storlek, huvudsakligen i tabellform. Forskaren har också möjlighet att lagra tabeller för vidare bearbetning hos SCB. Ett serverbaserat system för mikrodataåtkomst ställer höga krav på säkerhet och tillgänglighet. Systemet skall av bl.a. säkerhetsskäl bestå av en egen domän och ett eget nät skilt från SCB:s nät. Säkerhet mot otillbörlig användning garanteras i SCB:s lösning via ip-filtrering, certifikat, domänpåloggning, säkerhetsdosa och kryptering. För att säkerställa från vilken arbetsstation uppkoppling sker skall certifikatet vara installerat på användarens pc. Dessutom kan vid behov användandet kontrolleras och övervakas. Detta sammantaget anses borga för hög säkerhet. Tillgänglighet

STATISTISKA CENTRALBYRÅN 7(7) garanteras via väl beprövad serverbaserad teknik som idag används i många olika sammanhang och av många olika organisationer. I Sverige, liksom i Danmark, kommer möjligheterna att få tillgång till mikrodata via Internet från andra länder att vara begränsad. De programvaror och licenser som utnyttjas i systemet kommer att hanteras av SCB. Detta innebär att den enskilde forskaren inte behöver stå för eventuell licenskostnad. Programvarorna skall företrädesvis vara beprövade och säkra programvaror som tillhandahålls av kommersiella leverantörer till ett stort antal användare, t.ex. SAS, SPSS och Super Cross. Användaren kommer ha möjlighet att byta programverktyg för olika bearbetningar. Det skall också vara möjligt att efter prövning använda andra programvaror. SCB kommer emellertid att ta ställning till sådana förslag i varje enskilt fall. Anledningen till denna restriktiva hållning är främst säkerhetsskäl. Vidare skall det vara möjligt att matcha egna uppgifter med uppgifter från SCB. Här sätter dock lagstiftningen vissa gränser. Precis som idag kommer forskare i normalfallet endast ha möjlighet att få tillgång till mikrodata i avidentifierad form. Tillgången begränsas också till de uppgifter forskaren har stöd för att behandla enligt personuppgiftslagen. Matchning kommer att göras vid SCB. Det kombinerade materialet görs sedan tillgängligt genom det nya systemet. För att replikering av forskningsresultat ska var möjlig kan den forskarunika databasen lagras hos SCB under en längre tid. För att andra forskare ska få tillgång till mikrodata för replikering kommer dock en särskild sekretessprövning krävas, precis som idag. En testversion av det nya systemet har framställts och prövats av tre vana användare av mikrodata vid Epidemilogiskt Centrum vid Socialstyrelsen (EpC), Institutet för tillväxtpolitiska studier (ITPS) och Region Skåne. De har använt sig av programvarorna SAS, Microsoft SQL och SuperCross. Erfarenheterna har överlag varit positiva. Det finns flera fördelar med att hantera mikrodata på detta sätt. Kontrollen över hur mikrodata används kan öka eftersom spridningen av olika mikrodatabaser minskar. Förvaltningen av databaserna sköts av SCB, vilket innebär en lättnad för forskaren. En ytterligare fördel är att det blir enklare att göra rättningar av felaktigheter i äldre årgångar samt att göra uppdateringar och tillägg med nya årgångar. Det blir också lättare att få den information som behövs för att genomföra bearbetningar av mikrodata genom att databaserna dokumenteras och åtföljs av metadata. Avslutningsvis bör framhållas att ett utlämnande av mikrodata via Internet, i likhet med utlämnande på annat sätt, kräver att utlämnandet är möjligt enligt gällande nationella regler. Det ställer också stora krav på säkerheten och att tillgången till mikrodata uppfyller kraven i gällande lagstiftning.