Forskningsdatabas – vetenskaplig process eller virtuell lagerlokal?

Det såg ut som om den europeiska dataskyddsförordningen, GDPR [1], skulle förhindra epidemiologisk registerforskning. En tydlig skrivning saknades om att forskning är ett legitimt skäl till att samla in, registrera och använda personuppgifter. Samtidigt skulle ny kontakt krävas för samtycke för att kunna använda data från allmänna register och forskningsdatabaser i nya studier. Oroade registerforskare ansåg att GDPR måste medge »indirekt« bruk av personuppgifter i forskning [2-5].

Nu gick det inte som forskarna befarade [6, 7]. Förutsatt att individen samtyckt »till ett eller flera specifika ändamål«, att grundläggande rättigheter och intressen skyddas av lag och att principen om uppgiftsminimering iakttas tillåter GDPR databehandling av personuppgifter i forskningssyfte.

Medlemsländerna utformar själva skyddslagstiftning, och regeringens särskilda utredare av ny dataskyddslag konstaterar att etikprövningslagens förarbeten betonar ansvariga forskares skyldigheter att för regionala etikprövningsnämnden (REPN) visa att värdet av forskningen väger tyngre än deltagarnas skydd. REPN gör sedan en avvägning mellan riskerna för skada eller obehag och »det väntade värdet av den kunskap forskningen sannolikt kan ge«.

Är forskningens syften inte tydliga när personuppgifterna samlas in ger GDPR ändå möjlighet till samtycke inom »avgränsade forskningsområden av bredare karaktär«. Utredarens slutsats är att indirekt samtycke genom etikprövning kan uppfylla GDPR:s krav. I sjukvårdens kvalitetsregister samtycker patienter till forskning om sin sjukdom. Senare studier om till exempel diagnostik, behandling och rehabilitering kan rimligen tillåtas, förutsatt att REPN etikprövat och godkänt.

Databaser som LifeGene och EpiHealth skapas för framtida allmänna forskningsändamål. För de hundratusentals individer som ingår i sådana databaser finns inga specifika ändamål att samtycka till. Utredaren har haft svårt att finna lösningar på GDPR:s skyddskrav under forskningsdatabasers uppbyggnadsfas, men har kommit fram till att forskningsdatabaser är en del av själva forskningen förutsatt att syftet fastställs som ett väl avgränsat forskningsområde. Om en databas betraktas som ett eget forskningsändamål inom en forskningsprocess kan REPN etikgranska dess uppbyggnadsfas, vilket uppfyller GDRP:s krav på objektiv bedömning.

Den särskilda utredarens arbete resulterade i två utredningar [8, 9]. En ny lag föreslås som innehåller krav på att såväl uppbyggnaden av forskningsdatabaser som framtida studier av data prövas enligt etikprövningslagen. I betänkandet framhålls att databasens huvudman i ansökan måste precisera ändamålet och vilka uppgifter som ska samlas in »något mer«. Samtidigt påpekas att även om syftet måste vara preciserat bör det ändå kunna vara relativt brett. Utredaren citerar LifeGene-lagens ändamål »att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt«.

Går det att med sådana syften bedöma forskningsdatabasers framtida kunskapstillskott och väga dem mot riskerna för de registrerades hälsa, säkerhet och personliga integritet? Nej, exemplet täcker in varje tänkbart medicinskt forskningssyfte, vilket påtalades i DN redan när idén om LifeGene-lagen presenterades 2012. Skribenten jämförde lydelsen »människors hälsa i övrigt« med en vidöppen dörr [10].

Forskningsdatabaser går helt enkelt inte att etikpröva, allra minst på det noggranna sätt etikprövningslagen kräver. De är inga delar av forskningsprocesser, snarare virtuella lagerlokaler för obegränsade mängder personuppgifter som sparas »för säkerhets skull«. Utredarens slutsatser bygger på illa underbyggd argumentation och bortser totalt från GDPR:s krav på uppgiftsminimering. Lagen föreslås träda i kraft 1 juli 2019. Om så sker skadas tilltron till såväl etikprövningssystem som till medicinsk forskning allvarligt.