Begår man brott mot etikprövningslagen om man oavsiktligt behandlar känsliga personuppgifter i forskning som inte är etikprövad? Det har jag inte trott fram till nu, men ett nytt beslut i Överklagandenämnden för etikprövning (Önep) har fått mig att undra.
Jag vill starta min fundering i följande verkliga händelse:
I december intervjuade jag en rektor. Forskningen handlar om skolans uppgift i relation till barns rättigheter, och jag ställde frågor till rektorn om detta. Min bedömning innan jag startade projektet var att det inte innefattar behandling av känsliga personuppgifter – det finns inte anledning att tro att frågor till professionsutövare i skolan om skolans uppgift för barns rättigheter ska komma att innefatta känsliga personuppgifter. Projektet har således inte etikprövats. Innan jag startade inspelningen bad jag rektorn att inte nämna några personnamn eller namn på skolområdet eller orten. Men det gjorde hen ändå, flera gånger.
Dessutom berättade hen, helt oväntat, om personliga erfarenheter som låg bakom hens sätt att tänka om barns rättigheter i skolan – erfarenheter som innehöll information om två av de områden som räknas som känsliga. När intervjun var slut hade jag alltså inspelad data som innehöll såväl skolområdesnamn, uppgift om att det var en rektor och berättelsen om personliga erfarenheter som innehöll känslig information. Dagen efter intervjun redigerade jag inspelningen, och klippte bort de ställen där skolområdesnamn och de personliga erfarenheterna fanns.
Var detta ett felaktigt tillvägagångssätt? I strikt mening hade jag ju behandlat känsliga personuppgifter, men oavsiktligt. Hade jag därmed bedrivit forskning i strid mot etikprövningslagen – forskningen är ju inte etikprövad? Och är det tillåtet att redigera data när man oavsiktligt fångat känsliga personuppgifter? Borde jag i stället ha kasserat de intervjuer som dittills genomförts, etikprövat, och sedan startat om?
Jag har hittills trott att det är skillnad mellan planerad behandling av känsliga personuppgifter och oavsiktlig. Jag har trott att man begår ett fel om man genomför forskning utan att etikpröva när man utifrån projektets syfte, urval eller liknande har anledning att tro att känsliga personuppgifter kan komma att behandlas, men att man inte gör fel om känsliga personuppgifter oavsiktligt behandlas i forskning som inte har etikprövats då det inte bedömts behövas. Jag har trott att man kan hantera det senare genom att redigera bort information som är känslig.
Men jag behöver nog ompröva detta efter att ha tagit del av Öneps beslut i ett aktuellt ärende där en nära anhörig till mig är en av forskarna. Örebro universitet anmälde ett doktorandprojekt till nämnden, som beslutade att åtalsanmäla då den ansåg att känsliga personuppgifter behandlats utan föregående etikprövning. Det som är relevant för mitt resonemang är att Önep inte alls i sitt beslut vägt in bakgrunden i fallet.
De anklagade forskarna hade redogjort för hur det kom sig att projektet inte var etikprövat, nämligen att projektdesign och datainsamling skett flera år före GDPR, då praxis för etikprövning såg annorlunda ut i fältet än vad den gör efter att GDPR trätt i kraft. De hade helt enkelt följt den då brett spridda uppfattningen att så länge ingen information finns som kan hänföras till enskild individ så kan data inte heller innehålla känsliga personuppgifter. De styrkte denna praxis genom att lista cirka 100 ej etikprövade projekt publicerade efter 2008 som gjort en likartad bedömning. Forskarnas förklaring av sammanhanget är dock inte något som Önep anser vara relevant för bedömningen. Deras beslut att skicka ärendet vidare till åklagare är i stället baserat på strikt juridiska överväganden – har behandling av känsliga personuppgifter ägt rum eller inte?
Att Önep anser att sammanhanget för behandling av känsliga personuppgifter är irrelevant har en enorm betydelse – konsekvenserna för intervjuforskning är långtgående. Det torde nämligen också innebära att det inte är någon skillnad mellan planerad och oavsiktlig behandling av känsliga personuppgifter.
Med den extrema uttolkning som framträder i beslutet av vad som krävs för att datamaterial ska anses vara anonymt blir bekymret ännu värre. Önep återger följande uttalande från Integritetsskyddsmyndigheten (Imy), som nämnden har begärt yttrande i ärendet från:
”Att insamlingen av uppgifter sker genom observationer och inspelade intervjuer torde medföra att uppgifterna i vart fall direkt vid insamlingen inte kan anses ha lämnats helt anonymt. Även om man i dokumentationen av dessa uppgifter använder fiktiva namn kan även annan information i t.ex. de inspelade intervjuerna göra att någon person, inom eller utom forskningsprojektet, kan knyta uppgifterna till den de avser.” (Ur Öneps beslut, Dnr T46-2021/3.2)
Imy menar alltså att om någon enda person, inklusive forskaren själv, kan identifiera en person i data så är de inte anonyma. Ja, det verkar nästan som om det inte ens krävs uppgifter i data, Imy antyder att bara det faktum att forskaren har mött personerna vid insamlingen gör att informationen i data inte är anonym – forskaren vet ju vem som har intervjuats. Längre fram i beslutet menar Imy också att om en intervjuad person känner igen sig själv i ett citat i en publikation så är anonymiteten röjd.
Den här idén om anonymitet innebär att det i intervjuforskning är omöjligt att skapa data som inte innehåller personuppgifter. Och då ligger man illa till om känslig information oavsiktligt hamnar i data, och om skälet till att känsliga personuppgifter därmed behandlas är irrelevant.
Vi står alltså inför frågan om vi nu måste börja etikpröva all intervjuforskning, oavsett vad forskningen handlar om. Man kan aldrig veta vad forskningspersoner kommer att säga, och det finns alltid en risk för att de lämnar känslig information som man inte efterfrågat. Vem vill utsätta sig för risken att få kassera stora mängder data, eller att bli åtalad för brott mot etikprövningslagen? Hellre då ta det säkra före det osäkra och etikpröva allt. Bäva månde Etikprövningsmyndigheten – har de resurser för att hantera en flodvåg av etikprövningar av forskning som egentligen inte föranleder prövning?
Följande frågor skulle jag behöva få svar på, och jag tror att det är fler med mig:
- Är det skillnad mellan planerad och oavsiktlig behandling av känsliga personuppgifter?
- Är det tillåtet att fortsätta ej etikprövad forskning om känsliga personuppgifter oavsiktligt hamnat i data genom att redigera bort dem, eller måste man då kassera alla dittills insamlade data för att inte riskera att bli åtalsanmäld?
Ann Quennerstedt
Professor i pedagogik, Örebro universitet
FOTNOT Överklagandenämnden för etikprövning, Etikprövningsmyndigheten och Integritetskyddsmyndigheten har erbjudits möjlighet till replik på den här debattartikeln. Alla tre har avböjt.
