prop · GL0344 · 1998-01-01 00:00:00 — 11.4.2 Behandling utan samtycke av känsliga personuppgifter för forskning och statistik Regeringens förslag: Känsliga personuppgifter får behandlas utan samtycke för forskning och statistik, om behandlingen är nödvändig och om samhällsintresset av projektet klart väger över riskerna för otillbörligt intrång i den personliga integriteten. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna anses uppfyllda. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Samtliga remissinstanser med anknytning till forsknings- och statistikverksamhet godtar förslaget eller lämnar det utan erinran. anser att förhandsgranskning alltid bör göras av Datainspektionen i avvaktan på att den forskningsetiska verksamheten ses över. Arbetarskyddsstyrelsen föreslår att prövningen bör göras inte av en forskningsetisk kommitté utan av styrelsen för den institution som forskaren tillhör. Styrelsen anser vidare, liksom Kammarrätten i och Länsrätten i , att kommitténs beslut i vart fall bör kunna överprövas. efterlyser bättre möjligheter att göra s.k. bortfallsanalys beträffande personer som vägrat lämna samtycke till en undersökning. Skälen för regeringens förslag: Forskning och statistik är ett så viktigt område att det bör regleras redan i den nya lagen. Beträffande den officiella statistiken finns det redan en särskild författningsreglering (lagen [1995:606] om vissa personregister för officiell statistik och förordningen [1995:1060] om vissa personregister för officiell statistik) som i enlighet med vad som anges i avsnitt 6.2 skall gälla framför den nya lagen. För övrig statistik och för forskning i allmänhet saknas däremot särskild författningsreglering, och det är sådant som inte redan är reglerat särskilt i författning som övervägandena i det följande tar sikte på. Att samhällsintressant forskning och statistik kan genomföras utgör ett sådant viktigt allmänt intresse som avses i artikel 8.4 i EG-direktivet. Den nya lagen bör såsom en sådan lämplig skyddsåtgärd som avses i nämnda artikel i direktivet innehålla en regel om att personuppgifter som behandlas för bl.a. statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder beträffande den registrerade bara om den registrerade har lämnat sitt samtycke eller om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Regeln bör dock inte gälla för en myndighets användning av personuppgifter i allmänna handlingar. Regeln har berörts i avsnitt 8.1. De stränga regler om sekretess och tystnadsplikt som regelmässigt gäller vid behandling för forskning och statistik får också anses utgöra lämpliga skyddsåtgärder. En avvägningsnorm i lagtexten Enligt den nya lagen får känsliga personuppgifter alltid behandlas om den registrerade uttryckligen har lämnat sitt samtycke. Huvudprincipen vid forskning och statistik har varit att den enskilde skall ha lämnat sitt samtycke. Vad frågan här gäller är alltså i vilka undantagsfall känsliga personuppgifter skall få behandlas för forskning och statistik utan samtycke från de registrerade. Viss forskning och statistik är så viktig att den inte bör vara beroende av att varje berörd enskild har informerats och lämnat sitt samtycke. tar samhällsintresset över intresset av att skydda enskildas personliga integritet. Att ett rättvisande cancerregister kan föras är t.ex. ett så viktigt samhällsintresse att man inte kan ta hänsyn till att av befolkningen anser att patientuppgifter inte skall få föras över dit. Principen om en fri forskning gör att det finns många olikartade forsk- nings- och statistikprojekt, och dessa pågår som regel bara . Detta, liksom vikten av att värna om forskningens frihet, gör att det förefaller lämpligare att göra en avvägning i varje särskilt fall än att i den nya lagen införa generella regler om vilken forskning och statistik som skall tillåtas. Vid en sådan individuell avvägning kan olika faktorer kring forsknings- eller statistikprojektet vägas mot intrånget i den enskildes personliga integritet. Det bör t.ex. göras en bedömning av hur pass viktig den kunskap är som projektet kan ge och om den kunskapen kan fås på något annat sätt än genom att behandla person- uppgifter eller om intrånget i den personliga integriteten annars kan begränsas genom en annan uppläggning av projektet. Det är t.ex. viktigt att möjligheterna att bedriva forskningen eller framställa statistiken utan att använda personanknutna uppgifter alltid undersöks. Det sagda talar för att det bör finnas något slags avvägningsnorm i lagtexten. Den avvägningsnorm som föreslagit har i huvudsak godtagits av remissinstanserna. Hovrätten över och anser dock att avvägningsnormen bör preciseras och att lag- texten bör utfyllas. Liknande synpunkter förs fram av . Den föreslagna innebär att behandling utan samtycke av känsliga personuppgifter får ske under förutsättning att behandlingen är nödvän- dig och att samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Den ger uttryck för en restriktiv tillämpning och betonar att behandlingen måste vara nödvändig som en intresseavvägning skall göras. Enligt vår mening är det inte nödvändigt att i lagtexten ytterligare precisera utan det kan överlåtas åt rättstillämpningen att med användande av och allt efter rådande värderingar och utvecklingen i samhället avgöra vilka behandlingar som kan tillåtas. Vid den helhetsbedömning som skall göras enligt kan beaktas bl.a. forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vad mån den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna förrycka undersökningsresultatet. Vid intresseavvägningen bör också beaktas om information i någon form lämnas till de berörda, t.ex. via anslag eller annonser. I de allra flesta fall bör åtminstone sådan information kunna lämnas. Även frågan i vilken utsträckning den som begär det skall ha rätt att bli struken kan beaktas vid intresseavvägningen. Godkännande av en forskningsetisk kommitté har föreslagit att förutsättningarna enligt avvägnings- skall anses uppfyllda om projektet godkänts av en forskningsetisk kommitté. Vi delar denna uppfattning, dock att det i personuppgiftslagen bör anges att det är behandlingen som skall godkännas, inte projektet. Med en forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Sådana kommittéer är knutna till de medicinska fakulteterna, Humanistisk-samhällsvetenskap- liga forskningsrådet och . förslag har i huvudsak godtagits av remiss- instanserna. och Arbetarskyddsstyrelsen anser dock att granskningen bör göras av någon annan instans, Datainspektionen respektive styrelsen för den institution forskaren tillhör. Den avvägning som måste ske är så känslig och så svår att göra att den som huvudregel inte bör överlåtas åt varje enskild forskare eller statistiker vid varje enskilt forsknings- eller statistikprojekt. Det krävs därför att avvägningen i de enskilda fallen som regel görs av någon oberoende instans. Styrelsen för den institution som en forskare tillhör är inte så oberoende som bör krävas. Den oberoende instansen bör vidare ha kunskap och vana att göra bedömningar av såväl risken för otillbörliga integritetsintrång som forsknings- eller statistikprojektet som sådant. Tillräcklig kunskap och vana för att göra sådana bedömningar av forsknings- och statistikprojekt finns inte hos Datainspektionen, och det förefaller inte heller ändamålsenligt att nu tillföra inspektionen sådan kompetens. Vi anser därför i likhet med de allra flesta remissinstanserna att avvägningen bör göras av en forskningsetisk kommitté. Sammansättningen av kommittén bör givetvis vara sådan att det finns kompetens för att göra avvägningen med hänsyn till den personliga integriteten. Överprövning av den forskningsetiska kommitténs beslut Kammarrätten i , Länsrätten i och Arbetar- skyddsstyrelsen anser att den forskningsetiska kommitténs beslut bör kunna överprövas. Den främsta anledningen till att de forskningsetiska kommittéerna bör göra avvägningen är att dessa instanser har sådan särskild kunskap och vana att göra bedömningar av såväl risken för otillbörliga integritetsintrång som forsknings- och statistikprojekt som inte finns hos någon annan instans, t.ex. hos Datainspektionen eller inom domstolsväsendet eller . Såvitt framkommit gör kom- mittéerna bedömningarna på ett omdömesgillt och självständigt sätt. Deras granskning utgör en garanti för att behandling av känsliga person- uppgifter för forskning och statistik används utan samtycke bara i de undantagsfall där det verkligen är befogat med hänsyn till samhälls- intresset att forskningen kommer till stånd. Det får vidare förutsättas att tillsynsmyndigheten och kommittéerna regelbundet samråder med varandra och att myndigheten noga följer utvecklingen på detta område. De forskningsetiska kommittéernas verksamhet är inte för- fattningsreglerad, och de åläggs inte heller genom den nya lagen någon utövning av offentlig makt. Frågan om en forskningsetisk kommitté är en myndighet vars beslut att godkänna eller inte godkänna ett projekt kan överklagas enligt allmänna regler om överklagande av förvaltnings- myndighets beslut påverkas inte av den nya lagen. Regeringen har tillsatt en kommitté med uppdrag att bl.a. undersöka hur systemet för forskningsetisk granskning fungerar och föreslå de förändringar som bedöms nödvändiga (dir. 1997:68). En av utgångs- punkterna för kommittén skall vara att forskning som har människor som forskningsobjekt skall utsättas för etisk granskning. Kommittén skall överväga om det bör finnas möjlighet till överprövning av de forsk- ningsetiska kommittéernas beslut och undersöka och föreslå utformningen av forskningsetisk granskning av projekt som innefattar användning av personnummer. Även sammansättningen av de forskningsetiska kommittéerna skall utredas. Kommittén skall redovisa sitt uppdrag . Den forskningsetiska verksamheten kommer således att få en allsidig genomlysning, varvid även frågan om överprövning av de forsknings- etiska kommittéernas beslut kommer att belysas. Resultatet av utred- ningens översyn och förslag kan göra att det finns anledning att på nytt överväga frågan. Vi har därför inte funnit anledning att nu av inte- gritetsskäl införa en särskild överprövningsmöjlighet. Förhandskontroll av behandlingar som inte granskats av forskningsetisk kommitté De allra flesta forsknings- och statistikprojekt där det kan vara aktuellt att behandla känsliga personuppgifter utan samtycke bör kunna granskas av en forskningsetisk kommitté eller omfattas av den särskilda författ- ningsregleringen om den officiella statistiken. har för de undantagsfall där en forskningsetisk granskning av någon anledningen inte kommit till stånd föreslagit att det införs en skyldighet att anmäla behandlingen för förhandskontroll till tillsynsmyndigheten. Det förslaget har godtagits eller lämnats utan erinran av remissinstanserna. En sådan anmälningsskyldighet kan införas med stöd av det bemyndigande som berörs i avsnitt 10. Vi hade tänkt oss att senare överväga den frågan och i förekommande fall ge nödvändiga regler i en förordning. Bortfallsanalyser Om en viss behandling av personuppgifter för forsknings- eller statistikändamål enligt den nya lagen bara är tillåten när den enskilde har lämnat sitt samtycke, får vid uteblivet eller vägrat samtycke uppgifter om den berörde inte behandlas. Detta innebär bl.a. att s.k. bortfallsanalyser inte kan genomföras, när forsknings- eller statistikprojektet inte är av sådan vikt att behandlingen av uppgifterna får ske utan samtycke. anser att det måste vara tillåtet att göra bort- fallsanalyser, dvs. behandla uppgifter om dem som inte lämnat samtycke. Av vad som anförts i det föregående framgår att känsliga person- uppgifter bör få behandlas utan samtycke för forskning och statistik bara när det finns ett starkt samhällsintresse av att det aktuella projektet genomförs. Vi anser att det inte finns anledning att medge sådan behandling för mindre viktiga projekt, ens när det gäller bortfallsanalyser. Har den enskilde vägrat att lämna sitt samtycke till behandling av känsliga personuppgifter när ett sådant krävs, bör hans eller hennes vilja således respekteras. Inget hindrar dock att den ansvarige för behandlingen alternativt efterfrågar samtycke till att behandla vissa känsliga personuppgifter för bortfallsanalys. Om bortfallsanalysen bara skall avse sådana personuppgifter som inte är känsliga, finns det däremot enligt EG-direktivet och den nya lagen större möjligheter att behandla uppgifterna utan samtycke och utföra bortfallsanalysen. Sådana uppgifter får nämligen behandlas t.ex. när behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse, se avsnitt 11.3. Utlämnande av personuppgifter för forskning och statistik Enligt artikel 11.2 i EG-direktivet behöver information till de registrerade inte lämnas när uppgifter hämtas in från annat håll än de registrerade, om utlämnandet av uppgifterna uttryckligen föreskrivs i författning. Det krävs dock att det finns lämpliga skyddsåtgärder. Reglerna berörs närmare i avsnitt 11.5.1. har med hänsyn till EG-direktivet föreslagit att det i den nya lagen tas in en uttrycklig bestämmelse om att person- uppgifter får lämnas ut för att användas i sådana forsknings- och statistikprojekt som är så viktiga att behandling av känsliga person- uppgifter är tillåten utan samtycke, om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen för med sig att den forskare eller statistiker som i enlighet med bestämmelsen hämtar in personuppgifter från något annat håll än de registrerade inte automatiskt behöver informera de registrerade om sin behandling. Däremot kan den forskningsetiska granskningen eller en tillämpning av avvägningsnormen i lagtexten leda till att information måste lämnas. har ansett att bl.a. de stränga sekretessbestämmelser som regelmässigt gäller inom forsknings- och statistikverksamhet utgör sådana lämpliga skyddsåtgärder som krävs enligt EG-direktivet. Förslaget har godtagits eller lämnats utan erinran av remissinstanserna. Också vi anser att det har goda skäl för sig och bör genomföras. Det bör dock betonas att det inte är fråga om någon ny uppgiftsskyldighet för enskilda eller det allmänna. Ett privat företag kan således liksom själv bestämma om personuppgifter skall lämnas ut för forskning eller statistik eller inte. 11.4.3 Behandling av uppgifter om lagöverträdelser Regeringens förslag: Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet. förslag överensstämmer i huvudsak med regeringens, dock att administrativa frihetsberövanden inte omfattas av förbudet i förslag. Remissinstanserna: Datainspektionen pekar på att enligt EG- direktivet kan samma regler införas för uppgifter som rör administrativa sanktioner och föreslår att så sker beträffande administrativa fri- hetsberövanden . Skälen för regeringens förslag: I artikel 8.5 i EG-direktivet (se bilaga 1) finns det särskilda regler rörande behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder. Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de avvikelser som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Det är tillåtet för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. förslag om ett principiellt förbud för andra än myndigheter att behandla uppgifter om lagöverträdelser, brottmålsdomar och säkerhetsåtgärder har lämnats utan erinran av remissinstanserna och bör genomföras. Sådana uppgifter är otvivelaktigt av så känslig natur att vem som helst inte bör få hantera uppgifterna hur som helst. Å andra sidan står det klart att myndigheter ofta behöver hantera just sådana uppgifter för att kunna fullgöra de samhällsuppdrag som lagts på dem. I vilken utsträckning myndigheter får hantera sådana uppgifter framgår av de föreskrifter som reglerar respektive myndighets verksamhet. Det är därför ändamålsenligt att i den nya lagen ta in en grundläggande bestämmelse om att det är förbjudet för andra än myndigheter att behandla uppgifter om lagöverträdelser, domar i brottmål eller säker- hetsåtgärder. Som Lagrådet påpekat talar det förhållandet att det är fakultativt att låta administrativa sanktioner omfattas för att de lag- överträdelser som avses är sådana som innefattar brott. Detta bör anges uttryckligen. Med säkerhetsåtgärder torde i första hand avses straff- processuella tvångsmedel. Detta begrepp bör användas i lagtexten. Eftersom det kan finnas fall där det är befogat att enskilda behandlar sådana uppgifter, bör bestämmelsen kompletteras med ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från förbudet. Frågan om norm- givningsdelegation har berörts i avsnitt 10. En möjlighet till dispens i enskilda fall bör också finnas. har som exempel på fall där det kan vara befogat med undantag nämnt den behandling av uppgifter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt och viss registrering för försäkringsbolagens kravhantering. Datainspektionen anser med stöd av regeln i EG-direktivet om administrativa sanktioner att samma bestämmelser skall göras tillämp- liga beträffande administrativa frihetsberövanden . Det kan inte anses helt klart vad som avses i direktivet med administrativa sanktioner , men ett exempel kan vara skattetillägg. I den nuvarande datalagen finns det särskilda regler om personregister som innehåller uppgift om att någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vårds av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). Enligt vår mening torde de nu nämnda uppgifterna vara sådana som omfattas av direktivet eftersom varken begreppet säkerhetsåtgärd eller begreppet administrativ sanktion utesluter att sådana uppgifter inbegrips. Vi anser således att den av Datainspektionens föreslagna lösningen bör genomföras. Det bör därför uttryckligen anges att administrativa frihetsberövanden omfattas av förbudet. Möjligheten enligt direktivet att föra in uppgifter om avgöranden i tvistemål under den föreslagna ordningen bör inte utnyttjas genom sär- regler i den nya lagen. Den viktigaste och känsligaste formen för behand- ling av sådana uppgifter kreditupplysning bör i stället liksom regleras i en särskild lag, kreditupplysningslagen (1973:1173). 11.4.4 Behandling av personnummer Regeringens förslag: Reglerna om användning av personnummer i den nuvarande datalagen förs i sak i princip oförändrade över till den nya lagen. Detta innebär att uppgifter om personnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Bara ett fåtal remissinstanser har haft synpunkter. Datainspektionen, och uttalar sig för en restriktiv användning av personnummer. Hovrätten över och anser att även den uttryckliga bestämmelsen i den nuvarande datalagen om att person- uppgifter får återges på datautskrifter endast när det finns särskilda skäl bör föras över till den nya lagen och därvid göras tillämplig på varje återgivande av personnummer både vid och automatisk behandling. Skälen för regeringens förslag: Enligt artikel 8.7 i EG-direktivet (se bilaga 1) skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Det måste alltså i finnas en reglering av använd- ningen av personnummer. En sådan reglering finns i 7 § andra stycket i den nuvarande datalagen. Registrering av personnummer får enligt den bestämmelsen ske endast när det klart är motiverat med hänsyn till registrets ändamål, vikten av en säker identifiering eller av annat beaktansvärt skäl. Det finns också en uttrycklig regel om att personnummer får återges på datautskrifter endast när det finns särskilda skäl. Frågan om användningen av personnummer har utretts. Den av den förra borgerliga regeringen tillsatta överlämnade betänkandet Personnummer Integritet och effektivitet (SOU 1994:63) med förslag till lagstiftning om person- nummer. anförde den då tillträdda socialdemokratiska regeringen i budgetpropositionen för /96 att det inte var aktuellt att införa någon förändrad lagstiftning om användningen av personnummer (prop. 1994/95:100 bil. 3 s. 14). Vi finner inte anledning att nu göra något annat ställningstagande. De bestämmelser om användningen av personnummer som redan finns i den nuvarande datalagen bör således i sak i pricip oförändrade föras över till den nya lagen. Om någon ger sitt samtycke är det självklart att personnummer skall få behandlas. Lagtexten har efter det att lagråds- remissen behandlats i Lagrådet kompletterats i detta avseende. Att den uttryckliga regeln i den nuvarande datalagen om återgivande av personnummer på datautskrifter inte har förts över innebär inte någon ändring i sak. Redan den överförda huvudregeln innebär nämligen att en uppgift om personnummer får behandlas t.ex. genom att fästas på en utskrift eller visas upp på en datorskärm bara när den behandlingen är klart motiverad med hänsyn till något beaktansvärt skäl. Att ha en särskild regel med annat rekvisit särskilda skäl om just den behandling som själva återgivandet utgör, skulle enligt vår mening bara grumla regleringen. 11.5 Information till den registrerade 11.5.1 Information som skall lämnas när uppgifterna samlas in Regeringens förslag: Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Om personuppgifterna samlats in från någon annan källa än den registrerade, gäller följande. Den personuppgiftsansvarige skall självmant lämna den registrerade information om behandlingen, när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte lämnas förrän uppgifterna lämnas ut . Information behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av person- uppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information i detta fall lämnas senast i samband med detta. Information behöver aldrig lämnas om sådant som den registrerade redan känner till.