sou · GLB339d2 · 1998-01-01 00:00:00 — Det nu sagda leder fram till slutsatsen att lagtexten också bör innehålla en avvägningsnorm enligt vilken behandling utan samtycke av känsliga personuppgifter för forskning och statistik är tillåten om samhällsintresset av behandlingen klart väger över det integritetsintrång som behandlingen kan innebära. Avvägningen får här i första hand göras av den myndighet eller annan som är ansvarig för behandlingen med risk för att vid en felbe- dömning drabbas av sanktioner, främst skadestånd. Vi har nämligen inte lyckats finna någon lämplig, fristående instans som skulle kunna göra av- vägningen i de enskilda fallen. De myndigheter som på statistikområdet kan ha att göra avvägningen, främst , får förutsättas ha ett nära samråd med Datainspektionen. Inspektionen skall givetvis också ha att utöva tillsyn över nu avsedda behandlingar. Såsom berörs vi- dare i det följande föreslår vi också att det införs en obligatorisk skyldighet att i förväg anmäla alla nu aktuella behandlingar till Datainspektionen. De faktorer som angav skulle beaktas ställer vi oss som sagt i huvudsak bakom. Man bör således vid den helhetsbedöm- ning som skall göras vid intresseavvägningen beakta bl.a. forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behand- lingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in sam- tycke, i vad mån den enskilde skulle kunna skadas om man begärde sam- tycke och om en kontakt med den enskilde skulle kunna förrycka under- sökningsresultatet. Vid intresseavvägningen skall också beaktas om infor- mation i någon form lämnas till de berörda, t.ex. via anslag eller annonser. I de allra flesta fall bör åtminstone sådan information kunna lämnas. Av vad som anförs i avsnitt 11.6.6 framgår att även frågan i vad mån den som begär det skall ha rätt att bli struken skall beaktas vid intresseavvägningen. Det är enligt vår mening inte nödvändigt att ha så utförliga regler i lag- texten som föreslog. Det räcker som vi ser det med en grundläggande regel i lagen som på ett kortfattat men adekvat sätt ger ut- tryck för den intresseavvägning som skall ske. Avvägningsnormen i lagen bör sedan kunna preciseras genom föreskrifter på särskilda områden som meddelas av regeringen eller, efter delegation, av Datainspektionen. Häri- genom får de som har att göra avvägningen i de enskilda fallen ytterligare vägledning. Den restriktiva tillämpning som vi avser framgår med erfor- derlig tydlighet av en regel i lagen om att känsliga personuppgifter får be- handlas för forsknings- och statistikändamål utan samtycke bara om be- handlingen är nödvändig och samhällsintresset av att projektet genomförs klart väger över den risk för otillbörligt intrång i enskildas personliga in- tegritet som projektet kan innebära. Med projekt avser vi då även sådan 306 Forskning och statistik SOU 1997: 39 statistikframställning som sker återkommande, t.ex. , dvs. vad som brukar kallas en statistikprodukt. I enlighet med vad som anförs i avsnitt 12.12.1 anser vi i och för sig att skyldigheten att i förväg anmäla behandlingar till Datainspektionen för förhandskontroll bör begränsas till ett minimum. Vår uppfattning är emellertid att det är så viktigt att Datainspektionen får kännedom om och kan kontrollera alla de forsknings- och statistikprojekt där känsliga person- uppgifter skall behandlas utan samtycke och utan att projektet har godkänts av en forskningsetisk kommitté, att dessa behandlingar alltid bör anmälas i förväg till Datainspektionen för förhandskontroll. Såsom anförs i avsnitt 12.12.2.5 innebär vårt förslag att det i persondatalagen tas in ett bemyndigande för regeringen att besluta om sådan anmälningsskyldighet; i själva lagförslaget tas alltså inte in några bestämmelser om vilka behand- lingar som skall omfattas av skyldigheten. Vi föreslår att regeringen genom förordning inför en anmälningsskyldighet av nämnd innebörd för nu avsedda fall. Anmälningsskyldigheten bör omfatta såväl automatiska som icke automatiska behandlingar. 11.6.3.5Förhållandet till internationella regler Den föreslagna lagregeln utgör ett sådant tillåtet undantag från det princi- förbudet mot behandling av känsliga personuppgifter för ett viktigt allmänt intresse som anges i artikel 8.4 i EG-direktivet; undantaget måste dock, enligt artikel 8.6, anmälas till kommissionen. Undantag får göras bara under förutsättning av lämpliga skyddsåtgärder. Bland annat de stränga sekretessregler som regelmässigt gäller vid behandling för forsk- ning och statistik får anses utgöra sådana lämpliga skyddsåtgärder som av- ses. Behandling för forskning och statistik av sådana personuppgifter rö- rande brott som avses i artikel 8.5 får, enligt vårt förslag (se avsnitt 12.5.3.4), utföras bara av en myndighet, t.ex. Anses det nödvändigt med behandling av sådana uppgifter i privat verk- samhet, kan regeringen eller Datainspektionen, också enligt vårt förslag, dock genom föreskrifter tillåta behandlingen. Sådana föreskrifter torde be- höva anmälas till kommissionen enligt artikel 8.6. Enligt artikel 11.2 i EG-direktivet behöver information inte lämnas när uppgifter hämtas in från annat håll än de registrerade, om utlämnandet av uppgifterna uttryckligen föreskrivs i författning. Enligt punkt 4.4 i Europa- rådets rekommendation bör det inte krävas samtycke när uppgifter lämnas SOU 1997: 39 Forskning och statistik 307 ut från ett privat eller offentligt organ för forskningsändamål i enlighet med lagstiftning. I båda nu nämnda fall krävs att det finns lämpliga skyddsåtgärder. Det bör enligt vår mening – med hänsyn till de internationella reglerna – i persondatalagen tas in en uttrycklig regel om att personuppgifter får lämnas ut för att användas i sådana forsknings- och statistikprojekt som är så viktiga att behandling av känsliga personuppgifter är tillåten utan sam- tycke. Regeln medför att den forskare eller statistiker som i enlighet med regeln hämtar in personuppgifter från något annat håll än de registrerade inte automatiskt behöver informera de registrerade om sin behandling; där- emot kan den forskningsetiska granskningen eller en til? ?lämpning av av- vägningsnormen i lagtexten i enlighet med vad som sagts leda till att information måste lämnas. Det är däremot inte fråga om någon ny uppgiftsskyldighet för enskilda. Ett privat företag kan således själv be- stämma om personuppgifter skall lämnas ut för forskning eller statistik. Regeln bör dock inte gälla för det allmänna i den mån något annat följer av sekretesslagen. Bland annat de stränga sekretessbestämmelser som regel- mässigt gäller inom forsknings- och statistikverksamhet får anses utgöra sådana lämpliga skyddsåtgärder som krävs enligt de internationella regler- na. 11.6.4Behandling av icke känsliga personuppgifter Enligt vår mening bör behandling av icke känsliga personuppgifter för forskning och statistik regleras av de allmänna bestämmelserna i den före- slagna persondatalagen. Det är nämligen inte rimligt att behandling för forskning och statistik, som kan ha ett stort samhällsintresse och som re- gelmässigt sker under mycket sträng sekretess, skall vara underkastad strängare regler än vad som gäller för t.ex. privata företags behandling av icke känsliga personuppgifter. Enligt EG-direktivet får personuppgifter behandlas utan samtycke om behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt in- tresse. Vetenskaplig forskning får som regel anses utgöra ett sådant all- mänt intresse, liksom den statistik som framställs av myndigheter. kan även privata företags behandling av personuppgifter för att framställa statistik vara en sådan arbetsuppgift av allmänt intresse. De opinionsundersökningar avseende aktuella samhällsfrågor som utförs av sådana företag är ett exempel, liksom arbetsmarknadsorganisationernas framställning av bl.a. lönestatistik. I vissa fall kan privata företags be- 308 Forskning och statistik SOU 1997: 39 handling av personuppgifter för att framställa statistik också anses vara tillåten efter en sådan intresseavvägning som EG-direktivet föreskriver. Huvuddelen av den framställning av statistik som de privata undersök- ningsföretagen ägnar sig åt torde dock ske efter samtycke, t.ex. genom att den enskilde får information och sedan frivilligt besvarar en enkät eller en telefonförfrågan. Även när avsikten är att behandlingen av personuppgifter för forskning och statistik skall ske med samtycke kan det bli aktuellt att inledningsvis utnyttja möjligheterna att behandla icke känsliga personuppgifter utan samtycke. För att kunna hämta in samtycke från de personer som skall undersökas är det nämligen ofta nödvändigt att för utskick eller telefonför- frågningar upprätta ett personregister som innehåller de berörda personer- nas namn, adress och telefonnummer. Det bör betonas att ett sådant förregister inte får byggas upp på ett sådant sätt att känsliga uppgifter kan hänföras till de registrerade. I vissa fall kan rubriken på ett register avslöja känsliga uppgifter om dem som är upptagna där, även om uppgif- terna bara innefattar namn och adress. De personer som avböjer medverkan måste naturligtvis strykas omgående ur registret, medan uppgifter om så- dana personer som samtycker till att medverka kan föras över till ett sär- skilt forsknings- eller statistikregister där ytterligare uppgifter kan registre- ras. En eventuell bortfallsanalys får inte göras på det sättet att uppgifter om de personer som avböjt medverkan eller inte kunnat nås registeras i ett manuellt register eller med hjälp av automatisk databehandling. 11.6.5Betydelsen av det ändamål för vilket uppgifterna samlats in För den som skall forska eller framställa statistik kan det ofta vara ratio- nellt och förhållandevis billigt att använda redan insamlade personuppgif- ter för forskningen eller statistiken. Uppgifterna kan ha samlats in för t.ex. administrativa ändamål eller för något annat forsknings- eller statistikpro- jekt. Man kan här skilja mellan tre huvudfall: N Personuppgifter som har samlats in för administrativa ändamål skall an- vändas av den persondataansvarige själv för forskning och statistik, t.ex. för att följa upp verksamheten. SOU 1997: 39 Forskning och statistik 309 N Personuppgifter som har samlats in för administrativa ändamål skall lämnas ut till någon annan för att hos denne användas för forskning och statistik. N Personuppgifter som har samlats in för ett forsknings- eller statistikän- damål skall användas för ett annat sådant ändamål. I samtliga nu angivna fall skall personuppgifterna alltså användas för något annat ändamål än det för vilket de ursprungligen samlades in. Det bör på- pekas att uppgifter givetvis kan samlas in för flera ändamål , och våra överväganden i detta avsnitt avser inte det oproblematiska fallet att de registrerade har samtyckt till ett sådant förfaringssätt. I det följande be- handlas de tre angivna fallen under skilda rubriker. Först finns det emellertid anledning att kort beröra ett annat fall där personuppgifter används för ett annat ändamål än det för vilket uppgifterna samlats in. Det gäller det fallet att personuppgifter som samlats in för forskning och statistik används för något annat ändamål än forskning och statistik, t.ex. för att vidta åtgärder som berör enskilda. 11.6.5.2Personuppgifter för forskning och statistik används för att vidta åtgärder beträffande enskilda Personuppgifter som har samlats in för forskning och statistik får som regel inte användas för andra ändamål än forskning och statistik, eftersom en sådan användning är klart oförenlig med det forsknings- eller statistikän- damål för vilket uppgifterna ursprungligen samlades in; en annan sak är att den kunskap som forskningen eller statistiken ger kan användas för att vidta åtgärder i samhället och beträffande enskilda. I vissa fall kan emeller- tid personuppgifter som har samlats in eller används för forskning och sta- tistik användas för att vidta åtgärder beträffande de registrerade. kan ett forskningsprojekt vara upplagt så att personuppgifterna skall användas för att vidta åtgärder rörande enskilda. Ett sådant projekt får emellertid genomföras bara om de enskilda som lämnat uppgifter har sam- tyckt till det.261 Det bör alltså inte vara tillåtet att forskare utan samtycke hämtar in registeruppgifter för att sedan använda dessa för att – i forsk- ningssyfte eller eljest – vidta åtgärder beträffande de registrerade. 261Jämför punkt 4.1 andra stycket i rekommendation och punkt 30 i förklaringarna därtill. 310 Forskning och statistik SOU 1997: 39 I vissa undantagsfall kan det dock vara befogat att använda person- uppgifter som har samlats in eller används för forskning och statistik för att varna de registrerade. Ett exempel är det fallet att en forskare som under- söker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling.262 Ett annat exempel är när ett statistikregister används för att varna de som har köpt en apparat som visar sig ha ett allvarligt fel. En sådan behandling kan inte rimligen anses oförenlig med de forsknings- eller statistikändamål för vilka uppgifterna ursprungligen samlades in. Här finns det också anledning att peka på att behandling även av känsliga personuppgifter är tillåten en- ligt EG-direktivet om behandlingen är nödvändig för att skydda vitala in- tressen hos den registrerade. Såsom framgår av vad som anförs i avsnitt 12.4.6.3 föreslår vi att det i persondatalagen tas in en bestämmelse om att personuppgifter som be- handlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder beträffande den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon annans vitala intressen. Om en persondataansvarig på laglig grund redan behandlar personuppgif- ter för t.ex. administrativa ändamål, bör han eller hon utan vidare kunna få använda uppgifterna också för att själv framställa statistik eller själv be- driva vetenskaplig forskning. Att någon använder uppgifter, som han eller hon redan har rätt att använda för att t.ex. vidta åtgärder som berör en en- skild, också för att t.ex. framställa siffertabeller kan inte anses innebära något (ytterligare) intrång i den personliga integriteten. Den persondata- ansvarige bör ha den rätten enligt rekommendation (punkt 4.3), och enligt EG-direktivet skall en behandling av personuppgifter för statistiska eller vetenskapliga ändamål inte anses oförenlig med de ända- mål för vilka uppgifterna ursprungligen samlades in (artikel 6.1 b). En så- dan til? ?lämpning stämmer också överens med nuvarande praxis.263 262Se också det fall som nämns i SOU 1989:74 s. 119 f. 263Se t.ex. prop. 1994/95:200 s. 13. SOU 1997: 39 Forskning och statistik 311 11.6.5.4Personuppgifter för administrativa ändamål lämnas ut för forskning och statistik För att reglera uppgiftsbehandling för forskning och statistik kan man principiellt sett gå två vägar. Man kan reglera antingen tillgången till per- sonuppgifter, dvs. i vilka fall uppgifter får lämnas ut för forskning och sta- tistik (från någon annan än den registrerade själv), eller i vilka fall själva behandlingen av uppgifterna för forskning och statistik är tillåten. Regler- na riktar sig i det första fallet till den som skall tillhandahålla uppgifterna och i det andra till de som skall utföra den behandling man avser att reg- lera, dvs. till de persondataansvariga forskarna och statistikerna. Som har framgått av vad som sagts i det föregående har vi valt den senare vägen, dvs. reglerat när behandling för forskning och statistik av uppgifter som forskare eller statistiker på något sätt har fått tag på över huvud taget är tillåten. Det torde för övrigt vara den enda framkomliga vägen. Forskare och statistiker kan ju komma åt personuppgifter även från sådana källor som inte omfattas av en persondatalag, t.ex. hämta dem från tidningsartik- lar eller myndighetsarkiv. EG-direktivet anger också som nämnts att en senare behandling av per- sonuppgifter för vetenskapliga eller statistiska ändamål inte skall anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in. Att tillåta att en persondataansvarig lämnar ut personuppgifter till någon annan att användas av denne för forskning och statistik, får således anses förenligt med EG-direktivet; en annan sak är att den senare behandlingen hos forskaren eller statistikern bara är tillåten i enlighet med de materiella reglerna i direktivet, inbegripet reglerna om information. Vår slutsats är alltså att det – när väl själva behandlingen av uppgif- terna för forskning och statistik har reglerats – inte behövs någon särskild reglering av utlämnandet för forskning och statistik av uppgifter som har samlats in för andra ändamål, t.ex. administrativa ändamål; av vad som anförts i avsnitt 11.6.3.5 framgår att vi, av hänsyn till internationella regler, föreslår en uttrycklig regel om att personuppgifter får lämnas ut för att användas i viktigare forsknings- och statistikprojekt, om inte något annat följer av sekretesslagen. 11.6.5.5Personuppgifter för forskning och statistik återanvänds i ett annat projekt EG-direktivet innebär som nämnts att en behandling för vetenskapliga eller statistiska ändamål bör anses tillåten även om personuppgifterna ur- 312 Forskning och statistik SOU 1997: 39 sprungligen samlats in för andra ändamål. Direktivet verkar således tillåta att personuppgifter som samlats in för ett visst forsknings- eller statistik- projekt senare används i ett annat sådant projekt. I rekommendation finns det också en regel för detta fall, som gäller när de registrerade har samtyckt till en behandling (punkt 4.2). Om de registrerade har samtyckt till en viss behandling inom ett projekt, får personuppgifterna utan vidare användas i ett annat projekt bara det inte väsentligt skiljer sig från det första såvitt gäller natur och syfte. Är det – på grund av den tid som förflutit eller det stora antalet registrerade – inte möjligt (impracticable) att hämta in nytt samtycke, får de lämnade per- sonuppgifterna ändå användas i det nya projektet i enlighet med skyddsåt- gärder i nationell lagstiftning. Av förklaringarna (punkt 32) framgår att reglerna inte gäller när de registrerade före samtycket har informerats om att uppgifterna kan användas också för andra ändamål och att avvägningen i fråga om under vilka villkor återanvändning av uppgifter är tillåten kan överlåtas t.ex. åt något specialorgan inom forskarsamhället. Som framgått av närmast föregående avsnitt har vi valt att direkt regle- ra i vilka fall behandling för forskning och statistik är tillåten. Regleringen garanterar bl.a. att känsliga personuppgifter kommer att behandlas utan samtycke bara i de fall där det finns ett starkt samhällsintresse av behand- lingen som väger över intrånget i den personliga integriteten. Det proble- matiska fallet är här det som rekommendation berör. När den enskilde frivilligt har samtyckt till att uppgifter används (bara) i ett visst forsknings- eller statistikprojekt, är det givetvis som regel oacceptabelt att det förtroende som den enskilde har visat forskaren eller statistikern kränks genom att uppgifterna används för ett helt annat projekt med väsentligt annorlunda inriktning och syften. Detta kan med fog upp- fattas som ett betydligt värre intrång i den personliga integriteten än när uppgifter som lämnats för administrativa ändamål, dvs. med vetskap om att de kommer att användas för att vidta åtgärder beträffande uppgiftsläm- naren, används för att under mycket sträng sekretess framställa t.ex. ano- nyma siffertabeller. Enligt vår mening är den reglering som vi har föreslagit för behandling utan samtycke av känsliga personuppgifter tillräcklig även i dessa fall. Bara när det – av de skäl som anges i rekommendation – är omöjligt att hämta in ett nytt samtycke kan det över huvud taget övervägas att tillåta behandlingen enligt den avvägningsnorm som vi har föreslagit. Och med hänsyn till det grova intrång i den personliga integriteten som en kränkning av ett en gång lämnat samtycke skulle innebära är det svårt att SOU 1997: 39 Forskning och statistik 313 tänka sig fall där avvägningen skulle kunna utfalla till förmån för en åter- användning av uppgifterna. Det kan emellertid inte helt uteslutas att det kan finnas extrema undantagsfall där samhällsintresset av att projektet ge- nomförs ändå kan väga över. Något absolut förbud mot återanvändning i dessa fall bör därför inte införas. De forskningsetiska kommittéerna, vilka bl.a. värnar om allmänhetens attityd gentemot forskningen, har, såvitt vi erfarit, samma – eller till och med ännu strängare – inställning i dessa frå- gor. Det bör tilläggas att det riktiga förfaringssättet i nu avsedda fall givet- vis är att de enskilda i samband med att samtycke hämtas in för ett visst projekt tillfrågas om uppgifterna också får användas för andra projekt och informeras om vad detta kan innebära. Det kan förutsättas att så kommer att ske i ökad utsträckning i fortsättningen i de fall där det går att förutse att uppgifterna kan komma att återanvändas, vilket gör att problemen i praktiken kommer att bli mindre . I de fall där behandlingen för forskning och statistik grundar sig på sam- tycke, bör den registrerade givetvis – utan att behöva ange något skäl – kunna återta samtycket och t.ex. vägra lämna ytterligare uppgifter. I sådant fall bör ytterligare uppgifter om den registrerade inte få behandlas. Den registrerade skall för övrigt enligt rekommendation ha en så- dan rätt att när som helst och utan att behöva ange några skäl avböja fort- satt medverkan (punkt 3.2). De uppgifter som redan har registrerats med stöd av samtycket bör enligt vår mening även fortsättningsvis få behandlas. Lika väl som den registrerade bör kunna lita på besked och information från den persondataansvarige, bör denne kunna förlita sig på ett samtycke som den registrerade har lämnat frivilligt. Det är önskvärt att behandling av personuppgifter för forskning och statistik i största möjliga utsträckning bygger på samtycke, och en rätt för den enskilde att med retroaktiv ver- kan kunna ta tillbaka ett en gång lämnat samtycke skulle bara på ett olyckligt och svåröverskådligt sätt drabba de forskare och statistiker som planlagt ett projekt utifrån frivilligt lämnade uppgifter; däremot får de projektansvariga räkna med att uppgifter som de ännu inte har fått tillgång till kan komma att utebli på grund av återtaget samtycke (eller andra oför- utsedda händelser). Det förekommer, såvitt upplysts, inte heller att Datainspektionen föreskriver att uppgifter som har hämtats in efter 314 Forskning och statistik SOU 1997: 39 samtycke skall strykas om den registrerade i efterhand ångrar sig och tar tillbaka samtycket. Den svåra frågan är här i vad mån de registrerade skall ha rätt att på begäran få bli strukna i de fall där behandlingen är tillåten utan samtycke. En sådan rätt krävs inte enligt EG-direktivet; i den nationella lagstiftningen kan det nämligen föreskrivas att det inte finns någon strykningsrätt. Vid behandling av icke känsliga personuppgifter för forskning och sta- tistik bör de allmänna reglerna för uppgiftsbehandling kunna tillämpas även i detta hänseende. Det är nämligen, som sagt, inte rimligt att för forskning och statistik föreskriva strängare regler än för den behandling som får ske t.ex. för att tjäna pengar inom det privata näringslivet. I fort- sättningen berörs därför bara frågan om strykningsrätt vid behandling utan samtycke för forskning och statistik av känsliga personuppgifter.