prop · H003163 · 2013-05-24 00:00:00 — Regeringen anser därför att Lagrådets synpunkter i stället bör beaktas på så sätt att den i lagrådsremissen föreslagna bestämmelsen om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbets- uppgifter bör ändras till att innebära att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Med uppdragstagare avses bl.a. personuppgiftsbiträden. Eftersom avsikten är att personuppgifter i register enligt den föreslagna lagen ska kunna lämnas ut för att behandlas vidare i viss registerbaserad forskning, görs bedömningen att det inte bör uppställas några restrik- tioner för andra former av elektroniskt utlämnande av personuppgifter än direktåtkomst. Det bör således inte uppställas några restriktioner i fråga om t.ex. utlämnande på medium för automatiserad behandling. Som framgått av avsnitt 5.1 anser regeringen att även det universitet eller den högskola som för ett register i syfte att skapa underlag för forsk- ning ska kunna tillåtas använda uppgifterna i egna forskningsprojekt som har godkänts enligt etikprövningslagen. I ett sådant fall är det fråga om utlämnande av uppgifter inom myndigheten, från den verksamhet som avser förande av och uttag ur registret till en verksamhet som avser ett konkret forskningsprojekt. Som regeringen återkommer till i avsnitt 6 föreslås en ändring i offentlighets- och sekretesslagen av innebörd att det ska gälla absolut sekretess för uppgifter i verksamhet som avser förande av och uttag ur register enligt den föreslagna lagen för uppgifter som är direkt hänförliga till den enskilde. Sådana uppgifter ska bara få lämnas ut i den utsträckning som framgår av den föreslagna lagen (se avsnitt 5.4 och 6.2). Vidare ska uppgift som inte genom namn, annan identitets- beteckning eller liknande förhållande är direkt hänförlig till den enskilde få lämnas ut endast om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. I ett sådant fall krävs således en sekretessprövning i varje enskilt fall. Som regeringen återkommer till i avsnitt 6.2 medför den föreslagna sekretessregleringen att verksamhet som avser förande av och uttag ur registret enligt den i avsnitt 5.1 föreslagna lagen kommer att utgöra en egen verksamhetsgren inom det universitet eller den högskola som för registret. För att en sekretessgräns ska uppstå inom en myndighet räcker dock inte att det finns olika verksamhetsgrenar utan de måste också organiseras på ett Prop. 2012/13:163 sådant sätt att de förhåller sig självständiga i förhållande till varandra (8 kap. 2 § OSL). För det fall ett universitet eller en högskola väljer att både föra ett register enligt den föreslagna lagen och bedriva sådan forskning till vilken uppgifter från registret kan lämnas ut förutsätter dock regeringen att så sker. Som nämnts ovan ska ett utlämnande av uppgifter i form av direktåtkomst till registret inte vara tillåten. Detta gäller även i förhållande till en annan självständig verksamhetsgren inom den registerförande myndigheten. Bestämmelser om säkerhetsåtgärder finns i 3032 §§ personuppgifts- lagen. Kammarrätten i anser att lagförslaget bör kompletteras med en bestämmelse om att personuppgifter ska hanteras och förvaras på sådant sätt att obehöriga inte får tillgång till dem. Av 31 § person- uppgiftslagen följer bl.a. att den som är personuppgiftsansvarig är skyl- dig att så långt som möjligt se till att lämpliga organisatoriska och tekniska åtgärder vidtas för att skydda de personuppgifter som behandlas. Regeringen anser därför att en sådan bestämmelse som kammarrätten efterfrågat inte behövs i den föreslagna lagen. I lagrådsremissen föreslogs att det, på det sätt som är brukligt i särskilda registerförfattningar, bör föreskrivas i den föreslagna lagen att bestäm- melserna i personuppgiftslagen om rättelse gäller för behandling av personuppgifter enligt den föreslagna lagen. Reglerna i 28 § person- uppgiftslagen om rättelse m.m. gäller nämligen endast för person- uppgifter som har behandlats i strid med personuppgiftslagen. har påpekat att det redan finns en allmän bestämmelse om att personuppgiftslagen gäller vid behandling av personuppgifter, om inte annat följer av den föreslagna lagen, samt ifrågasatt om ett särskilt stadgande krävs för att personuppgiftslagens regler om rättelse ska bli tillämpliga på personuppgifter som behandlas i strid med den föreslagna Enligt Lagrådet uppnås inte heller det avsedda syftet med den utformning av bestämmelsen som har föreslagits i lagrådsremissen. Lagrådet föreslår därför att bestämmelsen exempelvis bör ges lydelsen att bestämmelserna i 28 § personuppgiftslagen om rättelse tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den Regeringen konstaterar att den lagstiftningsteknik som valts i lagrådsremissen har godtagits i ett flertal lagstiftningsärenden på dataskyddsområdet (se t.ex. 11 § lagen [1998:543] om hälsodataregister, 9 § [2001:454] lagen om behandling av personuppgifter inom social- tjänsten, 15 § lagen [2002:546] om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, 14 § lagen [2006:469] om behandling av personuppgifter vid Inspektionen för arbetslöshets- försäkringen och 15 § lagen [2012:741] om behandling av person- I dessa lagar finns dels en allmän bestämmelse som klargör att personuppgiftslagen gäller vid behandling av personuppgifter, om inte 2012/13:163 annat följer av den särskilda registerlagen, dels en särskild bestämmelse om att personuppgiftslagens bestämmelser om rättelse är tillämpliga vid behandling av personuppgifter enligt den särskilda registerlagen. Regeringen delar således inte Lagrådets tveksamhet i fråga om den valda lagstiftningstekniken och anser att den uppnår sitt syfte. När det gäller frågan hur en sådan bestämmelse närmare bör utformas finns dock exempel på bestämmelser i annan registerlagstiftning som har utformats på ett sätt som liknar Lagrådets förslag (se 8 kap. 3 § patientdatalagen [2008:355]). Regeringen anser att den av Lagrådet föreslagna orda- lydelsen är tydligare än den som föreslogs i lagrådsremissen och anser därför att den av Lagrådet föreslagna ordalydelsen bör väljas. läns landsting och har ställt sig frågande till den i promemorian föreslagna bestämmelsen om att per- sonuppgifter som bedöms inte längre behövas för de primära ändamålen ska utplånas eller avidentifieras. Myndigheterna undrar, med hänsyn till ändamålet med registret, när och om utplåning eller avidentifiering av uppgifter kommer att bli aktuell. påpekar att det finns en potentiell risk att en granskning vid eventuella metodologiska fråge- tecken eller forskningsfusk i tidigare studier försvåras om person- uppgifter utplånas alltför snabbt. föreslår att man kan överväga säker arkivering av material (med åtkomst endast i de fall då det finns metodologiska frågetecken eller då man misstänker forsk- ningsfusk), åtminstone för större eller kontroversiella projekt, av efter det att projektet har avslutats. har framfört att det enligt myndighetens uppfattning saknas motiv för att meddela från arkivlagen avvikande bestämmelser om gallring av personuppgifter. Enligt personuppgiftslagen får personuppgifter inte bevaras än som är nödvändigt med hänsyn till ändamålen med behand- lingen (9 § första stycket i). Personuppgifter får dock bevaras under den som de behövs för historiska, statistiska eller vetenskapliga ändamål (9 § tredje stycket). Bestämmelserna i personuppgiftslagen hindrar inte att en myndighet arkiverar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket första meningen). Enligt 3 § arkivlagen (1990:782) ska myndigheters arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Allmänna handlingar får bara gallras om återstående arkivmaterial kan tillgodose dessa ändamål och det krävs särskilda föreskrifter eller beslut för att gallring ska få ske (10 § första och andra styckena arkivlagen). Arkivlagens utgångspunkt är så- ledes att allmänna handlingar ska bevaras. Arkivlagen är dock subsidiär, dvs. avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning har företräde (10 § tredje stycket). I de särskilda registerförfattningarna om behandling av personuppgifter i olika verksamheter är utgångspunkten oftast den motsatta i förhållande till arkivlagen, nämligen att uppgifter ska gallras senast om inte undantag har föreskrivits i registerförfattningen eller i andra bestämmelser som meddelats med stöd av denna. motiveras i första hand av integritetsskäl (prop. s. 50 f.). Behovet av särskilda gallringsbestämmelser måste avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet. I vissa registerförfattningar, t.ex. lagen (1998:543) om hälsodata- register och de förordningar som meddelats med stöd av den lagen samt 5 kap. lagen (2002:297) om biobanker i hälso- och sjukvården, finns inte någon särskild reglering om bevarande och gallring, vilket innebär att bestämmelserna i 9 § personuppgiftslagen blir tillämpliga. I bl.a. patientdatalagen (2008:355) finns däremot särskilda bestämmelser om bevarande och gallring. När det gäller nationella och regionala kvalitets- register enligt 7 kap. patientdatalagen ska personuppgifter i ett sådant register gallras när de inte längre behövs för det primära ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet (7 kap. 10 § första stycket). En arkivmyndighet eller i vissa fall regeringen eller den myndighet som regeringen bestämmer får dock meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål (7 kap. 10 § andra och tredje styckena). Som ett ytterligare exempel kan lagen (2012:741) om behand- ling av personuppgifter vid ningspolitisk utvärdering nämnas. Den lagens giltighetstid har i likhet med den nu föreslagna lagen tidsbegränsats till och med i avvaktan på ett pågående utredningsarbete. Lagen har dock försetts med en bestämmelse om gallringsskyldighet med möjlighet för regeringen eller den myndighet som regeringen bestämmer att besluta att personuppgifter som inte längre behövs för de primära ändamålen och som därför ska gallras, ändå ska kunna bevaras för historiska, statistiska eller vetenskapliga ändamål (14 §). Register som kommer att föras med stöd av den nu föreslagna lagen kommer att innehålla särskilt känsliga personuppgifter, bl.a. uppgifter om genetiska undersökningsresultat. Behandling av personuppgifter i sådana register sker med stöd av den registrerades uttryckliga samtycke till be- handling för vissa bestämda ändamål. De primära ändamålen för behand- lingen är att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt samt att lämna ut uppgifter till sådan forskning under de närmare förutsättningar och i den form som anges i den föreslagna lagen. Avsikten är således att personuppgifter ska kunna sparas i registret för att göra det möjligt att efter ett utlämnande genomföra longitudinella studier eller undersöka t.ex. vad olika förhållanden i ungdomen har för betydelse för uppkomsten av sjukdom senare i livet. Det är mot den bakgrunden troligt att uppgifterna i registret kommer att behöva lagras för de primära ändamålen . Det kan dock inte uteslutas att det kan komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras. Regeringen anser därför att det bör finnas en särskild gallringsbestäm- melse i den föreslagna lagen. När det gäller frågan hur gallringsbestämmelsen bör utformas anser regeringen att det i detta lagstiftningsärende inte finns tillräckliga skäl att avvika från den lösning som finns i annan jämförbar lagstiftning, dvs. regeringen eller den myndighet som regeringen bestämmer bör ges möjlighet att meddela föreskrifter om eller i ett enskilt fall besluta att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Det bör i och för sig uppmärksammas att regeringen i avsnitt 5.4 föreslår att behandling av personuppgifter enligt den nu föreslagna lagen inte ska tillåtas för andra ändamål än de som anges där, dvs. den uppräkning som görs i lagen av de ändamål för vilka personuppgifter ska få behandlas är uttömmande. Det innebär, till skillnad från vad som gäller enligt t.ex. lagen om behandling av personuppgifter vid utvärdering, att den s.k. finalitetsprincipen i 9 § första stycket d personuppgiftslagen inte kommer att vara tillämplig. Som nämnts tidigare innebär denna princip att person- uppgifter får behandlas för ett ändamål som inte är oförenligt med de ändamål för vilket uppgifterna samlats in. Inte heller kommer bestäm- melsen i 9 § andra stycket personuppgiftslagen, som innebär att en behandling av personuppgifter för historiska, statistiska eller vetenskap- liga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in, att vara tillämplig på uppgifter som behandlas enligt den föreslagna lagen. Detta ställningstagande har gjorts mot bakgrund av att det är fråga om en tillfällig lag i avvaktan på pågående utredningsarbete och att mycket känsliga uppgifter, bl.a. uppgifter om resultatet av genetiska undersökningar, får behandlas enligt lagen (se avsnitt 5.4). Mot bakgrund av regeringens ställningstagande att nu nämnda bestämmelser i 9 § personuppgiftslagen inte ska vara tillämpliga på uppgifter som behandlas enligt den föreslagna lagen skulle det kunna anses vara ologiskt att regeringen föreslår att gallringsbestämmelsen ska förses med ett undantag av innebörd att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om eller i ett enskilt fall får besluta att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Regeringens målsättning är dock att ska få så fria händer som möjligt att göra sina bedömningar. Det innebär å ena sidan att det under den tillfälliga lagens giltighetstid inte bör vara möjligt att behandla personuppgifter för andra ändamål än de som uttryckligen nämns i lagen. Å andra sidan bör uppgifter inte gallras i onödan för det fall skulle föreslå att ovan nämnda bestämmelser i personuppgiftslagen bör vara tillämpliga . Mot denna bakgrund föreslår regeringen att bestämmelsen om gallring i den föreslagna lagen ska utformas så att personuppgifter som inte längre behövs för de primära ändamålen ska gallras, men att det ska vara möjligt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om eller i ett enskilt fall besluta att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Regeringen föreslår vidare, vilket framgår av avsnitt 5.4, att ett av de i den föreslagna lagen uttryckligt angivna ändamålen för behandling av personuppgifter ska vara sådant bevarande som avses i nu nämnda bestämmelse. Det är dock bara själva bevarandet för sådana ändamål som tillåts. För det fall uppgifter lämnas över till en arkivmyndighet får arkivmyndigheten under lagens giltighetstid bara lämna ut uppgifter för sådana ändamål som i övrigt anges i avsnitt 5.4. Med hänsyn till att de uppgifter som kan behandlas enligt den Prop. 2012/13:163 föreslagna lagen är särskilt känsliga och då behandling av person- uppgifter i sådana register kommer att ske med stöd av den registrerades uttryckliga samtycke föreslår regeringen, vilket närmare redogörs för i avsnitt 5.7.3, att den enskilde alltid ska ha rätt att begära att uppgifter om honom eller henne i registret ska utplånas (jfr 7 kap. 2 § patientdata- lagen) samt att denna rätt, för det fall uppgifter arkiveras, även ska gälla arkiverade uppgifter. 5.7Samtycke, information, rätt till utplåning av uppgifter Regeringens förslag: Personuppgifter får inte samlas in i syfte att dessa ska registreras i ett register som förs enligt den föreslagna lagen utan att den som uppgifterna avser uttryckligen har samtyckt till att personuppgifter behandlas enligt den föreslagna lagen. Innan en person lämnar sitt samtycke ska han eller hon ha informe- rats om att det är frivilligt att lämna uppgifter, medverka till upptagningar eller genomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt deltagande helt eller delvis, för vilka ändamål behandling kan ske och vilka uppgifter som får registreras, de sekretess- och säkerhetsbestämmelser som gäller för registret, vem som är personuppgiftsansvarig, hur länge uppgifterna sparas, rätten till rättelse av uppgifterna, rätten till information om till vilka forskningsprojekt som upp- gifter om den registrerade har lämnats ut samt rätten till information enligt 26 § personuppgiftslagen, vilken myndighet som har tillsyn över att lagen följs, rätten till skadestånd, och rätten att få uppgifter utplånade. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. anser att man i lagen bör utgå från att det redan inledningsvis ställs en fråga huruvida personen samtycker till att man påför uppgifter . En detaljreglering som nödvändiggör kontakter med varje person som ingår i studien varje gång en ny uppgift ska läggas in i databasen är enligt knappast önskvärd eller nödvändig ur personens synpunkt och administrativt orimlig. Den data- ansvarige kan på sin hemsida redovisa vilka uppgifter som planeras läggas till eller som har lagts till databasen och därvid ge individerna möjlighet att begära utdrag och ge uttryck för deras eventuella tvekan till 2012/13:163 åtgärden. bör etikprövningsnämnderna få till uppgift att pröva om uppdateringar av databasen är i enlighet med det lämnade samtycket. anser att förslaget innebär ett komplicerat och om- fattande informerat samtycke som kan ge personen som medverkar i ett register eller en biobank en känsla av misstänksamhet och att forskaren eller myndigheten vill friskriva sig från ansvar. Skälen för regeringens förslag: Som framgår av avsnitt 5.1 och 5.5 är det viktigt att uppgifter endast får samlas in för registrering i ett register enligt den föreslagna lagen efter ett uttryckligt samtycke av den enskilde. Den enskilde måste få tillräckligt mycket information för att kunna avgöra vilka integritetsrisker som är förknippade med att lämna eller på annat sätt medverka till uppgifter i syfte att uppgifterna ska registreras i ett register som förs enligt den föreslagna lagen, så att den enskilde kan avgöra om denne vill medverka eller inte. Mot denna bakgrund bör den enskilde informeras om för vilka ändamål behandling kan ske och vilka uppgifter som får registreras. Det innebär att den enskilde bl.a. ska informeras om att uppgifter som denne lämnar eller på annat sätt medverkar till för registrering endast kommer att få lämnas ut till sådana forskningsprojekt som dels avser vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, dels har godkänts vid en prövning enligt etikprövningslagen, dels bedrivs av en myndighet. Den enskilde ska vidare informeras om att endast sådana uppgifter som inte är direkt hänförliga till den enskilde kommer att lämnas ut till sådana forskningsprojekt, men att uppgifterna kan vara försedda med löpnum- mer i syfte att uppgifterna ska kunna uppdateras inom ramen för ett forskningsprojekt. Den enskilde ska även informeras om att en s.k. kodnyckel (se avsnitt 5.4) kan komma att lämnas ut till andra register- förande myndigheter i syfte att dessa ska kunna lämna uppgifter om samma personer till sådana etikgodkända forskningsprojekt som har fått uppgifter från nu aktuellt register, i syfte att uppgifterna från de olika registren ska kunna sambearbetas i forskningsprojekten. När det gäller andra uppgifter än sådana som den enskilde själv lämnar eller annars medverkar till i syfte att de ska registreras anser regeringen, som framgår av avsnitt 5.5, att det bör räcka att den enskilde, efter att ha fått information om vilka kategorier av uppgifter det är fråga om, uttryckligen samtycker till att uppgifterna inhämtas för att de ska få inhämtas och registreras. Sådan information bör, om den inte lämnas varje gång sådana uppgifter inhämtas, även avse med vilken periodicitet uppgifterna inhämtas för uppdatering. Som framgår av avsnitt 5.5 innebär dock kravet på ett uttryckligt samtycke att den registrerade, om han eller hon så önskar, kan begära att även få ta del av de efterfrågade uppgifterna innan samtycke ges. Den enskilde bör vidare informeras om för vilka sekundära ändamål uppgifterna kan komma att behandlas. Den enskilde ska vidare upplysas om att det är frivilligt att lämna uppgifter, medverka till upptagningar eller genomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt del- tagande helt eller delvis. Det bör vidare lämnas information om hur länge I sistnämnda avseende räcker det att upplysa om Prop. 2012/13:163 innebörden av den gallringsbestämmelse som har föreslagits i avsnitt 5.6. I övrigt bör den enskilde upplysas om vilka sekretess- och säkerhets- bestämmelser som gäller för registret, vilka rättigheter den enskilde har, vem den personuppgiftsansvarige är, så att den enskilde vet vem han eller hon ska vända sig till om han eller hon vill utnyttja sina rättigheter, samt viken myndighet som har tillsyn över att lagen följs, för det fall den enskilde vill vända sig dit. anser att förslaget innebär ett komplicerat och omfattande informerat samtycke som kan ge personen som medverkar i ett register eller en biobank en känsla av misstänksamhet och att forska- ren eller myndigheten vill friskriva sig från ansvar. Regeringen delar inte denna uppfattning. Med de justeringar som regeringen har gjort i förhållande till det i promemorian lämnade förslaget till informations- skyldighet anser regeringen att omfattningen av den information som ska lämnas till den enskilde är tillräcklig för att den enskilde ska få en god bild av vad han eller hon samtycker till, som en sådan ohanterlig informationsbörda som vissa remissinstanser har befarat und- viks. Det har inte ansetts nödvändigt att föreskriva att informationen och samtycket ska lämnas skriftligen, men det kan antas att de person- uppgiftsansvariga, som har bevisbördan för att information och samtycke lämnats, ändå väljer skriftlig form. Regeringens bedömning: Det behövs inte någon bestämmelse om vem som ska företräda den registrerade om han eller hon är underårig. Promemorians förslag: Överensstämmer inte med regeringens bedömning. I promemorian föreslås att om den registrerade är en underårig som inte har uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågor om behandling av personuppgifter och provtagning avses med den registrerade, vid tillämpningen av den föreslagna lagen, i stället den underåriges vårdnadshavare i den utsträckning den underårige inte själv, efter samtycke från vårdnads- havaren, lämnar uppgifter, medverkar till upptagningar och genomgår undersökningar. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. anser att regeln är ändamålsenlig men i det närmaste så självklar att den kan utgå. Frågan regleras i det allmänna regelverket och det räcker.