prop · H003163 · 2013-05-24 00:00:00 — 1.ge universitet och högskolor möjlighet att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, och 2.skydda den enskildes personliga integritet i sådan verksamhet. I paragrafen anges det övergripande syftet med den föreslagna lagen. Detta är dels att möjliggöra för universitet och högskolor att bygga upp register som ska utgöra underlag för olika forskningsprojekt om vad arv Prop. 2012/13:163 och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, dels att skydda enskildas integritet i sådan verksamhet. 2 § Lagen gäller behandling av personuppgifter som utförs av sådana statliga universitet och högskolor som omfattas av högskolelagen (1992:1434) och som med den enskildes uttryckliga samtycke sker i sådant syfte som anges i 1 § 1. Lagen gäller bara om behandlingen är helt eller delvis automatiserad eller om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Regeringen meddelar föreskrifter om vilka statliga universitet och högskolor som får behandla personuppgifter enligt denna lag och vilka register enligt lagen som får föras. Paragrafen anger lagens tillämpningsområde. Av första stycket framgår att lagen bara gäller sådan behandling av personuppgifter som utförs av statliga universitet och högskolor som omfattas av högskolelagen (1992:1434) och som dels sker med den enskildes uttryckliga samtycke, dels sker i sådant syfte som anges i 1 § 1. Detta innebär inledningsvis att lagen inte är tillämplig på behandling av personuppgifter som utförs av andra myndigheter än statliga universitet och högskolor som omfattas av högskolelagen. Lagen omfattar inte heller behandling av personuppgifter som utförs av sådana universitet och hög- skolor för sådant ändamål som anges i 1 § 1, men där personuppgifterna inte har inhämtats efter uttryckligt samtycke av den enskilde. Som exempel kan nämnas register som innehåller sådana personuppgifter som inte är direkt hänförliga till enskilda och som ett universitet eller en högskola har erhållit från någon annan myndighet på annan grund än den enskildes samtycke. Eftersom det följer av första stycket och 1 § 1 att syftet med personuppgiftsbehandlingen ska vara att skapa underlag för olika forskningsprojekt omfattar lagen inte heller register som förs av ett universitet eller en högskola inom ramen för ett enskilt forskningsprojekt som har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Genom avgränsningen till underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa är lagen inte heller tillämplig på register som förs av universitet och hög- skolor med stöd av personuppgiftslagen (1998:204) eller någon annan författning för andra forskningsändamål, även om sådana register inne- håller personuppgifter som behandlas med den enskildes uttryckliga sam- tycke. Av andra stycket följer att helt behandling av personuppgifter som inte ingår i någon samling som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier faller utanför lagens tillämp- ningsområde (s.k. ostrukturerat material, jfr 5 a § första stycket person- uppgiftslagen). Av tredje stycket framgår att lagens närmare tillämpningsområde, när det gäller vilka universitet och högskolor som får behandla person- uppgifter enligt lagen och vilka register som dessa universitet och hög- 2012/13:163 skolor får föra, kommer att anges i förordning. Stycket har formulerats i enlighet med Lagrådets förslag. 3 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter, om inte annat följer av denna lag. Av paragrafen framgår att personuppgiftslagen ska gälla vid behandling av personuppgifter enligt lagen, om inte något annat följer av lagen. De begrepp som används i lagen har samma innebörd som enligt 3 § personuppgiftslagen (1998:204), om inte något annat framgår av lagen. I 4 § regleras vem som är personuppgiftsansvarig. Bestämmelsen behandlas i avsnitt 5.2. 4 § De universitet eller högskolor som utför behandlingen av personuppgifter är person- uppgiftsansvariga. I paragrafen anges vem som är personuppgiftsansvarig, dvs. som har ansvaret för att både denna lag och tillämpliga bestämmelser i person- uppgiftslagen följs. Bestämmelsen innebär att detta ansvar vilar på det universitet eller den högskola som med stöd av föreskrifter som avses i 2 § tredje stycket utför behandlingen av personuppgifter. Bestämmelsen behandlas i avsnitt 5.3. 5 § Personuppgifter får behandlas för ändamålen att 1.skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, och 2.lämna ut uppgifter för sådan forskning som anges i 1 i den utsträckning och på det sätt som anges i 6 §. I paragrafen anges de s.k. primära ändamål för vilka personuppgifter får behandlas enligt lagen. De primära ändamålen avser myndighetens eget behov av att behandla personuppgifter. Det första primära ändamålet är att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Med arv avses alla slags ärftliga egenskaper. Med miljö avses alla omvärldsfaktorer som skulle kunna påverka människors hälsa, t.ex. kost och livsstil, förebyggande åtgärder och sjukdomsbehandling. Med sjukdomar avses sjukdomar som kan drabba människor. Det andra primära ändamålet är att lämna ut uppgifter för sådan forsk- ning som avses i punkten 1. Utlämnande får bara ske under de förut- sättningar som anges i 6 § andra stycket. Bestämmelserna behandlas i avsnitt 5.4. 6 § Personuppgifter som har registrerats enligt 9 § får lämnas ut till sådan forskning som avses i 5 § 1 under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor och Prop. 2012/13:163 att forskningen bedrivs vid en myndighet. Utlämnande enligt första stycket får endast avse personuppgifter som inte är direkt hänförliga till den enskilde. Personuppgifterna får dock vid utlämnandet vara försedda med en beteckning som hos den personuppgiftsansvarige kan kopplas till den registrerades personnummer eller motsvarande identitetsbeteckning. Paragrafen innehåller en precisering av under vilka förutsättningar uppgifter får lämnas ut till sådan forskning som avses i 5 § 1. Personuppgifter som har registrerats enligt lagen får enligt första stycket lämnas ut från registret för att användas i forskning om vad arv och miljö betyder för uppkomsten och utvecklingen av olika sjukdomar och för människors hälsa i övrigt. För en närmare förklaring av vad som avses med arv och miljö hänvisas till kommentaren till 5 §. förutsättning för att uppgifter ska få lämnas ut enligt denna punkt är att såväl den aktuella forskningen som behandlingen av uppgifterna har godkänts enligt lagen om etikprövning av forskning som avser Enligt 6 § nämnda lag ska ett etikgodkännande avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd Vidare får forskningen bara innefatta behandling av person- uppgifter enligt 13 och 21 §§ personuppgiftslagen om behandlingen har godkänts vid etikprövningen. En ytterligare förutsättning för utlämnande enligt första stycket är att den etikgodkända forskningen bedrivs vid en myndighet. kan bedrivas av såväl statliga som kommunala och landstingskommunala Ett utlämnande från registret enligt första stycket kan även ske till det personuppgiftsansvariga eller den personupp- Av andra stycket framgår att uppgifter endast får lämnas ut enligt första stycket om uppgifterna inte direkt, genom t.ex. namn eller person- nummer, kan hänföras till den enskilde. Uppgifterna får dock förses med ett löpnummer som hos den personuppgiftsansvarige kan kopplas till de registrerades personnummer eller motsvarande identitetsbeteckning. Utlämnande av identitetsbeteckning med löpnummer möjliggör bl.a. för den som bedriver ett etikgodkänt forskningsprojekt att återkomma och begära uppdatering av uppgifterna inom ramen för projektet. Bestämmelserna behandlas i avsnitt 5.4. 7 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också lämnas ut till en utredning av oredlighet i sådan forskning som avses i 6 § första stycket eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Vid sådana utlämnanden ska 6 § andra stycket gälla. Om personuppgifter har lämnats ut enligt 6 § första stycket får den personuppgifts- ansvarige till en annan myndighet lämna ut sådana beteckningar som avses i 6 § andra stycket och de registrerades personnummer eller motsvarande identitetsbeteckning, om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till den forskning som utlämnande har skett till enligt 6 § första stycket 1. Personuppgifter som har registrerats enligt denna lag får alltid lämnas ut till den Paragrafen anger de s.k. sekundära ändamålen, dvs. får lämnas ut för att tillgodose andras behov. Enligt första stycket får uppgifter lämnas ut för en utredning av oredlighet i sådan forskning som avses i 6 § första stycket eller för att ett 2012/13:163 yttrande ska kunna lämnas i samband med en sådan utredning. Granskning av forskning kan även ske i form av ytterligare forskning. I sådana fall blir 6 § tillämplig. Om löpnummerförsedda uppgifter har lämnats ut till ett etikgodkänt forskningsprojekt enligt 6 § första stycket framgår av andra stycket att den personuppgiftsansvarige får lämna ut en förteckning över löp- nummer och personnummer eller motsvarande identitetsbeteckningar (en s.k. kodnyckel) till en annan myndighet, om det är nödvändigt för att den mottagande myndigheten i sin tur ska kunna lämna ut uppgifter om samma personer till samma forskning. Av tredje stycket framgår att personuppgifter som har registrerats enligt lagen alltid får lämnas ut till den registrerade själv. Om den registrerade är underårig, och inte har nått en sådan ålder och mognad att han eller hon själv kan ta ställning till frågan om behandling av personuppgifter, får uppgifter lämnas ut till den registrerades vårdnads- havare. Bestämmelserna behandlas i avsnitt 5.4. 8 § Personuppgifter som behandlas för de ändamål som anges i 5 § får, utöver vad som följer av 6 och 7 §§, bara lämnas ut om det finns en skyldighet enligt lag att göra det. Personuppgifter i ett register som förs enligt denna lag får bara behandlas för sådana ändamål som anges i första stycket och 57 §§ samt för sådant bevarande som anges i 12 §. I paragrafens första stycke slås det fast att personuppgifter i andra fall än som anges i föregående två paragrafer bara får lämnas ut om det finns en skyldighet enligt lag att göra det. En sådan skyldighet kan följa av offentlighetsprincipen. I avsnitt 9.2 finns kommentarer till de ändringar i offentlighets- och sekretesslagen (2009:400) som föreslås i propositionen. Bland annat föreslås en ny bestämmelse om sekretess för uppgifter om enskildas personliga förhållanden i verksamhet enligt nu föreslagen lag. En skyldighet att lämna ut personuppgifter till tillsyns- myndigheten, dvs. Datainspektionen, följer av 43 § personuppgiftslagen. Alla slags personuppgifter, dvs. även känsliga personuppgifter enligt 13 § personuppgiftslagen, uppgifter om lagöverträdelser m.m. enligt 21 § personuppgiftslagen och personnummer, får lämnas ut enligt första stycket. Av andra stycket framgår att personuppgifter enligt lagen bara får behandlas för de ändamål som anges i första stycket och i 57 §§ samt för sådant bevarande av uppgifter för historiska, statistiska eller vetenskapliga ändamål som får ske med stöd av föreskrifter eller särskilda beslut enligt 12 §. Ordet bara innebär att denna uppräkning av ändamål är uttömmande. Detta innebär att finalitetsprincipen, dvs. bestämmelsen i 9 § första stycket d) personuppgiftslagen som innebär att uppgifter får behandlas för ett ändamål som inte är oförenligt med det för vilket uppgifterna samlats in, inte är tillämplig. Inte heller 9 § andra stycket personuppgiftslagen, som innebär att behandling av personupp- gifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in, är tillämplig. När det gäller ändamålet sådant bevarande av uppgifter för historiska, statistiska eller vetenskapliga ändamål som får ske med stöd av föreskrifter eller särskilda beslut enligt 12 § innebär bestämmelsen att det bara är själva bevarandet som är tillåtet. Under lagens giltighetstid får uppgifter bara lämnas ut för sådana ändamål som anges i första stycket eller 6 eller 7 §. Stycket har formulerats i enlighet med Lagrådets förslag. Bestämmelsen behandlas i avsnitt 5.4 och 5.6. 9 § I ett register enligt denna lag får det i fråga om personuppgifter bara finnas 1.uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i registret, 2.uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i registret, 3.uppgifter om undersökningar som den registrerade har genomgått i syfte att resultatet ska ingå i registret, 4.kategoriseringar av sådana uppgifter som avses i 13, 5.kontaktinformation till den registrerade, 6.andra uppgifter än som avses i 15 och som den registrerade uttryckligen har samtyckt till får ingå i registret, och 7.uppgifter om utlämnande som har skett till forskning. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om i vilken utsträckning uppgifter avseende genetiska undersökningar får registreras. I paragrafen finns det bestämmelser om vilka personuppgifter som får finnas i ett register enligt lagen. Enligt första stycket 13 får det i registret finnas sådana uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i registret, uppgifter om eller i form av upptagningar som den registrerade har med- verkat till i syfte att de ska ingå i registret och uppgifter om undersök- ningar som den registrerade genomgått i syfte att resultatet ska ingå i registret. Med upptagningar avses bild- eller ljudinformation, t.ex. röntgenbilder. Med undersökningar avses bl.a. mätningar av försökspersonernas fysiologiska egenskaper, som t.ex. syn, hörsel, lungfunktion, blodtryck. Vid undersökningar kan prover med biologiskt material från en människa tas. Med uppgifter om upptagningar och undersökningar avses t.ex. analysresultat och administrativa uppgifter om bl.a. tillfället för upptagningen eller undersökningen, mängden material i ett prov, hur det är märkt och på vilken plats det förvaras. Av första stycket 4 framgår att även kategoriseringar av ovan nämnda uppgifter kan registreras. Den som är underårig och inte har nått en sådan ålder eller mognad att han eller hon själv kan ta ställning till frågan om behandling av hans eller hennes personuppgifter företräds av sin vårdnadshavare. Uppgifter som har lämnats om en underårig av hans eller hennes vårdnadshavare anses ha lämnats av den registrerade själv enligt första stycket 1. Av första stycket 5 framgår att kontaktinformation till den registrerade får registreras. Med kontaktinformation avses all slags information om var den registrerade befinner sig och hur han eller hon kan nås. Kontakt- informationen får registreras även om den inte har lämnats av den registrerade utan har hämtats in från annat håll. Kontaktinformation till den registrerade innefattar, när det är fråga om en underårig, även uppgifter om dennes vårdnadshavare. Andra uppgifter än sådana som avses i första och andra styckena får enligt första stycket 6 ingå i registret om den registrerade uttryckligen har samtyckt till att uppgifterna får registreras. Vad som sagts ovan avseende underåriga och vårdnadshavare gäller även vid registrering enligt denna Enligt första stycket 7 får uppgifter registreras om utlämnande som har skett till forskning. Det som avses är sådana uppgifter som behövs för att tillgodose den registrerades rätt till information enligt 15 §. uppgifter om den registrerade, kan personuppgifter i form av kontaktinformation till forskningsprojekt behöva registreras. formulerats i enlighet med Lagrådets förslag. Alla slags personuppgifter, dvs. även känsliga personuppgifter enligt 13 § personuppgiftslagen, uppgifter om lagöverträdelser m.m. enligt 21 § personuppgiftslagen och personnummer, får behandlas enligt första Enligt andra stycket får uppgifter avseende sådana genetiska undersök- ningar som den registrerade har genomgått i syfte att analysresultatet ska ingå i registret registreras under förutsättning att regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om det. Bestämmelserna behandlas i avsnitt 5.5. 10 § Den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Paragrafen innehåller en bestämmelse om begränsning av den interna elektroniska åtkomsten till personuppgifter hos en personuppgifts- Enligt bestämmelsen ska det personuppgiftsansvariga eller den personuppgiftsansvariga högskolan begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna utföra sina arbetsuppgifter i fråga om registret. Sådana arbetsuppgifter kan t.ex. vara att föra in uppgifter i registret och att lämna ut uppgifter från registret. Med uppdragstagare avses bl.a. Syftet med begränsningen är att förstärka skyddet för den personliga integriteten genom att se till att uppgifterna är tillgängliga för en så liten krets som möjligt. melserna i 3032 §§ personuppgiftslagen om lämpliga tekniska och organisatoriska säkerhetsåtgärder vid behandling av personuppgifter. Bestämmelsen behandlas i avsnitt 5.6. 11 § Utlämnande genom direktåtkomst till personuppgifter i registret får inte förekomma. Paragrafen innehåller en bestämmelse om förbud mot direktåtkomst till personuppgifter i ett register enligt denna lag. Med direktåtkomst avses en elektronisk åtkomst till personuppgifter som innefattar ett utlämnande av uppgifterna till den som har åtkomsten. Paragrafen innebär att det inte är tillåtet att genom direktåtkomst lämna ut personuppgifter enligt 6 §, 7 § eller 8 § första stycket. Detta gäller Prop. 2012/13:163 oavsett om det är fråga om utlämnande till andra myndigheter eller om det är fråga om utlämnande till sådana anställda eller uppdragstagare hos den personuppgiftsansvarige som arbetar med sådan forskning som avses i 6 § första stycket. Bestämmelsen hindrar inte att personuppgifter lämnas ut enligt 68 §§ i elektronisk form på annat sätt än genom direktåtkomst, t.ex. genom s.k. utlämnande på medium för automatiserad behandling. Bestämmelsen behandlas i avsnitt 5.6. 12 § Personuppgifter som inte längre behövs för de ändamål som avses i 5 § 1 och 2 ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Paragrafen innehåller en bestämmelse om gallring av personuppgifter. Personuppgifter som inte längre behövs för de ändamål som avses i 5 § 1 och 2, dvs. för att skapa underlag och lämna ut uppgifter för forskning om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, ska gallras om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Paragrafen är en sådan bestämmelse om gallring som enligt 10 § tredje stycket arkivlagen (1990:782) tar över skyldigheten enligt den lagen att bevara allmänna handlingar. Bestämmelsen behandlas i avsnitt 5.6. 13 § Bestämmelserna i 28 § personuppgiftslagen (1998:204) om rättelse tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med denna lag. Enligt paragrafen ska bestämmelserna i personuppgiftslagen om rättelse tillämpas på motsvarande sätt i fråga om personuppgifter som har behandlats i strid med lagen. Bestämmelsen har formulerats i enlighet med Lagrådets förslag. Bestämmelsen behandlas i avsnitt 5.6. 14 § Personuppgifter som avses i 9 § får inte samlas in i syfte att de ska registreras i ett register som förs enligt denna lag utan att den som uppgifterna avser uttryckligen har sam- tyckt till att personuppgifter behandlas enligt denna lag. Innan en person lämnar sitt samtycke enligt första stycket ska han eller hon ha informerats om 1.att det är frivilligt att lämna uppgifter, medverka till upptagningar eller genomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt deltagande helt eller delvis, 2.för vilka ändamål behandling kan ske enligt 57 §§ och vilka uppgifter som får registreras enligt 9 §, 3. de sekretess- och säkerhetsbestämmelser som gäller för registret, 4. vem som är personuppgiftsansvarig, 5. hur länge uppgifterna sparas, 6. rätten till rättelse av uppgifterna, 7. rätten till information enligt 15 § denna lag och 26 § personuppgiftslagen (1998:204), 8. vilken myndighet som har tillsyn över att denna lag följs, 9. rätten till skadestånd, och 10. rätten att få uppgifter utplånade. Av paragrafen framgår vilka krav som ställs på den information och det samtycke som ska lämnas innan personuppgifter får samlas in enligt Enligt 3 § personuppgiftslagen avses med samtycke varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registre- rade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. I förhållande till den definitionen har det i paragrafen dels preciserats vad den registrerades frivilliga och särskilda viljeyttring ska avse (behandling i enlighet med lagen), dels preciserats att den registrerades otvetydiga viljeyttring ska vara uttrycklig. att den registrerade uttryckligen ska ha samtyckt innebär att vilje- yttringen ska lämnas på ett tydligt iakttagbart sätt som inte lämnar något utrymme för tvekan om innebörden. Det har i övrigt inte föreskrivits någon särskild form för samtycket. Innan den registrerade lämnar sitt samtycke ska han eller hon ha informerats om de i paragrafen angivna uppgifterna. innebörden av informationsskyldigheten behandlas i avsnitt 5.7.1. har inte föreskrivits någon särskild form för lämnandet av informationen. Den som faktiskt kan tillgodogöra sig informationen och som faktiskt kan avge en frivillig viljeyttring, som innebär att han eller hon godtar behandlingen av personuppgifter, kan själv lämna samtycke (jfr SOU 1997:39 s. 342). Den som är underårig och inte har nått en sådan ålder och mognad att han eller hon själv kan tillgodogöra sig informationen och ta ställning till frågan företräds av sin vårdnadshavare (jfr 6 kap. 11 § Om det finns två vårdnadshavare, ska båda tillsammans lämna samtycket efter att båda har fått information. Är en av vårdnads- havarna till följd av frånvaro, sjukdom eller annan orsak förhindrad att ta del i beslutet om samtycke och kan detta inte utan olägenhet uppskjutas, kan samtycket dock lämnas av den andre ensam (6 kap. 13 § föräldra- Den personuppgiftsansvarige har bevisbördan för att information har lämnats och att samtycke har getts enligt paragrafen. Bestämmelserna behandlas i avsnitt 5.7.1. Information om utlämnande till forskning