sou · H2B345 · 2014-06-25 00:00:00 — Vidare kon- stateras att en rad åtgärder som innefattar insamling av information om enskildas personliga förhållanden i andra situationer kan anses innebära övervakning, till exempel hemlig kameraövervakning, tele- avlyssning och teleövervakning. Det betonas att det är åtgärdens effekter som är av avgörande betydelse vid bedömningen av om den ska anses falla under grundlagsbestämmelsens tillämpningsområde, inte det huvudsakliga syftet med åtgärden. Grundlagsskyddet omfattar endast betydande integritetsintrång och i förarbetena betonas att grundlagsbestämmelsen bara omfattar vissa kvalificerade intrång i den personliga integriteten.14 Vid bedöm- ningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. 13Se kapitel 3. 2009/10:80 s. 183. Rättsliga förutsättningar för registerbaserad forskning hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med be- handlingen. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. I detta sam- manhang anförs det att i flera lagstiftnings- ärenden som rört myndigheters personuppgiftsbehandling framfört att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i form av lag och att regeringen har instämt i denna bedöm- ning.15 Regeringen har också uttalat att behovet av lagstiftning är särskilt stort om uppgifterna sprids externt i en inte obetydlig om- fattning.16 Vid bedömningen av vad som kan anses utgöra ett betydande in- trång bör flera omständigheter vägas in. Förutom de ovan angivna nämns i förarbetena att även omfattningen av utlämnandet av upp- gifter till andra som sker utan stöd av offentlighetsprin- cipen kan vara av betydelse vid bedömningen. Däremot bör den närmare avgränsningen av grundlagsbestämmelsens tillämpnings- område inte påverkas av sekretesslagstiftningens utformning. Den omständigheten att sekretesslagstiftningen innehåller en presumtion för offentlighet, det vill säga ett rakt skaderekvisit, för uppgifter i en viss myndighets verksamhet bör således inte i sig utgöra skäl för bedömningen att myndighetens behandling av uppgifterna faller utan- för det utvidgade grundlagsskyddet. Även om intresset av insyn är så stort att det inte är motiverat att införa långtgående begränsningar i allmänhetens rätt att få tillgång till handlingar, kan uppgifterna och hanteringen av dem således vara så integritetskänslig att den bör omfattas av grundlagsskyddet. Det förhållandet att de uppgifter som behandlas av en myndighet omfattas av sekretess med ett om- vänt skaderekvisit bör inte heller utgöra en omständighet som med automatik innebär att en bestämmelse om uppgiftsskyldighet måste anses omfattas av den nya grundlagsbestämmelsens tillämpningsom- 1990/91:60 s. 58, bet. 1990/91:KU 11 s. 11, bet. 1997/98:KU 18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även till exempel prop. 1990/91:60 s. 58, prop. 1997/98:108 s. 39 och prop. 2011/12:176 s.20. 1990/91:60 s. 58. Rättsliga förutsättningar för registerbaserad forskning Även andra omständigheter måste beaktas vid bedömningen av hur långtgående intrång uppgiftsskyldigheten innebär när ställning tas till om föreskrifterna omfattas av den nya bestämmelsen. En sådan omständighet kan vara på vilket sätt och för vilka syften mottaga- ren av uppgifterna hanterar utlämnade uppgifter. I förarbetena anges att det är förenat med svårigheter att peka ut vilka specifika företeelser som är av sådant slag att de innebär ett betydande intrång i integriteten.17 I sista hand är det som får avgöra vilka företeelser som är av så ingripande karaktär att de inte bör kunna begränsas på annat sätt än genom lag. Inom EU regleras behandling av personuppgifter i Europaparlamen- tets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, det så kallade dataskyddsdirek- tivet. Syftet med direktivet är enligt artikel 1.1 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privat- liv, i samband med behandling av personuppgifter. Det anges i arti- kel 1.2 att medlemsstaterna inte får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna på grund av detta skydd. Målet med direktivet är att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter mellan medlemsländerna.18 Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när be- handling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Huvuddragen i direktivet är sammanfattningsvis följande.19 Direk- tivet är tillämpligt på all behandling av personuppgifter som sker helt eller delvis på automatisk väg. Direktivet omfattar även icke automa- tisk behandling av personuppgifter om de ingår eller är avsedda att 2009/10:80 s. 185. 1997/98:44 s. 34. 1997/98:44 s. 35 Rättsliga förutsättningar för registerbaserad forskning ingå i ett register. Med register avses i sammanhanget varje struk- turerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.20 Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten, till exempel den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straff- rättens område och inte heller på register för privat bruk. Även be- handling av personuppgifter för uteslutande journalistiska, konstnär- liga och litterära ändamål undantas. Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare an- vändas på ett sätt som är oförenligt med ursprungsändamålet. behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska inte anses oförenlig med dessa ändamål, förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder. Personuppgifter får behandlas när den enskilde lämnat sitt sam- tycke. Därutöver får personuppgifter behandlas endast när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en författningsreglerad förpliktelse att behandling av uppgifterna ska ske, när det är nödvändigt för att skydda den en- skildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller om det i övrigt skett en intresseavvägning som resulterat i att behandling av personuppgifter ska få ske. Medlemsstaterna ska förbjuda behandling av känsliga personupp- gifter, det vill säga uppgift som avslöjar ras21, religion, politisk åsikt, facklig tillhörighet eller som rör hälsa och sexualliv. Det finns dock vissa undantag från denna huvudregel, bland annat vid den enskil- des uttryckliga samtycke, för ideella föreningars medlemsregister och för hälso- och sjukvårdens administration. Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndig- heten besluta om andra undantag från förbudet än dem som anges i direktivet, dock endast under förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma på vilka villkor nationella identifikationsnummer får behandlas. 20I punkt 27 i ingressen till direktivet anges att innehållet i ett register måste vara struktu- rerat enligt särskilda kriterier som avser den enskilda personen, för att lätt ge tillgång till personuppgifterna. Akter eller grupper av akter eller deras omslag som inte är strukturerade efter särskilda kriterier faller inte inom direktivets tillämpningsområde. 21Användningen av begreppet ras kommenteras i avsnitt 5.3.4.8. Rättsliga förutsättningar för registerbaserad forskning När personuppgifter samlas in ska den registrerade informeras om bland annat vem som är registeransvarig och vad uppgifterna ska användas till. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige emellertid inte lämna någon in- formation, om den registrerade redan känner till informationen eller om det skulle visa sig omöjligt eller innebära en arbetsinsats som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Den re- gistrerade har också rätt att få sådana uppgifter som inte har behand- lats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller vidare regler om säkerhet vid behandlingen. All behandling av personuppgifter ska enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter från anmälningsskyldigheten. Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att till- synsmyndigheten först gett tillstånd till detta. Den registrerade ska ha rätt att få sina rättigheter enligt den natio- nella lagen prövad av tillsynsmyndigheten och av domstol. Tillsyns- myndigheten ska vara ett oberoende organ. Den ska ha undersök- ningsbefogenheter och befogenheter att effektivt ingripa mot otillåten behandling av personuppgifter. Överföring av personuppgifter till ett tredje land, som i detta sammanhang innebär ett land utanför EU, får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå. Inom EU finns också vissa kompletterande rättsakter till data- skyddsdirektivet, bland annat rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (data- skyddsrambeslutet) med särskilda regler om skydd för personupp- gifter i frågor som rör polisiärt och straffrättsligt samarbete. Rättsliga förutsättningar för registerbaserad forskning Europeiska kommissionen presenterade meddelan- det Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM/2010/0609) som innehöll en strategi för att stärka om dataskydd. Både rådet och parlamentet uttryckte sitt stöd för kommissionens strategi. lade kommis- sionen fram ett förslag till reform av om skydd för per- sonuppgifter. Förslaget innebär bland annat att dataskyddsdirektivet ska ersättas av en allmän dataskyddsförordning. En förordning har direkt effekt i medlemsländerna. Det innebär att förslaget, om det genomförs, inte bara kommer att ersätta dataskyddsdirektivet utan även PUL. I behandlades förslaget i (, and Home Affairs). Rapportören lade fram ett förslag till betän- kande . Ett förslag med parlamentets ändringar antogs av parlamentet med 621 ja-röster mot 10 nej-röster och 22 nedlagda. I behandlar rådsarbets- gruppen för dataskydd (DAPIX) kommissionens förslag. Ett stort antal möten har hållits . Det grekiska ordförande- skapet planerar att nå en partiell allmän inriktning om kapitlet som rör överföring av personuppgifter till tredje land till ministermötet . På grund av valet till kommer förhandlingar mellan och att inledas tidigast . 5.3.3Kommissionens förordning om tillgång till konfidentiella uppgifter för vetenskapliga syften antog 2013 en förordning om tillämpning av och rådets förordning om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften.22 I ingressen (preamble) till förordningen slås fast att rätt- visande svar på många ekonomiska, sociala, miljörelaterade och poli- tiska frågor endast kan nås med hjälp av relevanta och detaljerade uppgifter som möjliggör djupgående analyser. 22 Kommissionens förordning (EU) nr 557/2013 av om tillämpning av och rådets förordning (EG) nr 223/2009 om europeisk statistik vad gäller tillgång till konfidentiella uppgifter för vetenskapliga syften och om upphävande av kommis- sionens förordning (EG) nr 831/2002. Rättsliga förutsättningar för registerbaserad forskning aktualiteten hos de detaljerade uppgifter som är tillgängliga för forsk- ning har därför blivit ett viktigt inslag i en vetenskapligt underbyggd förståelse och styrning av samhället. Vidare anges att forskar- världen därför bör få bättre möjligheter att ta del av konfidentiella uppgifter som används för utveckling, framställning och spridning av europeisk statistik, för analys i den vetenskapliga utvecklingens intresse, utan att det äventyrar den höga skyddsnivå som krävs för konfidentiella statistikuppgifter. I förordningen fastställs villkoren för när tillgång till konfidentiella uppgifter som översänts till EU:s statistikmyndighet får beviljas för att möjliggöra statistiska analyser för vetenskapliga syften. I förordningen anges också reglerna för samarbetet mellan och de nationella statistikansvariga myndigheterna för att underlätta sådan tillgång. Enligt artikel 3 ska vissa krav vara uppfyllda för att ska få lämna ut uppgifter för forskningsändamål. Den som begär tillgång till uppgifterna ska vara en erkänd forskningsenhet och ett lämpligt forskningsförslag ska lämnas in. I ansökan ska anges vilken typ av konfidentiella uppgifter för vetenskapliga syften som begärs. Till- gången ska ges antingen genom kommissionen () eller genom en annan åtkomstplats som kommissionen () godkänt. Den nationella statistikansvariga myndighet som lämnat uppgifterna ska också ge sitt medgivande till utlämnande. I artikel 4 anges vilka kriterier en forskningsenhet ska uppfylla för att bli en erkänd forsk- ningsenhet. Förordningen innehåller också definitioner av vissa be- grepp samt bestämmelser om vad forskningsförslag ska innehålla, de nationella statistikansvariga myndigheternas ståndpunkt, lämpliga skyddsåtgärder, tillgången till konfidentiella uppgifter genom åt- komstplatser och organisatoriska frågor. Till förordningen hör särskil- da riktlinjer23 med närmare bestämmelser om den praktiska tillämp- ningen av förordningen när det gäller bland annat bedömning av forskningsenheter, upprättande av forskningsförslag och godkän- nande av åtkomstplatser och lämpliga säkerhetsåtgärder. 23 Guidelines for the assessment of research entities, reserach proposals and access facilities. Rättsliga förutsättningar för registerbaserad forskning 5.3.4.1Personuppgiftslagens syfte och förhållande till annan lagstiftning Dataskyddsdirektivet har genomförts i svensk rätt genom PUL och personuppgiftsförordningen (1998:1191), PUF. PUL följer i stort sett dataskyddsdirektivets text och disposition och innehåller bland annat bestämmelser om behandling av personuppgifter, personupp- giftsansvar, information till den registrerade, skadestånd och straff. Syftet med PUL är, enligt 1 §, att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Av 2 § PUL framgår att lagen är subsidiär i förhållande till andra författningar. Det innebär att om det finns en annan lag eller förordning som avviker från PUL, ska de bestämmelserna tillämpas i stället. Sådana avvikande bestämmelser finns ofta i så kallade re- gisterförfattningar som reglerar inrättandet och förfarandet av vikti- gare register på det offentliga området. Även bestämmelser som föreskriver att myndigheter eller enskilda får eller ska lämna ut upp- gifter avses i paragrafen. Bestämmelser om så kallad uppgiftsskyl- dighet går således före bestämmelserna i . 3 § PUL innehåller definitioner av vissa grundläggande begrepp. Avsikten är att definitionerna i PUL ska ha samma innebörd som enligt dataskyddsdirektivet.24 Behandling (av personuppgifter) avser varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Som exempel på behandling anges i be- stämmelsen insamling, registrering, organisering, lagring, bearbet- ning eller ändring, återvinning, inhämtande, användning, utlämnan- de genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller sambearbetning, blockering, utplå- ning eller förstöring. Så snart personuppgifter på något sätt hanteras är det enligt förarbetena fråga om en behandling som faller inom PUL:s tillämpningsområde, om behandlingen är automatisk eller avser ett manuellt personregister.25 Avsikten är att alla former av hante- ring ska omfattas. 24SOU 1997:39 s. 327. 25SOU 1997:39 s. 332. Rättsliga förutsättningar för registerbaserad forskning Mottagare definieras som den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Defini- tionen av personuppgifter innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Det bör dock tilläggas att en uppgift om en avliden person i vissa fall kan säga något om en levande person och därmed också utgöra en personuppgift. I förarbetena anförs att en uppgift om en persons arvsanlag (DNA) kan vara en uppgift som avser flera personer efter- som denna uppgift i kombination med andra uppgifter kan ge upp- lysning om den personens föräldrar och avkomma.26 Enligt förarbetena omfattas även kodade personuppgifter av PUL, så länge någon kan göra uppgifterna läsbara och därmed identifiera individer.27 Även sådana uppgifter som i sig är anonyma men som möjliggör identifikation genom så kallad bakvägsidentifikation av en fysisk person omfattas. I förarbetena tolkas begreppet så att det endast krävs att en fysisk person kan identifieras med hjälp av upp- gifterna, inte att den personuppgiftsansvarige själv förfogar över samt- liga uppgifter som gör identifieringen möjlig. I förarbetena anges som exempel ett trafikföretag som kan registrera när ett personligt och numrerat så kallat månadskort används vid resor. Även om trafikföretaget inte registrerat vem som innehar månadskortet, kan det ändå vara fråga om en personuppgift eftersom den uppgiften kan finnas registrerad på något annat håll, till exempel hos den skola eller socialförvaltning som delat ut kortet. Som exempel på personuppgifter kan nämnas personnummer, registreringsnummer för fordon, kundnummer och lägenhetsnum- mer. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Så snart det förekommer en behandling av person- uppgifter i lagens mening finns det en eller flera personuppgifts- ansvariga för den behandlingen. Den personuppgiftsansvarige har ett skadeståndssanktionerat ansvar för att behandlingen av person- uppgifter sker i enlighet med bestämmelserna i . Som huvud- regel kan därför bara fysiska personer, juridiska personer, utländska 26SOU 1997:39 s. 338. I förarbetena används begreppet krypterade i stället för kodade. Rättsliga förutsättningar för registerbaserad forskning filialer eller myndigheter betraktas som personuppgiftsansvariga, inte några andra organ som saknar rättskapacitet och således inte kan ådömas skadestånd.28 Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Både fysiska och juridiska personer kan vara personuppgiftsbiträde. Den personuppgiftsan- svarige har skadeståndsansvar gentemot de registrerade för person- uppgiftsbiträdets behandling av personuppgifter. Personuppgifts- biträden har inte enligt lagen något eget skadeståndsansvar gentemot de registrerade, men de kan genom avtal eller allmänna regler bli skadeståndsskyldiga gentemot den personuppgiftsansvarige för sina handlingar. Ett personuppgiftsombud är en fysisk person som, efter förord- nande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Den registrerade är den som en personuppgift avser. Av defini- tionen av personuppgifter framgår att den registrerade måste vara en fysisk person som är i livet. Med samtycke avses enligt definitionen varje slag av frivillig, sär- skild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt.29 Vid en tvist torde dock den personuppgiftsansvarige ha bevisbördan för att den registrerade har lämnat sitt samtycke. Ett skriftligt sam- tycke kan därför ändå vara lämpligt. Enligt definitionen ska det vara den registrerade som blir infor- merad och godtar behandlingen av sina personuppgifter. Det är så- ledes den registrerade själv som ska lämna sitt samtycke. Att till exem- pel en organisation som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar är inte tillräckligt. Samtycket måste vara individuellt.30 Frågan om samtycket i alla lägen måste avges personligen, det vill säga av den registrerade själv, har diskuterats i förarbetena.31 konstaterade att det verkar klart att ett ombud, en ställföreträdare eller en god man kan framföra den registrerades frivilliga, särskilda och informerade viljeyttring till den personupp- giftsansvarige (eller dennes ombud), och enligt kommittén bör ett 28SOU 1997:39 s. 336. 29SOU 1997:39 s. 341. Rättsliga förutsättningar för registerbaserad forskning ombud eller en ställföreträdare kunna lämna samtycke på den re- gistrerades vägnar. Det har inte ställts upp några särskilda, rättsliga krav för att någon ska få avge ett samtycke. Det anges i förarbetena att ett samtycke ska vara en informerad viljeyttring från den registrerade och att den som faktiskt kan tillgodogöra sig information om vad en behand- ling innebär och som faktiskt kan avge en frivillig viljeyttring, som innebär att han eller hon godtar behandlingen, kan lämna ett rätts- ligt giltigt samtycke. Det anses naturligt att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respekterar individen i den meningen att den som förstår vad det handlar om får bestämma själv.32 Frågan om när någon har sådan mognad att han eller hon förstår vad sam- tycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare bör kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen viljeyttring. tar vidare upp frågan om vad kravet på fri- villighet innebär. I förarbetena nämns som exempel den situation att samtycke till viss uppgiftsbehandling uppställs som en förutsätt- ning för att den registrerade ska få något som han eller hon önskar eller behöver, till exempel ett telefonabonnemang, en livsnödvändig sjukvårdsbehandling eller en anställning. Det konstateras att om situ- ationen är sådan att den registrerade i praktiken inte kan avstå, kan samtycket inte gärna vara frivilligt. Det anförs dock att undantag får göras om det kan visas att den registrerade skulle ha lämnat sam- tycket även utan tvånget.