sou · H2B345 · 2014-06-25 00:00:00 — etniskt ursprung även uppgift om hudfärg.88 Uppgifter om namn och språkkunskaper tillsammans har ansetts utgöra indirekta upplysningar om en persons etniska ursprung.89 I propositionen avseende genomförande av tredje penningtvättsdirektivet konstaterades att bilden i en passhandling i förening med namn och uppgift om medborgarskap kan avslöja såväl ras som etniskt ursprung.90 Datainspektionen anger i sin rapport 2002:2 angående behandling av elevers uppgifter i att en uppgift om en persons modersmål i vissa fall kan vara en uppgift som indirekt avslöjar etniskt ursprung.91 Datainspektionen anger vidare i rapport 2002:3 angående behandling av personuppgifter hos rekryteringsföretag att en uppgift om medborgarskap i vissa fall kan avslöja ras eller etniskt ursprung.92 Regeringen har dock bedömt att en isolerad uppgift om medborgarskap inte avslöjar vare sig ras eller etniskt ursprung.93 I sammanhanget bör noteras att har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och från biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor.94 Användningen av ordet ras i författningstexter riskerar enligt att underblåsa för- domar. har dock konstaterat att den inte har möjlighet att besluta att ordet ska utmönstras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella överenskommelser eller författningar som genomför EG-direktiv. I propositionen En reformerad grundlag (prop. 2009/10:80) föreslog regeringen att begreppet ras utmönstras ur regeringsformen. antog förslaget och i regeringsformen används i stället uttrycket etniskt ursprung, hudfärg eller annat liknande förhållande (2 kap. 12 och 24 §§ RF). Det är rege- ringens ambition att se över frågan om huruvida ordet ras bör ut- mönstras i all lagstiftning.95 88SOU 1993:10 Bilaga s. 177, SOU 1997:39 s. 131. 89SOU 2001:32 s. 124, SOU 2001:100 s. 93 f. och SOU 2003:40 s. 180. 2008/09:70 s. 142. 91Datainspektionens rapport 2002:2 s. 8. 92Datainspektionens rapport 2002:3 s. 8. 2001/02:144 s. 41. 1997/98:KU 29 s. 7. 2009/10:85 s. 123 och prop. 2011/12:45 s. 94. Rättsliga förutsättningar för registerbaserad forskning Politiska åsikter samt religiös eller filosofisk övertygelse Förbudet gäller vidare behandling av personuppgifter som avslöjar en persons politiska åsikter samt religiösa eller filosofiska övertygelse. Enligt kommentaren till PUL bör man kunna tolka begreppet poli- tiska åsikter restriktivt så att det inte innefattar åsikter om alla sam- hälleliga eller andra mänskliga förhållanden.96 Som exempel på en uppgift som avslöjar en persons politiska åsikter anges uppgift om att någon är medlem i ett politiskt parti. En uppgift om medlem- skap i en partipolitiskt obunden intresseorganisation är emellertid, enligt kommentaren, inte att betrakta som en känslig personupp- gift. När det gäller religiös eller filosofisk övertygelse anges i förarbete- na att en uppgift om att någon inte har någon religiös tro, liksom information om aktiviteter som hör samman med sådan övertygelse, ska anses utgöra en känslig personuppgift i lagens bemärkelse.97 avses sådana sammanslutningar av arbetstagare som avses i 6 § lagen (1976:580) om medbestämmande i arbetslivet, det vill säga sådan sammanslutning av arbetstagare som enligt sina stadgar ska tillvarata arbetstagarnas intressen i förhållandet till arbets- givaren. Uppgift om medlemskap i arbetsgivarorganisation eller arbetslöshetskassa omfattas inte av definitionen i PUL.98 Uppgifter som rör hälsa och sexualliv När det gäller uppgifter om hälsa omfattas alla uppgifter som rör en persons tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol.99 Enligt kommissionens förklaring till förslaget till dataskyddsdirektiv skulle uppgifter om varje indikation på drog- eller alkoholmissbruk anses röra hälsa.100 har slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personupp- 96Öman, S. och , H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 284 f. 97SOU 1997:39 s. 131 f. 98Öman, S. och , H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 285. 99SOU 1997:39 s. 132. 100SOU 1993:10 Bilaga s. 177. Rättsliga förutsättningar för registerbaserad forskning gift om hälsa.101 Vidare har ansett att en uppgift om att en anställd har samarbetssvårigheter sammantagen med en uppgift om att personen är sjukskriven är att bedöma som uppgifter som rör hälsa enligt 13 § PUL.102 Uppgifter om läkemedel och andra varor som förskrivits en en- skild har ansetts röra dennes hälsa och därför utgöra känsliga person- uppgifter103. Datainspektionen har gjort bedömningen att redan en uppgift om att någon är eller har varit på läkarbesök är en känslig personuppgift.104 Datainspektionen har vidare ansett att en uppgift om att någon är handikappad105 är en uppgift som rör hälsa.106 I sam- ma beslut kom Datainspektionen även fram till att redan en uppgift om att någon är registrerad som medlem i De Handikappades Riks- förbund107, där inspektionen antog att det stora flertalet medlem- mar är handikappade, måste behandlas som en känslig personuppgift. När det gäller uppgifter som rör sexualliv anför Datalagskom- mittén att en isolerad uppgift om vilket kön en person har inte kan anses utgöra en uppgift som rör dennes sexualliv.108 Inte heller en uppgift om civilstånd kan i sig anses vara en sådan uppgift som rör den registrerades sexualliv. Kommittén bedömer däremot att en upp- gift om att någon har bytt kön är en uppgift som kan anses röra den personens hälsa eller sexualliv. tar också upp frågan om hur man ska be- döma om avbildningar av personer, till exempel fotografier, utgör känsliga personuppgifter i bestämmelsens bemärkelse.109 Det får en- ligt kommittén anses osäkert om en bild på den som är fysiskt handi- kappad eller ser sjuk ut innefattar uppgifter som rör personens hälsa. Kommittén ansåg det dock rimligt att bilder på människor i mera normala sammanhang inte avslöjar några känsliga person- uppgifter. 101Dom i mål C-101/01 och RH 2004:51. 102NJA 2005 s. 361. 2008/09:145 s. 305. 104Datainspektionens beslut , dnr 1409-2009. 105I Datainspektionens beslut används ordet handikappad. Ordet har ersatts med begreppet person med funktionsnedsättning. 106Datainspektionens beslut , dnr 1176-2008. 107Förbundet heter Delaktighet Handlingskraft Rörelsefrihet. 108SOU 1997:39 s. 368. 109SOU 1997:39 s. 368. Rättsliga förutsättningar för registerbaserad forskning 5.3.4.9Undantag från förbudet mot behandling av känsliga personuppgifter Det följer av 14 § PUL att det trots förbudet i 13 § PUL är tillåtet att behandla känsliga personuppgifter i de fall som anges i 15–19 §§ PUL. Så kan till exempel ske om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offent- liggjort uppgifterna (15 § PUL). Att samtycket ska vara uttryckligt innebär att det kommer till uttryck på något sätt som en utomstå- ende kan iaktta.110 En bestämmelse som kan ha betydelse i forsk- ningssammanhang är 18 § PUL som rör behandling av personupp- gifter för hälso- och sjukvårdsändamål. Denna verksamhet gränsar till forskningsverksamhet. 18 § PUL har följande lydelse. Känsliga personuppgifter får behandlas för hälso- och sjukvårds- ändamål, om behandlingen är nödvändig för a)förebyggande hälso- och sjukvård, b)medicinska diagnoser, c)vård eller behandling, eller d)administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsom- rådet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är under- kastad en liknande tystnadsplikt och som har fått känsliga person- uppgifter från verksamhet inom hälso- och sjukvårdsområdet. Känsliga personuppgifter får enligt första stycket behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för vissa i bestämmelsen uppräknade syften. Behandlingen av de känsliga per- sonuppgifterna ska vara nödvändig för något eller några av de upp- räknade syftena. Innebörden av nödvändighetskravet har redovisats ovan. Uppräkningen av syften i första stycket täcker i praktiken nästan all behandling av personuppgifter som förekommer inom hälso- och sjukvården. Undantagets räckvidd preciseras inte närmare i förarbetena till lagen.111 Det har dock i senare lagstiftningsärenden ansetts rimligt att inte ge bestämmelsen en alltför snäv räckvidd och 110Öman, S. och , H.-O., Personuppgiftslagen En kommentar (), kommentaren till 3 §. 1997/97:44 s. 68 f och 126 f. Rättsliga förutsättningar för registerbaserad forskning att även aktiviteter inom hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas.112 För att möjliggöra behandlingen av personuppgifter i register med det övergripande syftet att förbättra kvaliteten på individnivå inom svensk hälso- och sjukvård finns en särskild reglering av nationella och regionala kvalitetsregister inom hälso- och sjukvården i patientdatalagen (2008:355) (se avsnitt 5.3.6.3). Det följer av andra stycket att den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt alltid får behandla sådana känsliga personuppgifter som omfattas av tystnads- plikten. Bestämmelsen ger således möjlighet för personer som har sådan sträng tystnadsplikt som normalt gäller inom hälso- och sjuk- vårdsverksamhet att behandla känsliga personuppgifter. Enligt andra stycket får vidare den som inte är yrkesmässigt verksam inom hälso- och sjukvårdsområdet men som ändå har fått känsliga personupp- gifter från verksamhet inom hälso- och sjukvårdsområdet alltid behandla dessa uppgifter om en liknande tystnadsplikt gäller för honom eller henne i fråga om uppgifterna. Bestämmelsen kan bli aktuell till exempel när känsliga personuppgifter från en myndighet inom hälso- och sjukvården lämnas till forskningsverksamhet.113 Det undantag från förbudet mot behandling av känsliga person- uppgifter som är av störst betydelse i registerforskningssamman- hang finns i 19 § PUL och rör forskning och statistik. Bestämmel- sen har följande lydelse. Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Känsliga personuppgifter får behandlas för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhälls- intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt andra stycket anses uppfyllda. Med forsk- ningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finan- sierar forskning. 2005/06:70 s. 144. 1997/98:44 s. 126. Rättsliga förutsättningar för registerbaserad forskning Personuppgifter får lämnas ut för att användas i sådana projekt som avses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Av bestämmelsens första, andra och tredje stycke framgår när käns- liga personuppgifter får behandlas för forsknings- och statistik- ändamål utan uttryckligt samtycke. Av fjärde stycket framgår att personuppgifter får lämnas ut till vissa statistikprojekt. gällde samma regler för användande av känsliga person- uppgifter vid forskning som vid statistik. I samband med införan- det av lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) infördes en sär- skild reglering för forskning i bestämmelsens första stycke. Enligt bestämmelsen får känsliga personuppgifter behandlas för forsknings- ändamål endast om behandlingen godkänts enligt etikprövnings- lagen. Enligt 6 § första stycket etikprövningslagen får forskning som innefattar behandling av känsliga personuppgifter eller personupp- gifter om lagöverträdelser med mera som avses i 21 § PUL genom- föras bara om behandlingen har godkänts vid en etikprövning enligt etikprövningslagen. Etikprövningslagen tillämpades ursprungligen bara om forskningspersonen inte hade lämnat sitt uttryckliga sam- tycke till behandlingen av personuppgifterna. Efter en lagändring som trädde i kraft tillämpas lagen emellertid numera även när det finns samtycke. Det framgår av bestämmelsens orda- lydelse att det är själva behandlingen av personuppgifter som ska godkännas. Det är således inte tillräckligt att forskningen i sig har godkänts vid etikprövningen. Bestämmelserna i etikprövningslagen behandlas närmare i av- snitt 5.5. I bestämmelsens andra stycke finns det en allmän avvägnings- norm som anger när känsliga personuppgifter får behandlas för statistikändamål. Enligt bestämmelsen krävs det för det första att behandlingen av känsliga personuppgifter är nödvändig på det sätt som sägs i 10 § PUL. Det krävs vidare att samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. För att göra en avvägning enligt måste det ske en hel- hetsbedömning av samtliga omständigheter.114 Vid bedömningen bör 1997/98:44 s. 127. Rättsliga förutsättningar för registerbaserad forskning man enligt förarbetena beakta bland annat statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vilken utsträckning den enskilde skulle kunna skadas om man be- gärde samtycke och om en kontakt med den enskilde skulle kunna snedvrida undersökningsresultatet. Vid intresseavvägningen bör också beaktas om de berörda fått information av något slag, till exempel via anslag eller annonser. Andra faktorer som bör vägas in är i vilken utsträckning den som begär det ska ha rätt att bli struken och hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer. Det är i första hand den personuppgiftsansvarige som ska tilläm- pa avvägningsnormen på eget ansvar. Det har överlämnats åt rätts- tillämpningen att med användande av den allmänna och efter rådande värderingar i samhället avgöra vilka behandlingar som kan tillåtas. Det har i dessa bedömningar betonats att ger uttryck för en restriktiv tillämpning.115 Enligt tredje stycket ska förutsättningarna i andra stycket anses uppfyllda om behandlingen har godkänts av en forskningsetisk kom- mitté. Bestämmelsen gällde tidigare behandling för både forsknings- ändamål och för statistikändamål. När etikprövningslagen infördes ändrades bestämmelsen i 19 § PUL så att behandling av känsliga personuppgifter endast får behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. I förarbetena till etikprovningslagen anfördes att reglerna i 19 § andra och tredje stycket PUL för statistikprojekt borde kvarstå oförändrade.116 Skälet till detta var att , , och tillsammans hade startat en forskningsetisk kommitté som har möjlighet att bedöma statistik- projekt. Någon sådan kommitté finns emellertid inte och det saknas således möjlighet till etikgodkännande av statistikprojekt. Enligt fjärde stycket får personuppgifter lämnas ut för att an- vändas för statistikändamål om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen ska läsas mot bakgrund av 24 § första och andra styckena PUL.117 Där anges att om per- sonuppgifter samlats in från någon annan källa än den registrerade ska den personuppgiftsansvarige självmant lämna den registrerade 115Öman, S. och , H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 2002/03:50 s. 174. 2002/03:50 s. 197. Rättsliga förutsättningar för registerbaserad forskning information om behandlingen av uppgifterna när de registreras. Så- dan information behöver dock inte lämnas om det finns bestäm- melser om registrerandet eller utlämnandet av personuppgifterna i lag eller annan författning. Bestämmelsen i 19 § fjärde stycket PUL är just en sådan bestämmelse om utlämnande av personuppgifter till statistikprojekt. Bestämmelsen medför att den som samlar in personuppgifter från något annat håll än den registrerade för att använda i ett statistikprojekt inte behöver följa bestämmelserna om information om behandlingen till den registrerade enligt 24 § PUL. Det bör betonas att bestämmelsen inte medför någon skyldighet att lämna ut personuppgifter. Den innebär endast att det är tillåtet enligt PUL för den som innehar uppgifterna att lämna ut dem.118 Om något annat följer av regler om sekretess och tystnadsplikt får uppgifterna dock inte lämnas ut. 5.3.4.10Behandling av personuppgifter om lagöverträdelser m.m. Behandling av personuppgifter som rör lagöverträdelser med mera finns i 21 § PUL. Bestämmelsen har följande lydelse. Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Personuppgifter som avses i första stycket får dock behandlas för forskningsändamål av andra än myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet i första stycket. Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Vid behandling av personuppgifter om lagöverträdelser med mera är det inte tillräckligt att kraven i 21 § PUL är uppfyllda. Även de grundläggande kraven på behandling av personuppgifter i 9 § PUL måste beaktas och behandlingen måste vara tillåten enligt 10 § PUL. Innefattar behandlingen sådana känsliga personuppgifter som avses i 13 § PUL måste även bestämmelserna i 13–20 §§ följas. 1997/98:44 s. 128. Rättsliga förutsättningar för registerbaserad forskning Enligt huvudregeln i första stycket får endast myndigheter be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Detta gäller även om den enskilde har lämnat sitt samtycke till annan behandling. Bestämmelsen är för det första tillämplig vid personuppgifter om lagöverträdelser som innefattar brott, det vill säga i de fall ett straff är föreskrivet för överträdelsen.119 En uppgift om att någon har eller kan ha begått ett visst brott utgör en uppgift om en lagöverträdelse, även om det inte finns någon dom. Bestämmelsen är vidare tillämp- lig på uppgifter om domar i brottmål. Här avses bland annat uppgift om att någon är dömd för brott även om det inte framgår vilket, samt uppgift om att någon frikänts. Med straffprocessuella tvångsmedel avses till exempel häktning, beslag och kvarstad i brottmål. Att någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1991:1128) om psykiatrisk tvångsvård är exempel på uppgifter om administrativa frihetsberö- vanden. I andra stycket finns ett undantag från huvudregeln att person- uppgifter om lagöverträdelser med mera endast får behandlas av myndigheter. Enligt bestämmelsen får enskilda behandla sådana uppgifter för forskningsändamål, under förutsättning att behand- lingen har godkänts enligt etikprövningslagen. Regeringen eller den myndighet som regeringen bestämmer har i tredje stycket bemyndigats att meddela föreskrifter om undantag från förbudet i första stycket. I bestämmelsen avses generella undan- tag, inte undantag i enskilda fall. Regeringen har enligt 9 § PUF bemyndigat Datainspektionen att meddela sådana föreskrifter. Data- inspektionen har meddelat föreskrifter om undantag genom 1998:3, som ändrats genom 2010:1. Datainspektionen får också i enskilda fall besluta om undantag från förbudet. Av fjärde stycket framgår att regeringen eller, om regeringen så bestämmer, tillsynsmyndigheten kan besluta om undantag från första stycket även i enskilda fall. Regeringen har enligt 9 § PUF bemyn- digat Datainspektionen att meddela sådana beslut. 119 SOU 1997:39 s. 380, prop. 1997/98:44 s. 129. Rättsliga förutsättningar för registerbaserad forskning 5.3.4.11 Behandling av uppgifter om personnummer Behandling av personnummer och samordningsnummer utan den enskildes samtycke regleras i en särskild bestämmelse. Bestämmel- sen har följande lydelse. Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till a.ändamålet med behandlingen, b.vikten av en säker identifiering, eller c.något annat beaktansvärt skäl. Dataskyddsdirektivet ställer krav på att medlemsländerna ska reglera användningen av personnummer i lag. Medlemsländerna får där- emot fritt besluta hur de materiella reglerna ska utformas. Paragrafen innebär att uppgifter om personnummer eller sam- ordningsnummer120 utan samtycke bara får behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. För att en behandling av en uppgift om personnummer eller samordnings- nummer ska få genomföras krävs dessutom att de grundläggande kraven i 9 § är uppfyllda och att behandlingen är tillåten enligt 10 §. Det anfördes i förarbetena till motsvarande bestämmelse i data- lagen att användningen av personnummer i registersammanhang alltid bör prövas från integritetssynpunkt, och att onödig användning ska betraktas som ett integritetsintrång.121 Registreringen ska vara påkallad av ett godtagbart skäl och det ska vara ett skäl som objek- tivt framstår som befogat. Den registeransvarige har bevisbördan för att personnummer ska få finnas i ett personregister. Fall då det kan finnas sådana objektiva skäl är bland annat vissa forsknings- register och andra register där det är särskilt viktigt med en säker identifiering, till exempel för att tillgodose framtida forsknings- behov. Datainspektionen har i ett flertal fall intagit en restriktiv inställ- ning till användandet av personnummer i personregister.122 I vissa sammanhang, som till exempel inom sjukvården, skatteförvaltningen och polis- och rättsväsende har registrering av personnummer god- känts på grund av förväxlingsrisken. Däremot har det inte ansetts 120Den som obegränsat skattskyldig men inte folkbokförd i får från ett samordningsnummer. 1990/91:60 s. 69. 122Öman, S. och , Personuppgiftslagen En kommentar, 4 uppl., 2011, s. 355. Rättsliga förutsättningar för registerbaserad forskning motiverat att registrera personnummer i medlemsregister som syftar till att den enskilde ska få erbjudanden och förmåner. 5.3.4.12 Skyldigheter enligt personuppgiftslagen PUL medför vissa skyldigheter för den personuppgiftsansvarige. Den personuppgiftsansvarige ska, om personuppgiften samlas in från per- sonen själv, självmant lämna den registrerade information om be- handlingen av uppgifterna (23 § PUL). Om uppgifterna har samlats in från någon annan källa ska sådan information lämnas till den registrerade när uppgifterna registreras (24 § PUL). Med begreppet när uppgifterna registreras avses enligt kommentaren när de matas in i en dator eller sorteras in i ett sådant manuellt register som om- fattas av lagen.123 Enligt Datainspektionens allmänna råd bör infor- mation lämnas och senast efter det att uppgifterna har registrerats, om inte uppgifterna behandlas på annat sätt än genom att lagras.124