sou · H5B350 · 2017-06-09 00:00:00 — Kursiveringarna är våra och markerar de delar av texten som sär- skilt knyter an till forskning. (26) Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identi- fiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig tek- nik för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör därför inte gälla för anonym informa- tion, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller är identifier- bar. Denna förordning berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål. 1 Jfr generellt SB PM 2014:3 s. 22 ff. Skälet erinrar om att information för forskningsändamål kan vara anonymiserad, och att förordningen då är tillämplig. I sammanhanget är det viktigt att skilja på anonymisering och pseudonymisering. Det är först när den registrerade verkligen inte är identifierbar som det är fråga om sådan anonymisering som gör att förordningen är tillämplig. Se vidare om dessa be- grepp kapitel 12. (33) Det är ofta inte möjligt att fullt ut identifiera syftet med en be- handling av personuppgifter för vetenskapliga forskningsändamål i sam- band med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när veder- tagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forsknings- områden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. Skälet avser den mindre strikta tillämpningen av ändamålsbegräns- ningen (jfr artikel 5.1 b) som gäller för vetenskapliga (men inte historiska) forskningsändamål som gör det möjligt att samtycka till personuppgiftsbehandling för vissa områden för vetenskaplig forsk- ning. Vad gäller ”vedertagna etiska standarder” finns förstås anled- ning för utredningen att uppmärksamma den svenska regleringen med etikprövning samt dess motsvarigheter i andra medlemsstater. (43) För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte med- ger att separata samtycken lämnas för olika behandlingar av person- uppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande. Skälet nämns särskilt i utredningens direktiv (dir. 2016:65 s. 6) som något som bör analyseras. För att utreda fortsatta möjligheter att samla in forskningsdata är det av stor vikt för forskningens del att analysera samtycke som rättslig grund för personuppgiftsbehand- ling i olika forskningssammanhang. (50) Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten, när detta är för- enligt med de ändamål för vilka personuppgifterna ursprungligen sam- lades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgifts- ansvarige har fått i uppgift att utföra, kan unionsrätten eller medlems- staternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Ytterligare behandling för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål bör betraktas som förenlig och laglig behandling av uppgifter. Den rättsliga grund för behandling av personuppgifter som återfinns i unionsrätten eller i medlemsstaternas nationella rätt kan också utgöra en rättslig grund för ytterligare behandling. För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades bör den personuppgifts- ansvarige, efter att ha uppfyllt alla krav vad beträffar den ursprungliga behandlingens lagenlighet, bland annat beakta alla kopplingar mellan dessa ändamål och ändamålen med den avsedda ytterligare behand- lingen, det sammanhang inom vilket personuppgifterna insamlats, sär- skilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige i fråga om den art, den planerade ytterligare behandlingens konsekvenser för de registrerade samt förekomsten av lämpliga skyddsåtgärder för både den ursprungliga och den planerade ytterligare behandlingen. Jämför skäl 33. (52) Undantag från förbudet att behandla särskilda kategorier av person- uppgifter bör även tillåtas om de föreskrivs i unionsrätten eller i med- lemsstaternas nationella rätt och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter, när allmänintresset motiverar detta, i synnerhet i fråga om behandling av personuppgifter inom ramen för arbetsrätt och sociallagstiftning, däribland pensioner, och för hälsosäkerhetsändamål, övervaknings- och varningssyften, förebyggande eller kontroll av smittsamma sjukdomar och andra allvarliga hot mot hälsan. Detta undantag får göras för hälso- ändamål, inbegripet folkhälsa och förvaltningen av hälso- och sjukvårds- tjänster, särskilt för att säkerställa kvalitet och kostnadseffektivitet i de förfaranden som används vid prövningen av ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Genom undantag bör man även tillåta behandling av sådana personuppgifter där så krävs för fastställande, utövande eller för- svar av rättsliga anspråk, oavsett om detta sker inom ett domstolsförfar- ande eller inom ett administrativt eller ett utomrättsligt förfarande. En uppräkning av situationer när bl.a. nationell rätt kan få göra undantag från förbudet att behandla särskilda kategorier av (”käns- liga”) personuppgifter. (53) Särskilda kategorier av personuppgifter som förtjänar ett mer om- fattande skydd bör endast behandlas i hälsorelaterade syften om detta krävs för att uppnå dessa syften och gagnar fysiska personer och sam- hället i stort, särskilt inom ramen för förvaltningen av tjänster för hälso- och sjukvård och social omsorg och deras system, inbegripet be- handling som utförs av förvaltningen och centrala nationella hälso- vårdsmyndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjuk- vård och social omsorg samt gränsöverskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med övervakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål som baseras på unionsrätten eller på medlemsstaternas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet. Denna förordning bör därför innehålla harmoniserade villkor för behandling av särskilda kategorier av person- uppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behand- lingen av uppgifterna utförs för vissa hälsorelaterade syften av perso- ner som enligt lag är underkastade yrkesmässig tystnadsplikt. Unions- rätten eller medlemsstaternas nationella rätt bör föreskriva särskilda och lämpliga åtgärder som skyddar fysiska personers grundläggande rättigheter och personuppgifter. Medlemsstaterna bör få behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Detta bör emellertid inte hindra det fria flödet av personuppgifter inom unionen, när villkoren tillämpas på gränsöverskridande behandling av sådana upp- gifter. (62) Det är dock inte nödvändigt att införa någon skyldighet att till- handahålla information, om den registrerade redan innehar denna information, om registreringen eller utlämnandet av personuppgifterna uttryckligen föreskrivs i lag eller om det visar sig vara omöjligt eller skulle medföra orimliga ansträngningar att tillhandahålla den registre- rade informationen. Det sistnämnda skulle särskilt kunna vara fallet om behandlingen sker för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål. I detta avseende bör antalet registrerade, uppgifternas ålder och lämpliga skydds- åtgärder beaktas. Undantag från informationsplikten (jfr artikel 14, särskilt 14.5 b). (65) Den registrerade bör ha rätt att få sina personuppgifter rättade och en rätt att bli bortglömd, om lagringen av uppgifterna strider mot denna förordning eller unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. En registrerad bör särskilt ha rätt att få sina personuppgifter raderade och kunna begära att dessa personuppgifter inte behandlas, om de inte längre behövs med tanke på de ändamål för vilka de samlats in eller på annat sätt be- handlats, om en registrerad har återtagit sitt samtycke till behandling eller invänder mot behandling av personuppgifter som rör honom eller henne, eller om behandlingen av hans eller hennes personuppgifter på annat sätt inte överensstämmer med denna förordning. Denna rättig- het är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter, särskilt på internet. Den registrerade bör kunna utöva denna rätt även när han eller hon är barn. Ytterligare lagring av personuppgifterna bör dock vara laglig, om detta krävs för att utöva yttrandefrihet och informations- frihet, för att uppfylla en rättslig förpliktelse, för att utföra en uppgift i av allmänt intresse eller som ett led i myndighetsutövning som anförtrotts den personuppgiftsansvarige, med anledning av ett allmänt intresse inom folkhälsoområdet, för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för fast- ställande, utövande eller försvar av rättsliga anspråk. Skälets sista mening väcker frågan om det finns ett undantag från rätten till radering (den s.k. ”rätten att bli bortglömd”) om ett så- dant undantag krävs för att uppfylla forskningsändamålet. Notera att rätten till radering (artikel 17) inte är bland de rättigheter för vilka det får föreskrivas undantag från för forskningsändamål enligt artikel 89.2, men att artikel 17.3 d däremot innehåller ett undantag från samma rättighet för bl.a. vetenskapliga eller historiska ändamål. (113) Överföringar som kan anses vara icke återkommande och endast gäller ett begränsat antal registrerade kan också vara möjliga när person- uppgiftsansvarigas tvingande berättigade intressen motiverar detta, om inte den registrerades intressen eller rättigheter och friheter väger tyngre än dessa intressen, och den personuppgiftsansvarige har bedömt alla om- ständigheter kring uppgiftsöverföringen. Den personuppgiftsansvarige bör ta särskild hänsyn till personuppgifternas art, den eller de avsedda behandlingarnas ändamål och varaktighet samt situationen i ursprungs- landet, tredjelandet och det slutliga bestämmelselandet och bör tillhanda- hålla lämpliga åtgärder för att skydda fysiska personers grundläggande rättigheter och friheter vid behandlingen av deras personuppgifter. Sådana överföringar bör endast vara möjliga i vissa fall där inget av de andra skälen till överföring är tillämpligt. För vetenskapliga eller histo- riska forskningsändamål eller statistiska ändamål bör hänsyn tas till sam- hällets legitima förväntningar i fråga om ökad kunskap. uppgiftsansvarige bör informera tillsynsmyndigheten och den registre- rade om överföringen. (156)Behandlingen av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning. Skyddsåtgärderna bör säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Ytterligare behandling av personuppgifter för arkivändamål av allmänintresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål bör genomföras, när den personuppgiftsansvarige har bedömt möjligheten att uppnå dessa ändamål genom behandling av personuppgifter som inte medger eller inte längre medger identifiering av de registrerade, förutsatt att det finns lämpliga skyddsåtgärder (t.ex. pseudonymisering av personuppgifter). Medlemsstaterna bör införa lämpliga skydds- åtgärder för behandlingen av personuppgifter för arkivändamål av all- mänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Medlemsstaterna bör på särskilda villkor med för- behåll för lämpliga skyddsåtgärder för de registrerade ha rätt att speci- ficera och göra undantag från kraven på information, rätten till rättelse eller radering av personuppgifter, rätten att bli bortglömd, rätten till begränsning av behandlingen, rätten till dataportabilitet och rätten att göra invändning i samband med behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål. Villkoren och säkerhetsåtgär- derna i fråga kan medföra att de registrerade måste följa särskilda för- faranden för att utöva dessa rättigheter, om det är lämpligt med hän- syn till den särskilda behandlingens syfte tillsammans med tekniska och organisatoriska åtgärder som syftar till att minimera behandlingen av personuppgifter i enlighet med principerna om proportionalitet och nödvändighet. Behandling av personuppgifter för vetenskapliga ända- mål bör även vara förenlig med annan relevant lagstiftning, exempelvis om kliniska prövningar. (157)Genom att koppla samman information från olika register kan forskare erhålla ny kunskap av stort värde med avseende på medicinska tillstånd som exempelvis hjärt-kärlsjukdomar, cancer och depression. På grundval av registren kan forskningsresultaten förbättras, eftersom de bygger på en större befolkningsgrupp. Forskning inom samhällsvetenskap som bedrivs på grundval av register gör det möjligt för forskare att få grundläggande kunskaper om sambandet på lång sikt mellan ett antal sociala villkor, exempelvis arbetslöshet och utbildning, och andra livs- förhållanden. Forskningsresultat som erhållits på grundval av register utgör en stabil, högkvalitativ kunskap, som kan ligga till grund för ut- formningen och genomförandet av kunskapsbaserad politik, förbättra livskvaliteten för ett antal personer och förbättra de sociala tjänsternas effektivitet. För att underlätta vetenskaplig forskning får personuppgifter behandlas för vetenskapliga forskningsändamål, med förbehåll för lämp- liga villkor och skyddsåtgärder i unionsrätten eller i medlemsstaternas nationella rätt. Skälet beskriver värdet av register för forskningen och klargör att forskning utifrån sådana register är tillåtet inom förordningens ram. Det medför dock inte något generellt undantag för person- uppgiftsbehandling för forskningsändamål, utan sådan behandling måste alltjämt beakta de villkor som framgår av förordningen och övrig reglering. (159) Om personuppgifter behandlas för vetenskapliga forsknings- ändamål, bör denna förordning också gälla denna behandling. Behand- ling av personuppgifter för vetenskapliga forskningsändamål bör i denna förordning ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt artikel 179.1 i EUF-för- draget angående åstadkommandet av ett europeiskt forskningsområde. Vetenskapliga forskningsändamål bör också omfatta studier som ut- förs av ett allmänt intresse inom folkhälsoområdet. För att tillgodose de särskilda kraven i samband med behandling av personuppgifter för vetenskapliga forskningsändamål bör särskilda villkor gälla, särskilt vad avser offentliggörande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål. Om resultatet av veten- skaplig forskning, särskilt för hälso- och sjukvårdsändamål, ger anled- ning till ytterligare åtgärder i den registrerades intresse, bör de all- männa reglerna i denna förordning tillämpas på dessa åtgärder. Detta ger viss vägledning till begreppet ”vetenskapliga forsknings- ändamål”, men saknar samma sorts fokuserade beskrivning av vad forskning är som finns i exempelvis etikprövningslagen. Se vidare avsnitt 3.4.4. (160) Om personuppgifter behandlas för historiska forskningsända- mål, bör denna förordning också gälla denna behandling. Detta bör även omfatta forskning för historiska och genealogiska ändamål, med beaktande av att denna förordning inte bör gälla för avlidna personer. Att historiska och genealogiska ändamål nämns är troligen i syfte att skilja detta från privat släktforskning. Se vidare avsnitt 3.4.2. (161) När det gäller samtycke till deltagande i vetenskaplig forskning inom ramen för kliniska prövningar, bör de relevanta bestämmelserna i och rådets förordning (EU) nr 536/2014 tillämpas. (162) Om personuppgifter behandlas för statistiska ändamål, bör denna förordning gälla denna behandling. Unionsrätten eller medlemsstater- nas nationella rätt bör, inom ramen för denna förordning, fastställa statistiskt innehåll, kontroll av tillgång, specifikationer för behandling av personuppgifter för statistiska ändamål och lämpliga åtgärder till skydd för den registrerades rättigheter och friheter och för att säker- ställa insynsskydd för statistiska uppgifter. Med statistiska ändamål avses varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Dessa statistiska resultat kan vidare användas för olika ändamål, inbegripet vetenskapliga forsknings- ändamål. Ett statistiskt ändamål innebär att resultatet av behandlingen för statistiska ändamål inte består av personuppgifter, utan av aggrege- rade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysiskperson. Detta skäl framstår främst som en definition av ”statistiska ända- mål”. Betydelsen för utredningen blir främst att ett resultat av en behandling för statistiska ändamål enligt definitionen inte består av personuppgifter. Nedanstående bestämmelser är, till skillnad från skälen, normativa, dvs. I denna förordning avses med 1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbarfysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifika- torer eller en eller flera faktorer som är specifika för den fysiska perso- nens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet, […] 5. pseudonymisering: behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förut- sättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person, […] 13. genetiska uppgifter: alla personuppgifter som rör nedärvda eller för- värvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga, Artikel 4.1 och 4.5 i kombination är viktiga för gränsdragningen av dataskyddsförordningens tillämpningsområde och innebär att person- uppgifter är pseudonymiserade om de är återidentifierbara. Pseudo- nymiserad innebär, enligt förordningens definition, att den infor- mation som krävs för återidentifiering förvaras på annan plats. Artikel 5 Principer för behandling av personuppgifter Vid behandling av personuppgifter ska följande gälla: […] b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). e) De får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ända- mål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behand- las för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgär- der som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Denna ändamålsbegränsning med ”forskningsundantag” är central för utredningen. Motsvarande bestämmelse finns även i det nuvar- ande dataskyddsdirektivet. Artikel 6 Laglig behandling av personuppgifter Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den regi- strerade är part eller för att vidta åtgärder på begäran av den registre- rade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. För forskning är framför allt punkt a och e i ovanstående aktuella.