sou · H5B350 · 2017-06-09 00:00:00 — I samband med att dataskyddsförordningen (EU 2016/679) börjar tillämpas behöver behovet av kompletterande bestämmelser i natio- nell rätt avseende förutsättningarna för laglig behandling av person- uppgifter ses över. (Ju 2016:04) har i upp- drag att analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behand- ling av personuppgifter och att lämna behövliga och lämpliga för- fattningsförslag. När det gäller behandling av personuppgifter för forsknings- ändamål behövs det en analys av vilken reglering på nationell nivå som är möjlig och kan behövas för att säkerställa att behandling av personuppgifter för forskningsändamål ska kunna ske på ett ända- målsenligt sätt som den registrerades fri- och rättigheter skyddas.1 Utredningen har därför fått i uppdrag att undersöka vilken regler- ing av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella reglering som Data- skyddsutredningen kommer att föreslå, och att lämna de författ- ningsförslag som behövs. I detta uppdrag ingår att analysera om det finns ett behov av bestämmelser som reglerar behandling av käns- liga personuppgifter och personuppgifter om lagöverträdelser m.m. för forskningsändamål och vilka bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundlägg- ande rättigheter och intressen en sådan reglering bör innehålla. Det ingår vidare i uppdraget att analysera om det finns ett behov av undantag från den registrerades rättigheter enligt artiklarna 15, 16, 1 Dir. 2016:65. 18 och 21 i dataskyddsförordningen vid behandling för forsknings- ändamål och lämna förslag till hur sådana undantag i så fall bör ut- formas. för forskningsändamål ska införas Utredningen kommer i detta betänkande visa att det föreligger ett behov av kompletterande nationell reglering vid personuppgifts- behandling för forskningsändamål. Den möjlighet som dataskydds- förordningen ger för sådan kompletterande nationell reglering, som enligt utredningens bedömning är nödvändig för en ändamålsenlig personuppgiftsbehandling som beaktar skyddet för den registrerades fri- och rättigheter, ingår inte i förslag till en generell kompletterande dataskyddslag.2 Utredningens förslag: En lag som kompletterar dataskydds- förordningen vid personuppgiftsbehandling för forskningsända- mål ska införas. Syftet med lagen ska vara att möjliggöra person- uppgiftsbehandling för forskningsändamål som den enskildes fri- och rättigheter skyddas. Eftersom den aktuella EU-regleringen har förordningsform är möjligheterna att behålla eller införa nationella bestämmelser om dataskydd mycket begränsade. En förordning är i alla delar direkt tillämplig som lag i medlemsstaterna. Dataskyddsförordningen har dock i viss mån en direktivliknande karaktär genom att flera artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens bestämmelser. Det är också möjligt att införliva delar av förordningen i nationell rätt, enligt skäl 8, i de fall förordningen föreskriver förtydliganden eller begränsningar och det är nödvändigt för samstämmigheten samt 2 SOU 2017:39. för att göra de nationella bestämmelserna begripliga för de personer som ska tillämpa dem. Enligt skäl 10 i dataskyddsförordningen utesluter inte förord- ningen att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där personuppgifter be- handlas, inbegripet mer exakta villkor för laglig behandling av person- uppgifter. Utredningen har funnit att dataskyddsförordningens utrymme för nationell kompletterande reglering är särskilt gynnat vad gäller personuppgiftsbehandling för forskningsändamål, vilket vi kommer att analysera närmare i betänkandets övriga delar. De bestämmelser som dataskyddsförordningen förutsätter och möjliggör och som utredningen föreslår i de olika delarna bör, enligt utredningens be- dömning, samlas i en forskningsdatalag. Den forskningsdatalag vi föreslår ska ha som syfte att möjlig- göra personuppgiftsbehandling för forskningsändamål som den enskildes fri- och rättigheter skyddas. Lagen ska tillämpas vid all behandling av personuppgifter för forskningsändamål, oav- sett rättslig grund för behandlingen, och samla de kompletterande nationella bestämmelser som utredningen bedömt nödvändiga för att dataskyddsförordningen, den föreslagna dataskyddslagen och vår föreslagna forskningsdatalag sammantaget ska uppfylla det över- gripande syftet att möjliggöra personuppgiftsbehandling för forsk- ningsändamål och skydda den enskildes fri- och rättig- heter. I artikel 4 i dataskyddsförordningen definieras de centrala begrepp och uttryck som används i förordningen. De begrepp och uttryck som används i den föreslagna forskningsdatalagen har samma bety- delse som i dataskyddsförordningen. Den föreslagna forskningsdatalagen innehåller hänvisningar till be- stämmelser i dataskyddsförordningen. Hänvisningar till EU-rätts- akter kan göras antingen statiska eller dynamiska. visning innebär att hänvisningen avser EU-rättsakten i en viss an- given lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande lydelsen. De hänvisningar till dataskyddsförordningen som finns i vår föreslagna forskningsdatalag är dynamiska, dvs. avser förordningen i dess gällande lydelse. Det är utredningens bedömning att detta är mest lämpligt. Detta innebär att ändringar i dataskyddsför- ordningen får genomslag i den nationella rätten, även om ändringar i förordningen också kan komma att innebära behov av ändringar i den föreslagna forskningsdatalagen. Hänvisningarna till dataskyddsförordningen i den föreslagna forskningsdatalagen kommer således att omfatta även eventuella framtida ändringar i dataskyddsförordningen. 4.3Forskningsdatalagens förhållande till annan dataskyddsreglering Den föreslagna forskningsdatalagen måste tillämpas i kombination med flera andra rättskällor. En utgångspunkt i detta avseende är att det är dataskyddsförordningen som utgör den centrala regleringen på området. Det finns och kommer att finnas ytterligare tillämpliga författ- ningar i svensk rätt. uppdrag att anpassa nationell lagstiftning till dataskyddsförordningen medför ett för- slag till en svensk kompletteringslag (dataskyddslagen). I enstaka fall kan bestämmelser i den av oss föreslagna lagen komma att av- vika från bestämmelser i dataskyddslagen. Utöver den föreslagna forskningsdatalagen kommer det att finnas författningar med karaktären av registerförfattningar, som innehåller bestämmelser som specifikt är inriktade på behandling av person- uppgifter för forskningsändamål. I den mån sådana registerförfatt- ningar innehåller avvikande bestämmelser, exempelvis i fråga om vilka skyddsåtgärder som ska tillämpas, får förutsättas att dessa be- stämmelser är utformade efter de konkreta förutsättningar för den specifika behandlingen som regleras i registerförfattningen i fråga. En sådan registerförfattning bör därför tillämpas framför forsk- ningsdatalagen. Utredningens förslag: En upplysande bestämmelse om att denna lag kompletterar dataskyddsförordningen ska tas in i forsknings- datalagen. , som dataskyddsförordningen tillhör, har företräde fram- för nationell rätt. Med tanke på forskningsdatalagens tillämpnings- område, och att den ersätter den tidigare lagstiftning som genom- förde det nuvarande dataskyddsdirektivet, är det befogat att ta in en upplysande bestämmelse av vilken det framgår att den föreslagna lagen måste läsas tillsammans med dataskyddsförordningen. Utredningens förslag: En upplysande bestämmelse om att om inte annat följer av denna lag så gäller lagen med kompletterande bestämmelser till dataskyddsförordningen (dataskyddslagen) ska tas in i forskningsdatalagen. Den kompletterande dataskyddslagen föreslås vara subsidiär i för- hållande till andra lagar och förordningar. Av tydlighetsskäl föreslår vi att det av forskningsdatalagen framgår att dataskyddslagen gäller om inte annat följer av forskningsdatalagen. Utredningens förslag: Av forskningsdatalagen ska framgå att om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter för forskningsändamål som avviker från denna lag ska de bestämmelserna gälla. Registerförfattningar som tar sikte på personuppgiftsbehandling för forskningsändamål förekommer i betydande utsträckning. För att tydliggöra att en registerförfattning eller en bestämmelse i en register- författning som specifikt är tillämplig på personuppgiftsbehandling för forskningsändamål ska ha företräde framför bestämmelserna i forskningsdatalagen föreslår vi att en särskild avgränsad subsidiaritets- bestämmelse tas in i forskningsdatalagen. Registerförfattningar som inte omfattar behandlingar för forskningsändamål bör däremot inte generellt gälla framför den föreslagna forskningsdatalagen. dömningen om en registerförfattning avser behandling för forsk- ningsändamål får särskilt beaktas den breda definition av forsk- ningsändamål som framgår av dataskyddsförordningen, exempelvis i skäl 159. Utredningen har identifierat ett behov av att införa en forsknings- datalag med syfte att möjliggöra personuppgiftsbehandling för forsk- ningsändamål som den enskildes fri- och rättigheter skyddas. Den föreslagna forskningsdatalagen ska gälla utöver vad som framgår av dataskyddsförordningen, framför den komplette- rande dataskyddslagen och vara subsidiär till andra lagar eller för- ordningar med bestämmelser om behandling av personuppgifter för forskningsändamål som avviker från forskningsdatalagen. 5 Fastställande av rättslig grund När personuppgifter behandlas för forskningsändamål sker det i dags- läget normalt med stöd av samtycke av den registrerade eller, när det sker utan samtycke, med stöd av att forskningen anses vara en arbetsuppgift av allmänt intresse och att behandlingen är nödvändig för att denna arbetsuppgift ska kunna utföras enligt 10 § d person- uppgiftslagen (1998:204). Denna bestämmelse i personuppgiftslagen motsvaras av artikel 6.1 e i dataskyddsförordningen (EU 2016/679). Enligt artikel 6.3 i dataskyddsförordningen ska grunden för behand- ling av personuppgifter enligt bl.a. artikel 6.1 e fastställas i unions- rätten eller en medlemsstats nationella rätt. I detta avsnitt behand- las fastställande av den rättsliga grunden uppgift av allmänt intresse vid personuppgiftsbehandling för forskningsändamål. är det framför allt personuppgiftslagen som reglerar hur fors- kare får behandla personuppgifter för forskningsändamål. Det finns också särskilda registerförfattningar som är tillämpliga på person- uppgiftsbehandling för forskningsändamål.1 I en registerförfattning finns det bestämmelser om att personuppgifter får behandlas för visst eller vissa ändamål. Eftersom personuppgiftslagen är subsidiär i förhållande till annan lag eller förordning har avvikande bestäm- 1 Till exempel lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Fastställande av rättslig grund SOU 2017:50 melser i dessa författningar, om bland annat tillåten behandling, företräde. All behandling av personuppgifter måste uppfylla de grundlägg- ande kraven i 9 § personuppgiftslagen. För att behandlingen ska vara tillåten krävs vidare giltigt samtycke från den enskilde, eller i annat fall att behandlingen är nödvändig enligt någon av de situa- tioner som räknas upp i 10 § personuppgiftslagen. Vid behandling av personuppgifter för forskningsändamål kan det framför allt vara fråga om nödvändig behandling för att en arbetsuppgift av allmänt intresse ska kunna utföras (10 § d) eller nödvändig behandling efter en intresseavvägning (10 § f). Allmänna principer i artikel 5 Grundläggande krav för all behandling av personuppgifter är de all- männa dataskyddsprinciperna som framgår av artikel 5. Artikel 5 Principer för behandling av personuppgifter Vid behandling av personuppgifter ska följande gälla: a)Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). b)De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). c)De ska vara adekvata, relevanta och inte för omfattande i förhåll- ande till de ändamål för vilka de behandlas (uppgiftsminimering). d)De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är fel- aktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet). e)De får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ända- mål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behand- las för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, Fastställande av rättslig grund under förutsättning att de lämpliga tekniska och organisatoriska åtgär- der som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten be- handling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet). Artiklarna 5 och 6 är helt grundläggande och kumulativa, genom att minst en av de rättsliga grunderna enligt artikel 6.1 måste vara tillämplig som samtliga principer i artikel 5.1 måste följas vid all personuppgiftsbehandling. Laglig behandling av personuppgifter enligt artikel 6.1 I dataskyddsförordningen återfinns bestämmelserna om laglig be- handling av personuppgifter i artikel 6. Artikel 6.1 motsvaras i den nuvarande lagstiftningen huvudsakligen av 10 § personuppgifts- lagen, som utgår från artikel 7 i det nuvarande dataskyddsdirektivet (95/46/EG). Artikel 6 är således central för all personuppgiftsbehand- ling inom dataskyddsförordningens tillämpningsområde. Artikel 6 Laglig behandling av personuppgifter Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den regi- strerade är part eller för att vidta åtgärder på begäran av den registre- rade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Fastställande av rättslig grund f) Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den regi- strerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registre- rade är ett barn. Led f i första stycket ska inte gälla för behandling som utförs av offent- liga myndigheter när de fullgör sina uppgifter. Uppräkningen av vad som kan utgöra rättslig grund för behandling av personuppgifter i artikel 6.1 är uttömmande. Behandling av personuppgifter får inte utföras om inte minst ett av dessa villkor är uppfyllt. Flera rättsliga grunder kan också vara tillämpliga för en och samma behandling. Behandling av personuppgifter för forsk- ningsändamål kan i teorin grundas på vilken som helst av punkt- erna i artikel 6.1, men framför allt torde punkt a och e bli aktuella att tillämpa. Punkt f är, som framgår av andra stycket, inte möjlig att åberopa för myndigheter när de fullgör sina uppgifter. Det är den personuppgiftsansvariges ansvar att efterleva de all- männa principerna för behandling av personuppgifter samt att under- söka och ta ställning till om en behandling är tillåten enligt gällande rätt. Utöver att behandlingen är laglig enligt artikel 6.1 krävs att övriga krav enligt förordningen är uppfyllda. För behandling av vad som i förordningen benämns särskilda kategorier av personuppgifter (känsliga personuppgifter) finns exempelvis ytterligare villkor i artikel 9, se kapitel 7. En behandling utan samtycke måste vara nödvändig för ett visst ändamål för att vara tillåten enligt artikel 6.1 b–f i dataskydds- förordningen. Rekvisitet gäller även enligt den nuvarande 10 § personuppgiftslagen. Nödvändighetsrekvisitet är således centralt i dataskyddslagstiftningen. Den enda vägledningen till hur nödvän- dig behandling ska tolkas enligt dataskyddsförordningen återfinns i skäl 39, som anger att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Fastställande av rättslig grund Det torde inte finnas anledning att anta att nödvändighetsrekvi- sitet i artikel 6.1 i dataskyddsförordningen ska ha någon annan innebörd än den har i dataskyddsdirektivet och personuppgifts- lagen. Av skäl 9 i dataskyddsförordningen framgår också att samma mål och principer som gällde för dataskyddsdirektivet alltjämt ska vara giltiga. För förståelsen av begreppet nödvändighet kan det där- för vara av intresse att se något närmare på såväl uttalanden som förarbeten till nuvarande lagstiftning. har uttalat följande vad gäller tolkningen av be- greppet nödvändighet i medlemsstaterna: Med beaktande av målet att göra skyddsnivån likvärdig i alla medlems- stater kan begreppet nödvändighet, såsom det följer av artikel 7 e i direktiv /46, vars syfte just är att begränsa ett av de fall i vilket behandling av personuppgifter tillåts, således inte förstås olika från medlemsstat till medlemsstat. Det rör sig därmed om ett självständigt gemenskapsrättsligt begrepp som ska tolkas så, att det till fullo upp- fyller syftet med detta direktiv, såsom det definieras i artikel 1.1.2 I den aktuella domen ansågs vidare behandling av personuppgifter utan samtycke vara nödvändig eftersom den effektiviserade tillämp- ningen av viss lagstiftning kopplad till den aktuella registerföringen. Av förarbetena till personuppgiftslagen framgår att ansåg att nödvändighetskravet inte rimligen kan inne- bära att det ska vara helt omöjligt att utföra till exempel en uppgift av allmänt intresse utan personuppgifter för att behandling av personuppgifter ska få ske: Vad nödvändighetskravet närmare innebär är inte helt klart. De flesta uppgifter kan rent faktiskt utföras manuellt utan personregister även om det kostar mycket mer och tar betydligt än att behandla personuppgifterna automatiskt. Som vi ser det kan nödvändighets- kravet inte rimligen innebära att det skall vara faktiskt omöjligt att ut- föra en uppgift utan sådan behandling av personuppgifter som omfattas av EG-direktivet och den föreslagna lagen. Kan en uppgift däremot utföras nästan lika enkelt och billigt utan att personuppgifter behand- las, kan det inte anses nödvändigt att behandla personuppgifterna; det kanske går nästan lika bra att använda anonyma uppgifter.3 2Dom i mål C-524/06, 2008. 3SOU 1997:39 s. 361 f. Fastställande av rättslig grund Nödvändighetskravet har också analyserats i senare lagstiftnings- arbete, avseende en registerförfattning med företräde framför person- uppgiftslagen: Kan en arbetsuppgift lösas även om personuppgiften utelämnas eller avidentifieras är behandlingen inte nödvändig. Vidare skall det vara nödvändigt att behandla personuppgifterna på ett sätt som omfattas av lagens tillämpningsområde, dvs. genom helt eller delvis automatiserad behandling eller i manuellt behandlade register. Det krävs dock inte att det skall vara faktiskt omöjligt att utföra en uppgift enligt något ända- mål utan att behandla personuppgifterna automatiserat eller i register. Det räcker att det innebär en påtaglig förenkling att personuppgifter behandlas automatiserat eller i register i stället för manuellt utanför register. Avsikten är att utlänningsdatalagens nödvändighetsrekvisit skall förstås på samma sätt som motsvarande rekvisit i 10 § person- uppgiftslagen.4 I vissa registerförfattningar har begreppet nödvändig behandling bytts ut mot behandling som behövs för vissa angivna ändamål. I för- arbetena till lagen (2012:741) om behandling av personuppgifter vid utvärdering återfinns t.ex. följande resonemang: I personuppgiftslagen används begreppet nödvändig i ändamålsbestäm- melsen eftersom detta uttryckssätt används i dataskyddsdirektivet. I de flesta registerlagar av den karaktär som föreslås för IFAU har dock ändamålsbestämmelserna formulerats på så sätt att myndigheten får be- handla vissa uppgifter om det behövs för vissa angivna ändamål. I dessa sammanhang anses de båda uttryckssätten vara synonyma. För inne- börden av en ändamålsbestämmelse spelar det således ingen roll vilket begrepp som används.5 Sammanfattningsvis innebär nödvändighetsrekvisitet i artikel 6.1 i dataskyddsförordningen för forskningens del att personuppgifts- behandlingen måste vara nödvändig för att forskningen ska kunna utföras, men utifrån en rimlighetsbedömning av vilka alternativa sätt att utföra forskningsuppgiften som är möjliga. I forsknings- sammanhang torde den rimlighetsbedömningen även kunna om- fatta bedömningen av huruvida användandet av personuppgifter kan medföra högre kvalitet och tillförlitlighet i forskningsresultatet. Om kravet på nödvändighet kan anses uppfyllt är det viktigt att 4SOU 2003:40 s. 169. 2011/12:176 s. 30. Fastställande av rättslig grund komma ihåg att först och främst måste de grundläggande allmänna principerna som framgår av artikel 5.1 vara uppfyllda för all behand- ling av personuppgifter. Eftersom dataskyddsförordningen är direkt tillämplig som lag i medlemsstaterna, och till skillnad från ett direktiv därför inte ska införlivas i nationell rätt, torde det inte vara möjligt att använda ett annat begrepp än just nödvändig i kompletterande nationell lag- stiftning. Uppgift av allmänt intresse Begreppet allmänt intresse definieras inte närmare vare sig i data- skyddsförordningen eller i det nuvarande dataskyddsdirektivet som ligger till grund för personuppgiftslagen. Någon praxis från EU- domstolen står inte heller att finna för tolkning av innebörden av begreppet i fråga. Forskningsuppgiften har ansetts vara en uppgift av allmänt intresse, i den mening som avses i personupp- giftslagen. Det torde inte finnas någon anledning att anta att be- greppet allmänt intresse ska tolkas annorlunda enligt dataskydds- förordningen. För förståelsen av bedömningen av forskning som en arbetsuppgift av allmänt intresse kan det vara av värde att under- söka något närmare i vilka sammanhang denna tolkning har förts fram. I det nuvarande dataskyddsdirektivets skäl 34 framhålls veten- skaplig forskning som ett exempel på viktigt allmänt intresse som kan motivera undantag från förbudet att behandla känsliga person- uppgifter. I förarbetena till personuppgiftslagen exemplifieras arbetsuppgif- ter som kan vara av allmänt intresse med till exempel arkivering, forskning och framställning av statistik. Något utförligare resone- mang när det gäller just forskning som en uppgift av allmänt intresse ges inte.