sou · H5B350 · 2017-06-09 00:00:00 — Ett av de grundläggande kraven för behandling av personuppgifter är enligt 10 § d PUL att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in. En viktig princip som framgår av andra stycket i denna paragraf är emellertid att behandling av personuppgifter för historiska, statis- tiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. PUL är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Lagen är subsidiär, vilket innebär att dess bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling Enligt regeringsformen (RF) är var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 §). Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket under vissa förutsättningar göras genom lag. Etikprövningslagen och dess förhållande till personuppgiftslagen För forskning som utförs i och som avser människor krävs normalt etikprövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Lagen inne- håller bestämmelser om etikprövning av forskning som avser män- niskor och biologiskt material från människor och om samtycke till sådan forskning. Syftet med lagen är att skydda den enskilda män- niskan och respekten för människovärdet vid forskning (1 §). Etik- prövningslagen ska tillämpas på forskning som innefattar behand- ling av känsliga personuppgifter enligt 13 § PUL och personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den enligt 21 § PUL (3 §). Lagen ska därutöver tillämpas bl.a. på forskning som avser studier på biologiskt material som har tagits från en levande människa och kan härledas till denna människa och forskning som innebär ett fysiskt ingrepp på en avliden människa eller avser studier på biologiskt material som har tagits för medi- cinskt ändamål från en avliden människa och kan härledas till denna människa (4 §). Den forskning som lagen omfattar får utföras bara om den har godkänts vid en etikprövning. Forskning får godkännas bara om de risker som den kan medföra för försökspersonernas hälsa, säkerhet och personliga integritet uppvägs av dess vetenskap- liga värde (9 §). Forskningen får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behandlingen har godkänts vid etikprövningen. I samband med att etikprövningslagen trädde i kraft anpassades regleringen av behandling av känsliga personupp- gifter för forskningsändamål i PUL till regleringen i etikprövnings- lagen. Enligt 19 § PUL får känsliga personuppgifter, t.ex. uppgifter som rör hälsa, behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. Detsamma gäller enligt 21 § upp- gifter om lagöverträdelser och liknande uppgifter. En behandling av personuppgifter som inte omfattas av nämnda bestämmelser kräver således inte något godkännande enligt etikprövningslagen, men be- stämmelserna i PUL gäller för behandlingen. och rådet har antagit en ny förordning, och rådets förordning (EU) 2016/679 av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (all- män dataskyddsförordning). Förordningen, nedan kallad data- skyddsförordningen, ska tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare har- monisera och effektivisera skyddet för personuppgifter för att för- bättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen är direkt tillämp- lig i medlemsstaterna. Den både förutsätter och möjliggör kom- pletterande nationella bestämmelser av olika slag. Det finns ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning. Dataskyddsförordningen kommer att utgöra grunden för gene- rell personuppgiftsbehandling inom EU. Genom förordningen upphävs det nu gällande dataskyddsdirektivet med verkan från , vilket innebär bl.a. att PUL måste upphävas. En särskild utredare fick regeringens (Justitie- departementets) uppdrag att bl.a. föreslå de anpassningar och kom- pletterande författningsbestämmelser på generell svensk nivå som dataskyddsförordningen ger anledning till. I uppdraget ingår att lämna förslag till upphävande av den nuvarande generella person- uppgiftsregleringen (dir. 2016:15). Utredningen har tagit sig namnet (Ju 2016:04). I utredningens uppdrag ingår bl.a. att analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs be- handling av personuppgifter och överväga vilka kompletterande bestämmelser om undantag från förbudet att behandla känsliga personuppgifter som bör finnas i den generella regleringen. Det ingår också i utredningens uppdrag att analysera vilka kompletterande bestämmelser om myndigheters bevarande av allmänna handlingar, användning av uppgifter i dessa och överlämnande av arkivmaterial till en arkivmyndighet som behövs i den generella regleringen samt analysera vilka övriga kompletterande bestämmelser om behandling av personuppgifter för arkivering i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål som bör finnas i den generella regleringen. I uppdraget ingår inte att se över eller lämna förslag till förändringar av sådan sektors- specifik reglering om behandling av personuppgifter som bl.a. finns i de särskilda registerförfattningarna. Uppdraget att undersöka vilken nationell kompletterande reglering av behandling av personuppgifter för forskningsändamål som kan behövas Vissa bestämmelser i dataskyddsförordningen berör särskilt förut- sättningarna för att behandla personuppgifter för bl.a. vetenskap- liga eller historiska forskningsändamål. Artikel 5 med principer för behandling av personuppgifter, artikel 6 om när behandling av per- sonuppgifter är laglig, artikel 9 med reglering av behandling av särskilda kategorier av personuppgifter, artikel 12–20 om den regi- strerades rättigheter och artikel 89 med särskilda bestämmelser för behandling av personuppgifter för bl.a. vetenskapliga eller histo- riska forskningsändamål är särskilt viktiga. Med behandling av personuppgifter för forskningsändamål avses nedan behandling av personuppgifter för vetenskapliga eller histo- riska forskningsändamål, vilka är de begrepp som används i data- skyddsförordningen. Vilken särskild rättslig reglering behövs för personuppgiftsbehandling för forskningsändamål? När dataskyddsförordningen träder i kraft kommer möjliga grunder för behandling av personuppgifter för forskningsändamål huvud- sakligen att vara antingen att den registrerade har lämnat sitt sam- tycke till att hans eller hennes personuppgifter behandlas för ett eller flera specifika ändamål enligt artikel 6.1(a) eller att behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1(e). När det gäller samtycke kan det behöva analyseras vilka slutsatser som bör dras av det som anges i beaktandesats 43 i dataskydds- förordningen. Där anges att för att säkerställa att ett samtycke lämnas frivilligt bör det inte utgöra giltig rättslig grund för behand- ling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansva- rige, särskilt om den personuppgiftsansvarige är en offentlig myndig- het och det därför är osannolikt att samtycket lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Artikel 6.2 ger medlemsländerna rätt att i nationell rätt behålla eller införa specifika bestämmelser för att anpassa tillämpningen av bestämmelserna för att efterleva bl.a. artikel 6.1(e), dvs. den bestäm- melse som anger att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse. Medlemsländerna får närmare fastställa specifika krav för uppgifts- behandlingen och andra åtgärder för att säkerställa en laglig och rätt- vis behandling, bl.a. för behandling av personuppgifter för forsk- ningsändamål. Enligt artikel 6.3 ska grunden för den behandling av personupp- gifter som avses i bl.a. artikel 6.1 (e) fastställas i unionsrätten eller en medlemsstats nationella rätt. Denna rättsliga grund kan inne- hålla särskilda bestämmelser för att anpassa tillämpningen av be- stämmelserna i dataskyddsförordningen, bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling av uppgifter, vilken typ av uppgifter som ska behandlas, berörda registrerade, till vilka uppgifterna får lämnas ut och för vilka ända- mål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillför- säkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer vid behandling enligt kapitel IX (bl.a. forskningsändamål). Den nationella lagstiftningen måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. sker behandling av personuppgifter för forskningsändamål med stöd av bestämmelser i . När personuppgifter behandlas för forskningsändamål sker det normalt med stöd av samtycke av den registrerade eller, när det sker utan samtycke, med stöd av att forskningen anses vara en arbetsuppgift av allmänt intresse och att behandlingen är nödvändig för att denna arbetsuppgift ska kunna utföras enligt 10 § d i PUL. Denna paragraf i PUL motsvaras av artikel 6.1(e) i dataskyddsförordningen. Artikel 6.3 anger att grun- den för behandling av personuppgifter enligt bl.a. 6.1(e) ska fast- ställs i unionsrätten eller en medlemsstats nationella rätt. Data- skyddsutredningen ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling av personuppgifter och lämna behövliga och lämpliga författningsförslag. När det gäller behandling av person- uppgifter för forskningsändamål behövs det en analys av vilken reglering på nationell nivå som är möjlig och kan behövas utöver den generella reglering som kommer att föreslå för att säkerställa att behandling av personuppgifter för forskningsändamål ska kunna ske på ett ändamålsenligt sätt samti- digt som den registrerades fri- och rättigheter skyddas. undersöka vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella reglering som kommer att före- slå, och lämna de författningsförslag som behövs. Vilket behov av skyddsåtgärder finns vid personbehandling för forskningsändamål? I och med att dataskyddsförordningen träder i kraft kommer ett krav på att behandling av personuppgifter för bl.a. forsknings- ändamål ska omfattas av lämpliga skyddsåtgärder för den registre- rades fri- och rättigheter att gälla enligt artikel 89.1. derna ska garantera att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, dvs. be- handling av personuppgifter på ett sätt som innebär att personupp- gifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att ända- målen med behandlingen kan uppfyllas på det sättet. När dessa ända- mål kan uppfyllas genom vidarebehandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Det krävs därför en analys av vilka skyddsåtgärder som bör gälla vid behandling av personuppgif- ter för forskningsändamål och hur åtgärderna bör vara utformade för att ge ändamålsenliga möjligheter att använda personuppgifter för forskning. Tänkbara skyddsåtgärder kan exempelvis vara etik- prövning eller organisatoriska eller tekniska åtgärder såsom pseudo- nymisering eller användning av kodnycklar. Det finns anledning att i detta sammanhang överväga om etik- prövning av forskning liksom enbart ska tillämpas på forsk- ning som innefattar behandling av sådana personuppgifter som om- fattas av ett särskilt skydd i 19 och 21 §§ PUL eller om ordningen med etikprövning bör utvidgas till att gälla all behandling av person- uppgifter för forskningsändamål. Om etikprövning även fortsätt- ningsvis ska göras enbart när forskningen innefattar sådana person- uppgifter som omfattas av ett särskilda skyddsregler i förhållande till andra personuppgifter i dataskyddsregleringen, behöver det övervägas om andra lämpliga skyddsåtgärder ska tillämpas när det är fråga om behandling av andra personuppgifter för forsknings- ändamål. Utredarens ställningstagande i dessa frågor kan medföra behov av ändringar i etikprövningslagen. Ett alternativ är att reglera frågorna i en annan författning som kompletterar bestämmelserna i dataskyddsförordningen och den nationella reglering på nationell nivå som ska föreslå. Det behöver också analyseras vilka andra ändringar som behöver göras i etikprövningslagen med anledning av dataskyddsförord- ningen och den generella reglering som kommer att föreslå. lämna förslag på sådana lämpliga skyddsåtgärder för den regi- strerades fri- och rättigheter som behandling av personuppgifter för forskningsändamål ska omfattas av, överväga om kravet på etikprövning ska utvidgas till att gälla all behandling av personuppgifter för forskningsändamål och vilka skyddsåtgärder som annars bör gälla vid behandling för forsk- ningsändamål av sådana personuppgifter som inte omfattas av etikprövningslagen, se över vilka anpassningar av etikprövningslagen i övrigt som behövs med anledning av dataskyddsförordningen och den gene- rella reglering ska föreslå, och lämna behövliga författningsförslag. Närmare om känsliga personuppgifter och uppgifter om lagöverträdelser Liksom i det nu gällande dataskyddsdirektivet och 13 § PUL finns det i artikel 9.1 i dataskyddsförordningen ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. I PUL används begreppet känsliga personuppgifter för sådana uppgifter. Med särskilda kategorier av personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening liksom behandling av genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en person eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Förbudet är förenat med en rad viktiga undan- tag som fastställs i artikel 9.2–9.5. Enligt artikel 9.2 (j) i dataskydds- förordningen gäller inte förbudet mot behandling av dessa särskilda kategorier av personuppgifter om behandlingen är nödvändig för arkivändamål av allmänt intresse eller för vetenskapliga och histo- riska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 på grundval av unionslagstiftning eller en medlemsstats lagstiftning. Denna lagstiftning ska stå i proportion till det efter- strävade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Som nämnts tidigare finns det i PUL vissa undantagsbestämmel- ser från förbudet mot att behandla känsliga personuppgifter. Enligt 13 § PUL får känsliga personuppgifter behandlas om den registre- rade har lämnat sitt samtycke och enligt 19 § andra stycket PUL får känsliga personuppgifter behandlas för forskningsändamål om be- handlingen godkänts enligt etikprövningslagen. I direktiven för konstateras att den möjlighet som finns enligt dataskyddsförordningen att göra undantag för förbudet i stor utsträckning kommer att utnyttjas genom sektorsspecifik lag- stiftning men att utgångspunkten bör vara att det även i fortsätt- ningen kommer att behövas vissa bestämmelser i den generella regler- ingen om undantag från förbudet att behandla känsliga personupp- gifter av det slag som finns i PUL. ska därför överväga vilka undantag från förbudet som bör finnas i den generella regleringen. Även behandling av personuppgifter om lagöverträdelser och liknande uppgifter, som regleras i 21 § PUL, kommer enligt art. 10 i dataskyddsförordningen att vara föremål för särskilda be- gränsningar. Enligt den artikeln får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. har i uppdrag att anlysera i vilken utsträckning det bör införas regler i den kompletterande generella regleringen som tillåter behandling av uppgifter om lagöverträdelser som inte sker under kontroll av en officiell myndighet. Det behöver analyseras om det utöver dataskyddsförordningen och de bestämmelser kommer att föreslå finns ett behov av kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser och lik- nande uppgifter för forskningsändamål och vilka bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen en sådan reglering bör innehålla. Tänkbara sådana skyddsåtgärder kan exempelvis vara etik- prövning eller organisatoriska eller tekniska åtgärder såsom pseudo- nymisering eller användning av kodnycklar. analysera om det, utöver den generella reglering som Dataskydds- utredningen kommer att föreslå och de förslag som utredaren i övrigt kan komma att lämna, finns ett behov av bestämmelser som reglerar behandling av känsliga personuppgifter och upp- gifter om lagöverträdelser och liknande uppgifter för forsknings- ändamål och vilka bestämmelser om lämpliga och särskilda åtgär- der för att säkerställa den registrerades grundläggande rättig- heter och intressen en sådan reglering bör innehålla, och lämna de författningsförslag som behövs. Bör det göras undantag från huvudreglerna om den registrerades rättigheter för personuppgiftsbehandling för forskningsändamål? Om personuppgifter behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål får det enligt artikel 89.2 i dataskyddsförordningen i unionslagstiftningen eller medlemsstat- ernas lagstiftning föreskrivas om undantag från den registrerades rättigheter i artiklarna 15, 16, 18 och 21 med förbehåll för att så- dana lämpliga skyddsåtgärder tillämpas som behandling av person- uppgifter för dessa ändamål ska omfattas av enligt första punkten i artikeln. De nämnda artiklarna handlar om den registrerades rätt till tillgång till uppgift om personuppgifter som rör honom eller henne och som behandlas, rätt till rättelse av personuppgifter, rätt till be- gränsning av behandling av personuppgifter och rätt att göra invänd- ning mot behandling av personuppgifter. Undantag får bara göras i den utsträckning det är sannolikt att de aktuella rättigheterna skulle göra det omöjligt eller mycket svårare att uppfylla de särskilda ända- målen med behandlingen och sådana undantag krävs för att uppnå dessa ändamål. I direktiven till konstateras att behovet av undantag med stöd av artikel 89.2 (vilken i ett utkast till data- skyddsförordningen och i direktiven till numrerades 83.2) i stor utsträckning aktualiseras i sektorsspecifik lagstiftning. framhålls att en ändamålsenlig behandling av personuppgifter för bl.a. vetenskapliga och historiska forsknings- ändamål behöver garanteras, som skyddet för den regi- strerades fri- och rättigheter beaktas. Utgångspunkten bör enligt direktiven vara att vissa grundläggande bestämmelser, liknande de som finns i personuppgiftslagen, behöver tas in i den generella regleringen som ska komplettera dataskyddsförordningen. Data- skyddsutredningen ska därför analysera vilka övriga komplette- rande bestämmelser om behandling av personuppgifter för bl.a. vetenskapliga eller historiska forskningsändamål som bör finnas i den generella regleringen och lämna lämpliga författningsförslag. Det är av stor vikt att bestämmelserna som reglerar behandling av personuppgifter för vetenskapliga eller historiska forsknings- ändamål ger goda förutsättningar för behandling av personuppgif- ter för dessa ändamål, som behovet av skydd för den regi- strerades fri- och rättigheter beaktas för att upprätthålla förtroen- det för integritetsskyddet i samband med forskning bland dem som ställer upp och deltar i forskningsprojekt. Det behöver mot denna bakgrund analyseras om det utöver den generella reglering på nationell nivå som ska föreslå finns ett behov av undantag från de bestämmelser i dataskyddsförordningen som reglerar den registrerades rättigheter vid behandling av per- sonuppgifter för vetenskapliga eller historiska forskningsändamål och hur sådana undantag i så fall bör utformas. analysera om det utöver den generella reglering som Dataskydds- utredningen ska föreslå finns ett behov av undantag från den registrerades rättigheter enligt artiklarna 15, 16, 18 och 21 vid behandling av personuppgifter för vetenskapliga och historiska forskningsändamål och lämna förslag till hur sådana undantag i så fall bör utformas, och lämna de författningsförslag som behövs. Uppdraget att föreslå regleringar för forskningsdatabaser Det behövs bättre förutsättningar för registerbaserad forskning En särskild utredare fick i uppdrag att undersöka för- utsättningarna för att bedriva registerbaserad forskning och lämna förslag bl.a. i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. Vid utformningen av förslagen skulle utredaren göra en avvägning mellan forskningens behov av tillgång till uppgifter och den enskildes rätt till personlig integritet. Utredningen tog sig namnet Registerforskningsutred- ningen (U 2013:01). I betänkandet Unik kunskap genom registerforskning (SOU 2014:45) konstaterar utredaren att regering och riksdag i några fall har stiftat särskilda lagar för att möjliggöra forskningsdatabaser. Bland dessa kan nämnas lagen (1999:353) om rättspsykiatriskt forskningsregister och lagen (2013:794) om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa. Dessutom finns det inom vissa myndigheter, t.ex. nads- och utbildningspolitisk utvärdering och Statistiska Central- byrån, några databaser som helt eller delvis används för forskning. Enligt en inventering som gjorts på uppdrag av finns ytterligare ett femtiotal forskningsdatabaser i . I betänkandet lämnade utredaren ett förslag till lag om forsk- ningsdatabaser. Lagen ska ge stöd för statliga universitet eller hög- skolor som omfattas av högskolelagen (1992:1434) och andra stat- liga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forskningsdatabaser. Med forsk- ningsdatabas avses en infrastruktur som ska kunna användas av flera olika forskare, från olika universitet och högskolor och inom olika discipliner, i framtida forskningsprojekt.