sou · H5B350 · 2017-06-09 00:00:00 — Exempelvis anger 6 kap. 12 § patientsäkerhetslagen (2010:659) att den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården får inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Bestämmelserna är avsedda att ge patienten samma skydd som enligt OSL.30 Denna bestämmelse tar dock inte sikte på forskning i enskild verksamhet. För uppgifter inom enskilt bedriven forskning finns inte, som till exempel inom privat hälso- och sjukvård, några generellt tillämpliga bestämmelser om tystnadsplikt. Om en forskare i enskild verksam- het begär ut uppgifter som omfattas av sekretess från en myndighet kan dock uppgifterna i vissa fall ändå lämnas ut, med stöd av 10 kap. 14 § OSL och med ett förbehåll som ålägger den enskilde forskaren tystnadsplikt. Vår bedömning är att befintlig lagreglerad tystnadsplikt, utöver vad som följer av sekretesslagstiftningen, endast undantagsvis kan sägas utgöra en skyddsåtgärd i dataskyddsförordningens mening. Vi bedömer vidare att det inte ryms inom utredningens uppdrag att komma med nya förslag på reglering av tystnadsplikt, då sådana 30 SOU 2015:45 s. 464. förslag skulle ha konsekvenser utanför de frågor vi har i uppdrag att reglera. Avtalsreglerad tystnadsplikt kan dock, på samma sätt som andra avtalsvillkor, utgöra lämplig skyddsåtgärd. Möjlighet att motsätta sig behandling (opt out-reglering) I kapitel 6 har utredningen redogjort för möjligheterna att använda samtycke som rättslig grund för personuppgiftsbehandling. Ett alternativt förhållningssätt till den enskildes viljeyttring kan vara att, inom ramen för en personuppgiftsbehandling som sker på annan rättslig grund än samtycke, ge den registrerade möjlighet att motsätta sig behandling av dennes personuppgifter (opt out-regler- ing). Exempel på sådana möjligheter i lagstiftningen finns i 7 kap. 2 § patientdatalagen (2008:355), där den enskilde ges möjlighet att motsätta sig att dennes personuppgifter behandlas i ett s.k. kvalitets- register.31 Ytterligare exempel finns i 11 § personuppgiftslagen, där den enskilde ges möjlighet att skriftligen motsätta sig behandling av sina personuppgifter för ändamål som rör direkt marknadsföring.32 I dessa fall utgör den enskildes motsättande ett absolut rättsligt hinder för vidare personuppgiftsbehandling. Om grunden för behandlingen i stället är en intresseavvägning enligt dataskyddsförordningens artikel 6.1 f (motsvarande dagens reglering i 10 § f personuppgiftslagen) får den registrerades uttryck- liga motsättande mot behandlingen visserligen anses väga tungt, men den utgör inte ett absolut hinder.33 Om grunden för behandlingen är intresseavvägning enligt arti- kel 6.1 f eller att behandlingen är nödvändig för att utföra en upp- gift av allmänt intresse eller som ett led i den personuppgiftsansva- riges myndighetsutövning enligt artikel 6.1 e har den registrerade rätt att göra invändningar mot behandlingen enligt artikel 21. Denna möjlighet behandlas närmare i avsnitt 10.3.4. 31Med kvalitetsregister avses enligt 7 kap. 1 § patientdatalagen en automatiserad och struktu- rerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. 32En motsvarande bestämmelse finns i artikel 21.3 i dataskyddsförordningen. 33I forskningssammanhang är det av stor betydelse att en myndighet inte kan basera en laglig behandling på intresseavvägning som rättslig grund enligt artikel 6.1 andra stycket i data- skyddsförordningen. Opt out skiljer sig från avsaknad av samtycke eftersom den en- skilde aktivt måste motsätta sig behandlingen. Skyddsåtgärden består i att den enskilde ges kontroll att hindra en personuppgiftsbehand- ling som annars hade varit tillåten. Vid opt out-reglering som skyddsåtgärd är grundförutsättningen att det finns en annan rättslig grund än samtycke för personuppgifts- behandlingen. För att opt out-regleringen ska vara effektiv måste den enskilde få vetskap om att den sker i enlighet med artiklarna 12–14 i dataskyddsförordningen. Möjligheten att exempelvis låta bli att informera den enskilde i enlighet med artikel 14.5 b får inte användas om opt out-reglering ska tillämpas som skyddsåtgärd. Inte heller kan den enskildes rätt till tillgång enligt artikel 15 inskränkas med stöd av artikel 89.2. Reglering av möjlighet att motsätta sig behandling bör kunna förenas med formkrav på exempelvis skriftlighet, undertecknande eller liknande. För att regleringen ska betraktas inte bara som en skyddsåtgärd i sig utan också som en lämplig skyddsåtgärd måste dock eventuella formkrav vara proportionerliga gentemot ett legi- timt intresse som formkravet har till syfte att säkerställa. Det kan exempelvis vara fråga om att försäkra sig om att det verkligen är den registrerade som är den som motsätter sig behandlingen. I sammanhanget bör beaktas de villkor för den registrerades ut- övande av sina rättigheter som framgår av artikel 12 samt rätt till information och tillgång som framgår av artiklarna 13–15. Särskilt bör formkrav utformas så att de kan uppfyllas på enklast möjliga sätt, vilket ofta innebär elektroniskt uppfyllande (jfr skäl 59). Arkivering, gallring och utplåning I sådan forskning som bedrivs i offentlig verksamhet medför offent- lighetsprincipen att enskilda har rätt att ta del av allmänna handlingar hos myndigheter (2 kap. tryckfrihetsförordningen). Myndigheters arkiv är en del av det nationella kulturarvet. För att tillgodose rätten att ta del av allmänna handlingar, behovet av information för rätt- skipningen och förvaltningen och forskningens behov ska myndig- heternas arkiv bevaras, hållas ordnade och vårdas enligt 3 § arkivlagen (1990:782). Med gallring avses generellt att förstöra allmänna handlingar eller uppgifter i allmänna handlingar. I en digital miljö omfattas även åtgärder med handlingarna som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjlig- heter, eller förlust av möjligheter att bedöma handlingarnas autenti- citet (2 kap. 1 § RA-FS 2009:1). Huvudregeln i arkivlagstiftningen är att allmänna handlingar ska arkiveras för att därefter kunna gallras eller bevaras. Principen om uppgiftsminimering i dataskyddsförordningen föreskriver däremot bl.a. att uppgifter inte ska vara för omfattande i förhållande till de ändamål för vilka de behandlas. Principen om lagringsminimering föreskriver vidare att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna be- handlas.34 Särskilt vad gäller personuppgiftsbehandling för forsk- ningsändamål anges i artikel 89.1 att när dessa ändamål kan upp- fyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ända- mål uppfyllas på det sättet. I den mån arkivering innebär att uppgifter avskiljs från den van- liga verksamheten genom att exempelvis lagras separat kan effekten bli ett visst skydd för den registrerades rättigheter och friheter enligt dataskyddsförordningen. Men även separat lagring utgör person- uppgiftsbehandling. Den princip om allmänna handlingars bevar- ande som finns i den svenska arkivlagstiftningen är därmed i konflikt med de olika minimeringsprinciperna i dataskyddsförordningen. Vad gäller arkivlagstiftningens förenlighet med nuvarande dataskydds- direktiv har denna konflikt adresserats i samband med genomför- andet i form av 8 § andra stycket personuppgiftslagen, som anger att lagen inte hindrar att en myndighet arkiverar och bevarar all- männa handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. har haft i uppdrag att bl.a. analysera vilka kompletterande bestämmelser om myndigheters bevarande av allmänna handlingar som behövs utöver dataskydds- förordningen. 34 Personuppgifter får dock lagras i den mån de enbart behandlas för bl.a. arkiv- och forskningsändamål, under förutsättning att skyddsåtgärder genomförs. Även om arkivering kan vara tillåten enligt dataskyddsförord- ningen kan det, med tanke på den ovan beskrivna konflikten, knappast bedömas utgöra en skyddsåtgärd. Gallring, i den bety- delse att uppgifterna utplånas, kan däremot utgöra en sådan åtgärd som särskilt säkerställer att principen om lagringsminimering i arti- kel 5.1 e och kraven i artikel 89.1 uppfylls. Vår bedömning är därför att beslut om gallring inom en viss myndighetsverksamhet kan ut- göra en rättslig skyddsåtgärd i dataskyddsförordningens mening vad gäller behandling för forskningsändamål i den mån kriterierna för gallring motsvarar de krav som följer av principen om uppgifts- minimering i artikel 5.1 e samt kravet på att ändamålen ska upp- fyllas genom uppgifter som inte medger identifiering av de registre- rade när så är möjligt i artikel 89.1. Utöver de lämpliga skyddsåtgärder som artikel 89.1 kräver ställer förordningen i artikel 25 och 32 krav på att den personuppgifts- ansvarige vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå. Dessa åtgärder kan i många fall vara av samma slag, även om skyddsobjektet (den registrerades rättigheter och friheter, respektive lämplig säkerhetsnivå) skiljer sig åt. Kriterier för en lämplig säkerhetsnivå I det nuvarande dataskyddsdirektivets artikel 17 anges att medlems- staterna ska föreskriva att lämpliga tekniska och organisatoriska åtgärder ska genomföras för att skydda personuppgifter. Åtgär- derna ska med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstad- komma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas. Artikeln har genomförts i 31 § personuppgiftslagen. Motsvarigheten i dataskyddsförordningen finns i artikel 32.1, som inleds: Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska perso- ners rättigheter och friheter ska den personuppgiftsansvarige och person- uppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Jämfört med artikel 17 i det nuvarande dataskyddsdirektivet är denna uppräkning av utvärderingskriterier för vad som är en lämplig åtgärd mer detaljerad, men innehåller inte något kriterium som i sak avviker från artikel 17. En genomgång av de olika kriterierna kan göras utifrån lydelsen av artikel 32 i dataskyddsförordningen enligt nedan. Med beaktande av den senaste utvecklingen Rubriken får anses motsvara ”Med beaktande av den nuvarande tekniska nivån” i artikel 17 i det nuvarande dataskyddsdirektivet. Det framstår emellertid inte som självklart hur man ska se på den omständighet att teknik inte nämns i det nya kriteriet – är det under- förstått att det är fråga om den tekniska utvecklingen inom i första hand it-säkerhet, eller ska även utvecklingen inom närbesläktade, ”mjukare” områden beaktas, såsom risker som kan uppstå med nya möjligheter till social manipulation? Mot bakgrund av fortsättningen av artikel 32, vilken behandlar åtgärder som i första hand är förknippade med it-säkerhet, finner vi att en rimlig utgångspunkt är att det är it-utvecklingen, särskilt på säkerhetsområdet, som ska beaktas i första hand. Den nya lydelsen förmedlar tydligare att utvecklingen på områ- det fortgår. Detta får till effekt att en åtgärd som bedöms som lämplig kanske inte är lämplig året efter, just på grund av utvecklingen. Särskilt vad gäller it-säkerhet och metoder för kryp- tering upptäcks mer avancerade attacker mot dessa. Rubriken får anses motsvara ”de kostnader som är förknippade med åtgärdernas genomförande” i artikel 17 i det nuvarande data- skyddsdirektivet. Vad som är kostnadsdrivande i genomförandet av en åtgärd beror såväl på den faktiska åtgärden som på det samman- hang den ska införas i. En organisation med hög teknisk kompe- tens och befintliga liknande åtgärder kommer att kunna införa en viss teknisk åtgärd billigare än en organisation som saknar denna kunskap. Generellt sett medför dock den tekniska utvecklingen att genom- förandekostnaderna för en specifik teknisk åtgärd i allmänhet sjunker . Detta bl.a. på grund av hård- och mjukvaras kom- modifiering, dvs. att från början tekniskt avancerade funktioner som krypterad lagring och servercertifikat för säker kommuni- kation går mot att bli standardfunktioner. Detta utgör en motvikt till den ovan nämnda tendensen att en specifik åtgärd kan anses mindre och mindre lämplig allt eftersom tiden går. Tillsammans ger båda dessa utvecklingstendenser att bedömningen av vad som utgör lämpliga säkerhetsåtgärder måste göras kontinuerligt, inte enbart vid behandlingens början. Behandlingens art, omfattning, sammanhang och ändamål Rubriken får anses motsvara ”arten av de uppgifter som ska skyddas” i artikel 17 i det nuvarande dataskyddsdirektivet, eller som kriteriet uttryckts i svensk lagstiftning, ”hur pass känsliga de behandlade personuppgifterna är” (31 § d personuppgiftslagen). Dataskydds- förordningen utgår dock från att man ska beakta behandlingen, inte uppgifterna i sig. En ytterligare ändring är att där direktivet endast utgår från uppgifternas art så utgår förordningen från behand- lingens art, omfattning, sammanhang och ändamål. Detta kriterium, tillsammans med nästföljande, tydliggör att valet av lämplig skyddsåtgärd fordrar en avvägning: å ena sidan ut- ifrån vad som är tekniskt och ekonomiskt rimligt, å andra sidan utifrån hur viktigt skyddet egentligen är. Det förefaller naturligt att den registrerades rättigheter måste skyddas mer noggrant när det är fråga om känsliga personuppgifter än när det är fråga om mer all- dagliga uppgifter, och att detta skydd i så fall måste få kosta mer. Riskerna för fysiska personers rättigheter och friheter Rubriken indikerar ett avslutande kriterium som får anses motsvara ”de risker som är förknippade med behandlingen” i artikel 17 i det nuvarande dataskyddsdirektivet. Ingen av dessa formuleringar kan dock läsas helt fristående, eftersom artiklarna på andra ställen i förordningen större detalj beskriver riskbedömningen. Artikel 17 i det nuvarande dataskyddsdirektivet inleds: Medlemsstaterna skall föreskriva att den registeransvarige skall genom- föra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dataskyddsförordningens artikel 32.2 anger: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olag- lig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Även om skyddsmålet i slutändan är den enskildes integritet ligger tyngdpunkten vid denna riskbedömning på uppgiftsförstörelse eller obehörigt röjande. Dataskyddsförordningen nämner även obehörig åtkomst. Den omständighet att dataskyddsförordningen till skill- nad från det nuvarande dataskyddsdirektivet inte i detta samman- hang nämner ”överföring av uppgifter i ett nätverk” medför enligt vår bedömning inte en materiell förändring av riskbedömningen, utan får ses som en följd av att överföring i nätverk är det vanliga , på ett sätt som det kanske inte var när det nuvarande dataskyddsdirektivet antogs. Regeringen presenterade en ny nationell säker- hetsstrategi. Under rubriken ”Informations- och cybersäkerhet, digitala risker” framhålls att det är en uppgift för alla aktörer i sam- hället att fortlöpande arbeta för att minska sårbarheter. att förebygga, identifiera och hantera it-incidenter och antagonis- tiska attacker behöver därtill förbättras inom alla samhällsviktiga funktioner. Regeringen håller även på att ta fram en nationell strategi för informations- och cybersäkerhet som bl.a. bygger på EU-direk- tivet om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet).35 NIS- direktivet och dataskyddsförordningen innehåller inga direkta refe- renser mellan sig. Nationella och unionsrättsliga regler om it-säker- het måste förstås ändå beaktas inom ramen för den personuppgifts- ansvariges säkerhetsansvar. Nedan lämnar vi förslag på bestämmelser om skyddsåtgärder gäll- ande all personuppgiftsbehandling för forskningsändamål. Utöver dessa lämnar vi även specifika förslag på bestämmelser om skydds- åtgärder vid behandling av känsliga personuppgifter samt person- uppgifter om lagöverträdelser m.m. i kapitel 14. Utredningens bedömning: Bestämmelser om skyddsåtgärder vid personuppgiftsbehandling kan och bör ges i författningsform. Det utesluter inte att skyddsåtgärder även kan beslutas i det enskilda fallet genom meddelade villkor i samband med etik- prövning, eller självregleras genom godkända uppförandekoder. Vi föreslår inte något särskilt bemyndigande för en myndig- het att meddela föreskrifter om skyddsåtgärder. Vårt uppdrag i denna del är att lämna förslag på sådana lämpliga skyddsåtgärder som personuppgiftsbehandling för forskningsända- mål ska omfattas av. Vi ska vidare lämna behövliga författnings- förslag. 35 och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. Se vidare utredningen om genomförande av NIS-direktivets betänkande Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36). För att behandling av känsliga personuppgifter ska vara tillåten måste den enligt artikel 9.2 j vara nödvändig på grundval av unions- rätten eller medlemsstaternas nationella rätt som ska innehålla be- stämmelser om skyddsåtgärder. Även behandling av personuppgifter om lagöverträdelser m.m. av andra än myndigheter kräver stöd i unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder fastställts. Utöver detta är det inte självklart att lämp- liga skyddsåtgärder för personuppgiftsbehandling för forsknings- ändamål måste regleras i nationell lagstiftning, även om det av skäl 156 framgår att medlemsstaterna bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för bl.a. forskningsändamål. Data- skyddsförordningens krav på lämpliga skyddsåtgärder i artikel 89.1 är direkt tillämpliga. Nationell reglering som anvisar vissa särskilda skyddsåtgärder förhindrar inte att göra en självstän- dig bedömning av huruvida en viss skyddsåtgärd är lämplig i ett visst sammanhang. Alternativ till lagreglering av skyddsåtgärder kan vara att bemyn- diga en tillsynsmyndighet att utfärda föreskrifter eller i enskilda fall fatta beslut om villkor. Även självreglering i form av uppförande- koder enligt artikel 40 kan vara ett sätt att se till att lämpliga skydds- åtgärder vidtas. Etikprövningsnämnderna har enligt gällande rätt och även enligt våra förslag möjlighet att förena ett etikgodkännande med villkor. Dessa villkor kan utgöra skyddsåtgärder. Det är visserligen så att etikprövning sker, och även fort- sättningsvis föreslås ske, endast för forskning som medför behand- ling av känsliga personuppgifter eller personuppgifter om lagöver- trädelser m.m. Forskning som inte innefattar behandling av denna typ av personuppgifter etikprövas inte, och det saknas därför möjlig- het att ålägga sådan forskning villkor enligt etikprövningslagen. Det får dock antas att forskning av detta slag generellt sett är mindre känslig för den personliga integriteten, och att behovet av den för- utsägbara och lagreglerade tillämpningen av skyddsåtgärder är mindre i dessa fall. Kravet på lämpliga skyddsåtgärder kvarstår även när etikprövning inte är obligatoriskt, men den personuppgiftsansva- rige har då att självständigt göra en bedömning av vilka skydds- åtgärder som bör tillämpas. Datainspektionen har som tillsyns- myndighet möjlighet att utöva tillsyn över sådan behandling. Dataskyddsförordningen ger en möjlighet till införande av upp- förandekoder som kan godkännas av tillsynsmyndighet eller kom- missionen (artikel 40). Efter godkännande kan anslutning till sådan uppförandekod användas för att visa att den personuppgiftsansva- rige uppfyller sina skyldigheter (artikel 24). Avsikten med sådana uppförandekoder är att bidra till att förordningen genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där personuppgifts- behandling sker. Ett sådant exempel är Biobanking and BioMolecular resources Research Infrastructure (BBMRI), ett s.k. (), som har för avsikt att ta fram en uppförandekod för ”health and life science”. Första utkastet till en sådan uppförandekod kommer att presenteras med målsättningen att ha en version som kan godkännas enligt den process som anges i artikel 40.36 Vår bedömning är att sådana uppförandekoder kan vara en lämplig mekanism för självreglering av personuppgiftsbehandling för forsk- ningsändamål under tillsynsmyndigheten och kommissionens insyn. Med beaktande av befintliga möjligheter att reglera skyddsåtgärder när personuppgifter behandlas för forskningsändamål gör vi be- dömningen att det är möjligt och lämpligt att införa sådan reglering i författningsform. Jämfört med villkor meddelade vid etikgodkännande samt upp- förandekoder kan en författningsreglering ge större tydlighet vid tillämpningen och säkerställa att lämpliga åtgärder vidtas även för behandling som inte omfattar känsliga personuppgifter eller person- uppgifter om lagöverträdelser m.m. 36 Se vidare Summary Report on the on Health and Life Sciences GDPR Code of Conduct, -on-the-bbmri-eric-working-meeting-on-health-and-life-sciences-gdpr-code-of-conduct/ Uppgifter får inte användas för att vidta åtgärder i fråga om den registrerade Utredningens förslag: Personuppgiftslagens befintliga bestäm- melse som anger att uppgifter som samlats in för forskningsända- mål normalt inte får användas för att vidta åtgärder i fråga om den registrerade förs över till forskningsdatalagen. Den befintliga bestämmelsen i 9 § fjärde stycket personuppgifts- lagen samt undantaget i 8 § andra stycket samma lag för myndig- hets användning av personuppgifter i allmänna handlingar överförs till forskningsdatalagen. Dessa två bestämmelser har tillsammans tidigare bedömts vara en lämplig skyddsåtgärd när uppgifter be- handlas för bl.a. forskningsändamål.37 Den befintliga bestämmelsen i 9 § fjärde stycket personuppgifts- lagen omfattar historiska, statistiska eller vetenskapliga ändamål. Vad gäller historiska och statistiska ändamål har Dataskyddsutred- ningen föreslagit en likartad reglering i dataskyddslagen för arkiv- ändamål och statistiska ändamål. har bedömt att det saknas skäl att ange att personuppgifter får användas med den registrerades samtycke. Om samtycke inhämtas till att uppgif- ten används för nya ändamål, kan behandlingen nämligen jämställas med att personuppgiften samlas in på nytt med stöd av artikel 6.1 a i dataskyddsförordningen. Vi ansluter oss till denna bedömning. I sammanhanget ska understrykas att det nya ändamålet omfattar vidtagande av åtgärder i fråga om den registrerade och alltså inte för forskningsändamål. Bestämmelsen har omformulerats något med anledning av att huvudregeln i 9 § fjärde stycket sammanförts med sitt undantag i 8 § andra stycket. Vi avser dock ingen ändring i sak jämfört med dagens bestämmelser. 1997/98:44 s. 62 och 119. Personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt