sou · H5B350 · 2017-06-09 00:00:00 — Forsknings- datautredningen har i uppdrag att i ett andra skede utreda i vilken mån dessa förslag är förenliga med dataskyddsförordningen och kan ligga till grund för en långsiktig reglering av forskningsdatabaser. från att dataskyddsförordningen börjar tillämpas och tills dess en långsiktig reglering är på plats måste dock register- 2Se vidare projektets hemsida 3Datainspektionens beslut dnr 766-2011. 4Registerforskningsutredningen (U 2013:01). Anpassningar av vissa registerförfattningar SOU 2017:50 lagen vara förenlig med dataskyddsförordningen för att fortsatt kunna tillämpas. Eftersom utredningen har i uppdrag att i ett andra skede utreda och föreslå en långsiktig reglering av forskningsdatabaser kommer denna första del av uppdraget i denna del att fokusera uteslutande på lagtekniska anpassningar av registerlagen i relation till data- skyddsförordningens bestämmelser. Detta innebär att utredningen i detta skede kommer att utgå ifrån att redan gjorda avvägningar och bedömningar i sak bör godtas, i den mån dessa inte är oförenliga med dataskyddsförordningen. Analysen är således inriktad på sådana ändringar som är nödvändiga med anledning av dataskyddsförord- ningen. Syftet med uppdraget i denna del är sammantaget att register- lagen ska kunna tillämpas även efter att dataskyddsförordningen börjar tillämpas och att de befintliga förutsätt- ningarna för att behandla personuppgifter i enlighet med register- lagen i vart fall inte ska försämras. 15.3.2Dataskyddsförordningens utrymme för nationell lagstiftning – övergripande överväganden Utredningens bedömning: Lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa utgör tillåten nationell kompletterande reglering till dataskyddsförord- ningen. Dataskyddsförordningen syftar till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter (artikel 1). Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Vidare ska förordningen, enligt skäl 10, säkerställa en enhetlig och hög skyddsnivå och undanröja hinder för flödet av personuppgifter inom EU. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men dessa tillåts, enligt artikel 6.2 och 6.3, att behålla eller införa mer specifika nationella bestämmelser för att närmare fastställa hur förordningens bestämmelser ska tillämpas när det gäller behandling som sker med stöd av de rättsliga grunderna fullgörande av rättslig Anpassningar av vissa registerförfattningar förpliktelse, utförande av uppgift av allmänt intresse eller myndig- hetsutövning, vilka anges i artikel 6.1 c och e. Som tidigare nämnts är det tillåtet att i sådan nationell reglering ha bestämmelser om bland annat de allmänna villkor som ska gälla för den personuppgifts- ansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgif- terna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behand- ling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis be- handling m.m. Den nationella regleringen ska vidare uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas, enligt artikel 6.3. Som utredningen tidigare aviserat kommer vi att i detta skede utgå ifrån redan tidigare gjorda bedömningar, i den mån dessa inte står i strid med dataskyddsförordningen. De bedömningar som före- gick införandet av registerlagen baseras på dataskyddsdirektivet, som införlivats i svensk rätt genom personuppgiftslagen. Behandling av personuppgifter ska enligt 2 § registerlagen ske med den enskildes uttryckliga samtycke. Samtycket utgör därmed en förutsättning för att behandla personuppgifter för lagens ända- mål. Av motiven till registerlagen framgår vidare explicit att det är regeringens bedömning att ett uppbyggande på frivillig grund av databaser hos statliga universitet och högskolor med basmaterial som kan lämnas ut till specifika forskningsprojekt som har god- känts vid etikprövning är ett sådant viktigt allmänt intresse som av- ses i artikel 8.4 i dataskyddsdirektivet.5 Artikel 8.4 ger medlems- staterna rätt att nationellt lagstifta om undantag från förbudet att behandla känsliga personuppgifter (artikel 8.1) under förutsättning av lämpliga skyddsåtgärder och med hänsyn till ett viktigt allmänt intresse. Det är således regeringens och redan gjorda bedömning att ändamålen med registerlagen utgör ett viktigt all- mänt intresse i enlighet med dataskyddsdirektivet. I avsnitt 5.2.2 redovisar utredningen slutsatsen att det inte torde föreligga någon skillnad i sak avseende innebörden i begreppet allmänt intresse i dataskyddsdirektivet och dataskyddsförordningen. Enligt artikel 6.1 i dataskyddsförordningen är behandling laglig om och i den mån åtminstone ett av de uppräknade villkoren är 2012/13:163 s. 41. Anpassningar av vissa registerförfattningar Denna formulering öppnar för att flera villkor kan vara tillämpliga för en och samma behandling. Artikel 6.1 a anger sam- tycke som ett villkor som artikel 6.1 e anger nödvändig behandling för att utföra en uppgift av allmänt intresse som ett annat villkor. Som tidigare konstaterats är samtycke ett villkor för behandling av personuppgifter enligt registerlagen. Behandling av personuppgifter för de ändamål som anges i registerlagen har också bedömts vara av viktigt allmänt intresse. Detta innebär att behand- ling enligt registerlagen kan vara laglig enligt såväl artikel 6.1 a som artikel 6.1 e i dataskyddsförordningen. Det ska dock noteras att regeringen utgått från en samtyckesbaserad reglering. Av dataskyddsförordningens skäl 33 framgår att samtycke ska kunna lämnas relativt brett när det är fråga om insamling av person- uppgifter för forskningsändamål. I sammanhanget är även skäl 43 i dataskyddsförordningen av vikt att analysera. Av skäl 43 framgår att det i fråga om myndigheters verksamhet kan anses som mindre lämpligt att grunda behandling av personuppgifter på samtycke när det är fråga om förhållandet mellan en myndighet och en enskild, särskilt där det råder betydande ojämlikhet mellan parterna, efter- som förordningens krav på frivillighet i dessa fall kan ifrågasättas. Det är dock utredningens bedömning att det inte kan anses före- ligga betydande ojämlikhet mellan den enskilde och den person- uppgiftsansvarige i de fall registerlagen omfattar. Det är utredningens övergripande bedömning att personupp- giftsbehandlingen enligt registerlagen är laglig enligt artikel 6.1 a, mot bakgrund av det uttryckliga samtycke som krävs för all behand- ling. Det är vidare utredningens bedömning att personuppgifts- behandlingen enligt registerlagen är att anse som nödvändig och proportionerlig för att uppfylla ändamålet, dvs. uppgiften som är av allmänt intresse, och därför laglig även enligt artikel 6.1 e dataskydds- förordningen. Detta innebär att registerlagen utgör en sådan tillåten nationell reglering för att mer specifikt fastställa hur förordningens bestämmelse ska tillämpas när det gäller utförande av uppgift av all- mänt intresse (artikel 6.1 e) enligt artikel 6.2 och 6.3. Den personuppgiftsbehandling som registerlagen omfattar måste vidare uppfylla dataskyddsförordningens övriga krav för att kunna behållas. I det följande kommer utredningen att gå igenom register- lagens förenlighet med dataskyddsförordningen bestämmelse för bestämmelse. Anpassningar av vissa registerförfattningar Utredningens bedömning: Bestämmelsen om lagens syfte i 1 § påverkas inte av dataskyddsförordningen och kan och bör behållas. I registerlagens 1 § anges att syftet med lagen är att ge universitet och högskolor möjlighet att skapa underlag för olika forsknings- projekt om vad arv och miljö betyder för uppkomsten och utveck- lingen av olika typer av sjukdomar och för människors hälsa i övrigt. Lagen syftar också till att skydda den enskildes personliga integri- tet i sådan verksamhet. Bestämmelsen om lagens syfte innehåller inte någon materiell reglering utan utgör en slags förklaring till vad som är målet med lagregleringen. Dataskyddsförordningen innehåller inte några be- stämmelser som behandlar vilket syfte som anges för nationell kompletterande lagstiftning. Eftersom bestämmelsen om syfte inte har någon materiell betydelse finns det inte något hinder mot att den kvarstår oförändrad. Utredningens förslag: Bestämmelsen i 2 § andra stycket om att lagen bara gäller om behandlingen av personuppgifter är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier ska tas bort. Registerlagen gäller enligt 2 § första stycket behandling av person- uppgifter som utförs av sådana statliga universitet och högskolor som omfattas av högskolelagen (1992:1434). Regeringen meddelar föreskrifter om vilka statliga universitet och högskolor som får be- handla personuppgifter enligt lagen, och vilka register enligt lagen som får föras enligt 2 § tredje stycket. Det är utredningens uppfatt- ning att bestämmelser i nationell kompletterande lagstiftning som anger på vilken verksamhet, vilka typer av behandlingar och vilka Anpassningar av vissa registerförfattningar personuppgifter lagen ska tillämpas inte i sig påverkas av dataskydds- förordningen. För behandling av personuppgifter i enlighet med lagens syfte krävs den enskildes uttryckliga samtycke, enligt 2 § första stycket. Vidare är lagen enligt 2 § andra stycket tillämplig bara om behand- lingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgif- ter som är tillgänglig för sökning eller sammanställning enligt sär- skilda kriterier. Denna formulering motsvarar innehållsmässigt artikel 2.1 i dataskyddsförordningen, vilken är direkt tillämplig. Av artikel 2.1 framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på auto- matisk väg samt på annan behandling än automatisk av personupp- gifter som ingår i eller kommer att ingå i ett register. I artikel 4.6 definieras register som en strukturerad samling av personuppgifter som är tillgängliga enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktio- nella eller geografiska förhållanden. Av skäl 8 i dataskyddsförordningen framgår att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmel- ser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt. Skäl 8 i dataskyddsförordningen ger därmed i viss mån utrymme för att införliva artikel 2.1 i dataskyddsförordningen i nationell rätt. Utifrån detta föreligger således inte något juridiskt hinder mot att låta formuleringen kvarstå i lagen. Det är dock utredningens be- dömning att ett införlivande av bestämmelsen varken är nödvändigt för samstämmigheten eller för att göra de nationella bestämmelserna begripliga för tillämparna och de registrerade. Sammanfattningsvis bör därför 2 § andra stycket tas bort i syfte att undvika dubbel- reglering. Dataskyddsförordningen föranleder inte i övrigt någon ändring av bestämmelsen om lagens tillämpningsområde. Anpassningar av vissa registerförfattningar Utredningens förslag: Hänvisningarna till personuppgiftslagen ska tas bort. I 3 § anges att personuppgiftslagen gäller vid all behandling av per- sonuppgifter, om inte annat följer av denna lag. Med anledning av att personuppgiftslagen upphävs ska alla hänvisningar till den lagen utgå. Detta innebär att den allmänna hänvisningen till personupp- giftslagen i 3 § ska tas bort. Vidare innehåller vissa bestämmelser i registerlagen hänvisningar till specifika bestämmelser i personuppgiftslagen. Detta gäller hänvis- ningen till 28 § personuppgiftslagen i fråga om rättelse (13 § denna lag), 26 § personuppgiftslagen om information efter ansökan (14 § andra stycket p. 7 denna lag) och 48 § personuppgiftslagen om skade- stånd (17 § denna lag). Ovan nämnda hänvisningar ska tas bort och, där det bedöms lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskyddsförordningen respektive den nya nationella dataskydds- lagen, se respektive avsnitt nedan. Förhållandet till dataskyddsförordningen och dataskyddslagen Utredningens förslag: I registerlagen införs en upplysande be- stämmelse som tydliggör att lagen kompletterar dataskyddsför- ordningen. I registerlagen införs även en upplysande bestämmelse som tydliggör att lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) gäller vid behand- ling av personuppgifter enligt registerlagen om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller dataskyddslagen. I syfte att förtydliga registerlagens förhållande till dataskyddsför- ordningen föreslås att det i registerlagen införs en upplysande be- stämmelse som tydliggör att registerlagen innehåller komplette- rande bestämmelser till dataskyddsförordningen. På så vis framgår normhierarkin direkt i lagen, och det blir tydligt att registerlagen inte utgör en uttömmande reglering. Anpassningar av vissa registerförfattningar till att göra relationen mellan de olika regelverken begriplig både för dem som tillämpar registerlagen och de registrerade. Samma syfte har en upplysande bestämmelse om registerlagens förhållande till den nationella kompletterande dataskyddslagen som föreslår. Utöver de direkt tillämpliga bestäm- melserna i dataskyddsförordningen kommer det att i dataskyddslagen finnas generella bestämmelser som utgör tillåtna specificeringar och undantag till dataskyddsförordningen. Dataskyddslagen är subsidiär och dess bestämmelser kommer därmed att gälla i den mån inte registerlagen, eller annan författning, föreskriver annat. Det krävs således inte någon hänvisningsbestämmelse till dataskyddslagen. Att införa en upplysande bestämmelse som tydliggör att register- lagen inte utgör en uttömmande nationell reglering under data- skyddsförordningen underlättar dock för den som ska tillämpa regel- verket och för andra att hitta relevanta lagrum. Därför föreslås att det också införs en upplysande bestämmelse som anger att dataskydds- lagen gäller om inte annat följer av registerlagen eller föreskrifter som har meddelats med stöd av registerlagen eller dataskyddslagen. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 4 § kan och bör behållas. I artikel 4.7 i dataskyddsförordningen definieras personuppgifts- ansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån dataskyddförordningen och med utgångspunkt i de faktiska om- ständigheterna i varje enskilt fall. I de situationer ändamålen och medlen för behandlingen bestäms av medlemsstaternas nationella rätt finns dock en möjlighet enligt andra ledet i artikel 4.7 i förord- ningen att ange vem som är personuppgiftsansvarig i den nationella rätten. I registerlagens 4 § anges att det är de universitet och högskolor som utför behandlingen av personuppgifter som är personuppgifts- Anpassningar av vissa registerförfattningar Genom lagens tillämpningsområde och ändamålsbestäm- melserna ges en yttersta ram för vilka behandlingar som är tillåtna enligt lagen. Det är den personuppgiftsansvarige som i varje enskild situation ska ta ställning till vilken behandling av uppgifter som ska och kan ske. Dessutom bestäms medlen för behandlingen i register- lagen och dess förordning, dvs. i lagen fastställs att en viss typ av behandling av personuppgifter som görs av en viss myndighet för vissa ändamål på angivet sätt är tillåten. Därmed bestäms såväl ända- mål som medel för behandlingen i registerlagen, vilket gör det tillåtet att ange vem som är personuppgiftsansvarig. Slutligen är det i linje med principerna om laglighet, korrekthet och öppenhet (artikel 5.1 a) att peka ut personuppgiftsansvarig direkt i registerlagen, vilket tydliggör vem som ska hållas ansvarig för den behandling av personuppgifter som görs enligt lagen. Sammanfatt- ningsvis är det utredningens bedömning att bestämmelsen både kan och bör kvarstå. Utredningens bedömning: Ändamålsbestämmelserna i lagens 5–8 §§ kan och bör behållas. Ändamålen med personuppgiftsbehandlingen hör samman med registerlagens syfte, tillämpningsområde och den rättsliga grunden för behandlingen av personuppgifter. Genom ändamålsbestämmel- ser fastställs ramarna för att personuppgifterna behandlas i enlighet med de allmänna principer för all personuppgiftsbehandling som framgår av 9 § personuppgiftslagen och artikel 5 i dataskyddsför- ordningen. Detta innefattar bland annat principerna att personupp- gifter ska behandlas på ett korrekt, lagligt och öppet sätt i förhåll- ande till de registrerade (artikel 5.1 a) och att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ända- mål (artikel 5.1 b). Anpassningar av vissa registerförfattningar Ändamålsbestämmelser delas ofta upp med utgångspunkt i primära och sekundära ändamål. Primära ändamålsbestämmelser syftar till att tillgodose de behov som finns av att behandla personuppgifter i myndighetens egen verksamhet. Registerlagens primära ändamål är enligt 5 § att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för upp- komsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, samt att lämna ut uppgifter för sådan forskning. För utlämnande av uppgifter ur registret uppställs vissa villkor enligt 6 §. Det krävs att forskningen bedrivs vid en myndig- het och att forskningen och personuppgiftsbehandlingen är god- kända enligt lagen (2003:460) om etikprövning av forskning som avser människor. Dessutom får de personuppgifter som lämnas ut inte vara direkt hänförliga till den enskilde, men får vara försedda med en beteckning som hos den personuppgiftsansvarige kan kopp- las till den registrerades personnummer eller motsvarande identitets- beteckning. Enligt 7 § andra stycket får dock den personuppgifts- ansvarige under vissa förutsättningar lämna ut såväl beteckningen som den registrerades personnummer eller motsvarande identitets- beteckning. I propositionen som föregick införandet av registerlagen på- pekades att regering och riksdag redan tidigare gjort bedömningen i ett flertal författningsärenden att ”forskning” är ett tillräckligt preci- serat ändamål enligt dataskyddsdirektivet. Regeringen ansåg vidare att de i registerlagen föreslagna ändamålen var än mer preciserade, eftersom de avsåg att skapa underlag för och lämna ut uppgifter till viss närmare angiven typ av forskning. Det var således regeringens bedömning att ändamålen var tillräckligt preciserade enligt kraven i dataskyddsdirektivet.6 Det är utredningens bedömning att kraven på tillräckligt preciserade ändamål enligt dataskyddsförordningen inte skiljer sig från kraven i dataskyddsdirektivet. Regeringens redan gjorda bedömning är därför fortsatt giltig och förenlig med data- skyddsförordningen. Det är vidare utredningens bedömning att ändamålsbestämmelserna i 5 och 6 §§ även i övrigt är utformade på ett sådant sätt som stämmer överens med dataskyddsförordningens 2012/13:163 s. 36. Anpassningar av vissa registerförfattningar krav och utgör tillåten nationell lagstiftning i enlighet med artikel 6.2 och 6.3. Ändamålsbestämmelserna i 5 och 6 §§ kan och bör där- för behållas. Sekundära ändamål och finalitetsprincipen Sekundära ändamål avser myndighetens utlämnande av person- uppgifter för att tillgodose andras behov. Ett sekundärt ändamål är i 7 § första stycket registerlagen utlämnande av personuppgifter till en utredning av oredlighet i sådan forskning som avses i 6 § första stycket, eller för att ett yttrande ska kunna lämnas i samband med sådan utredning. Enbart kodade uppgifter får då lämnas ut. Person- uppgifter som registrerats enligt lagen får vidare alltid lämnas ut till den registrerade själv, vilket upplyses om i 7 § tredje stycket. Det är utredningens bedömning att bestämmelsen i 7 § utgör en tillåten nationell bestämmelse enligt artikel 6.2 och 6.3 och kan kvarstå oförändrad. För att undvika konflikter med eventuell annan lagstiftning som innebär en uppgiftsskyldighet får, enligt 8 § första tycket, person- uppgifter som behandlas enligt 5 §, utöver vad som anges i 6 och 7 §§, lämnas ut om det finns en skyldighet enligt lag att göra det. Denna bestämmelse är av upplysande karaktär, för att det inte ska råda något tvivel om förhållandet mellan registerlagens ändamåls- bestämmelser, offentlighets- och sekretesslagen och andra författ- ningar som tillåter utlämnande av uppgifter.7 Bestämmelsen inne- håller inga materiella regler som påverkas av dataskyddsförordningen och kan därför kvarstå oförändrad. De uppräknade ändamålen och tillåtna behandlingarna i lagen är uttömmande, enligt 8 § andra stycket. Detta innebär en begränsning av den finalitetsprincip som framgår av 9 § första stycket d samt 9 § andra stycket personuppgiftslagen, vilka baseras på artikel 6.1 b i dataskyddsdirektivet. Finalitetsprincipen anger att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, dvs. så länge ett nytt ändamål är för- enligt med det ursprungliga så kan vidarebehandling vara tillåten. En behandling av personuppgifter för historiska, statistiska eller 7 A.a. s. 37. Anpassningar av vissa registerförfattningar vetenskapliga ändamål ska inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in, enligt 9 § andra stycket person- uppgiftslagen. I dessa fall föreligger således som huvudregel ett för- enligt ändamål. I dataskyddsförordningen finns motsvarande formulering i arti- kel 5.1 b, som anger att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behand- las på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenliga med de ursprungliga ändamålen. I artikel 6.4 beskrivs vidare vad den personuppgifts- ansvarige bör beakta för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Bakgrunden till begränsningen av ytterligare behandling i register- lagen, dvs. att de uppräknade ändamålen och tillåtna behandling- arna i lagen är uttömmande enligt 8 § andra stycket, är regeringens bedömning att med hänsyn till att registerlagen avser behandling av särskilt känsliga uppgifter och då det endast är fråga om en tillfällig lag bör personuppgifter inte få behandlas för några andra ändamål än som uttryckligen anges i lagen.8 Mot bakgrund av att ändamålen med behandlingen i register- lagen är nödvändiga för att utföra en uppgift av allmänt intresse är det tillåtet enligt artikel 6.2 och 6.3 att i nationell rätt behålla sär- skilda bestämmelser som till exempel specificerar ändamålsbegräns- ningar. Det är utredningens bedömning att bestämmelsen i 8 § andra stycket är förenlig med dataskyddsförordningen och kan och bör behållas. 8 A.a. s. 38. Anpassningar av vissa registerförfattningar