sou · H5B350 · 2017-06-09 00:00:00 — De krav på information som finns i artiklarna 12–15 i dataskydds- förordningen överensstämmer i sin allmänna inriktning med vad som stadgas i personuppgiftslagen, men är mer detaljerade. Ett giltigt samtycke enligt dataskyddsförordningen förutsätter att den registrerade fått tillräcklig information. Artikel 12 anger att den information som ges till den registrerade ska vara klar, tydlig, begriplig och lätt tillgänglig. Den information som ska lämnas i samband med insamling föreskrivs i artikel 13 för personuppgifter insamlade direkt från den registrerade och i artikel 14 för person- uppgifter som har erhållits från annan än den registrerade. I huvudsak handlar skyldigheten att lämna information innan det att behandlingen inleds om att lämna besked om att person- uppgifter kommer att behandlas och om vilken behandling som ska göras. I 25 § personuppgiftslagen anges att all den information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen ska lämnas. Motsvarande allmänna formulering återfinns inte i förordningen, men det får antas att be- dömningen av huruvida kravet på information vid inhämtande av samtycke inbegriper en sådan avvägning. Utredningen bedömer att den allmänna informationsskyldig- heten som regleras i artiklarna 13 och 14 i dataskyddsförordningen, och som ska lämnas på initiativ av den personuppgiftsansvarige innan behandlingen påbörjas, är relevant för vad som krävs för inhämtande av ett giltigt samtycke. Artikel 15 i dataskyddsförordningen ger utöver detta en fortsatt rätt till registerutdrag. Den registrerade har alltså rätt att på eget initiativ få reda på om en behandling pågår och, om så är fallet, information om den aktuella behandlingen för att kunna ta tillvara sina rättigheter samt att få kopior på de personuppgifter som be- handlas. Denna rätt till tillgång blir i praktiken aktuell först efter 23 Personuppgifter i forskningen – vilka regler gäller? Skrift från Centrala etikprövnings- nämnden, Datainspektionen, och , uppdaterad . Behandling av personuppgifter med samtycke det att behandlingen har inletts och, om behandlingen grundas på samtycke, först efter det att samtycke har lämnats. Fullgörande av informationsrätten enligt artikel 15 kan därför inte inbegripas i bedömningen av samtyckets giltighet. Enligt artik- larna 13.2 b och 14.2 c ska dock den registrerade på förhand infor- meras om denna rättighet, vilket ingår i den information som ska lämnas för att ett giltigt samtycke ska kunna inhämtas. 6.4.6Uttrycklig viljeyttring gällande känsliga personuppgifter Behandling av känsliga personuppgifter för forskningsändamål be- handlas övergripande i kapitel 7. Samtycke som rättslig grund för behandling av känsliga personuppgifter för forskningsändamål har behandlats i avsnitt 6.3. I det avsnittet gjordes bedömningen att det är förenligt med artikel 9.2 a i förordningen att använda samtycke som rättslig grund för behandling av känsliga personuppgifter för forskningsändamål, givet att det kompletteras med etikgodkännande enligt etikprövningslagen. I detta avsnitt berörs samtycke när be- handlingen avser känsliga personuppgifter med anledning av det krav på uttrycklighet som gäller , och som kommer att gälla även när dataskyddsförordningens bestämmelser ska tillämpas. Personuppgiftslagen innehåller särskilda regler för behandling av känsliga personuppgifter i 13–20 §§. I 15 § personuppgiftslagen an- ges att samtycke till behandling av känsliga personuppgifter ska vara uttryckligt. Begreppet uttryckligt samtycke har enligt vad som framgår av förarbetena till personuppgiftslagen en EU-gemensam innebörd.24 Hur uttrycklighetskravet mer precist ska tolkas i har endast i begränsad utsträckning diskuterats.25 Enligt artikel 29-gruppen omfattar uttryckligt samtycke enligt nuvarande be- stämmelser ”alla situationer där enskilda personer uppmanas välja mellan att samtycka till eller vägra användning eller offentliggörande av sina personuppgifter och de besvarar en sådan begäran muntligt eller skriftligt”.26 1997/98:44 s. 116. 25Se vidare t.ex. , Personuppgiftslagen (version . 2016, Zeteo) kommentar till 3 §. 26Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 26. Behandling av personuppgifter med samtycke Utöver kravet på uttrycklighet i personuppgiftslagen föreskriver etikprövningslagen etikgodkännande för forskning som innefattar behandling av känsliga personuppgifter (3 och 6 §§). Etikpröv- ningslagens tillämpningsområde omfattar all behandling av känsliga personuppgifter för forskningsändamål när forskningen utförs i . Kravet på etikgodkännande enligt etikprövningslagen gäller således även om det finns ett inhämtat samtycke. Känsliga personuppgifter omfattar enligt artikel 9.1, utöver de upp- gifter som anges i 13 § personuppgiftslagen, även sexuell läggning, genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. I detta betänkande används begreppet känsliga personuppgifter för hela denna utökade kategori. Oklarheten om innebörden i uttryckligt samtycke med avseende på graden av aktivt handlande hos den registrerade kan ha reduce- rats genom den hänvisning till ”entydigt bekräftande handling” som finns i artikel 4.11. Något undantag från denna del av bestäm- melsen vad gäller uttryckligt samtycke går inte att finna. Utredningens bedömning: Dataskyddsförordningen innebär inga betydande förändringar av ett samtyckes innebörd. I det ovanstående har de olika kraven på giltigt samtycke i data- skyddsdirektivet och personuppgiftslagen jämförts med motsva- rande krav i dataskyddsförordningen. Tillägget att samtycket ska vara ett uttalande eller en entydig bekräftande handling kan ses som ett förtydligande av vad som krävs när det gäller aktivitet från den registrerades sida. Det kan få viss betydelse för tolkningen av vilka krav som ska ställas på uttryckligt samtycke enligt artikel 9.2 a i dataskyddsförordningen. Något undantag från denna del av be- stämmelsen vad gäller uttryckligt samtycke går inte att finna. Behandling av personuppgifter med samtycke Utredningens bedömning: Möjligheten att använda samtycke som rättslig grund för personuppgiftsbehandling för forsk- ningsändamål när det kan råda en betydande ojämlikhet mellan den personuppgiftsansvarige och den registrerade behöver prö- vas i varje enskilt fall, som en del av bedömningen av giltigheten av det inhämtade samtycket. Utgångspunkten för en sådan prövning är att forskningsaktören som en del av bedömningen ska kunna visa att samtycket lämnats frivilligt. En betydande ojämlikhet kan medföra att samtycket inte uppfyller kravet på frivillighet. Hinder för ett giltigt samtycke före- ligger av denna anledning i allmänhet vid personuppgiftsbehandling när den personuppgiftsansvarige är en myndighet. Detta utesluter dock inte att myndigheter baserar sin personuppgiftsbehandling för forskningsändamål på just samtycke, förutsatt att det inte före- ligger en betydande ojämlikhet av det slag som avses i skäl 43. 6.5Ytterligare behandling av personuppgifter som lämnats med stöd av samtycke Ytterligare behandling av personuppgifter för forskningsändamål undantas i såväl personuppgiftslagen som dataskyddsförordningen från vissa delar av de krav som är förknippade med finalitetsprincipen. Vid bedömningen av undantaget tillkommer dock vissa särskilda överväganden som blir aktuella bara när personuppgiftsbehand- lingen grundas på samtycke. Ytterligare behandling av personuppgifter för forskningsändamål har enligt 9 § andra stycket personuppgiftslagen en gynnad ställ- ning när det gäller undantag från den s.k. finalitetsprincipen. Denna princip fastställer att personuppgifter som huvudregel inte får be- handlas för ändamål som är oförenligt med det ursprungliga ända- mål för vilket uppgifterna samlades in. Behandling av personuppgifter med samtycke liga ändamål ska dock enligt det andra stycket inte anses oförenligt med de ändamål för vilka uppgifterna samlades in. Detta medför att personuppgifterna vanligen får användas av samma personuppgiftsansvarig utan att ett nytt ändamål behöver anges. När det gäller användning av personuppgifter som lämnats med samtycke finns dock i förarbeten och kommentarer till person- uppgiftslagen resonemang som innebär en strängare tolkning i detta avseende. Det anförs att det som regel inte är acceptabelt att det för- troende som den registrerade visat genom det lämnade samtycket kränks genom att uppgifterna används för ett helt annat projekt med väsentligt annorlunda inriktning och syften. Såväl förarbeten27 som lagkommentaren till 9 § personuppgiftslagen28 anger att något förbud för återanvändning dock inte införts eftersom det kan finnas undantagsfall där samhällsintresset överväger. Vad som utgör ett forskningsprojekt där ytterligare behandling har en väsentligt annorlunda inriktning och syften är en tolknings- fråga. Exempel på gränsdragningsproblematiken kan tas från den epidemiologiska forskningen om risker för specifika sjukdomar och för tidig död där det kan finnas anledning att granska såväl biolo- giska som sociala orsaker till ohälsa. Man kan exempelvis tänka sig att uppgifter som lämnats med samtycke avseende ändamålet att undersöka sambandet mellan fetma, kolesterolnivåer och hjärtsjuk- dom också, om information om socioekonomiska förhållanden läggs till, kan användas för att undersöka sambandet mellan sociala variabler som utbildning, inkomst, yrke och förekomsten av hjärt- och kärlsjukdom. Hela denna orsaksbild kan utgöra väsentlig infor- mation när det gäller hjärt- och kärlsjukdomarnas epidemiologi. Huruvida ytterligare behandling i ett sådant socialmedicinskt projekt skulle anses vara av väsentligt annan karaktär än det ur- sprungliga är en bedömningsfråga som det enligt nuvarande praxis ankommer på en etikprövningsnämnd att ta ställning till. i fråga kan som villkor för den ytterligare behand- lingen kräva att ett nytt samtycke inhämtas. Etikprövningsförfaran- det behandlas närmare i kapitel 14. 27SOU 1997:39 s. 312 f. 28Lindblom & , Personuppgiftslagen (version . 2016, Zeteo) kommentar till 9 § andra stycket. Behandling av personuppgifter med samtycke Såsom beskrivs i avsnitt 5.4 är personuppgiftsbehandling för forsk- ningsändamål genom artikel 5.1 b i likhet med dagens lagstiftning särskilt gynnad i dataskyddsförordningen genom att ytterligare behandling för forskningsändamål inte ska anses strida mot de ur- sprungliga ändamål för vilka uppgifterna samlades in. Vidare anges i skäl 50 i dataskyddsförordningen att detta ska tolkas så att det inte krävs någon ny rättslig grund för sådan behandling. Observera dock att undantaget från den s.k. finalitetsprincipen gäller i det fall behandlingen sker hos samma personuppgiftsansvarig, se avsnitt 5.4.4 för vidare resonemang kring denna förutsättning. Vägledning kan utöver detta finnas i rekommen- dation nr R(83) 10 om skydd för personuppgifter som används för vetenskaplig forskning och statistik: Use of the data 4.1.Personal data obtained for research should not be used for any purpose other than research. In particular, they should not be used to make any decision or take any action directly affecting the person concerned, except within the context of the research or with the express consent of the person concerned. 4.2.Personal data collected for the purpose of a given research project and with the consent of the persons concerned should not be used in connection with another research project substantially different in its nature or objects from the first, except with their consent. However, where would be impracticable to obtain such consent by reason of the lapse of time or because of the large number of persons concerned, the previously collected data may be used in conformity with other safe- guards laid down by domestic law. 4.3.Both public and private bodies should have the right to use for their own research purposes the personal data which they hold for administrative purposes. If in the course of such research personal data are added to files already held by the administrative body, or its files are altered, these new files should not be made available to administrative personnel dealing with individual cases, except with the consent of the person concerned. 4.4.Personal data may be released by public or private bodies for the purpose of research only with the consent of the person concerned or in accordance with other safeguards laid down by domestic law. Behandling av personuppgifter med samtycke Artikel 4.2 i rekommendation förefaller överensstämma väl med överväganden i etikprövningsnämnderna där man tar hän- syn till de praktiska möjligheterna att inhämta ett nytt samtycke. Utredningens bedömning: Ytterligare behandling av person- uppgifter för forskningsändamål hos densamme personuppgifts- ansvarige ska inte anses vara oförenligt med de ursprungliga ändamålen även när uppgifterna samlats in med stöd av samtycke. Den personuppgiftsansvarige bör dock följa rekom- mendation att inte behandla sådana uppgifter för ändamål som på ett avgörande sätt skiljer sig från det ursprungliga ändamålet utan att ett nytt samtycke inhämtats där detta är lämpligt och praktiskt möjligt. Enligt utredningens bedömning kan det, även om specifik reglering i förordningen saknas, finnas anledning att också i fortsättningen uppmärksamma de resonemang som tidigare förts om samtyckets särskilda ställning när det gäller rätten att ytterligare behandla person- uppgifter som lämnats med samtycke. rekommenda- tion bör utgöra vägledning vid ytterligare behandling av person- uppgifter lämnade med samtycke. 6.6Samtycke tillsammans med annan rättslig grund I ovanstående avsnitt har utredningen tagit ställning till att sam- tycke kan användas som rättslig grund enligt artikel 6.1 a för alla slags personuppgifter, även med hänsyn taget till formuleringarna i artikel 9.2 a. I detta avsnitt belyses samtyckets ställning och an- vändning när en annan rättslig grund föreligger. All laglig behandling av personuppgifter förutsätter en rättslig grund. Det kan finnas mer än en rättslig grund för samma behandling. När den ena tillämpliga rättsliga grunden är samtycke kompliceras situationen, eftersom det knappast kan anses vara för- enligt med god sed vid personuppgiftsbehandling för forsknings- Behandling av personuppgifter med samtycke ändamål att först grunda sin behandling på samtycke för att sedan vid behov åberopa till exempel allmänt intresse som grund för aktu- ell behandling. Formellt sett är dock detta tillåtet och problematiken är känd. Förklaringen ligger i att det inte är möjligt att förbjuda behandling enligt någon av de rättsliga grunderna i artikel 6.1 i dataskyddsförordningen om villkoren i dem är uppfyllda. Vid viss personuppgiftsbehandling kan således osäkerhet uppstå om vad som faktiskt utgör den rättsliga grunden för behandlingen. Artikel 29-gruppen har behandlat frågan om s.k. hybridsituationer avseende rättslig grund och beskriver detta som att det ofta kan vara svårt att avgöra om de offentliga myndigheternas behandling av personuppgifter på ett korrekt sätt bygger på den registrerades samtycke. Som exempel på en hybridsituation har artikel 29-gruppen beskrivit folkbokföring när en viss del av registreringen bygger på lagstadgat uppgiftslämnande medan andra delar är frivilliga.29 6.6.2Samtidig förekomst av de rättsliga grunderna samtycke och allmänt intresse Av skäl 43 i dataskyddsförordningen framgår, som beskrivits ovan, att det kan råda en betydande ojämlikhet mellan den som efterfrågar samtycke och den som lämnar det. Skäl 43 pekar på att ojämlikhetsproblemet särskilt föreligger för ”offentliga myndig- heter”. Detta blir tydligt när myndigheten har en verksamhet som innebär myndighetsutövning gentemot den enskilde eller inom hälso- och sjukvård. I enlighet med det resonemang som förs i kapitel 5 omfattas forskning normalt av den rättsliga grunden allmänt intresse. Om forskningen av allmänt intresse är fastställd i nationell rätt gäller denna lagstadgade rättsliga grund ett eventuellt samtyckesförfarande övervägs. Det torde enligt tidigare resone- mang inte föreligga någon prioritetsordning mellan de olika rättsliga grunder som anges i artikel 6.1. Det finns därmed inte skäl att ge den rättsliga grunden samtycke företräde framför allmänt intresse. Ett giltigt samtycke innebär en frivillig, specifik, informerad och otvetydig viljeyttring (artikel 4.11). Den registrerade ska ha lämnat 29 Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 38. Behandling av personuppgifter med samtycke sitt samtycke för att behandlingen ska vara tillåten (artikel 6.1 a och 9.2 a), och har rätt att återkalla samtycket när som helst (arti- kel 7.3). Att ett återkallat samtycke verkligen innebär att behand- lingen upphör är ett av de oavvisliga kriterier som enligt utredning- ens bedömning bör användas för att avgöra om ett samtycke är giltigt och fungerar fullt ut.30 Om personuppgiftsbehandlingen skulle fortsätta att vara laglig genom att någon annan rättlig grund (exempelvis uppgift av allmänt intresse) föreligger och åberopas kan inte rätten till återkallelse beaktas. Det kan därmed ifrågasättas huruvida samtycke är giltigt i dessa situationer. Definitionen av samtycke i dataskyddsförordningen överensstämmer i väsentliga delar med personuppgiftslagens bestämmelser. För- ordningens införande innebär därmed inga betydande förändringar av samtyckets innebörd. Samtycke ska vara frivilligt, specifikt, infor- merat och för känsliga personuppgifter uttryckligt, samt ska ges genom ett uttalande eller en entydig bekräftande handling. Den senare formuleringen av vilken slags aktivitet som godkänns som samtycke har lagts till i definitionen jämfört med personuppgifts- lagen. Utredningen bedömer att artikel 9.2 a i dataskyddsförordningen, tillsammans med etikprövningslagen, innebär att det är möjligt att behandla känsliga personuppgifter för forskningsändamål med samtycke som rättslig grund, när samtycke föreligger tillsammans med godkännande efter etikprövning enligt etikprövningslagen. Skäl 33 innebär en utvidgning av det möjliga utrymmet för sam- tycke när syftet inte fullt ut kan identifieras vid insamlingstillfället. Skäl 43 innebär begränsningar, särskilt för myndigheter, när det gäller möjligheten att använda samtycke som rättslig grund för personuppgiftsbehandling. Av särskild vikt är här om den i nationell rätt fastställda rättsliga grunden uppgift av allmänt intresse förekommer. Ytterligare behandling av personuppgifter för forskningsända- mål, där behandlingen ursprungligen grundats på samtycke, bör 30 A.a. s. 35. Behandling av personuppgifter med samtycke enligt utredningens uppfattning normalt omfattas av inhämtande av nytt samtycke, oavsett om behandlingen sker hos samma eller hos en ny personuppgiftsansvarig forskningsaktör. Dataskyddsförordningen erbjuder ingen slutlig lösning på de situationer när flera rättsliga grunder föreligger för samma personuppgiftsbehandling, och som innebär att samtyckets giltig- het kan ifrågasättas. Av utredningens direktiv framgår följande: Det behöver analyseras om det utöver dataskyddsförordningen och de bestämmelser kommer att föreslå finns ett be- hov av kompletterande bestämmelser om behandling av känsliga person- uppgifter och uppgifter om lagöverträdelser och liknande uppgifter för forskningsändamål och vilka bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen en sådan reglering bör innehålla. Tänkbara sådana skydds- åtgärder kan exempelvis vara etikprövning eller organisatoriska eller tekniska åtgärder såsom pseudonymisering eller användning av kod- nycklar.1 Detta kapitel inleds med en genomgång av begreppet ”känsliga personuppgifter”, för att sedan gå igenom relevanta bestämmelser i dataskyddsförordningen (EU 2016/679) samt förslag från Data- skyddsutredningen (Ju 2016:04). Utifrån detta lämnar vi sedan över- väganden och förslag över kompletterande bestämmelser. Dataskyddsförordningen använder i rubriken till artikel 9 termen ”Särskilda kategorier av personuppgifter” för att hänvisa till person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. 1 Dir. 2016:65 s. 11. Denna terminologi återkommer i förordningen, exempelvis i arti- kel 6.4 c, 27.2 a, 30.5, 35.3 b, 37.1 c och 47.2 d, samt även skäl 10, 51–54, 71, 80, 91, 97 och 112. Samma term användes även i det nuvarande dataskyddsdirektivet (95/46/EG) med en definition i artikel 8. Jämfört med dataskydds- direktivet är dataskyddsförordningens definition något utökad och inkluderar även genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en fysisk persons sexuella läggning. I det svenska genomförandet av det nuvarande dataskyddsdirek- tivet valdes termen ”känsliga personuppgifter” för att beteckna det som direktivet benämner ”särskilda kategorier av personuppgifter”.2 Anledningen till att man frångick direktivets terminologi i denna del har inte närmare berörts i personuppgiftslagens förarbeten,3 men termen ”känsliga uppgifter” har använts i den tidigare data- lagens förarbeten för att beteckna uppgifter med särskilt skydds- värde.4 har i sitt förslag valt att behålla den in- arbetade termen ”känsliga personuppgifter”, särskilt i ljuset av att den fått visst fäste även på europeisk nivå, se t.ex. dataskydds- förordningens skäl 10 samt den s.k. artikel 29-gruppens Advice paper on special categories of data (“sensitive data”).5 Eftersom vårt uppdrag i denna del är att analysera behovet av kompletterande bestämmelser utöver vad bl.a. kommer att föreslå har vi valt att använda terminologi i denna del, även om förordningens direkta tillämplighet medför att rättstillämpningen måste hantera två olika termer för samma be- grepp. Med ”känsliga personuppgifter” avses således detsamma som dataskyddsförordningen avser med ”särskilda kategorier av person- uppgifter”. 2I sammanhanget bör nämnas att skäl 34 till direktivet använder termen ”känsliga kategorier av uppgifter” för att avse uppgifter på områden som exempelvis folkhälsa och socialskydd. Även skäl 70 till direktivet använder termen ”känsliga uppgifter”, dock utan närmare förklar- ing till vad som avses. 3Jfr SOU 1997:39 och prop. 1997/98:44. 1973:33 s. 121 f. 5Jfr SOU 2017:39, avsnitt 10.2. Utgångspunkten i det nuvarande dataskyddsdirektivet är enligt artikel 8.1 att det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I artikel 8.2–8.4 finns det sedan undantag från förbudet att be- handla känsliga personuppgifter. Artikel 8.2 a innehåller ett undan- tag för när den registrerade lämnat sitt uttryckliga samtycke till sådan behandling utom när det enligt medlemsstatens lagstiftning anges att förbudet inte kan upphävas genom den registrerades sam- tycke. Artikel 8.4 tillåter medlemsstaterna att besluta om andra undantag under förutsättning av lämpliga skyddsåtgärder och av hän- syn till ett viktigt allmänt intresse. Att kunna genomföra samhälls- intressant forskning anses utgöra ett sådant viktigt allmänt intresse.6 När dataskyddsdirektivet infördes i svensk rätt genom person- uppgiftslagen (1998:204) fanns inte någon reglerad verksamhet med etikprövningsnämnder.