sou · H5B350 · 2017-06-09 00:00:00 — Förtala eller förolämpa inte någon annan. Bryt inte mot sekretess eller tystnadsplikt.7 Missbruksregelns tillämpningsområde har varit föremål för utredning sedan den infördes. (Ju 2011:11) föreslår exempelvis i sitt slutbetänkande att missbruksregeln inte längre ska kunna tillämpas av myndigheter eftersom bestämmelsen motiverades av helt andra skäl än att underlätta myndigheternas informationshantering.8 6SOU 2004:6 s. 134 f. 8SOU 2015:39 s. 240 ff. Etikprövning av personuppgiftsbehandling för forskningsändamål Personuppgiftslagens 5 a § i relation till etikprövningslagen Enligt 5 a § personuppgiftslagen behöver varken 13, 19 eller 21 §§ tillämpas på sådan behandling som tas upp i bestämmelsen, dvs. Eftersom personuppgiftslagen är subsidiär till etikprövningslagen så går dock kraven enligt etikprövningslagen före undantaget i 5 a § personuppgiftslagen. Etikprövningslagen hänvisar i 3 § till 13 § (känsliga personuppgifter) och 21 § (lagöver- trädelser m.m.) i personuppgiftslagen samt fastslår i 6 § att sådan forskning endast får utföras efter etikgodkännande. Detta innebär kortfattat att om förutsättningarna för tillämpning av etikprövnings- lagen är uppfyllda krävs ett etikgodkännande för behandlingen. Missbruksregeln sett i relation till dataskyddsförordningen Möjligheten att tillämpa den svenska särregleringen i 5 a § person- uppgiftslagen försvinner i och med att dataskyddsförordningen börjar tillämpas. Något utrymme att komplettera med en sådan nationell bestämmelse om undantag från tillämpningen av förordningen finns inte. Eftersom förordningen ska tillämpas i sin helhet på all be- handling av personuppgifter måste sådan behandling som tidigare utförts enligt missbruksregeln ha sin rättsliga grund i förordning- ens bestämmelser. Etikprövning utgör den centrala skyddsåtgärden vid behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. för forskningsändamål. Etikprövning fram- hålls i utredningens direktiv som en möjlig skyddsåtgärd i enlighet med dataskyddsförordningens krav på skyddsåtgärder vid behand- ling av personuppgifter för forskningsändamål. För att ta ställning till om etikprövning utgör en skyddsåtgärd som är förenlig med dataskyddsförordningen kommer utredningen i det följande att analysera etikprövningens beståndsdelar samt uppmärksamma vilka bedömningar som legat till grund för införandet av etikprövning som en befintlig skyddsåtgärd. Etikprövning av personuppgiftsbehandling för forskningsändamål 14.3.2Etikprövning som befintlig skyddsåtgärd Utgångspunkterna för vad som ska beaktas vid etikprövningen fram- går av 7–11 §§ etikprövningslagen. Dessa bestämmelser är emeller- tid inte avsedda att utgöra en detaljerad beskrivning av hur själva prövningen ska gå till. Lagstiftaren ansåg nämligen vid etikpröv- ningslagens införande att den materiella prövning som ska göras, beträffande bedömningen av bl.a. forskningens vetenskapliga värde och om riskerna för forskningspersonerna uppvägs av detta veten- skapliga värde, varken kan eller bör detaljstyras i lagen. Denna bedömning motiverades med att forskning utförs på så många olika sätt och att forskningsmetoder och andra förhållanden av betydelse ständigt utvecklas och förändras.9 I den proposition som låg till grund för etikprövningslagen hän- visas dock till den avvägningsnorm som framgick av 19 § personuppgiftslagen och som tillämpades vid prövning av om undantag från förbudet att behandla känsliga personuppgifter var tillåtet vid behandling för forskningsändamål. Denna avvägnings- norm innebar att behandlingen skulle vara nödvändig för forsk- ningen och att samhällsintresset klart skulle överväga risken för in- trång i enskildas personliga integritet. Enligt förarbetena till person- uppgiftslagen (till vilka det hänvisades i propositionen till etikpröv- ningslagen) bestod avvägningsnormen av en helhetsbedömning av samtliga omständigheter i det enskilda fallet.10 Vid helhetsbedömningen skulle således beaktas bl.a. forsknings- projektets vikt, behovet av personuppgifter, säkerheten vid behand- lingen, omständigheter vid ett eventuellt samtycke, om information lämnats till de berörda och i vilken utsträckning den som begärde detta hade rätt att bli struken. I viss mån skulle även beaktas hur pass svårt det var att på grund av de behandlade uppgifterna identi- fiera enskilda personer. Regeringen framhöll i propositionen med förslag till etikpröv- ningslag att några sakliga förändringar i avvägningsnormens inne- håll inte var avsedda i samband med att dess grunder fördes över från personuppgiftslagen till de allmänna utgångspunkterna för etik- prövningen enligt etikprövningslagen. Avsikten var helt enkelt att 2002/03:50 s. 113 f. Etikprövning av personuppgiftsbehandling för forskningsändamål prövningen av forskning som innefattar behandling av känsliga per- sonuppgifter skulle ske på samma sätt som enligt den avvägnings- norm som då fanns i personuppgiftslagen.11 Grunderna för avväg- ningen mellan risk och värde i samband med etikprövning av person- uppgiftsbehandling för forskningsändamål har således sitt ursprung i personuppgiftslagen, vilken i sin tur baseras på det nuvarande data- skyddsdirektivet (95/46/EG). Den personuppgiftsbehandling som är föremål för etikprövning ska vidare vara nödvändig enligt 10 § andra stycket etikprövnings- lagen. Nödvändighetskravet i etikprövningslagen motsvarar det som gäller enligt 10 § personuppgiftslagen.12 Enligt utredningens bedömning torde nödvändighetskravet också ha samma innebörd som kravet på nödvändighet i dataskyddsförordningen.13 Ett beslut om etikgodkännande kan förenas med villkor. Detta görs i de fall integritetsaspekterna kan anses tillvaratagna på ett till- fredsställande sätt genom särskilda villkor, i stället för att en ansö- kan avslås. Sådana villkor antogs i etikprövningslagens förarbeten behövas till exempel beträffande formerna för rekrytering av forsk- ningspersoner och inhämtande av samtycke, lämnande av informa- tion eller strykningsrätt. Lagstiftaren ansåg vidare att det i praxis får utvecklas närmare när villkor i något avseende behöver med- delas, eftersom det inte går att förutse alla uppkommande situatio- ner när något villkor borde meddelas.14 Etikprövningsnämnderna har utvecklat denna praxis till att om- fatta villkor avseende t.ex. krav på inhämtande av samtycke, möjlig- heter för den registrerade att motsätta sig behandling av person- uppgifter samt tydligare information till den enskilde. Allmänna anvisningar för datasäkerhet har också utvecklats, vilka anger på vilket sätt personuppgifter ska hanteras för att uppnå tillräckligt dataskydd. Etikprövning har i tidigare lagstiftningsarbete uttryckligen be- dömts utgöra en skyddsåtgärd enligt dataskyddsdirektivet vid be- handling av personuppgifter om lagöverträdelser m.m. för forsk- ningsändamål.15 I propositionen som föregick vissa ändringar i etik- 2002/03:50 s. 196. 13Se vidare avsnitt 5.2.2. 2002/03:50 s. 115. 15SOU 2005:78 s. 71. Etikprövning av personuppgiftsbehandling för forskningsändamål prövningslagen anförde regeringen att den prövning av personupp- gifter om lagöverträdelser m.m., som ska ske av en etikprövnings- nämnd, för ett godkännande av forskning som innebär behandling av sådana uppgifter, innefattar sådana lämpliga och specifika skydds- åtgärder som avses i dataskyddsdirektivet.16 Syftet med etikpröv- ning har följaktligen bedömts vara överensstämmande med data- skyddsregleringens övergripande syfte. Etikprövning som skyddsåtgärd vid behandling av känsliga per- sonuppgifter och personuppgifter om lagöverträdelser m.m. har alltså tidigare bedömts i relation till kraven i dataskyddsdirektivet. Av dataskyddsdirektivets artikel 8 p. 4 och 5 (artikel 8.1 reglerar förbudet mot behandling av känsliga personuppgifter och 8.2 anger undantag från förbudet) framgår att: 4.Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin natio- nella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 5.Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av natio- nella bestämmelser som innehåller lämpliga och specifika skyddsåtgär- der. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Dataskyddsdirektivet kräver således lämpliga skyddsåtgärder för behandling av hänsyn till ett viktigt allmänt intresse av känsliga personuppgifter17 och lämpliga och specifika skyddsåtgärder för be- handling av personuppgifter om lagöverträdelser m.m. I båda fallen har etikprövning bedömts uppfylla kraven i data- skyddsdirektivet på skyddsåtgärd fastställd i nationell rätt. Dataskyddsförordningen kräver lämpliga skyddsåtgärder för behand- ling av alla slags personuppgifter för forskningsändamål, inklusive personuppgifter om lagöverträdelser m.m., och lämpliga och sär- 2007/08:44 s. 31. 17Behandling för forskningsändamål av känsliga personuppgifter har av lagstiftaren bedömts utgöra ett viktigt allmänt intresse i enlighet med dataskyddsdirektivet. Etikprövning av personuppgiftsbehandling för forskningsändamål skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen vid behandling av särskilda kategorier av personuppgifter (känsliga personuppgifter) för forskningsändamål. Dataskyddsförordningen saknar närmare definitioner av begreppen lämpliga och särskilda skyddsåtgärder. En analys av begreppet lämp- liga skyddsåtgärder finns i kapitel 12. Dataskyddsförordningen nämner inte specifikt etikprövning som en skyddsåtgärd. Etikprövningen måste således uppfylla kraven avseende de olika kategorierna av personuppgiftsbehandling för att vara förenlig med förordningen. Dataskyddsförordningens krav i dessa delar har tre olika nivåer: All personuppgiftsbehandling för forskningsändamål, innefatt- ande uppgifter om lagöverträdelser m.m. som utförs under kon- troll av myndighet, måste omfattas av lämpliga skyddsåtgärder, men dessa måste inte vara fastställda i unionsrätt eller nationell rätt (artikel 89.1). Personuppgiftsbehandling för forskningsändamål av uppgifter om lagöverträdelser m.m. som utförs av enskild får utföras när behandling är tillåten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder måste vara fastställda (artikel 10). Personuppgiftsbehandling för forskningsändamål av känsliga uppgifter måste omfattas av lämpliga och särskilda åtgärder som är fastställda i unionsrätt eller nationell rätt (artikel 9.2 j).18 Dataskyddsförordningens krav har stora likheter med de krav som det nuvarande dataskyddsdirektivet ställer. Dataskyddsdirektivet kräver, som angetts ovan, lämpliga skyddsåtgärder för behandling av känsliga personuppgifter och lämpliga och specifika skyddsåtgär- der vid behandling av personuppgifter om lagöverträdelser m.m. Utredningen finner ingen anledning att anta att begreppet särskilda skyddsåtgärder så som det används i dataskyddsförordningen skulle 18 I dataskyddsdirektivet saknas ett undantag specifikt för personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter. Undantaget i nuvarande lagstiftning baseras därför på att forskningsändamålet utgör en uppgift av viktigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet. I dataskyddsförordningen finns undantaget för behandling av känsliga personuppgifter som är nödvändig av hänsyn till ett viktigt allmänt intresse i artikel . Enligt utredningens slutsats i kapitel 7 bör dock personuppgiftsbehandling för forskningsändamål av allmänt intresse, med rättsligt stöd i artikel 6.1 e, tillämpa undantaget i artikel 9.2 j vid behandling av känsliga personuppgifter. Etikprövning av personuppgiftsbehandling för forskningsändamål innebära någon skillnad i sak jämfört med begreppet specifika skydds- åtgärder. Denna bedömning stärks också av att den engelska versionen av artikel 9.2 j i dataskyddsförordningen anger ett krav på ”suitable and specific measures to safeguard” och den engelska versionen av artikel 8.5 i dataskyddsdirektivet anger kravet på ”suitable specific safeguards”. Det engelska begreppet ”specific” har således översatts till såväl särskilda som specifika i respektive svensk version av data- skyddsförordningen och dataskyddsdirektivet. Syftet med de skyddsåtgärder som enligt artikel 9.2 j i data- skyddsförordningen ska omfatta behandling av känsliga person- uppgifter för forskningsändamål ska vara att säkerställa den registre- rades grundläggande rättigheter och intressen. I artikel 10 anges kravet på lämpliga skyddsåtgärder för de registrerades rättigheter och fri- heter vid personuppgiftsbehandling av uppgifter om lagöverträdel- ser m.m. Någon motsvarande formulering av syftet med skydds- åtgärderna finns inte i dataskyddsdirektivet, som dock har som över- gripande syfte enligt artikel 1 att skydda fysiska personers grund- läggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. I kapitel 12 finns utförligare beskrivningar av dataskyddsförord- ningens krav på skyddsåtgärder generellt. I korthet bör i detta sam- manhang lyftas fram att en av dataskyddsförordningens grundlägg- ande generella principer för personuppgiftsbehandling, principen om integritet och konfidentialitet (artikel 5.1 f), anger att den person- uppgiftsansvarige ansvarar för att personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av lämpliga tekniska eller organisatoriska åtgärder. Till den generella regleringen hör även allmänna skyldigheter i artikel 24 i dataskyddsförordningen för den personuppgiftsansvarige att genom- föra lämpliga tekniska och organisatoriska åtgärder för att kunna säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Artikel 32 i dataskyddsförordningen ställer mer detaljerade krav på vilka åtgärder som ska beaktas och hur riskbedömningen ska göras. Där framgår att den personuppgiftsansvarige ska vidta lämp- liga tekniska och organisatoriska åtgärder för att säkerställa en säker- hetsnivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varie- Etikprövning av personuppgiftsbehandling för forskningsändamål rande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Av skäl 75 i dataskyddsförordningen framgår att risker för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling av bland annat känsliga personuppgifter eller personuppgifter om lag- överträdelser m.m. I skäl 76 i förordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv be- dömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller en hög risk. Ansvaret för att denna riskbedömning görs åligger enligt data- skyddsförordningen den personuppgiftsansvarige. Om det före- ligger ett krav på etikprövning som skyddsåtgärd vid behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser för forskningsändamål, varigenom denna avvägning mellan risk och nytta utförs, måste dock etikprövningen vara förenlig med data- skyddsförordningens reglering av riskbedömningen. Ansvaret för att varje enskild personuppgiftsbehandling uppfyller dataskydds- förordningens krav på lämpliga och särskilda skyddsåtgärder åvilar dock alltid den personuppgiftsansvarige. Utredningens bedömning: Etikprövning enligt etikprövnings- lagen utgör en sådan fastställd lämplig och särskild åtgärd som krävs vid personuppgiftsbehandling av känsliga personuppgifter för forskningsändamål enligt artikel 9.2 j i dataskyddsförord- ningen. Etikprövning enligt etikprövningslagen utgör också en sådan fastställd lämplig skyddsåtgärd som krävs för personupp- giftsbehandling av personuppgifter om lagöverträdelser m.m. enligt artikel 10 i dataskyddsförordningen. Syftet med etikprövningslagen är att skydda den enskilda männi- skan och respekten för människovärdet vid forskning. Skydds- objektet är alltså inte helt identiskt med vad som ska skyddas enligt personuppgiftslagen (mot att människors personliga integritet kränks Etikprövning av personuppgiftsbehandling för forskningsändamål genom behandling av personuppgifter) eller dataskyddsförordningen (fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter). Vid etikprövningen ska dock, som ovan redogjorts för, en av- vägning göras mellan det förväntade värdet av den kunskap forsk- ningen sannolikt kan ge och riskerna för den enskildes skada och obehag. Riskerna får inte stå i bristande proportion till forskning- ens potentiella allmängiltiga värde. Oavsett värdet av forskningen måste den genomföras med respekt för människovärdet. Vid etikprövningen ska beaktas bl.a. forskningsprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, omstän- digheter vid ett eventuellt samtycke, om information lämnats till de berörda och i vilken utsträckning den som begärde detta hade rätt att bli struken samt risken för identifiering av enskilda personer. Avvägningen har, som utredningen visat, sitt ursprung i person- uppgiftslagen som i sin tur baseras på dataskyddsdirektivet. Den risk- bedömning som etikprövningsnämnderna gör av personuppgifts- behandling för forskningsändamål har därmed be- dömts förenlig med kraven i dataskyddsdirektivet. Dataskyddsförordningen preciserar inte närmare hur de natio- nella skyddsåtgärderna ska utformas för att anses vara lämpliga och särskilda, men viss vägledning till vilka faktorer som bör beaktas vid bedömningen av lämpligt skydd vid personuppgiftsbehandling finns i artikel 32 i dataskyddsförordningen. Av artikel 32 framgår att lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, med be- aktande av den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt risk- erna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter måste vidtas. Risken bör, enligt skäl 76, utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller en hög risk. Det är inte möjligt att inom vårt uppdrag till fullo utreda hur etikprövningen går till i praktiken. Utredningen har därför att utgå ifrån att etikprövningslagens bestämmelser, och de vägledningar för tillämpningen som finns i förarbetena, följs av etikprövningsnämnd- erna och att etikprövningen därmed utförs enligt den avvägnings- norm och riskbedömning som är avsedd. I enlighet med vad utred- Etikprövning av personuppgiftsbehandling för forskningsändamål ningen redogjort för i detta avsnitt är det därmed vår bedömning att etikprövningen som helhet uppfyller dataskyddsförordningens krav. Meddelade villkor kan enligt utredningens bedömning utgöra skyddsåtgärder enligt dataskyddsförordningen och komplettera etik- prövningen i de fall det krävs för ett fullgott skydd. Att prövningen görs av etikprövningsnämnderna uppfyller, enligt utredningens upp- fattning, dataskyddsförordningens krav på en objektiv bedömning av de risker personuppgiftsbehandlingen kan medföra för den regi- strerades grundläggande rättigheter och friheter. Mot bakgrund av detta är det utredningens sammanvägda be- dömning att etikprövning enligt etikprövningslagen utgör en sådan fastställd lämplig och särskild åtgärd som artikel 9.2 j i dataskydds- förordningen kräver vid behandling av känsliga personuppgifter för forskningsändamål, samt utgör en sådan fastställd lämplig skydds- åtgärd som artikel 10 i dataskyddsförordningen kräver för behand- ling av personuppgifter om lagöverträdelser m.m. Närmare föreskrifter om etikprövningen Eftersom dataskyddsförordningen blir direkt tillämplig som lag är det viktigt att den faktiska be- dömning av avsedd behandling av personuppgifter som utförs i samband med etikprövningen efter detta datum vid behov anpassas till förordningens krav. Till skillnad från personuppgiftslagen är dataskyddsförordningen inte subsidiär till etikprövningslagen. Data- skyddsförordningens ställning som direkt tillämplig reglering med- ger inte att bestämmelser som redan framgår av förordningen fast- ställs i nationell rätt, men i begränsad utsträckning tillåts preciser- ingar eller upplysningar i syfte att förtydliga förordningens krav. I särskilda fall kräver förordningen nationell reglering. Det är utredningens uppfattning att etikprövningslagens ut- gångspunkter för etikprövningen är förenliga med dataskyddsför- ordningens krav på skydd. Dessa utgångspunkter för etikprövningen anger dock inte i detalj hur själva bedömningen ska gå till. Det är vidare utredningens uppfattning att en sådan detaljreglering heller inte bör ske i lag. Tillämpningen av dataskyddsförordningen innebär troligen att utbildningsinsatser behöver genomföras för att höja etikprövnings- Etikprövning av personuppgiftsbehandling för forskningsändamål nämndernas kompetens avseende det nya regelverket för skydd av den personliga integriteten. Det är vidare möjligt att föreskrifter som närmare tydliggör vilka krav i dataskyddsförordningen som etikprövningsnämnderna särskilt bör beakta vid sin bedömning måste utformas. En sådan översyn görs lämpligen av etikprövningsnämnd- erna själva. Mot bakgrund av det föreliggande förslaget om en ny etikprövningsmyndighet19 är det utredningens uppfattning att en sådan översyn och anpassning av själva bedömningskriterierna bör avvakta genomförandet av denna organisatoriska förändring. 14.4Tillämpningsområdet för kravet på etikprövning Mot bakgrund av dataskyddsförordningens krav på lämpliga skydds- åtgärder vid personuppgiftsbehandling för forskningsändamål har utredningen i uppdrag att överväga om kravet på etikprövning ska utvidgas till att gälla all behandling av personuppgifter för forsk- ningsändamål: Det finns anledning att i detta sammanhang överväga om etikprövning av forskning liksom enbart ska tillämpas på forskning som inne- fattar behandling av sådana personuppgifter som omfattas av ett sär- skilt skydd i 19 och 21 §§ PUL eller om ordningen med etikprövning bör utvidgas till att gälla all behandling av personuppgifter för forsk- ningsändamål.20 Etikprövningslagens tillämpningsområde avseende vilken slags per- sonuppgiftsbehandling som ska omfattas av kravet på etikprövning har på uppdrag av regeringen utretts tidigare . Vid införandet av etikprövningslagen omfattade kravet på etikprövning behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen och personuppgifter om lagöverträdelser m.m. enligt 21 § samma lag enbart om forskningspersonen inte hade lämnat 19I Ds 2016:46 föreslås att de regionala etikprövningsnämnderna organiseras i en myndighet framöver för att bland annat centralisera den administrativa handläggningen av ärendena. Det framgår också av förslaget att ett nytt gemensamt elektroniskt system för ansökan till etikprövningsnämnderna kommer att tas i bruk . Förslaget till ny organisation för etikprövning av forskning är under beredning, varför utredningen har hänvisat till den befintliga strukturen i samband med våra överväganden och förslag. Etikprövning av personuppgiftsbehandling för forskningsändamål sitt uttryckliga samtycke till behandlingen.