sou · H5B350 · 2017-06-09 00:00:00 — Vanliga beskriv- ningar av den empiriskt inriktade forskningsprocessen innefattar bakgrundsstudier, litteraturgenomgång, idégenerering, planering, författande av forskningsansökan, eventuell etikprövning, data- insamling (inklusive i förekommande fall prövning enligt offentlig- hets- och sekretesslagen (2009:400)), konstruktion av databas, lag- ring av data, analys av data, manusförfattande, publicering, doku- mentation (bl.a. av data), samt arkivering av data. Detta benämns ibland med termen ”forskningsprotokoll” och ingår som en helhet i forskningen. I vissa sammanhang kan denna process vara utsträckt i tiden över . Detta är särskilt förekommande om forskningen följer ett program med flera enskilda separata forskningsprojekt som ingående delar. Det kan som sagt ibland vara svårt att exakt definiera enskilda ändamål vid insamlingstillfället. Detta är exempelvis fallet när det gäller forskningsprogram som är utsträckta över . En långvarig process kan här innebära att alla delar av forskningen inte kan vara slutligen planerade. För att arbetet ska kunna beteck- nas som personuppgiftsbehandling för forskningsändamål krävs dock fortfarande en tydlig avgränsning av behandlingens ändamål. Det är enligt utredningens bedömning rimligt att konstruktionen av forskningsdatabaser, under förutsättning att syftet fastställs som ett väl avgränsat forskningsområde, kan bedömas som personuppgifts- behandling för forskningsändamål och därmed utgöra en del av själva forskningen. I kapitel 6 om behandling av personuppgifter för forskningsända- mål med samtycke redogörs kortfattat för det så kallade LifeGene- projektet70 som av bl. a. Datainspektionen ansågs ha ett alltför brett ändamål för att kunna tillåtas enligt personuppgiftslagen. LifeGene- projektet omfattade ett förberedande insam- lingsarbete som behövs för att kunna formulera när- mare hypoteser och genomföra analyser av de långsiktiga konse- Bakgrund, rättsliga utgångspunkter och begrepp kvenserna som arv och miljö har på hälsan. Den centrala etikpröv- ningsnämnden bedömde att detta arbete på grund av att det saknades ett tillräckligt tydligt avgränsat forskningsändamål skulle betraktas som skapande av en infrastruktur för forskning och därmed inte utgjorde sådan forskning som ska etikprövas. Databaser som har denna bredare karaktär har i stället ansetts behöva grundas på sär- skild lagstiftning. har i vissa fall stiftat sådana lagar för insamlingar av forskningsdata. Utöver lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen) finns exempelvis lagen (2012:741) om be- handling av personuppgifter vid utvärdering (IFAU-lagen). Att tillskapa forskningsinfrastrukturer är enligt utredningens preliminära bedömning en integrerad del av forskningsprocessen som i vissa fall är nödvändig och som har bredare formulerade forskningsändamål än de som förekommer i enskilda forsknings- projekt. I dataskyddsförordningens skäl 33 har tillkommit en tydligt uttryckt ambition att tillåta bredare samtycken för forsk- ningsändamål.71 Hur artikel 33 ska tolkas med avseende på insam- ling i enlighet med den plan som finns i , utan att stöd måste finnas i särskild författning, utgör en av utredning- ens kommande uppgifter i samband med att vi tar ställning till långsiktig reglering av forskningsdatabaser.72 Forskningsdatabaser som ytterligare behandling av personuppgifter I det föregående avsnittet har insamling av data i en databas för framtida forskning inom ett specificerat forskningsområde diskute- rats. En näraliggande men separat frågeställning är om myndigheter och andra personuppgiftsansvariga kan iordningsställa personuppgif- ter i databaser för forskningsändamål med hjälp av uppgifter som redan samlats in för andra ändamål. Två exempel på databaser avsedda helt eller delvis för forsknings- ändamål är av forskare flitigt använda databas för Sjukförsäkrings- och 71För en mer utförlig redogörelse se kapitel 6. 72Se dir. 2016:65. Bakgrund, rättsliga utgångspunkter och begrepp Arbetsmarknadsstudier () och Mikrodata för analys av sjukförsäkringen (MiDAS). Här har personuppgifter som lagras hos myndigheten iordningställts för forskningsändamål och annat analysarbete. I SCB:s terminologi används begreppet ”studier” och i ”analys” i databasernas namn, vilket anger deras syfte. Uppgifter kan begäras ut och användas så- väl för forskningsändamål som för andra ändamål. Varken eller MiDAS grundas på särskilda registerförfatt- ningar. MiDAS används såväl för myndighetens egen verksamhets- uppföljning som för forskning, företrädesvis vid universiteten. används inte i myndighetens egen verksamhet utan är avsedd att underlätta iordningställandet av uppgifter för externa projekt. Såväl SCB som är statistikmyndigheter och har därmed stöd i 14 och 15 §§ lagen (2001:99) om den officiella stati- stiken för behandling av personuppgifter för framställning av statistik inom de områden respektive myndighet ansvarar för enligt förordningen (2001:100) om den officiella statistiken med dess bilaga där statistikområden för respektive myndighet anges. Det är tveksamt om uppbyggnaden av de beskrivna databaserna för studier och analyser bör grundas på den lagstiftning som avser statistikproduktion. En alternativ tolkning kan vara att söka lagligt stöd för databasernas skapande i 9 § personuppgiftslagen, att be- handling av myndighetens personuppgifter för vetenskapliga ända- mål inte ska anses stå i motsättning till de ändamål för vilka data ursprungligen samlades in. Denna formulering återfinns, som be- skrivits ovan, också i förordningens artikel 5 b. Sammanställningen av befintliga personuppgifter för forsknings- och analysändamål har hos myndigheterna betraktats som tillåten utan att ett eller flera specifika ändamål måste anges före det att personuppgifterna sammanställts. Först när uppgifterna begärs ut och ska användas i ett specifikt vetenskapligt projekt av en ny person- uppgiftsansvarig har de regler som gäller insamling (i detta fall från sekundär källa) tillämpats. SCB och omfattas av statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). Ett läro- säte är i många fall en myndighet. Detta medför bland annat att personuppgifter som skyddas av sekretess och som lämnas ut för Bakgrund, rättsliga utgångspunkter och begrepp forskningsändamål vid lärosätet omfattas av den sekretess som gäller för uppgifterna vid den utlämnande myndigheten.73 Vid lärosätet kan uppgifter på ett liknande sätt som och med stöd av dataskyddsförordningens artikel 5.1 b och skäl 50 kunna sammanställas för forskningsändamål utan att ett nytt ändamål behöver fastställas. De allmänna principer som föreskrivs i artikel 5.1 ska dock vara uppfyllda. Enligt artikel 5.2 ska den personuppgiftsansvarige kunna visa att dessa efterlevs. Därutöver ska skyddsåtgärder enligt arti- kel 89.1 finnas och den rättsliga reglering som krävs enligt artik- larna 6.3 och 9.2 j ska vara tillgodosedd. Hur detta kan kombineras med iordningsställande av forskningsdatabaser på ovan angivet sätt kräver ytterligare analys. Utredningen avser att återkomma till detta i vårt slutbetänkande. Utredningens bedömning: Historiska, statistiska och veten- skapliga forskningsändamål ska betraktas som likställda. Förordningens återkommande uttryck ”vetenskapliga eller histo- riska forskningsändamål” innefattar enligt utredningens bedöm- ning forskningsändamål utan att någon särskild betydelseåtskillnad bör göras mellan dessa två delar med avseende på personuppgifts- behandling. Vidare bedömer utredningen att statistiska ändamål inte inne- fattar forskning. Statistisk forskning kan därmed i stället innefattas i uttrycket ”vetenskapliga forskningsändamål” och omfattas av samma bestämmelser om personuppgiftsbehandling för forsknings- ändamål som andra vetenskapsområden. Utredningens bedömning: Personuppgiftsbehandling för ända- målet forskning och för forskningsändamål ska betraktas som likställda. 73 11 kap. 3 § offentlighets- och sekretesslagen (2009:400). Bakgrund, rättsliga utgångspunkter och begrepp Arbete med forskningsändamål bör kunna omfatta hela eller delar av forskningsprocessen. Iordningsställande av personuppgifter i databaser för forskningsändamål bör kunna innefattas i vad som avses med forskning i vid bemärkelse. De allmänna principer för personuppgiftsbehandling som föreskrivs i artikel 5 ska gälla för detta arbete. Av särskild betydelse är här bedömningen av hur forskningsdatabaser med bredare ändamål än ett enskilt forsknings- projekt kan tillfredsställa principen om uppgiftsminimering i artikel 5 c. Viss vägledning till detta ges i förordningens skäl 33 som anger att samtycke ska kunna inhämtas för områden för veten- skaplig forskning när det exakta syftet med insamlingen inte fullt ut kan identifieras vid insamlingstillfället. Utredningen bedömer att det kan finnas visst stöd för att den personuppgiftsansvarige med hänvisning till artikel 5 b i förord- ningen kan behandla redan insamlade personuppgifter för att iord- ningsställa databaser avsedda för forskningsändamål. Att ändamålet är forskning bör vara tydligt för att artikel 5 b ska vara tillämplig. Utredningens bedömning är att de enskilda delarna av forsk- ningsprocessen ska kunna betecknas som arbete med vetenskapligt ändamål och forskningsändamål var för sig utan att alla delar måste ingå. Detta är särskilt viktigt i s.k. longitudinella studier (också kallat kohortstudier) där förlopp studeras över tidsperioder som ibland omfattar . Det måste dock stå klart att arbetet är en del av forskningsprocessen och tillgodoser de principer som gäller för all personuppgiftsbehandling enligt förordningens artikel 5. Utredningen avser att återkomma bland annat till hur begreppet forskningsändamål ska betraktas i relation till uppbyggnaden av forskningsdatabaser i vårt slutbetänkande. Utredningens samman- fattande bedömning i detta skede är att personuppgiftsbehandling för ändamålet forskning och för forskningsändamål ska betraktas som likställda. Vårt uppdrag är att utreda och föreslå en kompletterande nationell reglering för personuppgiftsbehandling för forskningsändamål. Dataskyddsförordningen öppnar för ett flertal möjligheter till sådan nationell reglering genom att direkt hänvisa till personuppgifts- Bakgrund, rättsliga utgångspunkter och begrepp behandling för historiska och vetenskapliga forskningsändamål i ett flertal artiklar och skäl, vilka utredningen kommer att behandla i de olika delarna av betänkandet. I ett fall förekommer dock ett begrepp som kan tyckas angränsande till vetenskapliga forskningsändamål. I artikel 85 i dataskyddsförordningen återfinns begreppet akade- miskt skapande. Utredningen kommer i det följande att analysera begreppet akademiskt skapande sett i relation till vårt uppdrag att utreda och föreslå reglering för personuppgiftsbehandling för forsk- ningsändamål. I 7 § andra stycket personuppgiftslagen anges att flertalet bestäm- melser i lagen inte ska tillämpas på sådan behandling av person- uppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Denna bestämmelse har sin grund i artikel 9 i det nuvarande dataskyddsdirektivet som anger att medlemsstaterna med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande ska besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. I artikel 85 i dataskyddsförordningen återfinns motsvarande be- stämmelse: Behandling och yttrande- och informationsfriheten 1.Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. 2.Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fast- ställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (obero- ende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten. Bakgrund, rättsliga utgångspunkter och begrepp Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem. Det kan inledningsvis noteras att dataskyddsförordningen, till skillnad från dataskyddsdirektivet och personuppgiftslagen, inte föreskriver att enbart sådan behandling som sker uteslutande för de uppräknade ändamålen får undantas, utan det räcker att det sker för sådant ändamål. Undantagsmöjligheten är således utökad i data- skyddsförordningen. Vad som dessutom skiljer artikel 85 från artikel 9 i dataskydds- direktivet och 7 § andra stycket personuppgiftslagen är att även personuppgiftsbehandling som sker för akademiskt skapande får undantas. Eftersom begreppet akademiskt skapande är nytt i sam- manhanget uppkommer frågan vad som innefattas i detta begrepp och även hur det förhåller sig till begreppet vetenskapliga forsk- ningsändamål. Det framgår av att regeringen anser att artikel 85 i dataskyddsförordningen innebär att det blir tydligare än i det nuvarande dataskyddsdirektivet att den EU-rätts- liga dataskyddsregleringen inte inkräktar på området för tryckfri- hetsförordningen och yttrandefrihetsgrundlagen. Det ingår inte i uppdrag att överväga eller lämna förslag till grundlagsändringar, men utanför grundlagarnas tillämpnings- område är det regeringens bedömning att det även fortsättningsvis torde finnas behov av bestämmelser som, liksom 7 § andra stycket personuppgiftslagen, balanserar personuppgiftsskyddet mot ytt- rande- och informationsfriheten. Det ingår därför i Dataskydds- utredningens uppdrag att analysera hur sådana regler bör utformas och lämna sådana författningsförslag som är behövliga och lämp- liga.74 74 Dir. 2016:15 s. 22. Bakgrund, rättsliga utgångspunkter och begrepp Av betänkande framgår att utredningen föreslår att ett undantag för sådan behandling som sker för journalis- tiska ändamål eller för akademiskt, konstnärligt eller litterärt skap- ande ska införas i den nya dataskyddslag som föreslås komplettera dataskyddsförordningen på nationell generell nivå. Detta undantag föreslås innebära att enbart dataskyddsförordningens bestämmelser om syfte, tillämpningsområde och definitioner samt bestämmelser om säkerhet för personuppgifter, samarbete med tillsynsmyndig- heten, rättsmedel, ansvar och sanktioner ska tillämpas i dessa fall. Det är bedömning att ordalydelsen i artikel 85.2 i dataskyddsförordningen synes ålägga medlemsstat- erna att göra vissa undantag från förordningen under förutsättning att de är nödvändiga för att förena rätten till integritet med ytt- rande- och informationsfriheten. Samma krav på nödvändighet finns i dataskyddsdirektivet, och den befintliga bestämmelsen i 7 § andra stycket personuppgiftslagen bedömdes vara nödvändig för att personuppgiftslagens bestämmelser skulle vara förenliga med yttrande- och informationsfriheten. Förslaget till bestämmelse i dataskyddslagen är således utformat med 7 § andra stycket person- uppgiftslagen som förebild.75 Beträffande begreppet akademiskt skapande konstaterar att det är nytt och inte närmare definierats i artiklar eller skäl. gör vidare bedömningen att det knappast torde vara att likställa med forskning, eftersom forskning är särreglerad på annat sätt i dataskyddsförordningen, exempelvis i artikel 9.2 j och artikel 89. Möjligen, anser Dataskydds- utredningen, skulle behandling i samband med själva färdigställan- det och spridningen av texter med vetenskapligt innehåll kunna avses. slutsats är att innebörden av be- greppet akademiskt skapande är oklar och att dess närmare bety- delse får utvecklas i praxis.76 75SOU 2017:39 avsnitt 7.4. Bakgrund, rättsliga utgångspunkter och begrepp Utredningens bedömning: Personuppgiftsbehandling för akade- miskt skapande är inte detsamma som personuppgiftsbehandling för vetenskapliga forskningsändamål. De två begreppen om- fattar olika slags verksamhet inom den akademiska världen som således har att tillämpa i viss mån olika delar av det integritets- skyddande regelverket. Artikel 85 i dataskyddsförordningen och förslag till kompletterande nationell bestämmelse på generell nivå i dataskyddslagen innebär alltså att behandling av personuppgifter för akademiskt skapande undantas från dataskyddsförordningens bestämmelser förutom vad avser bestämmelser om syfte, tillämp- ningsområde och definitioner samt bestämmelser om säkerhet för personuppgifter, samarbete med tillsynsmyndigheten, rättsmedel, ansvar och sanktioner. Eftersom detta är ett omfattande undantag, vars motsvarighet inte finns , och med tanke på att begreppet akademiskt skapande kan te sig likartat med begreppet vetenskap- liga forskningsändamål är det vår uppfattning att vi behöver göra en något djupare analys av hur dessa begrepp förhåller sig till varandra, än vad som framgår av betänkande. Vi kan inledningsvis konstatera, precis som Dataskyddsutred- ningen gjort, att begreppet akademiskt skapande återfinns i enbart en artikel i dataskyddsförordningen, medan begreppet vetenskap- liga forskningsändamål återfinns i ett flertal artiklar och skäl. Att akademiskt skapande skulle vara detsamma som vetenskapliga forskningsändamål finner vi därför inte troligt. Gränsdragningen mellan dessa begrepp är dock inte alldeles tydlig. Av skäl 159 i dataskyddsförordningen framgår att om person- uppgifter behandlas för vetenskapliga forskningsändamål bör för- ordningen gälla också denna behandling. Begreppet vetenskapliga forskningsändamål bör enligt skäl 159 ges en vid tolkning och om- fatta till exempel teknisk utveckling och demonstration, grund- forskning, tillämpad forskning och privatfinansierad forskning. Vidare framgår att för att tillgodose de särskilda kraven i samband med behandling av personuppgifter för vetenskapliga forsknings- ändamål bör specifika villkor gälla, särskilt vad avser offentliggör- Bakgrund, rättsliga utgångspunkter och begrepp ande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål. Inget i detta skäl indikerar således att de undantag som artikel 85.2 öppnar för beträffande akademiskt skapande ska tillämpas på per- sonuppgiftsbehandling för vetenskapliga forskningsändamål. Detta skulle, enligt utredningens uppfattning, också vara en orimlig tolk- ning mot bakgrund av de omfattande undantag som artikel 85.2 och förslaget till bestämmelse i dataskyddslagen möjliggör från data- skyddsförordningens bestämmelser. Att all personuppgiftsbehand- ling för vetenskapliga forskningsändamål skulle undantas från fler- talet av dataskyddsförordningens bestämmelser är helt enkelt inte överensstämmande med dataskyddsförordningens syfte. Frågan är då vad som avses med begreppet akademiskt skap- ande. En översiktlig jämförelse av översättningarna av begreppet akademiskt skapande i artikel 85 visar att de engelska, franska, italienska, nederländska, portugisiska och spanska versionerna använ- der ordet expression i betydelsen uttryck eller yttrande (på holländska heter detta uitdrukkingsvormen, de övriga har ordet expression i olika stavningar). De tyska och danska versionerna använder zwecken (syssla) och virksomhed (verksamhet). Endast den svenska versionen använder ordet skapande (som i engelsk översättning närmast skulle bli creation). Detta ger, enligt utredningens uppfattning, vid handen att akademiskt skapande närmast ska tolkas som akade- miskt uttryck eller yttrande, dvs. snarare att koppla till akademisk yttrandefrihet. Detta är ju också i enlighet med vad artikel 85 i dataskyddsförordningen, och även artikel 9 i dataskyddsdirektivet och 7 § personuppgiftslagen, handlar om, nämligen relationen mellan regleringen av behandling av personuppgifter och yttrande- och informationsfriheten. Behandling för akademiskt skapande, som därmed skulle komma att omfattas av undantag enligt artikel 85.2 i dataskyddsförord- ningen samt dataskyddslagens bestämmelse, skulle således enligt utredningens uppfattning kunna vara behandling av personuppgif- ter som syftar till skydd av den akademiska yttrandefriheten. De undantag som möjliggörs genom dataskyddsförordningen och för- slaget till bestämmelse i dataskyddslagen syftar ju också till att främja yttrande- och informationsfriheten enligt grundlagarna. Exakt vilken slags personuppgiftsbehandling detta skulle kunna vara är dock svårt att göra en generell bedömning av. Bakgrund, rättsliga utgångspunkter och begrepp uppfattning att det i vart fall inte är detsamma som behandling av personuppgifter i samband med utförande av den faktiska forsk- ningsverksamheten. Det är avslutningsvis viktigt att påminna om att, enligt Data- skyddsutredningens förslag, bestämmelser om syfte, tillämpnings- område och definitioner samt bestämmelser om säkerhet för person- uppgifter, samarbete med tillsynsmyndigheten, rättsmedel, ansvar och sanktioner alltjämt ska tillämpas även för personuppgiftsbehand- ling för akademiskt skapande. Detta innebär att lämpliga skydds- åtgärder ska finnas också vid sådan personuppgiftsbehandling, att tillsyn ska kunna ske och att sanktioner ska kunna utgå vid felaktig behandling. Sammanfattningsvis är det således vår bedömning att person- uppgiftsbehandling för akademiskt skapande inte är detsamma som personuppgiftsbehandling för vetenskapliga forskningsändamål, utan att det utgör olika slags verksamhet inom den akademiska världen som således har att tillämpa i viss mån olika delar av det integritetsskyddande regelverket. En närmare definition av vad som utgör akademiskt skapande anser vi, liksom , får utvecklas i praxis. Det är utredningens bedömning att dataskyddsförordningen lik- ställer vetenskaplig och historisk forskning, samt att statistisk forsk- ning kan innefattas i vetenskapliga och historiska forskningsända- mål. Samma bestämmelser torde således gälla oavsett om det är fråga om personuppgiftsbehandling för historiska forskningsända- mål, statistiska forskningsändamål eller forskningsändamål inom andra discipliner. Begreppet forskningsändamål har inte varit föremål för utred- ningar på samma sätt som begreppet forskning. Utredningens be- dömning är att begreppen forskning och forskningsändamål bör likställas så att den reglering som gäller forskning också kommer att gälla forskningsändamål. Personuppgiftsbehandling för forsk- ningsändamål är enligt utredningens bedömning arbete som är eller avses vara en del av forskningsprocessen, inklusive förberedande eller avslutande aktiviteter såsom iordningsställande och dokumen- tation av databaser för användning i forskning eller arkivering av Bakgrund, rättsliga utgångspunkter och begrepp Begreppen kan därmed ges en tolkning som innebär att personuppgiftsbehandling för forskningsändamål inte behöver innefatta hela utan i vissa fall kan avgränsas till en del av forskningsprocessen, vilket möjliggör långsiktig forskning med an- vändning av personuppgifter. Slutligen är det vår bedömning att personuppgiftsbehandling för akademiskt skapande inte är detsamma som personuppgiftsbehand- ling för vetenskapliga forskningsändamål, utan att det utgör olika slags verksamhet inom den akademiska världen som således har att tillämpa i viss mån olika delar av det integritetsskyddande regelverket.