sou · H5B350 · 2017-06-09 00:00:00 — Från hashsumman kan man inte direkt återskapa personnumret, men när man behöver tillföra nya, personnummersatta data till det pseudonymiserade datasetet är det lätt att återupprepa pseudonymiseringsprocessen och erhålla samma pseudonymer från samma personuppgifter, under förutsättning att personnumret inte ändrats för en enskild individ. Nackdelen är att denna process, särskilt om man bara använder en enstaka, starkt identifierande, uppgift som personnummer, inte är särskilt resistent mot återidentifiering. Om hashfunktionen är känd och man önskar ta reda på vilket personnummer som motsva- rar en viss pseudonym räcker det med att pröva de cirka 400 miljoner möjliga personnummervärden som finns med hashalgoritmen för 16Se SOU 2014:45 s. 337 ff. för en närmare beskrivning av dessa. 17En säker (eller kryptografisk) hashfunktion är en algoritm som används för att determi- nistiskt transformera godtyckligt invärde till ett utvärde (hashsumma) på så sätt att det är mycket svårt att finna vilket invärde som gett upphov till hashsumman. att se vilket som motsvarar detta personnummer.18 För att mot- verka detta bör man välja en hashfunktion som är utformad för att vara resurskrävande. Denna underkategori av funktioner kallas all- mänt nyckelderiveringsfunktioner (key derivation functions). Vid användning av hashfunktionen kompletteras vanligen indata med ett unikt slumpvärde, s.k. saltning. Detta ökar resistensen så länge som saltet hålls hemligt. Det kan dock fortfarande vara möjligt att återidentifiera det ursprungliga värdet, särskilt om typen av vär- det är känd och begränsad vad gäller möjliga värden.19 Pseudonymer i form av kodnycklar Kodnyckelförfaranden är en form av pseudonymisering där det inte finns något samband mellan de identifierande uppgifterna och pseudonymen. I stället väljs varje pseudonym som ett slumpvärde eller liknande. Kopplingen mellan de identifierande uppgifterna och pseudonymen sparas i en förteckning (kodnyckel). För att över- sätta mellan identifierande uppgifter och pseudonymer behövs denna kodnyckel. Ett dataset där sådan kodning har tillämpats kommer att utgöra personuppgifter. Kodnyckelförfaranden kräver att en betrodd part hanterar den kodnyckel som kopplar samman de tilldelade pseudonymerna till de direkt identifierande uppgifterna. Vid exempelvis longitudinella studier kan det medföra svårigheter att bevara kodnycklar på så sätt att nya uppgifter från primärkällor kan tillföras forskningsdatan med bibehållande av samma pseudonymer. Skillnaden mellan pseudonymer baserade på identifierande upp- gifter och pseudonymer i form av kodnycklar kan beskrivas så att i det första fallet utgörs kopplingen av en funktion (algoritm), i det andra fallet av en förteckning (kodnyckel). Funktionen är inte hem- lig, men förteckningen måste vara det. 18Detta med antagandet att datamängden kan innehålla personer födda på 110 olika årtal, att det finns , och att de sista fyra siffrorna i ett personnummer kan anta 10000 olika värden: 110 × 365,25× 10 000 = 401 775 000 olika personnummer. 19Se artikel 29-gruppens yttrande 05/2014, s. 20. När är det inte längre fråga om personuppgifter? De definitioner som presenterats ovan väcker bl.a. frågan om vad som händer om man har pseudonymiserade personuppgifter med en separat kodnyckel, bestående av de kompletterande uppgifter som gör att uppgifterna kan tillskrivas en specifik registrerad, och kodnyckeln förstörs (med antagandet att kodnyckeln faktiskt kan förstöras, med tanke på molntjänster, backupper och annat) – blir det då fråga om anonymiserade data? Vår bedömning är att det blir det, men denna bedömning vilar på en strikt tolkning av definitionen av pseudonymisering: Det centrala för att dataskyddsförordningen ska bli tillämplig är att personupp- gifterna ska kunna tillskrivas en identifierbar person, dvs. det ska finnas antingen en identifierare eller ”en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet” (artikel 4.1). För att det ska vara möjligt att tillskriva en person vissa uppgif- ter måste alltså denna person vara identifierbar. Som vi har sett är förordningens definition av ”identifierbar” bred och omfattar mer än bara namn och personnummer (se särskilt skäl 26 som anger att alla hjälpmedel som rimligen kan komma att användas för att iden- tifiera någon ska beaktas vid denna bedömning). Det är lätt hänt att en viss kombination av attribut som bostadsort, yrke, kön, års- inkomst och liknande faktiskt är specifik för någons identitet i de angivna avseendena. Pseudonymisering måste därför, enligt denna strikta definition, omfatta mer än att bara byta ut identifierare som namn eller personnummer. Även andra attribut måste ändras så att de inte utgör faktorer som är specifika för den fysiska personens identitet i de angivna avseendena. Det kan noteras att artikel 29-gruppen i det tidigare refererade yttrandet om avidentifieringsmetoder ställer ännu högre krav. Enligt dessa metoder ska det inte gå att särskilja (”single out”) en enskild individ på något sätt för att anonymisering ska anses ha skett. Detta gäller alltså även om man inte kan särskilja någon av dennes identiteter enligt ovan, utan endast avgöra att en viss post handlar om en särskild individ.20 20 Jfr artikel 29-gruppens yttrande 05/2014, s. 14. Att en enskild person kan särskiljas, exempelvis genom att det i ett större dataset går att avgöra vilka poster som kan hänföras till denne person, är alltså inte nödvändigtvis samma sak som att denne är identifierbar. Personer vars personuppgifter är pseudonymise- rade är alltid särskiljbara (genom själva pseudonymen). Att det går att särskilja exempelvis medicinska mätvärden för en enskild person innebär inte att denne person är identifierbar såvida inte mätvär- dena tillsammans är specifika för exempelvis personens fysiska eller fysiologiska identitet. Uppgifter om en viss person kan alltså vara särskiljbara utan att dataskyddsförordningen blir tillämplig, så länge som personen inte också är identifierbar enligt förordningens definition. Randomisering är en familj av åtgärder som alla har det gemensamt att ett dataset skyddas genom att uppgifterna i det förvrängs i syfte att försvåra bakvägsidentifiering. Det ska i sammanhanget nämnas att alla förvrängningar av enskilda observationer innebär svårigheter för forskningen om metodiken innefattar att undersöka samband mellan värden på individnivå. Brustillägg innebär att enskilda attribut ändras inom vissa inter- på så sätt att uppgifter inom en enskild post inte längre stäm- mer och därför inte kan användas för att återidentifiera en individ, men där attributets sammanlagda distribution i datasetet som hel- het är oförändrat. Permutation innebär att enskilda attribut byts mellan poster så att varje enskilt attribut är korrekt, men inte uppträder i samma post som det ursprungligen gjorde. Detta kan ses som ett specialfall av brustillägg, men där intervall och distribution för varje attribut är oförändrat. Brustillägg och permutation är tekniker som måste tillämpas i förväg på ett dataset, och som syftar till att datasetet i sin helhet ska kunna överföras till en tredje part, utan risk att denna tredje part ska kunna göra en återidentifiering på materialet. I jämförelse är differentiell integritet (”differential privacy”) en teknik där det ursprungliga datasetet är oförändrat, men där tredje part inte ges tillgång till det. I stället får tredje part tillgång till vyer över datasetet utifrån en upp- sättning fasta frågor. I en sådan vy läggs brus på attributvärden på ett sådant sätt att datasetets ägare (personuppgiftsansvarig) kan kon- trollera hur mycket brus som ska läggas på för att kunna garantera en viss nivå av skydd. En fördel med denna metod är att åtkomst till datasetet sker genom fördefinierade frågor och under kontroll av ägaren till datasetet. Denne kan då övervaka om det uppstår möjligheter att identifiera enskilda individer genom olika vyer på datasetet. Som skyddsåtgärd har differentiell integritet dock en praktisk nackdel i att det fulla datasetet fortfarande samlas in. Det finns där- för en risk att överanvändandet av differentiell integritet leder till att mer dataset skapas än vad som är nödvändigt. I praktiken riske- rar även dessa dataset göras tillgängliga i större utsträckning än vad som är nödvändigt, exempelvis via internet. Med generalisering menas i allmänhet att undvika identifiering genom kvasiidentifierare på så sätt att integritetskänsliga eller sär- skiljande uppgifter aggregeras. I stället för att datasetet talar om exakt ålder på en registrerad så anges vilket åldersspann (exempel- vis ”20–”) denne faller inom. Sådan aggregering eller generali- sering kan förstås begränsa informationen i och värdet av datasetet. Flera metoder för generalisering syftar till att minimera informa- tionsförlusten av datasetets statistiska värde, men maximera svårig- heten att urskilja enskilda individer i datasetet. Med K-anonymitet utformas varje attributs möjliga värden så att minst K antal individer delar samma attributvärde. En enskild indi- vid kan då inte identifieras som annat än del av en K individer stor grupp. Genom att välja värde på K kan man styra datasetets upp- lösning gentemot integritetsskyddet för den enskilde. K-anonymitet adresserar inte problemet med ekvivalensklasser, som kan beskrivas som grupper av attribut som kan vara korrelerade på så sätt att de kan användas för återidentifiering. L-diversitet kan ses som en utökning av K-anonymitet där problemet med ekvivalens- klasser hanteras så att varje attribut i en ekvivalensklass har minst L olika värden. Ett känsligt attribut är ett attribut som en angripare inte ska kunna härleda, dvs. en personuppgift vars exakta värde inte ska röjas. Med K-anonymitet och L-diversitet finns risken att fördelningen för ett sådant attribut inte är tillräckligt nära den riktiga fördelningen, vilket i sin tur kan leda till informationsläckage. T-närhet åtgärdar detta genom att kräva att skillnaden i fördelningen av ett känsligt attribut i någon ekvivalensklass och fördelningen av samma attribut i det totala datasetet befinner sig under ett tröskelvärde T. I svensk lagstiftning har ofta sökbegränsningar, dvs. förbud mot användning av vissa sökbegrepp, använts som en slags skydds- åtgärd, särskilt i registerförfattningar.21 Det rör sig vanligtvis om förbud eller begränsningar kring att använda känsliga personupp- gifter eller uppgifter om lagöverträdelser och liknande som sök- 21 Se bl.a. prop. 2007/08:126, s. 67 f, prop. 2000/01, s. 100 f. samt prop. 2014/15:148, s. 51 f. Dataskyddsförordningen innehåller i sig inte någon regler- ing av just sökmöjligheter, men eftersom sökning och den resulte- rande sammanställningen utgör en form av personuppgiftsbehand- ling måste den, som all annan behandling, vara förenlig med de an- givna ändamålen. Sökningar som avslöjar och sammanställer känsliga personupp- gifter är en åtgärd som ligger nära det som ursprungligen har moti- verat förbudet mot behandling av känsliga personuppgifter, nämli- gen möjligheten att kartlägga personer på grundval av exempelvis etnicitet eller politiska åsikter. har därför föreslagit ett generellt förbud mot att använda dessa typer av upp- gifter som sökbegrepp när personuppgifter behandlas med stöd av ett viktigt allmänt intresse (artikel ), i första hand i samband med ärendehandläggning.22 Vid personuppgiftsbehandling för forskningsändamål måste det dock vara möjligt att göra urval baserade på de faktorer eller variab- ler som ska studeras när detta är nödvändigt för att uppfylla ända- målet med behandlingen. Dessa faktorer eller variabler kan utgöras av känsliga personuppgifter eller uppgifter om lagöverträdelser och liknande. Frågan om sökbegränsningar för system inrättade för forsknings- ändamål har aktualiserats i enskilda fall, exempelvis i samband med personuppgiftsbehandling vid utvärdering (IFAU). I förarbetena uttalades bl.a. följande: IFAU söker i sina studier svar på frågan om värdet på en variabel, t. ex. antal dagar i arbetslöshet, har betydelse i förhållande till en viss utfalls- variabel, t.ex. att en enskild har fått arbete. Forskningsmetodiken är ofta explorativ på så sätt att olika modeller med många variabler under- söks. De variabler som inte har någon betydelse för utfallsvariabeln ute- sluts. Då återstår samband som kan tolkas och utvärderas. Att leta sam- band bland många variabler, även bland sådana där uppenbara logiska samband saknas, har visat sig vara en effektiv och värdefull metod för att hitta ny kunskap. Det är därmed inte önskvärt att begränsa antalet variabler som IFAU får använda i sin verksamhet.23 22SOU 2017:39 avsnitt 10.6.2. 2011/12:176 s. 48 f. Även rörande den s.k. LifeGene-lagen har sökbegränsningar som skyddsåtgärd avstyrkts: Med hänsyn till att det för utlämnande till forskningsprojekt måste vara möjligt att göra urval baserade på de faktorer eller variabler som ska studeras bör det dock inte i den föreslagna lagen ställas upp några begränsningar för vilka sökbegrepp som får användas.24 Även har behandlat frågan om sök- begränsningar i databaser för forskningsändamål, och inte funnit skäl att införa sådana begränsningar: Endast uppgifter som är nödvändiga för databasens ändamål ska få förekomma i denna. Det innebär att innehållet i databasen och därmed också möjliga sökbegrepp är noga avvägt och begränsat. För att data- basen ska vara användbar och ändamålsenlig bör det inte ställas upp några begränsningar av vilka sökbegrepp som får användas.25 Mot bakgrund av ovanstående anser vi därför inte att en generell sökbegränsning ska gälla vid personuppgiftsbehandling för forsk- ningsändamål. Utbildning av personal med tillgång till personuppgifter Att utbilda den personal som har tillgång till personuppgifter lyftes fram som en av flera möjliga skyddsåtgärder vid förhandlingarna även om detta inte togs med i den slutliga förordningstexten.26 Att utbilda personal får i allmänhet anses följa av förordningens all- männa bestämmelser och varje individs skyldighet att känna till lagen, och i synnerhet av den princip som framgår av artikel 5.2 (ansvars- skyldighet). Det kan dock inte uteslutas att certifiering27 eller lik- nande av personal med tillgång till personuppgifter kan vara en orga- nisatorisk åtgärd som minskar risken för intrång i de registrerades integritet. 2012/13:163 s. 43. 25SOU 2014:45 s. 442. 26Note from German delegation to Working Party on Protection, Subject: Pseudonymisation (dokument 14705/14, ), data.consilium.europa.eu/doc/document/ST-14705-2014-INIT/en/pdf 27Med certifiering avses här ett utfärdande (från ett behörigt certifieringsorgan) som syftar till att visa att en viss person har kunskap om personuppgiftsbehandling och dess förenlighet med förordningen. Det bör i sammanhanget nämnas att dataskyddsförordningen reglerar och uppmuntrar möjligheten till certifiering av behandling av personuppgifter (artikel 42). Det är dock inte samma sak som certifiering av personuppgiftsansvariga när denna tar sikte på själva processen för behandlingen snarare än de personer som utför den. Det följer direkt från förordningens säkerhetskrav att den person- uppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att varje fysisk person som utför arbete under dennes överinseende endast behandlar personuppgifter på instruktion från denne (arti- kel 32.4). Utöver detta kan det också vara fördelaktigt att avskilja personuppgiftsbehandlande verksamhet från övrig verksamhet. Att skapa en avskild verksamhet inom en större myndighet eller ett företag, genom att exempelvis ha fysiskt avskilda servrar, låsta avdelningar, organisatorisk indelning, behörighetskontroll med mera, syftar till att begränsa framför allt de personer som har till- gång till personuppgifterna, samt även utgöra en tydligare och mer kontrollerbar gräns som skydd mot dataintrång. Det kan därför ut- göra en skyddsåtgärd i dataskyddsförordningens mening. Ett exempel på en lagreglerad avskild verksamhet utgör 10 § för- ordningen (2001:100) om den officiella statistiken, som rör behand- ling av personuppgifter och som anger att en statistikansvarig myn- dighets verksamhet för framställning av statistik ska vara organiserad så att den är avgränsad från myndighetens verksamhet i övrigt. Regelefterlevnad (”compliance”) När en viss skyddsåtgärd införs är det viktigt att verksamheten an- passas så att det är möjligt att kontrollera att åtgärden har avsedd effekt. Om exempelvis accesskontroll för personuppgifter införs kan man inte veta om den fungerar som avsett utan att följa upp hur denna kontroll har efterlevts i praktiken. Detta görs ofta genom loggkontroller, där man analyserar de loggar som systemet för access- kontroll kan föra, och genom vilka man kan få reda på vilka som har medgivits eller nekats tillgång till vilka resurser. Sådan loggning och logguppföljning utgör förstås personupp- giftsbehandling i sig, med de anställda som registrerade, och behö- ver ha stöd i bl.a. artiklarna 5 och 6 i dataskyddsförordningen. I en bredare bemärkelse utgör regelefterlevnad ett förfarande för att testa, undersöka och utvärdera effektiviteten hos andra skydds- åtgärder. Av artikel 32.1 d framgår att ett sådant förfarande kan över- vägas för att säkerställa en lämplig säkerhetsnivå. Förordningen före- lägger dock inte den personuppgiftsansvarige att göra just detta. Regelefterlevnad utgör således ett förfarande för att bl.a. testa, undersöka och utvärdera effektiviteten av införda åtgärder, och är enligt utredningens bedömning en skyddsåtgärd som kan användas för att säkerställa en lämplig säkerhetsnivå. Det finns ett antal rättsligt orienterade åtgärder som kan öka skyddet för personuppgifter och de registrerades grundläggande rättigheter och friheter. Vi har samlat dessa under begreppet ”rättsliga skydds- åtgärder”, en indelning som inte förekommer i förordningstexten. Det bör uppmärksammas att termen ”tekniska och organisato- riska åtgärder” används i artikel 89.1, angående vilka åtgärder som krävs för behandling av personuppgifter för bl.a. vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Detta får anses medföra att en rättslig åtgärd inte ensam kan utgöra sådan skyddsåtgärd som krävs enligt denna artikel. På andra ställen i förordningen (bl.a. artikel 9.2 j om behandling av känsliga uppgifter) används däremot ”lämpliga skyddsåtgärder” utan någon avgränsning. I detta sammanhang är det fråga om så- dana åtgärder som ska vara fastställda enligt unionsrätten eller med- lemsstaternas nationella rätt. Det krävs därför en vidare analys av i vilka sammanhang följande åtgärder kan uppfylla förordningens krav på skyddsåtgärder. Utöver nedanstående åtgärder analyseras även etikprövning som skydds- åtgärd i kapitel 14. I vissa sammanhang kan avtalsvillkor som exempelvis begränsar mot- tagares rätt att vidarebehandla personuppgifter utgöra en skydds- åtgärd. Ett exempel är SCB:s tjänst för mikrodata (). Med mikrodata avses i statistiska sammanhang information på individu- ell svarsnivå. Detta innefattar vanligen personuppgifter. I tjänstens användarvillkor intygar användaren bl.a. att inte kopiera mikrodata från MONA-systemet till annan dator.28 Skyddet består i att ytterligare behandling hos mottagaren – som förstås måste ha en tillämplig rättslig grund för sin behandling av personuppgifter och i övrigt uppfylla de grundläggande princi- perna för personuppgiftsbehandling – genom ett eller flera avtals- villkor kan begränsas. Av dataskyddsförordningens artikel 46.3 e framgår att avtalsvillkor kan utgöra skyddsåtgärder vid vissa tredje- landsöverföringar. Vår bedömning är att avtalsvillkor generellt kan utgöra skyddsåtgärder. Lämpligheten är dock förstås avhängigt vill- korens materiella innehåll. Detta avsnitt fokuserar på skyddet för personuppgifter som be- handlas inom ramen för forskningsverksamhet när det är fråga om att lämna ut dessa personuppgifter till annan verksamhet. I offentlighets- och sekretesslagen (2009:400) (OSL) regleras ett fåtal typer av uppgifter i sammanhang som har direkt anknytning till forskning: Uppgift som hänför sig till psykologisk undersökning som ut- förs för forskningsändamål (24 kap. 1 § OSL). Uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden som har tillförts det rättspsykiatriska forsknings- registret (24 kap. 2 § OSL). Uppgift som avser en enskilds personliga förhållanden i verksam- het enligt lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (den s.k. ”LifeGene- lagen”), 24 kap. 2 a § OSL). 28 Se även FAQ: ”Finns det restriktioner på vilken typ av information filerna jag tar hem får innehålla? Ja, datafiler får ej innehålla mikrodata utan enbart aggregat.”, Produkter_Tjanster/Forskare/_Dokument//FAQ.pdf Uppgifter om en enskilds personliga eller ekonomiska förhållan- den i verksamhet som består i etikprövning och tillsyn enligt etik- prövningslagen (24 kap. 3 § OSL). Uppgift i en upptagning som har dialektologiskt eller etnolo- giskt innehåll och som har gjorts eller anskaffats för vetenskap- ligt ändamål, (24 kap. 4 § OSL). Utöver ovanstående finns vissa regler till skydd för enskild som gäller oavsett i vilket sammanhang uppgiften förekommer: Uppgifter om enskilds hälsa eller sexualliv (21 kap. 1 § OSL). Om ett utlämnande av personuppgift skulle medföra att uppgif- ten behandlas i strid med personuppgiftslagen (21 kap. 7 § OSL). Dessa bestämmelser har olikartad utformning vad gäller presum- tion för offentlighet eller sekretess, sekretessens styrka m.m. Ut- formningen av bestämmelserna i varje enskilt fall får antas ha gjorts med beaktande av risker för den enskilde. Under dessa förutsätt- ningar är vår bedömning att de aktuella sekretessbestämmelserna också utgör skyddsåtgärder i dataskyddsförordningens mening. En likartad bedömning har även tidigare gjorts i samband med genom- förandet av det nuvarande dataskyddsdirektivet.29 Eftersom sekretess- lagstiftningen i sig utgör en avvägning mellan skyddet för den en- skilde och insynsintresset får lagstiftningen presumeras vara för- enlig med det väsentliga innehållet i rätten till dataskydd. Av praktisk betydelse för forskningen är även den regel om över- föring av sekretess som återfinns i 11 kap. 3 § OSL och som anger att om en myndighet i sin forskningsverksamhet får en sekretess- reglerad uppgift från en annan myndighet, blir sekretessbestämmel- sen tillämplig på uppgiften även hos den mottagande myndigheten (med undantag för uppgifter som ingår i beslut hos den mottag- ande myndigheten). Den s.k. statistiksekretessen (24 kap. 8 § OSL) är här av särskild betydelse för registerbaserad forskning. En effekt av en sekretessbestämmelse är att den person som vid en myndighet får del av en uppgift för vilken det råder sekretess kan dömas till ansvar för brott mot tystnadsplikt om denne ändå röjer uppgiften (20 kap. 3 § via 4 kap. 2 § OSL). 29 SOU 1997:39 s. 307. vissa sekretessbestämmelser går denna tystnadsplikt även före den grundlagsskyddade meddelarfriheten. I den mån aktuell forskning utförs inom en myndighet bedömer utredningen att tillämpliga sekretessbestämmelser utgör en rättslig skyddsåtgärd för den registrerades rättigheter och friheter. Användning av tystnadsplikt som skyddsåtgärd nämns särskilt i förordningens artikel 9.2 i som ett undantag från det generella för- budet att behandla känsliga personuppgifter på folkhälsoområdet. En motsvarande bestämmelse saknas dock för behandling för forskningsändamål. Av föregående avsnitt om sekretess framgår att det för en uppgift som omfattas av sekretess råder tystnadsplikt för den person vid en myndighet som får del av uppgiften. Utöver den tystnadsplikt som följer av sekretessen finns regler om tystnadsplikt som träffar personer inom enskild verksamhet.