sou · H5B350 · 2017-06-09 00:00:00 — Detta kan enligt artikel 6.3 avse vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, där- ibland för behandling i andra särskilda situationer enligt kapitel IX i 13 SOU 2017:39 avsnitt 8.3.4. Fastställande av rättslig grund I kapitel IX finns bland annat artikel 89 som anger särskilda villkor för behandling av personuppgifter för forskningsändamål. Det är således möjligt enligt dataskyddsförordningen att införa särskilda bestämmelser i nationell rätt som specificerar när och hur personuppgiftsbehandling för forskningsändamål får ske. 5.5.2Fastställande av den rättsliga grunden allmänt intresse Utredningens förslag: Personuppgifter ska med stöd av artikel 6.1 e i dataskyddsförordningen få behandlas för forskningsända- mål om behandlingen är nödvändig och proportionerlig för att ut- föra forskning av allmänt intresse. Forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. Det är av avgörande betydelse för forskning att kunna behandla personuppgifter. Inte sällan innebär detta för såväl offentliga som privata forskningsaktörer att forskning måste ges möjligheter att behandla personuppgifter även utan samtycke. Som utredningen konstaterat kan den rättsliga grunden uppgift av allmänt intresse, i vårt fall forskningsuppgiften, fastställas i instruk- tion eller särskilt beslut för varje enskild myndighet. Mot bakgrund av att det inte enbart är universitet och högskolor, utan även ett flertal andra myndigheter, som bedriver forskning skulle arbetet med att fastställa den rättsliga grunden för var och en av dessa myndig- heter separat kräva en omfattande arbetsinsats. Vidare skulle ett kontinuerligt arbete med att hålla detta system uppdaterat behöva utföras, så att inte forskning av allmänt intresse omöjliggörs p.g.a. att den rättsliga grunden inte är fastställd för en viss myndighet. är det forskningsaktören själv som bedömer huruvida aktuell personuppgiftsbehandling är nödvändig för att utföra en forskningsuppgift av allmänt intresse så att behandlingen är tillåten enligt 10 § d personuppgiftslagen. Eftersom dataskyddsförord- ningen möjliggör en övergripande reglering som fastställer den rättsliga grunden, är det utredningens samlade bedömning att ett sådant förfarande är att föredra. Detta innebär att forskningsaktören även fortsatt har att bedöma att den forskning som utförs är av Fastställande av rättslig grund allmänt intresse, och att personuppgiftsbehandlingen är nödvändig för att utföra forskningen, och därmed kan stödja sig på att den rättsliga grunden för detta är fastställd i den övergripande lagen som forskningsaktören omfattas av. Utredningen har vidare konstaterat att för privata forsknings- aktörer krävs att åtgärder vidtas för att fastställa forskningsuppgiften som en uppgift av allmänt intresse om privata aktörer ska kunna åberopa den rättsliga grunden. Att dataskyddsförordningen skulle medföra sådana betydande skillnader som utredningen redogjort för avseende möjligheterna att åberopa de olika rättsliga grunderna i artikel 6.1 vid behandling av personuppgifter för likvärdiga forsk- ningsändamål, helt beroende på vilken organisationsform aktören har, har enligt utredningens bedömning rimligen inte varit avsikten. Eftersom också privata aktörer bedriver forskning som är av allmänt intresse är det rimligt att all sådan forskning ska kunna tillämpa samma rättsliga grund för laglig behandling. Ett bärande argument för att möjliggöra även för privata forskningsaktörer att behandla personuppgifter för forskningsändamål genom att tillämpa artikel 6.1 e som rättslig grund är vidare att forskning ofta bedrivs i samverkan mellan offentliga och privata forskningsaktörer. Att gemensamt bedriven forskning inte skulle kunna utföras på samma rättsliga grund, enbart beroende på respektive forskningsaktörs rättsliga status, får inverkan på forskningens bedrivande och resultat. Forskningsdatalagen ska ge en rättslig grund för behandlingen av personuppgifter för forskningsändamål för samtliga forsknings- aktörer, oavsett om de är offentliga eller privata, genom att fast- ställa att personuppgifter får med stöd av artikel 6.1 e i dataskydds- förordningen behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse. Forskning av allmänt intresse får utföras av statliga myndig- heter, kommuner och landsting, andra juridiska personer och en- skilda näringsidkare Det är själva arbetsuppgiften av allmänt intresse som ska fast- ställas i en forskningsdatalag, inte varje behandling av personupp- gifter som utförs i syfte att utföra uppgiften. Detta innebär att det är uppgiften att utföra forskning som ska fastställas i forsknings- datalagen för att denna lag ska kunna utgöra rättslig grund för be- handling av personuppgifter för forskningsändamål för de aktörer som omfattas av lagen. I forskningsdatalagen ska vidare villkor för Fastställande av rättslig grund behandling av personuppgifter för ändamålet forskning oavsett rätts- lig grund, specificeras inom ramen för de möjligheter som finns att i nationell lag specificera de direkt tillämpliga bestämmelserna i för- ordningen. I samband med fastställande av rättslig grund enligt dataskydds- förordningen framgår av skäl 41 att en sådan rättslig grund bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för per- soner som omfattas av den. Av skäl 33 framgår vidare att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Av skäl 159 framgår dessutom att behandling av personuppgifter för vetenskapliga forskningsändamål bör ges en vid tolkning. Mot denna bakgrund är det utredningens bedömning att det är förenligt med dataskyddsförordningens vid- sträckta syn på personuppgiftsbehandling för forskningsändamål att fastställa den rättsliga grunden forskning som en uppgift av all- mänt intresse. Detta låter sig mer specifikt göras i en forsknings- datalag som är tillämplig för alla slags forskningsaktörer som bedri- ver sådan forskning. Utredningens förslag: Forskningsdatalagen ska innehålla en be- stämmelse som upplyser om att det av dataskyddsförordningen framgår att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. För förståelsen av den ovan föreslagna bestämmelsen, om fastställ- ande av den rättsliga grunden i artikel 6.1 e med stöd av artikel 6.2 och 6.3, behövs det enligt utredningens bedömning en inledande upplysningsbestämmelse som påminner tillämparen om att person- uppgifter får behandlas bara om minst ett av de villkor som anges i artikel 6.1 i dataskyddsförordningen är uppfyllt. Detta tydliggör också att forskningsdatalagen omfattar all personuppgiftsbehandling för forskningsändamål, oavsett rättslig grund för behandlingen. Fastställande av rättslig grund Dataskyddsförordningens bestämmelser innebär att offentliga forsk- ningsaktörer framför allt har att utgå från artikel 6.1 e, uppgift av allmänt intresse, vid personuppgiftsbehandling för forsknings- ändamål. Privata forskningsaktörer har framför allt att utgå från sam- tycke, enligt artikel 6.1 a, eller intresseavvägning, enligt artikel 6.1 f, vid personuppgiftsbehandling för forskningsändamål. För att pri- vata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs inför- ande av författningsstöd. Det är angeläget med ett sammanhållet grundläggande regelverk för personuppgiftsbehandling för forskningsändamål, inte minst för att uppnå ett rättssäkert och adekvat skydd för den enskildes integritet. Olika forskningsaktörers möjligheter till samverkan och att bedriva forskning som kan komma att få nytta för allmänheten bör likställas i så stor utsträckning som möjligt. Skyddet för den personliga integriteten ska alltid hålla lika hög nivå oberoende av kategori av forskningsaktör. Detta bör åstadkommas genom skydds- åtgärder. Utredningen föreslår därför att det införs en bestämmelse i forskningsdatalagen som möjliggör för såväl offentliga som pri- vata forskningsaktörer att åberopa uppgift av allmänt intresse som rättslig grund för behandling av personuppgifter för forsknings- ändamål. 6Behandling av personuppgifter med samtycke I föregående kapitel 5 behandlas de allmänna förutsättningarna för behandling av personuppgifter för forskningsändamål, behovet av nationell lagstiftning med anledning av artikel 6.2 och 6.3 i data- skyddsförordningen (EU 2016/679), samt hur de aktuella forsk- ningsaktörerna i möjligaste mån kan likställas genom införandet av en nationell forskningsdatalag. Den föreslagna regleringen inriktas på att laglig behandling för forskningsändamål baseras på den rätts- liga grunden allmänt intresse enligt artikel 6.1 e, men även intresse- avvägning enligt artikel 6.1 f kan komma ifråga. Personuppgifts- behandling för forskningsändamål kan också grundas på att den registrerade lämnat sitt samtycke för ett eller flera specifika ända- mål enligt artikel 6.1 a i dataskyddsförordningen. Samtycke ska enligt definitionen i artikel 4.11 i dataskyddsför- ordningen vara frivilligt, specifikt, otvetydigt och vad gäller känsliga personuppgifter uttryckligt. Det ska vidare vara baserat på att den som lämnar samtycket har fått tillräcklig information, samt utgöra ett uttalande eller en entydig bekräftande handling. Dessa begrepp behandlas i följande avsnitt med avsikten att, utifrån en jämförelse med kraven på samtycke i det nuvarande dataskyddsdirektivet och personuppgiftslagen, bedöma de konsekvenser dataskyddsförord- ningen kan medföra med avseende på förändringar av samtyckets ställning och innebörd vid personuppgiftsbehandling för forsk- ningsändamål. Behandling av personuppgifter med samtycke Artikel 7 i det nuvarande dataskyddsdirektivet (95/46/EG) anger samtycke som en av ett antal uppräknade förutsättningar för att en personuppgiftsbehandling ska vara tillåten. Dataskyddsdirektivet införlivades i svensk rätt genom personuppgiftslagen. I 10 § person- uppgiftslagen anges att personuppgifter får behandlas om den regi- strerade har lämnat sitt samtycke. Vid samtycke enligt detta lagrum krävs det inte att behandlingen är nödvändig i lagens mening. I 10 § personuppgiftslagen följer därefter en uppräkning av sex ändamål för vilka behandlingen måste vara nödvändig för att ända- målet ska kunna uppfyllas och behandlingen därmed vara tillåten. Även om behandling med stöd av samtycke kan ske utan att den är nödvändig måste den i övrigt vara förenlig med de grundläggande krav på personuppgiftsbehandling som föreskrivs i 9 §. Detta gäller för all behandling som är tillåten enligt 10 §. Om det är fråga om känsliga personuppgifter gäller enligt 13 § personuppgiftslagen som huvudregel att behandling är förbjuden. Undantag från förbudet mot behandling av känsliga personuppgif- ter föreskrivs i 14 §. Enligt 15 § får exempelvis känsliga personupp- gifter behandlas om den registrerade har lämnat sitt uttryckliga sam- tycke till behandlingen eller på ett tydligt sätt offentliggjort uppgif- terna. Känsliga personuppgifter får enligt 19 § behandlas för forsk- ningsändamål om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövnings- lagen). Av 3 och 6 §§ etikprövningslagen framgår att forskning som innefattar behandling av känsliga personuppgifter får utföras bara om den har godkänts vid en etikprövning. Detta krav omfattar således även behandling av känsliga personuppgifter som grundas på sam- tycke. Samtycke ska enligt 3 § personuppgiftslagen vara frivilligt, sär- skilt, otvetydigt och beträffande känsliga personuppgifter även vara uttryckligt för att vara giltigt. Det ska också vara baserat på att den som lämnar samtycket har fått tillräcklig information. Kravet på uttrycklighet vad gäller känsliga personuppgifter utgör en markering av vikten av att just i det fallet säkerställa att ett giltigt samtycke har inhämtats. Behandling av personuppgifter med samtycke Samtycke kan för en vuxen person enbart lämnas av den regi- strerade själv. När det gäller personer som på grund av sjukdom, psykisk störning eller försvagat hälsotillstånd är ur stånd att vårda sig själva är möjligheten till att ge samtycke för personuppgifts- behandling begränsad. För personer som helt saknar eller har ned- satt förmåga att hantera sina egna angelägenheter, t.ex. när det gäller att bevaka sin rätt, förvalta sin egendom eller sörja för sin person, kan en god man eller förvaltare förordnas enligt 11 kap. 7 § föräldra- balken. Personer som har nedsatt förmåga att själva ta ställning till vård eller behandling inom hälso- och sjukvården eller tandvården kan med gällande regler sällan få hjälp av en god man eller för- valtare i beslutsfattandet. Reglerna om de gode männens och för- valtarnas befogenheter tillåter normalt inte ställningstaganden av det slaget. I betänkandet Stöd och hjälp till vuxna vid ställnings- taganden till vård, omsorg och forskning (SOU 2015:80) föreslogs en ny lag om stöd och hjälp till vuxna vid ställningstaganden till hälso- och sjukvård och omsorg. Betänkandet bereds för närvar- ande i . Om individen är ett barn ska samtycket i vissa fall inhämtas av en vårdnadshavare eller av både vårdnadshavaren och barnet. Det finns ingen klart fastställd åldersgräns för när samtycke kan ges. Datainspektionen lämnar följande vägledning: En ungdom/barn som inte själv kan tillgodogöra sig informationen kan inte lämna ett rättsligt giltigt samtycke. I sådana fall ska samtycket istället inhämtas från vårdnadshavaren. Frågan om en person förstår innebörden av informationen måste bedömas från fall till fall med utgångspunkt i den enskilda individens mognad.1 Den registrerade kan när som helst återkalla samtycket. Förbud gäller då för fortsatt personuppgiftsbehandling enligt 12 § person- uppgiftslagen. Behandling av de personuppgifter som redan samlats in på grundval av tidigare lämnat samtycke är dock fortfarande tillåten. Personuppgifterna måste enligt 9 § g personuppgiftslagen fortsatt vara riktiga och, om det är nödvändigt, aktuella, vilket kan vara svårt att tillgodose . Det är exempelvis inte tillåtet att registrera ett namnbyte om samtycket har återkallats. Behandling av personuppgifter med samtycke I dataskyddsförordningen anges grundläggande principer för be- handling av personuppgifter i artikel 5. Bestämmelser om när be- handling av personuppgifter är laglig finns i artikel 6 och villkor avseende särskilda kategorier av personuppgifter (känsliga person- uppgifter) i artikel 9. I artiklarna 6 och 9 räknas samtycke upp bland andra villkor för laglig behandling av personuppgifter: Laglig behandling av personuppgifter Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål. Behandling av särskilda kategorier av personuppgifter 1.Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. 2.Punkt 1 ska inte tillämpas om något av följande gäller: a) Den registrerade har uttryckligen lämnat sitt samtycke till behand- lingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskri- ver att förbudet i punkt 1 inte kan upphävas av den registrerade. I likhet med det nuvarande dataskyddsdirektivet är samtycke i arti- kel 6 en av flera jämställda alternativa rättsliga grunder för person- uppgiftsbehandling. Formuleringen i dataskyddsdirektivet avviker från personuppgiftslagens bestämmelse i 10 § där samtycke tas upp före uppräkningen i punkterna a–f. I samband med att dataskydds- direktivet införlivades i svensk rätt, genom personuppgiftslagen, gavs således samtycket en formulering som skulle kunna tolkas som att detta sätt att göra en behandling tillåten har en särskild ställning Behandling av personuppgifter med samtycke i förhållande till andra rättsliga grunder. Detta skulle då gälla utöver den särställning det har genom att behandling grundad på samtycke inte måste vara nödvändig. Huruvida personuppgiftslagen ska tol- kas på detta sätt kan dock diskuteras. Det förefaller emellertid inte som om samtycke enligt data- skyddsförordningen skulle ha en särställning i förhållande till andra rättsliga grunder. Den s.k. artikel 29-gruppen2 kommenterar att det finns olikheter i synen på samtyckets ställning mellan medlems- staterna och anser att en harmonisering kan åstadkommas genom dataskyddsreformen.3 Samtycke särskiljs dock i förordningen, i likhet med nuvarande bestämmelser, genom att behandling enligt artikel 6.1 a inte behö- ver vara nödvändig. Den rättsliga grunden samtycke behöver inte heller, till skillnad från exempelvis allmänt intresse (artikel 6.1 e), vara fastställd i unions- eller nationell rätt (artikel 6.3). Den rätts- liga grunden samtycke är reglerad genom artikel 6.1 a och någon ytterligare reglering avseende den rättsliga grunden i nationell rätt är inte möjlig. Barns samtycke som rättslig grund enligt dataskyddsförordningen har behandlats utförligt av Dataskyddsutredningen.4 Beträffande samtycke vid behandling av känsliga personuppgif- ter regleras detta särskilt i artikel 9.2 a i dataskyddsförordningen. 6.3Samtycke och känsliga personuppgifter Utredningens bedömning: Med utgångspunkt i artikel 9.2 a i dataskyddsförordningen är det möjligt att behandla känsliga personuppgifter för forskningsändamål med samtycke som rätts- lig grund när samtycke föreligger tillsammans med godkännande efter etikprövning enligt etikprövningslagen. 2Artikel 29-gruppen är skapad under artikel 29 i det nuvarande dataskyddsdirektivet, för en utförligare beskrivning se avsnitt 3.3.1. 3Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 7. 4SOU 2017:39 kapitel 9. Behandling av personuppgifter med samtycke Enligt artikel 9.1 i dataskyddsförordningen är behandling av käns- liga personuppgifter5 förbjuden. Undantag från förbudet ges dock för vissa typer av behandling enligt artikel 9.2 a–j. Om den registre- rade uttryckligen har lämnat sitt samtycke kan detta enligt arti- kel 9.2 a upphäva detta förbud, utom då unionsrätten eller medlems- staternas nationella rätt föreskriver att förbudet inte kan upphävas. Enligt 3 och 6 §§ etikprövningslagen får forskning som inne- fattar känsliga personuppgifter utföras bara om den har godkänts vid en etikprövning.6 En möjlig tolkning av formuleringen i arti- kel 9.2 a är att denna artikel tillsammans med 3 och 6 §§ etikpröv- ningslagen förhindrar behandling av känsliga personuppgifter med samtycke som rättslig grund, så att den rättsliga grunden i stället måste sökas i allmänt intresse enligt artikel 6.1 e. En alternativ tolkning av denna situation är dock att samtycke kan upphäva förbudet mot behandling av känsliga personuppgifter för forskningsändamål, men endast om det kompletteras med etik- godkännande enligt etikprövningslagen.7 Samtycke kan i sådana fall användas som rättslig grund för behandling av känsliga personupp- gifter för forskningsändamål. Denna tolkning ligger närmare den rättstillämpning som gäller och synes kunna förenas med de intentioner som uttrycks i förarbetena till den ändring som genomfördes av etikprövningslagen och som innebar inför- andet av obligatorisk etikprövning av all forskning som innefattar behandling av känsliga personuppgifter.8 Mot denna bakgrund är det utredningens bedömning att arti- kel 9.2 a i dataskyddsförordningen, tillsammans med etikprövnings- lagen, innebär att det är möjligt att behandla känsliga personupp- gifter för forskningsändamål med samtycke som rättslig grund, när samtycke föreligger tillsammans med godkännande efter etikpröv- ning enligt etikprövningslagen. Etikprövningslagen är tillämplig på forskning som ska utföras i . 5I dataskyddsförordningens terminologi de ”särskilda kategorier av personuppgifter” som räknas upp i artikel 9.1. 6Utredningen föreslår i kapitel 14 att dagens hänvisning till 13 § personuppgiftslagen i etik- prövningslagen ska ersättas med en hänvisning till artikel 9.1 i dataskyddsförordningen. 7Detta gäller inom etikprövningslagens geografiska tillämpningsområde. Enligt 5 § etikpröv- ningslagen ska den tillämpas på forskning som ska utföras i . 2007/08:44 s. 20 f. Behandling av personuppgifter med samtycke 6.4Samtyckets innehåll och de krav som ställs på giltigt samtycke I detta avsnitt görs en närmare jämförande analys av definitionen av samtycke i dataskyddsförordningen med definitionen i personupp- giftslagen. Därefter följer en genomgång av vart och ett av de be- grepp som definierar samtycke i dataskyddsförordningen. Denna del beskriver således de krav som ställs på ett giltigt samtycke. I sam- band med detta behandlar olika avsnitt innebörden av de skäl i dataskyddsförordningen som tar upp samtyckets bredd (skäl 33) och dess giltighet när betydande ojämlikhet råder mellan den person- uppgiftsansvarige och den registrerade, exempelvis när den person- uppgiftsansvarige är en myndighet (skäl 43). I 3 § personuppgiftslagen anges att samtycke är varje slag av fri- villig, särskild och otvetydig viljeyttring genom vilken den registre- rade, efter att ha fått information, godtar behandling av person- uppgifter som rör honom eller henne. I 13 § föreskrivs ett principi- ellt förbud mot behandling av känsliga personuppgifter som dock omgärdas av ett antal undantag enligt 14 §. Med stöd i 15 § får t.ex. känsliga personuppgifter behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Dessutom krävs enligt 3 och 6 §§ etik- prövningslagen etikgodkännande när det är fråga om all behandling av känsliga personuppgifter för forskningsändamål. Behandling av personuppgifter med samtycke Artikel 4.11 i dataskyddsförordningen definierar samtycke enligt följande. I denna förordning avses med 11. samtycke av den registrerade: varje slag av frivillig, specifik, infor- merad och otvetydig viljeyttring, genom vilken den registrerade, an- tingen genom ett uttalande eller genom en entydig bekräftande hand- ling, godtar behandling av personuppgifter som rör honom eller henne, Utöver detta föreskrivs i artikel 9.2 a krav på uttryckligt samtycke vid behandling av känsliga personuppgifter. Dataskyddsförordningens införande innebär därmed inga bety- dande förändringar av samtyckets innebörd. Tillägget att samtycket ska vara ett uttalande eller en entydig bekräftande handling kan ses som ett förtydligande av vad som krävs när det gäller aktivitet från den registrerades sida. Det kan få viss betydelse för tolkningen av vilka krav som ska ställas på uttryckligt samtycke enligt artikel 9.2 a i dataskyddsförordningen. Behandling av personuppgifter med samtycke Samtycke ska vara frivilligt. Det innebär att det ska vara tydligt att ingen form av tvång, påtryckning eller negativa konsekvenser av ett uteblivet samtycke får förekomma. Det finns situationer där frivilligheten i samband med ett med- givande till personuppgiftsbehandling kan diskuteras. Ofta är det då inte fråga om samtycke i personuppgiftslagens mening. Det kan till exempel vara nödvändigt att man för att få ta del av en tjänst ingår ett avtal som innebär personuppgiftsbehandling.