sou · H5B350 · 2017-06-09 00:00:00 — Utredningens förslag: Personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål, förutsatt att ändamålet kan uppfyllas på det viset. Pseudonymisering framhålls på flera ställen i dataskyddsförord- ningen som en tänkbar skyddsåtgärd. I praktiken är också pseudo- nymisering och liknande åtgärder viktiga för att skydda enskildas integritet i samband med forskning. I samband med registerforsk- ning är det exempelvis vanligt att personuppgifter lämnas ut från registren i kodad eller pseudonymiserad form. Vi anser därför att den personuppgiftsansvarige ska skydda person- uppgifterna genom att tillämpa pseudonymisering eller likvärdigt skydd, under förutsättning att forskningsändamålen kan uppfyllas på det viset. I denna bedömning har vi framför allt beaktat skaderisken vad gäller intrånget i den registrerades personliga integritet som sam- mankopplingen mellan dennes identitet och anknytande person- uppgifter medför. Denna prioritering har stöd särskilt i skäl 75 i dataskyddsförordningen som lyfter fram risken för ”obehörigt häv- ande av pseudonymisering”. Pseudonymisering innebär enligt defi- nitionen i artikel 4.5 bl.a. att kompletterande information behövs för att sådan tillskrivning ska bli möjlig. Genom att särskilt prioritera konfidentialitet i denna kompletterande information säkerställs skyddsåtgärdens effektivitet. Alternativ till pseudonymisering enligt dataskyddsförordningen Den legaldefinition av pseudonymisering som finns i dataskydds- förordningen är, som beskrivits i avsnitt 12.3.3, strikt och ställer framför allt kravet på att uppgifterna inte ska kunna tillskrivas en specifik registrerad utan att kompletterande uppgifter (som en kod- nyckel) används. Detta kräver att all information som direkt kan identifiera en person ersätts med pseudonymer/koder. Utöver detta krävs även att annan information som kan användas för att indirekt identifiera personen behandlas så att detta är möjligt. Sådan behandling kan medföra att uppgifterna blir mindre läm- pade för det aktuella forskningsändamålet, se exempelvis diskussio- nen om skyddsåtgärderna randomisering och generalisering i av- snitt 12.3.3. till syftet med pseudonymisering bör det därför vara möjligt att använda alternativa skyddsåtgärder, som uppfyller samma syfte, och därmed ger ett likvärdigt eller bättre skydd. Ut- vecklingen, framför allt på det tekniska området, gör det mindre lämpligt att föreskriva en viss form av skyddsåtgärder om lämpligare tekniker kan komma att utvecklas . Vad är likvärdigt skydd? Det skydd som följer av pseudonymisering utgörs främst av att identifierande uppgifter avlägsnas från de uppgifter som behandlas. Information som kan användas för att identifiera den enskilde be- varas separat och omgärdas av säkerhetsåtgärder. Detta hindrar att den enskilde sammankopplas med sina uppgifter. Med likvärdigt skydd avser vi en åtgärd eller kombination av åtgär- der som i samma utsträckning som pseudonymisering förhindrar att den enskilde obehörigen sammankopplas med sina personuppgif- ter. Med obehörig sammankoppling avser vi här en sammankoppling mellan den enskilde och dennes uppgifter som inte framgår från det angivna ändamålet med behandlingen. Alternativa åtgärder kan åstadkomma ett likvärdigt skydd genom att exempelvis begränsa åtkomst till identifierande uppgifter, eller omfatta instruktioner för hur personuppgiftsbehandling får bygga på användning av identifierande uppgifter. Exempel på sådana åtgärder kan vara att en separat organisation har hand om sådan information som kan användas för att identifiera den enskilde, eller att instruktio- nerna för personuppgiftsbehandling inom ramen för forskningen ut- tryckligen förbjuder försök till återidentifiering (jfr avsnitt 12.3.2).38 Detta likvärdighetskriterium för skyddsåtgärder gör det möjligt att exempelvis använda mindre ingripande metoder för att behandla 38 Det torde vara det normala inom de flesta forskningsprojekt att återidentifiering inte får ske. Det tidigare nämnda har dock använt återidentifiering som ett verktyg för att påföra ny information till anonymiserad data. Detta projekt skulle därför inte kunna använda den här föreskriva skyddsåtgärden, utan i stället få åberopa att ändamålet inte kan uppnås på det viset. uppgifterna, exempelvis att endast ersätta direkt identifierande upp- gifter med pseudonymer eller koder (kodning), under förutsättning att ytterligare åtgärder vidtas för att säkerställa att någon obehörig sammankoppling mellan den enskilde och dennes personuppgifter inte sker. Förutsatt att ändamålet kan uppnås på sådant vis Det kan förekomma forskningsmetoder där identifierande uppgifter såsom personnummer måste bevaras och/eller behandlas i själva forskningsverksamheten. Även om sådan behandling kan framgå genom det angivna ändamålet (med behandlingen), och därmed inte kan anses utgöra obehörig sammankoppling, anser vi inte att detta är att betrakta som ett likvärdigt skydd. Forskningsmetoden kan dock utgöra det minst ingripande sättet att uppnå det förväntade resulta- tet, och forskningens vetenskapliga värde kan fortfarande väga upp risken för den enskildes personliga integritet. Det bör därför finnas en möjlighet att inte tillämpa pseudonymi- sering eller annat likvärdigt skydd, om forskningsändamålet annars inte kan uppnås. Det är i första hand forskningsaktören som bedömer om forsk- ningsändamålen kan uppfyllas när pseudonymisering eller likvär- diga skyddsåtgärder tillämpas. I samband med forskning som etik- prövas kan dock etikprövningsnämnder meddela villkor, bland annat om pseudonymisering. Den registrerade ska kunna motsätta sig personuppgiftsbehandling Utredningens förslag: Den enskilde ska ges möjlighet att mot- sätta sig att dennes personuppgifter behandlas för forsknings- ändamål. Om det visar sig vara omöjligt eller medföra en oproportio- nerlig ansträngning att tillhandahålla den enskilde möjligheten att motsätta sig behandlingen, eller om forskningsändamålen annars inte kan uppfyllas, får dock personuppgiftsbehandling ändå utföras. Möjlighet att motsätta sig behandling (opt out) som skyddsåtgärd har berörts i avsnitt 12.3.4. Personuppgiftsbehandling för forsk- ningsändamål torde som huvudregel utföras med stöd av att den är nödvändig för att utföra en uppgift av allmänt intresse. Det finns därför ett behov av att även låta den enskildes inställning påverka möjligheten att behandla dennes personuppgifter. I denna bedömning har vi beaktat vikten av den enskildes medver- kan i en säkerhetsanalys rörande sina egna personuppgifter. Genom att ge den enskilde möjligheten att motsätta sig behandling har vi också tillerkänt den registrerade ett grundläggande inflytande över bl.a. riskbedömningen. Den enskilde har i detta ett begränsat val att antingen låta sina personuppgifter ingå i behandlingen eller inte. Den enskilde måste få vetskap om att behandlingen sker för att kunna motsätta sig behandlingen. Dataskyddsförordningen anger i artiklarna 12–15 på vilket sätt den enskilde ska informeras om sina rättigheter i samband med person- uppgiftsbehandling. Det finns vissa möjligheter till undantag från dessa informationsplikter när personuppgifter behandlas för forsk- ningsändamål. Exempelvis behöver den personuppgiftsansvarige, när uppgifterna erhållits från annan än den registrerade, inte infor- mera den enskilde om det skulle visa sig vara omöjligt eller skulle medföra en oproportionerlig ansträngning (artikel 14.5 b). Den personuppgiftsansvarige behöver inte heller ge den registrerade be- kräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas, eller i så fall ge tillgång till personuppgif- terna samt information om behandlingen (om nationell lagstiftning gör undantag från artikel 15 med stöd av artikel 89.2). Om tillämp- ningen av sådana undantag leder till att den enskilde i praktiken inte kan motsätta sig behandlingen kan denna skyddsåtgärd inte heller anses uppfylld. Undantag från kravet att informera om eller erbjuda möjlighet att motsätta sig behandling I många sammanhang, särskilt vid registerforskning, uppstår prak- tiska problem kring information till de registrerade personerna. Det kan exempelvis röra sig om att forskningen sker utan de regi- strerades samtycke, på personuppgifter som pseudonymiserats eller kodats. Skäl 57 i dataskyddsförordningen anger att den personupp- giftsansvarige inte bör vara tvungen att skaffa ytterligare informa- tion för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i förordningen. Det måste där- för finnas ett undantag från skyldigheten att erbjuda en möjlighet för den enskilde att motsätta sig behandlingen, när det skulle visa sig vara omöjligt eller medföra en oproportionerlig ansträngning att informera den enskilde (jämför artikel 14.5 b).39 Däremot är det i många andra fall tänkbart och lämpligt att informera den registrerade att dennes personuppgifter behandlas, men att det ändå inte går att uppfylla forskningsändamålen om det finns en möjlighet att motsätta sig behandling. Med vissa forskningsmetoder finns vidare problem med bortfall, när enskilda väljer att inte fortsatt medverka. Detta kan öka osäker- heten i forskningsresultaten.40 För vissa studier, exempelvis rörande våld i nära relationer eller smittsamma sjukdomar, kan det dess- utom vara olämpligt eller helt ogörligt att låta den enskilde få infly- tande över om forskningen ska utföras. Om forskningsändamålen med den valda metoden inte kan uppfyllas när den enskilde får rätt att motsätta sig behandling måste det finnas en möjlighet att ändå utföra behandlingen. Vid en sådan bedömning måste forsknings- aktören ta ställning till hur många personer som sannolikt skulle välja att motsätta sig behandlingen, och vad ett sådant bortfall får för effekt på osäkerheten i resultaten. Vi föreslår således att det ska finnas två undantag från kravet att erbjuda den registrerade möjlighet att motsätta sig behandling, dels om det skulle vara oproportionerligt ansträngande att informera 39Notera dock det närliggande skäl 62, som i stället för ”oproportionerliga ansträngningar” använder uttrycket ”orimliga ansträngningar”. Den engelska språkversionen använder dock uttrycket ”disproportionate effort” i båda sammanhangen. 40Se t.ex. SOU 2014:45 s. 320 f. samtliga registrerade, dels om forskningsändamålen i sådana fall inte kan uppfyllas. Dessa två undantag kan bedömas fristående från varandra, vilket kan leda till en situation där den enskilde måste informeras om per- sonuppgiftsbehandlingen, men forskningens utformning inte tillåter den enskilde att få inflytande över denna behandling. Den registre- rade som i det fallet vänder sig mot behandlingen kan förstås använda rättssystemets övriga möjligheter om denne menar att den person- uppgiftsansvarige inte tillämpar lämpliga skyddsåtgärder. Det är, likt vad som föreslås gälla för pseudonymisering eller likvärdiga skyddsåtgärder ovan, i första hand forskningsaktören som bedömer om något av dessa två undantag är tillämpliga. För sådan forskning som etikprövas har etikprövningsnämnderna möjlig- het att meddela villkor om att det ska vara möjligt att motsätta sig behandling. Utredningens bedömning: Övriga tänkbara skyddsåtgärder ska inte regleras i nationell rätt. De tre föreslagna bestämmelserna förordar tre specifika skydds- åtgärder. Den första är överförd från dagens bestämmelser i per- sonuppgiftslagen, och motsvaras av liknande bestämmelser i den föreslagna dataskyddslagen för arkivändamål samt statistiska ända- mål. Den andra framhålls särskilt i förordningen. Den tredje utgör ett sätt för den enskilde att påverka behandlingen när samtycke inte kan användas som rättslig grund för behandlingen. Vi bedömer där- för att skyddsåtgärderna har en särställning som gör att de är befo- gade att använda vid personuppgiftsbehandling för forskningsända- mål. Det är utredningens bedömning att övriga tänkbara skydds- åtgärder inte ska regleras i nationell rätt. För behandling av känsliga personuppgifter samt personuppgifter om lagöverträdelser m.m. föreslår utredningen ytterligare skydds- åtgärder, se kapitel 14. Utredningens bedömning: Nationell reglering ersätter inte för- ordningens generella krav på skyddsåtgärder. Någon upplysning om detta bör inte införas i nationell rätt. Eftersom den personuppgiftsansvarige under vissa omständigheter kan underlåta att tillämpa pseudonymisering såväl som att ge den registrerade möjlighet att motsätta sig behandling kan det finnas situationer när den föreslagna nationella regleringen inte kräver några specifika skyddsåtgärder vid personuppgiftsbehandling för forskningsändamål. För vissa integritetskänsliga behandlingar är det även tänkbart att, även om pseudonymisering och/eller möjlighet att motsätta sig behandling tillämpas, dessa skyddsåtgärder inte är tillräckliga för att de ska bedömas som lämpliga. I dessa situationer kräver ändå artikel 89.1 i dataskyddsförord- ningen att behandlingen omfattas av lämpliga skyddsåtgärder. Arti- keln ålägger den personuppgiftsansvarige att se till att sådana lämp- liga skyddsåtgärder föreligger. Det är därför inte tillräckligt att endast tillämpa bestämmelserna i den föreslagna forskningsdata- lagen utan att beakta om artikel 89.1 är uppfylld. I samman- hanget bör påminnas om att artikel 89.1 även ålägger den person- uppgiftsansvarige att uppfylla forskningsändamålen genom vidare behandling av anonymiserade uppgifter när så är möjligt. Den föreslagna nationella regleringen begränsar dock den person- uppgiftsansvariges möjligheter att efter helt fritt skön välja lämpliga skyddsåtgärder. Om pseudonymisering respektive möjlighet att motsätta sig behandling kan tillämpas ska dessa skyddsåtgärder tillämpas, även om andra skyddsåtgärder i och för sig skulle kunna betraktas som lämpliga. En särskild påminnelse om att artikel 89.1 gäller behöver dock inte tas in i lagen. Detta kapitel har behandlat dataskyddsförordningens krav på skydds- åtgärder. Vårt uppdrag har varit att göra en analys av vilka skydds- åtgärder som bör gälla vid behandling av personuppgifter för forsk- ningsändamål och hur åtgärderna bör vara utformade. personuppgifter samt uppgifter om lagöverträdelser m.m. har vårt uppdrag varit att analysera behovet av kompletterande bestämmel- ser för att alls få behandla dessa, samt vilka lämpliga och särskilda åtgärder en sådan reglering bör innehålla. Vi har därför inlett med en analys av centrala begrepp som person- uppgift, pseudonymisering och anonymisering, för att sedan gå igenom dataskyddsförordningens krav på skyddsåtgärder. Vi har vidare analyserat ett urval av organisatoriska, tekniska och rättsliga åtgärder för att säkerställa den registrerades grundläggande rättig- heter, särskilt mot bakgrund på dataskyddsförordningens säkerhets- krav. Slutligen har vi lämnat förslag på vilka skyddsåtgärder som ska tillämpas vid personuppgiftsbehandling för forskningsändamål i allmänhet. 13 En proportionerlig lagstiftning I kapitel 4 har vi analyserat behovet av och föreslagit en särskild forskningsdatalag, i linje med utredningens övergripande syfte att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål som den ska skydda den enskildes fri- och rättigheter. I andra kapitel har vi lämnat kompletterande för- slag om skyddsåtgärder för all personuppgiftsbehandling för forsk- ningsändamål, att behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. ska vara tillåten under förutsättning att behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövnings- lagen), samt vissa begränsningar av de rättigheter som följer av kapitel III i dataskyddsförordningen (EU 2016/679). I detta kapitel görs en integritetsanalys och en proportionalitets- bedömning av den föreslagna forskningsdatalagen. Denna bedöm- ning sker utifrån de krav som följer av dataskyddsförordningen, 2 kap. 6 § regeringsformen, dataskyddskonvention,1 artikel 6 och 7 i EU:s rättighetsstadga2 samt artikel 8 i Europa- konventionen.3 1Europarådets konvention om skydd för enskilda vid automatisk databehandling av person- uppgifter, nr 108. 2Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). 3Jfr lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Fastställande av rättslig grund för personuppgiftsbehandling i nationell rätt Av artikel 6.3 i dataskyddsförordningen framgår att grunden för personuppgiftsbehandling i enlighet med artikel 6.1 c och e ska fastställas i unionsrätten eller en medlemsstats nationella rätt. Så- dan rätt ska uppfylla ett mål av allmänt intresse och vara proportio- nell mot det legitima mål som eftersträvas, och kan innehålla sär- skilda bestämmelser för att anpassa tillämpningen av bestämmel- serna i förordningen. Behandling av känsliga personuppgifter på grundval av nationell rätt Av artikel 9.2 j framgår att behandling av känsliga personuppgifter för bl.a. forskningsändamål kan ske på grundval av unionsrätten eller medlemsstaternas nationella rätt, under förutsättning att denna står i proportion till det eftersträvade syftet, är förenlig med det väsent- liga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder. Begränsning av skyldigheter och rättigheter i nationell rätt Av artikel 89.2 framgår att det i unionsrätten eller i medlemsstater- nas nationella rätt får föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18 och 21. Undantag ska dock föreskrivas med förbehåll för de villkor och skyddsåtgärder som avses i arti- kel 89.1. Undantag får föreskrivas i den utsträckning som dessa rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål. 4 Utöver de förutsättningar som behandlats ovan kan nämnas att förordningen i artikel 35.10 tillåter att en konsekvensbedömning för vissa typer av behandlingar görs i samband med antagan- det av nationell rätt. Om detta har skett kan det befria den personuppgiftsansvarige från skyldigheten att göra en egen konsekvensbedömning för en sådan behandling. I utredningens uppdrag ryms dock inte möjligheten att reglera och konsekvensbedöma specifika behandlings- åtgärder, varför denna aspekt inte behandlas närmare. Skyddet mot betydande intrång i den personliga integriteten gäller enligt 2 kap. 6 § andra stycket regeringsformen att var och en är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Uttrycket ”enskildas personliga förhållanden” avses ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400), vilket kan innefatta uppgifter om namn och andra personliga identifikationsuppgifter, adress, familjeför- hållanden, hälsa och vandel. Även fotografisk bild samt uppgifter som inte är direkt knutna till den enskildes privata sfär, exempelvis uppgift om anställning, omfattas av uttrycket.5 Endast sådan behandling utan samtycke som innebär kartlägg- ning eller övervakning omfattas av bestämmelsen. Enligt förarbe- tena kan en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall ofta anses innebära kartläggning av enskildas förhållanden. Så torde vara fallet när det gäller ett flertal uppgiftssamlingar som det allmänna förfogar över. En betydande mängd information som rör enskildas personliga förhållanden finns till exempel lagrad i , , och olika data- baser. I många fall är uppgifterna tillgängliga för myndigheterna på sådant sätt att lagringen och hanteringen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ända- målet med behandlingen är ett helt annat.6 Grundlagsskyddet omfattar endast betydande integritetsintrång. Vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgif- terna normalt anses vara. Även hantering av ett fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. 2009/10:80 s. 177. Vid bedömningen av intrångets karaktär är även ändamålet med behandlingen av betydelse. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i ärendehandläggningen. Vid bedöm- ningen av vad som kan anses utgöra ett betydande intrång bör flera omständigheter vägas in. Uppgifternas karaktär och omfattning ut- gör endast två faktorer att beakta. Även sådana omständigheter som t.ex. ändamålet med behandlingen av uppgifterna och omfatt- ningen av utlämnandet av uppgifter till andra som sker utan omedel- bart stöd av offentlighetsprincipen kan vara av betydelse vid bedöm- ningen.7 Förutsättningar för begränsning av skyddet Skyddet för den personliga integriteten får enligt 2 kap. 20 § reger- ingsformen begränsas genom lag. Detta får, enligt 21 § samma kapitel, endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En sådan begränsning får vidare inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan så- dan åskådning. Enligt 8 kap. 2 § andra punkten regeringsformen faller föreskrifter som avser förhållandet mellan enskilda och det allmänna, och som gäller skyldigheter för enskilda eller i övrigt avser ingrepp i enskil- das personliga eller ekonomiska förhållanden under det s.k. obliga- toriska lagområdet. Detta innebär att sådana föreskrifter ska med- delas genom lag. 7 A.a. s. 183. Utöver ovanstående innehåller även dataskyddskon- vention (nr 108), artikel 7 i EU:s rättighetsstadga samt artikel 8 i bestämmelser till skydd för den personliga integriteten. Artikel 5 i dataskyddskonvention anger ett antal grund- läggande krav på automatisk databehandling av personuppgifter. Artikel 6 tillåter behandling av särskilda kategorier av uppgifter8 samt uppgifter om att någon dömts för brott endast om nationell lag ger ett ändamålsenligt skydd. Artikel 6 i EU:s rättighetsstadga anger att var och en har rätt till frihet och personlig säkerhet. Artikel 7 anger vidare att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Från artikel 52.1 framgår att varje begränsning till dessa rättig- heter ska vara föreskriven i lag, och att sådana begränsningar, med beaktande av proportionalitetsprincipen, endast får göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra männi- skors rättigheter och friheter. Artikel 8.1 i stadgar att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikel 8.2 tillåter inskränkningar med stöd av lag om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säker- het, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. 8 Med vilket avses ”personuppgifter som avslöjar rasursprung, politiska åsikter liksom person- uppgifter som rör hälsa eller sexualliv”.