sou · H5B350 · 2017-06-09 00:00:00 — Utredningens bedömning: Den föreslagna regleringen uppfyller de krav på proportionalitet m.m. som följer av dataskyddsförord- ningen, regeringsformen samt övriga relevanta rättsliga instru- ment. Som redovisat i avsnitt 13.3.2 måste den föreslagna regleringen uppfylla krav på proportionalitet som ställs i flera olika rättsliga sammanhang. Vår bedömning, utifrån den integritetskartläggning som gjorts, de skyddsåtgärder som föreslås och värdet av den person- uppgiftsbehandling som regleringen möjliggör, är att regleringen är proportionell utifrån samtliga dessa proportionalitetskrav. I detta kapitel har vi analyserat de föreslagna bestämmelserna ut- ifrån de krav på framför allt proportionalitet som ställs upp i data- skyddsförordningen, regeringsformen samt övriga relevanta rätts- liga instrument. Analysen har gjorts utifrån förutsättningen att den föreslagna lagen är en ramlag som inte kan reglera personuppgifts- behandlingen på detaljnivå, och att den faktiska personuppgifts- behandling som görs i forskningsprojekt måste prövas utifrån samma proportionalitetskrav. De föreskrivna skyddsåtgärderna utgör här ett stöd för att tillse att det intrång som personuppgiftsbehandlingen i fråga medför är proportionellt mot den förväntade nyttan av forskningen. Vidare har den föreslagna regleringen bedömts utifrån de normgivningsprinciper som framgår av regeringsformen. Det är utredningens bedömning att den föreslagna regleringen uppfyller de krav på proportionalitet m.m. som följer av dataskyddsförord- ningen, regeringsformen samt övriga relevanta rättsliga instrument. av personuppgiftsbehandling för forskningsändamål 14.1Vårt uppdrag i denna del Utredningen har i uppdrag att analysera behovet av anpassningar av lagen (2003:460) om etikprövning av forskning som avser männi- skor (etikprövningslagen) med anledning av att dataskyddsförord- ningen (EU 2016/679) blir tillämplig . Detta upp- drag har flera beståndsdelar. Etikprövning framhålls i utredningens direktiv som en möjlig skyddsåtgärd i enlighet med förordningens krav på skyddsåtgärder vid behandling av personuppgifter för forskningsändamål. Mot bakgrund av att kravet på etikprövning enbart omfattar be- handling av vissa kategorier av personuppgifter enligt 19 och 21 §§ personuppgiftslagen (1998:204) är det utredningens uppdrag att överväga om kravet på etikprövning bör utvidgas till att gälla all personuppgiftsbehandling för forskningsändamål. Ett sådant ställ- ningstagande kan komma att medföra behov av ändringar i etikpröv- ningslagen, alternativt ny reglering i annan författning som kom- pletterar dataskyddsförordningen samt den nationella komplette- rande reglering som (Ju 2016:04) föreslår. Utredningen har även i uppdrag att se över vissa aspekter på för- farandereglerna i etikprövningslagen. Denna översyn hänger samman med uppdraget att överväga en utvidgning av etikprövningsförfar- andet till att gälla all personuppgiftsbehandling för forskningsända- mål. Om utredningen kommer fram till att all personuppgiftsbehand- ling för forskningsändamål ska etikprövas behöver det övervägas hur den ökade ärendehanteringen i så fall ska kunna ske på ett effek- tivt sätt och om samma krav på prövningen behöver gälla i alla slags Etikprövning av personuppgiftsbehandling för forskningsändamål Utredningen ska, givet ett ställningstagande avseende en utvidgning av etikprövningskravet, analysera vilka anpassningar som kan behöva göras i de bestämmelser i etikprövningslagen som reglerar handläggningen av ärenden. Utredningen ska i sådana fall även överväga om det bör införas ett enklare förfarande vid etik- prövning när det är fråga om behandling av personuppgifter som innebär en liten risk för intrång i den enskildes integritet. Utöver detta ska utredningen även se över vilka anpassningar i övrigt som behövs med anledning av dataskyddsförordningen och den gene- rella kompletterande reglering föreslår. Utredningen ska i alla delar lämna behövliga författningsförslag. Framställningen i denna del av betänkandet kommer att följa ut- redningens direktiv på så vis att efter en inledande beskrivning av etikprövningslagen och dess anknytning till personuppgiftslagen kommer etikprövning som möjlig skyddsåtgärd enligt dataskydds- förordningens krav att analyseras. Därefter överväger utredningen enligt sitt uppdrag ett utökat tillämpningsområde för kravet på etik- prövning, varefter utredningen behandlar frågan om ett eventuellt behov av förenklat etikprövningsförfarande under vissa förhållan- den. Avslutningsvis lämnar utredningen förslag på vilka anpassningar av etikprövningslagen i övrigt som är behövliga med anledning av dataskyddsförordningen. Lagen (2003:460) om etikprövning av forskning som avser männi- skor (etikprövningslagen) började gälla . Etik- prövningslagen innehåller bestämmelser om etikprövning av forsk- ning som avser människor och biologiskt material från människor och om samtycke till sådan forskning (1 §). Etikprövningslagen tillämpas på forskning som innefattar behandling av känsliga person- uppgifter enligt 13 § personuppgiftslagen eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen (3 §). Utöver detta tillämpas etikprövningslagen på forskning som innebär ett fysiskt ingrepp på en forskningsperson, utförs enligt en Etikprövning av personuppgiftsbehandling för forskningsändamål metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt eller som innebär en uppenbar risk att skada forsknings- personen fysiskt eller psykiskt, avser studier på biologiskt material som har tagits från en levande människa och kan härledas till denna människa, innebär ett fysiskt ingrepp på en avliden människa eller avser studier på biologiskt material som har tagits för medicinskt ändamål från en avliden människa och kan härledas till denna män- niska (4 §). Utredningen kommer i det följande att fokusera på etik- prövningslagens tillämpningsområde enligt 3 §. Syftet med etikprövningslagen är att skydda den enskilda männi- skan och respekten för människovärdet vid forskning (1 §). Forsk- ning får godkännas bara om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet upp- vägs av dess vetenskapliga värde och bara om den kan utföras med respekt för människovärdet. Mänskliga rättigheter och grundlägg- ande friheter ska alltid beaktas vid etikprövningen samtidigt som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd ska ges företräde framför samhällets och vetenskapens behov (7–11 §§). 14.2.2Personuppgiftslagens relation till etikprövningslagen Personuppgiftslagen och etikprövningslagen relaterar till varandra på flera sätt. I det följande återges de relevanta delarna av de aktuella bestämmelser som utredningen kommer att återkomma närmare till i det följande. De bestämmelser som främst aktualiseras i personuppgiftslagen är följande: Undantag för behandling av personuppgifter i ostrukturerat material 5 a § Bestämmelserna i 9, 10, 13–19, 21–26, 28, 33, 34 och 42 §§ behö- ver inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har struk- turerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Sådan behandling som avses i första stycket får inte utföras, om den innebär en kränkning av den registrerades personliga integritet. Etikprövning av personuppgiftsbehandling för forskningsändamål Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a)ras eller etniskt ursprung b)politiska åsikter, c)religiös eller filosofisk övertygelse, eller d)medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena beteck- nas i denna lag som känsliga personuppgifter. Undantag från förbudet mot behandling av känsliga personuppgifter 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga person- uppgifter i de fall som anges i 15–19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av person- uppgifter över huvud taget är tillåten. 19 § Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Känsliga personuppgifter får behandlas för statistikändamål, om be- handlingen är nödvändig på sätt som sägs i 10 § och om samhälls- intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt andra stycket anses uppfyllda. Med forsk- ningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som avses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Uppgifter om lagöverträdelser m.m. 21 § Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Etikprövning av personuppgiftsbehandling för forskningsändamål Personuppgifter som avses i första stycket får dock behandlas för forskningsändamål av andra än myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet i första stycket. Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. De bestämmelser som främst aktualiseras i etikprövningslagen är följande: 2 § I denna lag avses med – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – behandling av personuppgifter: sådan behandling som anges i artikel 3 § personuppgiftslagen (1998:204). Forskning som omfattas av lagen 3 § Denna lag ska tillämpas på forskning som innefattar behandling av 1.känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204), eller 2.personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden enligt 21 § personuppgiftslagen. 6 § Forskning som avses i 3–5 §§ får utföras bara om den har godkänts vid en etikprövning. Ett godkännande får förenas med villkor. Ett god- kännande skall avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskningen får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behand- lingen har godkänts vid etikprövningen. Ett godkännande upphör att gälla, om inte forskningen har börjat utföras senast efter det att beslutet om godkännande vann laga kraft. Ett godkännande enligt denna lag medför inte att forskningen får utföras, om den strider mot någon annan författning. Etikprövning av personuppgiftsbehandling för forskningsändamål 7 § Forskning får godkännas bara om den kan utföras med respekt för människovärdet. 8 § Mänskliga rättigheter och grundläggande friheter skall alltid beaktas vid etikprövningen samtidigt som hänsyn skall tas till intresset av att ny kunskap kan utvecklas genom forskning. Människors välfärd skall ges företräde framför samhällets och vetenskapens behov. 9 § Forskning får godkännas bara om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet upp- vägs av dess vetenskapliga värde. 10 § Forskning får inte godkännas, om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forsknings- personers hälsa, säkerhet och personliga integritet. Behandling av personuppgifter som avses i 3 § får godkännas bara om den är nödvändig för att forskningen ska kunna utföras. 11 § Forskning får godkännas bara om den skall utföras av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs. 12 § Personuppgifter får lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt. Det territoriella tillämpningsområdet för respektive lag skiljer sig åt enligt följande: 4 § Denna lag gäller för sådana personuppgiftsansvariga som är etable- rade i . Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket första meningen skall den person- uppgiftsansvarige utse en företrädare för sig som är etablerad i . Vad som anges i denna lag om den personuppgiftsansvarige skall också gälla för företrädaren. 5 § Denna lag skall tillämpas på forskning som skall utföras i . Etikprövning av personuppgiftsbehandling för forskningsändamål Etikprövningslagens tillämplighet vid viss behandling av personuppgifter Etikprövningslagen är tillämplig på forskning som ska utföras i , till skillnad från personuppgiftslagen som huvudsakligen tar sikte på sådana personuppgiftsansvariga som är etablerade i Sverige.1 Detta innebär att det enbart är sådan forskning som ska utföras i som kräver etikprövning enligt etikprövningslagen. Forsk- ning som ska utföras i andra länder av personuppgiftsansvariga som är etablerade i kan dock omfattas av krav på etikgodkän- nande enligt respektive lands lagstiftning. Relationen mellan etik- prövningslagens och personuppgiftslagens territoriella tillämpnings- område har kommenterats i lagkommentaren till personuppgifts- lagen. Etikprövningslagen tillämpas bara på forskning som ska utföras i (5 §). Om en svensk forskningshuvudman (dvs. en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen ut- förs) deltar i ett internationellt forskningsprojekt (multicenterstudie), ska etikprövning ske av den del av projektet som ska utföras i (prop. 2002/03:50 s. 109 och 194). Det territoriella tillämpningsområdet för etikprövningslagen är alltså inte samordnat med tillämpningsområdet för personuppgiftslagen, som enligt huvudregeln bestäms av var den personuppgiftsansvarige är etablerad och inte var behandlingen utförs, se 4 § och kommentaren till den paragrafen. En personuppgiftsansvarig som är bunden av personuppgiftslagen (företrädesvis därför att han eller hon är etablerad i ) och som ska utföra forskning utanför kan alltså inte behandla känsliga personuppgifter för forskningsända- mål efter en etikprövning enligt etikprövningslagen utan torde i prakti- ken ha att förlita sig på uttryckligt samtycke till behandlingen från alla registrerade.2 Etikprövningslagen blir, enligt 3 §, tillämplig när forskning inne- fattar behandling av känsliga personuppgifter, enligt 13 § person- uppgiftslagen, eller personuppgifter om lagöverträdelser m.m., enligt 21 § personuppgiftslagen. Enligt 6 § etikprövningslagen får sådan forskning enbart utföras om den har godkänts vid en etikprövning. 1Dataskyddsförordningen ska enligt artikel 3 i vissa fall tillämpas även på personuppgifts- ansvariga som inte är etablerade i unionen. 2Se , Personuppgiftslagen (version . 2016, Zeteo), kommentaren till 19 §. Etikprövning av personuppgiftsbehandling för forskningsändamål När laglig personuppgiftsbehandling förutsätter etikprövning Av 13 § personuppgiftslagen framgår att det som huvudregel är förbjudet att behandla känsliga personuppgifter. Vilka uppgifts- kategorier detta är framgår uttömmande av bestämmelsens första och andra stycke. I 14 § anges dock att undantag från förbudet framgår av 15–19 §§. Genom ett villkor i 19 § undantas behandling för forskningsändamål från det generella förbudet att behandla känsliga personuppgifter. Villkoret utgörs av etikgodkännande enligt etikprövningslagen för behandling av känsliga personuppgifter. Av 21 § personuppgiftslagen framgår ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. Detta förbud kan dock enligt andra stycket upphävas på lik- nande sätt som för känsliga personuppgifter, dvs. genom ett krav på etikgodkännande enligt etikprövningslagen för sådan behandling som utförs av andra än myndigheter. Detta innebär sammantaget att det föreligger krav på etikpröv- ning av behandling för forskningsändamål av såväl känsliga per- sonuppgifter som personuppgifter om lagöverträdelser m.m. enligt etikprövningslagen och att sådan behandling enligt personuppgifts- lagen kan få utföras om behandlingen har godkänts vid prövning enligt etikprövningslagen. Personuppgiftslagens tillämplighet vid etikgranskning av forskning En utgångspunkt vid tillämpningen av personuppgiftslagen i rela- tion till annan lagstiftning är att den, enligt 2 §, är subsidiär i för- hållande till avvikande bestämmelser i annan lag eller förordning. Sådan annan lagstiftning som har företräde framför personuppgifts- lagen är till exempel etikprövningslagen. Av sista meningen i 6 § etikprövningslagen framgår att ett etik- godkännande inte medför att forskningen får utföras om den stri- der mot någon annan författning. I förarbetena betonas att 6 § bara anger betydelsen av etikprövningen och inte innefattar någon pröv- ning enligt alla andra regler som kan påverka om och hur forsk- ningen får utföras, ett godkännande vid etikprövning är därmed Etikprövning av personuppgiftsbehandling för forskningsändamål långtifrån alltid en tillräcklig nödvändig förutsättning för forsk- ningens bedrivande.3 Av 6 § första stycket etikprövningslagen framgår att forskning får innefatta behandling av sådana personuppgifter som avses i 3 § bara om behandlingen har godkänts vid etikprövningen. Innan etik- prövningslagen infördes hanterades undantaget från förbudet att behandla känsliga personuppgifter för forskningsändamål enligt en avvägningsnorm i den dåvarande 19 § personuppgiftslagen. Denna avvägningsnorm innebar att behandlingen skulle vara nödvändig för forskningen och samhällsintresset skulle klart överväga risken för intrång i enskildas personliga integritet. Den personuppgiftsansva- rige kunde välja att tillämpa avvägningsnormen själv och sedan för- anmäla behandlingen till Datainspektionen som gjorde en bedöm- ning av eventuella åtgärder. Alternativt lät den personuppgifts- ansvarige en etikkommitté granska personuppgiftsbehandlingen. En sådan etikgranskning omfattades dock inte av något krav på an- vändning av avvägningsnormen som framgick av dåvarande 19 § personuppgiftslagen. Införandet av etikprövningslagen innebar att bedömningen av själva personuppgiftsbehandlingen flyttades över till etikprövnings- nämnderna som, i samband med granskningen av forskningsprojektet i fråga, har att förhålla sig till samma avvägningsnorm i sak som enligt tidigare bestämmelse i personuppgiftslagen.4 Denna avvägningsnorm baseras på de principer som en bedömning enligt personuppgifts- lagen utförs på, och grunderna för den ingår i etikprövningslagens utgångspunkter för etikprövningen i 7–11 §§ etikprövningslagen. Det var med andra ord framför allt ansvaret för bedömningen som flyttades till etikprövningsnämnderna. Denna regelkonstruktion innebär vidare att det i samband med etikprövningen av ett forskningsprojekt också ska göras en bedöm- ning av själva personuppgiftsbehandlingen, en bedömning som annars skulle ske enligt bestämmelser i personuppgiftslagen. Personupp- giftslagen är således subsidiär till etikprövningslagen i detta hänse- ende även om bedömningen baseras på samma principer, se särskilt nödvändighetskravet i 10 § andra stycket etikprövningslagen. Det ska noteras att forskning som har etikgodkänts därefter 2002/03:50 s. 195 f. 4A.a s. 172 f. Etikprövning av personuppgiftsbehandling för forskningsändamål ändå måste vara förenlig med personuppgiftslagens bestämmelser i de delar där någon tillämplig särreglering inte förekommer, t.ex. avseende säkerheten vid behandlingen och rätten till registerutdrag. Av 12 § etikprövningslagen framgår att personuppgifter får läm- nas ut för att användas i forskning om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen ska läsas mot bakgrund av 24 § första och andra styckena personuppgiftslagen. Där framgår att om personuppgifter samlats in från någon annan källa än den registrerade, ska den personuppgiftsansvarige själv- mant lämna den registrerade information om behandlingen av upp- gifterna när de registreras. Sådan information behöver dock inte lämnas om det finns bestämmelser om registreringen eller utläm- nandet av personuppgifterna i lag eller annan författning. Bestämmelsen i 12 § etikprövningslagen är en sådan bestämmelse om utlämnande av personuppgifter som avses i 24 § andra stycket personuppgiftslagen. Den för med sig att en forskare som i enlighet med bestämmelsen hämtar in personuppgifter från annat håll än den registrerade inte behöver informera den registrerade om sin be- handling. Däremot kan etikprövningsnämnden ställa som villkor att information ändå ska lämnas. Bestämmelsen innebär inte någon skyldighet att lämna ut personuppgifter, men gör det tillåtet för den som har uppgifterna att göra detta. Om något annat följer av regler om sekretess och tystnadsplikt får uppgifterna dock inte lämnas ut. En motsvarande bestämmelse avseende utlämnande för användning i statistikprojekt finns i 19 § fjärde stycket personuppgiftslagen. Särskilt om förhållandet mellan missbruksregeln i personuppgiftslagen och etikprövningslagen Bestämmelsen i 5 a § personuppgiftslagen infördes år 20075 och innebär lättnader i regleringen vid behandling av personuppgifter i vad som betecknas som ostrukturerat material. Enligt den utred- ning som låg till grund för införandet av bestämmelsen var syftet i korthet att de detaljerade hanteringsreglerna i personuppgiftslagen inte skulle tillämpas på s.k. vardaglig hantering av personuppgifter. Det rör sig till exempel om produktion av löpande text i ordbehand- lingsprogram, publicering av löpande text på Internet, användning 5 SFS 2006:398. Etikprövning av personuppgiftsbehandling för forskningsändamål av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ska infogas i en databas med en avancerad personuppgiftsanknuten struktur, till exempel ett ärende- hanteringssystem.6 Sådan ostrukturerad behandling kan alltså utföras utan att den personuppgiftsansvarige behöver beakta ett flertal av de övriga reglerna i personuppgiftslagen. Bestämmelsen innebär således att behandling av personuppgifter kan göras jämförelsevis fritt, vilket i sig motiverade skrivningen i bestämmelsens andra stycke som an- ger att sådan behandling inte får utföras om den innebär en kränk- ning av den registrerades personliga integritet. Eftersom regeln avser att skydda mot missbruk av personuppgifter kallas den missbruks- regeln. Vad som innebär en kränkning av den personliga integriteten avgörs från fall till fall utifrån bland annat vilka uppgifter som be- handlas, i vilket sammanhang, för vilket syfte, vilken spridning uppgifterna kan få samt vad behandlingen kan leda till. I förarbetena angavs fem förhållningsregler att beakta vid kränkningsbedömningen: Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse och skandalisering. Samla inte utan godtagbara skäl en stor mängd uppgifter om en person. Rätta personuppgifter som visar sig vara felaktiga eller missvis- ande.