sou · H5B350 · 2017-06-09 00:00:00 — Någon särskild bestämmelse om tillsyn behöver därför inte införas i forskningsdatalagen. föreslår en bestämmelse i dataskydds- lagen som stadgar att rätten till ersättning enligt artikel 82 i data- skyddsförordningen gäller även vid överträdelser av bestämmelser i denna lag, dvs. dataskyddslagen, och andra författningar som kom- pletterar dataskyddsförordningen. Det är utredningens bedömning att den av föreslagna bestämmelsen därmed täcker även rätten till ersättning vid överträdelser av forsknings- datalagen. Någon särskild skadeståndsbestämmelse behöver därför inte införas i forskningsdatalagen. Vårt uppdrag har varit att göra en analys av vilka skyddsåtgärder som bör gälla vid all behandling av personuppgifter för forsknings- ändamål och hur åtgärderna bör vara utformade. För känsliga person- uppgifter samt personuppgifter om lagöverträdelser m.m. har vårt uppdrag varit att analysera behovet av kompletterande bestämmel- ser för att behandling alls ska vara möjlig, samt vilka lämpliga och särskilda åtgärder en sådan reglering bör innehålla. Vi har därför analyserat centrala begrepp, som exempelvis person- uppgift, pseudonymisering och anonymisering, för att därefter gå igenom dataskyddsförordningens krav på skyddsåtgärder. Vi har vidare analyserat ett urval av organisatoriska, tekniska och rättsliga åtgärder för att säkerställa den registrerades grundläggande rättig- heter, särskilt mot bakgrund på dataskyddsförordningens säkerhets- krav. Med beaktande av befintliga möjligheter att reglera skyddsåtgär- der när personuppgifter behandlas för forskningsändamål gör vi be- dömningen att det är möjligt och lämpligt att införa sådan reglering i författningsform. Jämfört med villkor meddelade vid etikgodkän- nande samt uppförandekoder kan en författningsreglering ge större tydlighet vid tillämpningen och säkerställa att lämpliga åtgärder vid- tas även för behandling som inte omfattar känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. Utredningen föreslår att personuppgiftslagens befintliga bestäm- melse som anger att uppgifter som samlats in för forskningsända- mål normalt inte får användas för att vidta åtgärder i fråga om den registrerade förs över till forskningsdatalagen. Vidare föreslår vi att en bestämmelse införs i forskningsdata- lagen som anger att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål, förutsatt att ändamålet kan uppnås på sådant vis. Slutligen är vårt förslag att den enskilde ska ges möjlighet att motsätta sig att dennes personuppgifter behandlas för forsknings- ändamål. Om det visar sig vara omöjligt eller medföra en oproportio- nerlig ansträngning att tillhandahålla den enskilde möjligheten att motsätta sig behandlingen, eller om forskningsändamålen annars inte kan uppfyllas, får dock personuppgiftsbehandling ändå utföras. Utredningen har analyserat de föreslagna bestämmelserna i forsk- ningsdatalagen utifrån de krav på framför allt proportionalitet som ställs upp i dataskyddsförordningen, regeringsformen samt övriga relevanta rättsliga instrument. Analysen har gjorts utifrån förut- sättningen att den föreslagna lagen är en form av ramlag som inte kan reglera personuppgiftsbehandlingen på detaljnivå, och att den faktiska personuppgiftsbehandling som görs i forskningsprojekt måste prövas utifrån samma proportionalitetskrav. De föreskrivna skyddsåtgärderna utgör här ett stöd för att tillse att det intrång som personuppgiftsbehandlingen i fråga medför är proportionellt mot den förväntade nyttan av forskningen. Den föreslagna regleringen måste uppfylla krav på proportionali- tet som ställs i flera olika rättsliga sammanhang. Utredningens be- dömning, utifrån den integritetskartläggning som gjorts, de skydds- åtgärder som föreslås och värdet av den personuppgiftsbehandling som regleringen möjliggör, är att forskningsdatalagen är proportio- nell utifrån samtliga dessa proportionalitetskrav. Utredningen har analyserat vilka anpassningar av lagen (2003:460) om etikprövning av forskning som avser människor som behöver göras inför att dataskyddsförordningen börjar tillämpas. ningen har inledningsvis behandlat frågan om etikprövning som en skyddsåtgärd i enlighet med dataskyddsförordningens krav och kommit till slutsatsen att etikprövning utgör en sådan lämplig och särskild skyddsåtgärd som dataskyddsförordningen kräver för person- uppgiftsbehandling för forskningsändamål av känsliga personuppgif- ter eller personuppgifter om lagöverträdelser m.m. Utredningen har därpå analyserat om etikprövningslagens tillämp- ningsområde bör utvidgas till att gälla all personuppgiftsbehandling för forskningsändamål och kommit till slutsatsen att detta vore en alltför ingripande åtgärd som inte är proportionerlig i förhållande till syftet. Utredningen föreslår därför att kravet på etikprövning även fortsättningsvis ska omfatta personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter och personuppgif- ter om lagöverträdelser m.m. enligt de definitioner som framgår av artiklarna 9.1 och 10 i dataskyddsförordningen, samt att kravet på etikprövning avseende de ytterligare uppgifter som fram- går av 21 § personuppgiftslagen även fortsättningsvis bör omfattas av etikprövningslagens tillämpningsområde. Utredningen har vidare konstaterat att det finns anledning att närmare utreda behovet av förändringar i etikprövningsförfarandet. Ett differentierat etikprövningsförfarande framstår som mer ända- målsenligt inom framför allt viss samhällsvetenskaplig och rätts- vetenskaplig forskning. Vi lämnar flera exempel på sådana behov i samband med att personuppgiftsbehandling för forskningsändamål baserar sig på redan offentliggjorda uppgifter och där den efter- följande behandlingen endast innebär en mindre integritetsrisk. Mot bakgrund av begränsningar i vårt uppdrag och ramar i övrigt föreslår vi att detta utreds vidare i särskild form. Slutligen har utredningen analyserat vilka ändringar av etikpröv- ningslagen som i övrigt behöver göras med anledning av att data- skyddsförordningen börjar tillämpas och lämnar behövliga författ- ningsförslag i dessa delar. Anpassningar av vissa registerförfattningar Vi har i uppdrag att i utredningens nästa skede bereda Registerforsk- ningsutredningens (U 2013:01) förslag i betänkandet Unik kunskap genom registerforskning (SOU 2014:45) vidare. tills dataskyddsförordningen ska börja tillämpas, , kommer någon generell reglering av forskningsdatabaser inte att kunna vara på plats tills dess. Därför behöver det i ett första skede analyseras vilka anpassningar till dataskyddsförordningen, och den generella reglering föreslår, som be- höver göras i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen (1999:353) om rättspsykiatriskt forskningsregister tills dess att dataskyddsförord- ningen ska börja tillämpas. Eftersom utredningen har i uppdrag att i ett andra skede utreda och föreslå en långsiktig reglering av forskningsdatabaser har denna första del av uppdraget fokuserat uteslutande på lagtekniska an- passningar av registerlagarna i relation till dataskyddsförordningens bestämmelser. Detta innebär att utredningen i det nuvarande skedet har utgått ifrån att redan gjorda avvägningar och bedömningar i sak bör godtas, i den mån dessa inte är oförenliga med dataskydds- förordningen. Analysen är således inriktad på sådana ändringar som är nödvändiga med anledning av dataskyddsförordningen. Syftet med uppdraget i denna del är sammantaget att registerlagarna ska kunna tillämpas även efter att dataskyddsförordningen börjar tilläm- pas och att de befintliga förutsättningarna för att behandla person- uppgifter i enlighet med registerlagarna i vart fall inte ska försämras. Enligt artikel 99 i dataskyddsförordningen ska förordningen tilläm- pas . föreslår att dataskyddslagen, vilken utgör kompletterande nationell lagstift- ning på generell nivå, ska träda i kraft och att person- uppgiftslagen ska upphöra att gälla. Eftersom forsknings- datalagen utgör kompletterande nationell lagstiftning till dataskydds- förordningen inom forskningssektorn föreslår vi att även den ska träda i kraft . Av dataskyddsförordningen framgår att hänvisningar till data- skyddsdirektivet ska anses som hänvisningar till dataskyddsförord- ningen i samband med att denna börjar tillämpas och direktivet därmed upphävs. Av skäl 171 i dataskyddsförordningen framgår vidare att nationella anpassningar i medlemsstaterna bör finnas på plats när förordningen börjar tillämpas. Det är utredningens upp- fattning att det därmed inte finns utrymme för några övergångs- bestämmelser i forskningsdatalagen. ska således all personuppgiftsbehandling för forskningsändamål till- lämpa dataskyddsförordningen och, i de delar denna kompletteras, forskningsdatalagen samt på generell nivå även dataskyddslagen. Utredningen har i uppdrag att analysera konsekvenserna av våra förslag ur vissa särskilt angivna aspekter. Våra förslag är primärt föranledda av andra förändringar, främst personuppgifts- lagens upphävande och dataskyddsförordningens ikraftträdande, men även de förslag som lämnar. Vi har därför begränsat analysen till sådana konsekvenser som vi i någon reell mening haft möjlighet att påverka, och utifrån målsättningen att bibehålla de möjligheter till forskning samt skydd för den person- liga integriteten som följer av dagens reglering. Vi analyserar därför inte de konsekvenser som följer av att dataskyddsförordningen börjar tillämpas. Utredningen bedömer att förslagen inte medför några kostnads- förändringar för de aktörer som omnämns i kommittéförordningen (1998:1474). Utredningens bedömning är vidare att förslagen över- lag innebär en förstärkning av den personliga integriteten. In this interim report, we present our analysis of what regulation of personal data processing for research purposes is possible and may be required given that the Data Protection Regulation (EU 2016/679) is to be applied from 25 2018, and submit the legislative proposals required. The proposals refer to regulation in addition to the general provisions proposed by the Data Protection Inquiry (Ju 2016:04) in its report (SOU 2017:39). In addition, we have been tasked with considering, and where necessary proposing, amendments to certain related legislation. Background, legal position and terms Protection Regulation entered into force on 24 2016, but under Article 99(2) is to apply from 25 2018. The Regulation is directly applicable in all Member States and will apply instead of equivalent national regulation. Protection Regulation thus replaces the current Data Protection Directive (95/46/EC) and its implementation in by means of the Act (1998:204). Under Article 2, the Regulation will constitute a legal starting point for the research that uses personal data and is carried out in the context of the activities of an of a controller or a processor in Union, regardless of whether the processing takes place in the Union or not (Article 3). Research that does not encompass processing of personal data falls outside the scope of the Regulation as defined in Article 2. The term “research purposes” In the view of the Committee, the phrase “scientific or historical research purposes”, used repeatedly in the Regulation, covers research without the need to draw any particular distinctions in meaning between these two aspects in terms of personal data pro- cessing. judges that the terms “research” and “research purposes” can be considered equivalent. Personal data processing for research purposes should addition- ally be able to encompass all or parts of the research process. Organising personal data in databases for research purposes should be covered by what is meant by research in a broad sense. The judgment of the Committee is thus that the individual parts of this process could be designated processing for research purposes with- out all the parts having to be included. This is particularly im- portant in longitudinal studies in which subjects are studied over periods of time that sometimes span many years. has defined a need to introduce a Act with the purpose of enabling personal data to be processed for the purpose of research and to protect the freedoms and rights of the individual in conjunction with such processing of personal data. The proposed Act must be applicable to all processing of personal data for research purposes irrespective of the legal basis for such processing. The proposed Act is to apply in addition to that set out by the Data Protection Regulation. The general supple- mentary Data Protection Act proposed by the Data Protection Inquiry is to be subsidiary in relation to other acts and ordinances. For reasons of clarity, the Committee proposes that the Act state that the Data Protection Act applies unless stated otherwise in the Act. A statute on a specific data register or a provision in such a statute which is specifically appli- cable to processing personal data for research purposes shall take precedence over provisions to the contrary in the Act. Establishing public interest as a legal basis Article 6 of the Data Protection Regulation sets out the conditions that must be met for the processing of personal data to be lawful. In the view of the Committee, the legal grounds that tend to be most relevant for research purposes are consent under Article 6(1)(a), necessary processing for the performance of a task carried out in the public interest under Article 6(1)(e) and (for private actors) balance of interests under Article 6(1)(f). However, regarding the legal grounds under Article 6(1), the Regulation requires additional national regulation regarding Article 6(1)(e) (processing necessary for the performance of a task carried out in the public interest). Considering that Article 6(1)(e) is central in a research context, because research in general is to be considered a task carried out in the public interest, the Committee has been charged with particularly analysing and, where necessary, supplementing the Data Protection Regulation. These requirements are set out in Article 6(2) and Article 6(3), which enable and require national provisions to determine and specify the application of the legal grounds in Article 6(1)(e). The legal basis may as an element in such specification also contain general conditions governing the specific processing, for example. Under the Data Protection Regulation, it is thus possible to intro- duce specific provisions in national law that specify when and how personal data processing for research purposes is to take place. The requirement under Article 6(3) that the basis for the pro- cessing under Article 6(1)(e) must be laid down by law creates a tangible distinction between different categories of re- search actors regarding the legal conditions for processing personal data. As far as private actors are concerned, the research task is rarely or never laid down as prescribed by the Regulation. However, it is generally accepted that private research may also be considered to constitute a task carried out in the public interest. In order for private actors to be able to cite Article 6(1)(e), statutory provisions need to be introduced on which application can be based. Recital 45 of the Regulation states that Member States should state which actors, including private ones, are able to perform a task carried out in the public interest, which shows that it is possible for both public and private actors to perform tasks carried out in the public interest in the sense of the Data Protection Regulation. If no national legislative measures are taken, the provisions of the Regulation mean that public research actors predominantly have to use tasks carried out in the public interest, under Article 6(1)(e) when processing personal data for research purposes. Private research actors predominantly have to use consent, under Article 6(1)(a), or weighing up interests under Article 6(1)(f) when processing personal data for the same purposes. In the view of the Committee, the fact that the Data Protection Regulation entails such significant differences in opportunities to cite the different legal grounds in Article 6(1) when processing personal data for equivalent research purposes, in practice depending on the organisational form of the actor concerned, is unintentional. It is necessary to have a coherent fundamental regulatory frame- work for processing personal data for research purposes, not least so as to attain protection for the personal privacy of the individual under the rule of law that is also adequate in other respects. The opportunities of different research actors to collaborate and carry out research that may benefit the public at large should be placed on as equal a footing as possible. Protection of personal privacy must remain equally high irrespective of the category into which the research actor falls. This should be achieved through safe- guards. therefore proposes that a provision be intro- duced in the Act that enables both public and private research actors to cite “task carried out in the public interest” as the legal basis for processing personal data for research purposes. The provisions of the Data Protection Regulation mean that personal data for research purposes may be processed further by the same controller without a new legal basis having to be cited, provided that the data was originally collected citing a legal basis under Article 6(1). This differs from the application of the Act, in which all processing must be justified under Section 10. When the personal data was originally gathered with consent, how- ever, it is not as clear-cut whether further processing may be carried out without a new legal basis for doing so. When transferring personal data to another controller for pro- cessing for research purposes, the new processing is still to be seen as compatible with the original processing, provided that the new purpose is research. However, the new controller must have their own legal basis for their processing for research purposes once the personal data has been transferred to them. This means that re- search actors that collect personal data for research purposes that was previously collected for other purposes, for example, by an- other agency, must cite a legal basis under Article 6(1) for the new processing. Such a legal basis may be research carried out in the public interest under Article 6(1)(e). The definition of consent in the Data Protection Regulation essen- tially matches the provisions of the Act. The intro- duction of the Data Protection Regulation thus entails no signifi- cant changes to the meaning of consent. Consent must be freely given, specific, informed and for sensitive personal data, explicit, and must be given by means of a statement or an unambiguously confirming document. The latter wording of the type of activity approved as consent has been added to the definition compared with the Act. judges that Article 9(2)(a) of the Regulation together with the Act (2003:460) concerning the Involving Humans (the Act) means that it is possible to also process sensitive personal data for research pur- poses with consent as the legal basis if consent exists together with ethical approval under the Act. Recital 33 of the Data Protection Regulation involves expanding the potential scope of consent where the purpose of the research concerned cannot be described precisely at the time of data collection. At the same time, Recital 43 of the Data Protection Regulation in- volves restrictions, for public authorities, regarding the opportunity to use consent as the legal basis for processing personal data. it is of particular importance whether the legal basis of public interest exists concurrently with consent being obtained. Protection Regulation offers no final solution to the hybrid circumstances already highlighted by the Article 29 Working Party and which mean that the validity of consent may be questioned. Further processing of personal data for research purposes should normally be covered by obtaining new consent, irrespective of whether this is carried out by the same or a new controller. This should apply irrespective of the wording of Article 5(1)(b) second sentence if it is possible in practical terms and not inappropriate on ethical grounds. Article 9(1) of the Data Protection Regulation states that pro- cessing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union member- ship, and the processing of genetic data, biometric data for the pur- pose of uniquely identifying a natural person, data concerning health or data concerning a natural person’s sex life or sexual orientation shall be prohibited. Protection Regulation’s definition of this category of personal data is somewhat expanded compared with that in the Data Protection Directive. Furthermore, Article 9 of the Data Protection Regulation uses the term special categories of personal data. However, in line with the view of the Data Protection Inquiry, we are choosing to continue to term this kind of data sensitive personal data. For processing of sensitive personal data to be permitted under certain conditions, support must be provided in law with suitable and specific safeguards. therefore proposes a provision in the Act that allows such processing where this is necessary to attain the purpose of the research. As the main safeguard, the Committee proposes that the ethical review requirement in line with the Act remains. Personal data that concern criminal offences, etc. Processing of personal data relating to criminal convictions and offences is regulated in Article 10 of the Data Protection Regulation. Under the Data Protection Regulation, supplementary regulation in law is required for bodies other than an official authority to be able to process data that concern criminal offences, etc. for research purposes. therefore proposes a provision in the Act that allows such processing where this is necessary to attain the purpose of the research. Such regulation must furthermore contain provisions on suitable measures to safeguard the fundamental rights and interests of the data subject. proposes that ethical review under the Act should continue to be the main safeguard. Personal identity numbers and coordination numbers The regulation proposed by the Data Protection Inquiry for the processing of personal identity numbers and coordination numbers contains the same directly applicable conditions as found in current legislation. These conditions are likely to be met in certain research contexts. judges that the legal position regarding the use of personal identity numbers for research purposes will not be changed by the provisions proposed by the Data Protection Inquiry. Compared with today, the same conditions must be met to permit processing of personal identity numbers, and the Government and the supervisory authority have the same opportunities as before to issue special provisions in the form of statutes on specific data registers for certain types of processing. There is thus no need for additional supplementary national regulation. Restrictions on the rights of the data subject Chapter III of the Data Protection Regulation (Articles 12–23) sets out the rights of the data subject in conjunction with the pro- cessing of his or her personal data. These rights may be restricted under certain circumstances. Protection Inquiry has pro- posed certain general restrictions to these rights.