sou · H5B350 · 2017-06-09 00:00:00 — Personnummer är inte heller en kategori av uppgifter som enligt 3 § lagen (2003: 460) om etikpröv- ning av forskning som avser människor (etikprövningslagen) med- för särskilt krav på etikprövning när personuppgifter behandlas för forskningsändamål. Artikel 87 i dataskyddsförordningen (EU 2016/679) motsvarar arti- kel 8.7 i det nuvarande dataskyddsdirektivet och anger att medlems- staterna får närmare bestämma på vilka särskilda villkor ett natio- nellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Sådana uppgifter får i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder. föreslår en generell reglering som motsva- rar dagens bestämmelse i personuppgiftslagen, med identiska krite- rier för när personnummer och samordningsnummer får behandlas. föreslår även att regeringen ska bemyndi- gas att meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten, vilket även det motsvarar det bemyndigande som återfinns i personuppgiftslagen.3 Den reglering som föreslår innehåller samma direkt tillämpliga villkor som återfinns i gällande lagstiftning. Dessa villkor torde vara uppfyllda i vissa forskningssammanhang. Den föreslagna regleringen innehåller, likt den nuvarande, ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter om i vilka fall använd- ning av personnummer är tillåten. Datainspektionen har tidigare inte meddelat sådana föreskrifter, men regeringen har i förordningsform beslutat vissa registerförfattningar som särskilt anger att person- nummer får behandlas. Vi gör bedömningen att rättsläget för användning av person- nummer för forskningsändamål inte ändras i och med Dataskydds- utredningens föreslagna bestämmelser. Jämfört med är det samma villkor som ska uppfyllas för att behandling av personnum- mer ska vara tillåten, och regeringen samt tillsynsmyndigheten har samma möjligheter som tidigare att meddela specialreglering i form av registerförfattningar eller för vissa typer av behandlingar. Något behov av ytterligare kompletterande nationell reglering finns därmed inte. Beroende på forskningens inriktning och metodik kan behandling av personnummer vara central. har behandling av person- nummer betraktats som något som om möjligt bör und- vikas av integritetshänsyn. Utredningen anser att den reglering som Dataskyddsutred- ningen föreslår, och som väsentligen överensstämmer med dagens 3 SOU 2017:39 avsnitt 12.4. reglering, är ändamålsenlig och att de villkor som ställs upp för när behandling av personnummer är tillåten även stämmer överens med forskningens generella behov. Utredningen finner därför inte något behov av att föreslå kom- pletterande lagstiftning i denna del. I tredje kapitlet (artiklarna 12–23) i dataskyddsförordningen (EU 2016/679) anges den registrerades rättigheter i samband med att personuppgifter behandlas. Dessa rättigheter kan under vissa förut- sättningar begränsas. Om personuppgifter behandlas för bl.a. forskningsändamål får det, enligt artikel 89.2 i dataskyddsförordningen, i unionslagstift- ningen eller medlemsstaternas nationella lagstiftning föreskrivas om undantag från den registrerades rättigheter i artiklarna 15, 16, 18 och 21 med förbehåll för de villkor och skyddsåtgärder som av- ses i artikel 89.1. Det är av stor vikt att bestämmelserna som reglerar personuppgifts- behandling för forskningsändamål ger goda förutsättningar för forskningen, som den registrerades fri- och rättigheter beaktas. Detta för att upprätthålla integritetsskyddet i samband med forskning, inte minst för dem som deltar i forskningsprojekt. Utredningen har mot denna bakgrund i uppdrag att analysera om det, utöver den generella reglering på nationell nivå som Data- skyddsutredningen (Ju 2016:04) föreslår, finns ett behov av undan- tag från de bestämmelser i dataskyddsförordningen som reglerar den registrerades rättigheter vid behandling av personuppgifter för forskningsändamål och hur sådana undantag i så fall bör utformas. Vissa begränsningar av registrerades rättigheter föreslår undantag från registrerades rättig- heter med stöd av två olika artiklar i dataskyddsförordningen. För det första har analyserat behovet av att göra undantag i syfte att säkerställa vissa särskilt viktiga intressen i enlighet med artikel 23.1. Det rör sig om undantag för den natio- nella säkerheten (punkt a), försvaret (punkt b), den allmänna säker- heten (punkt c), åtgärder med anknytning till brottsbekämpning (punkt d), viktiga mål av generellt allmänt intresse (punkt e), skydd av rättsväsendet (punkt f), etiska regler för lagreglerade yrken (punkt g), vissa tillsyns-, inspektions- eller regleringsfunktioner (punkt h), skydd av den registrerades eller andras rättigheter och friheter (punkt i) samt verkställighet av civilrättsliga krav (punkt j). Med stöd av ovanstående föreslår gene- rella undantag från rätten till tillgång för uppgifter som på grund av sekretess eller tystnadsplikt inte får lämnas ut till den registrerade, att rätten till registerutdrag inte ska omfatta uppgifter som behandlas i löpande text som utgör utkast eller minnesanteckning (med vissa undantag), samt att regeringen ska bemyndigas att meddela före- skrifter om ytterligare undantag från vissa av förordningens skyl- digheter och rättigheter.1 För det andra har analyserat behovet av undantag från registrerades rättigheter enligt artikel 89.2 och 89.3 när personuppgifter behandlas för statistiska ändamål respektive arkivändamål av allmänt intresse. Vad gäller behandling för statistiska ändamål finner Dataskydds- utredningen att det inte bör införas något generellt undantag från registrerades rättigheter, samt uttalar att vid behov, och om det be- döms vara lämpligt, bör sådana undantag i stället införas i sektors- specifika författningar. Vad gäller behandling för arkivändamål föreslår Dataskydds- utredningen att rätten till s.k. registerutdrag inte heller i fortsätt- ningen bör omfatta personuppgifter i arkivmaterial som tagits emot för förvaring av eller andra arkivmyndigheter, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna sådan information. 1 SOU 2017:39 avsnitt 13.4. Vissa begränsningar av registrerades rättigheter att en arkivmyndighet inte ska behöva rätta eller komplettera person- uppgifter i arkivmaterial som tagits emot för förvaring av myndig- heten, eller behöva begränsa behandlingen av personuppgifterna. Slutligen föreslår man att rätten att göra invändningar inte ska gälla vid arkivmyndigheters behandling av personuppgifter i arkivmaterial som tagits emot för förvaring av myndigheten.2 Dataskyddsutred- ningen föreslår att dessa undantag från registrerades rättigheter in- förs i svensk lagstiftning med stöd av artikel 89.3. Detta avsnitt inleds med en översikt över i vilken utsträckning det är möjligt att i nationell rätt göra undantag från de rättigheter som enligt dataskyddsförordningens tredje kapitel tillkommer de registre- rade. Dessa motsvarar till stor del de rättigheter som anges i det nu- varande dataskyddsdirektivet (95/46/EG) samt personuppgiftslagen (1998:204). Vad gäller just behandling för forskningsändamål finns grunden för undantag i bl.a. nationell lagstiftning i artikel 89.2 i dataskydds- förordningen, som ger en möjlighet att göra undantag i vissa, upp- räknade, rättigheter. Även i det nuvarande dataskyddsdirektivet och i personuppgiftslagen finns möjligheten att göra undantag från dessa rättigheter för bl.a. forskningsändamål. Avsnittet avslutas med en genomgång av vilka direkt tillämpliga möjligheter att göra undantag från den registrerades rättigheter som följer direkt av dataskyddsförordningen. 10.2.1Möjligheter att göra undantag från vissa rättigheter i nationell rätt De rättigheter som omfattas av möjligheten till undantag i nationell rätt genom artikel 89.2 i dataskyddsförordningen är följande. Rätt till tillgång (tidigare ofta kallad rätt till registerutdrag). Enligt artikel 15 har den enskilde rätt att få veta om den personuppgifts- ansvarige behandlar uppgifter om den enskilde, och i så fall vilka uppgifter som behandlas, samt annan information om behand- lingen. 2 SOU 2017:39 avsnitt 14.4.5. Vissa begränsningar av registrerades rättigheter Rätt till rättelse. Enligt artikel 16 har den registrerade rätt att få felaktiga personuppgifter rättade, och även att få ofullständiga personuppgifter kompletterade. Rätt till begränsning av behandling (motsvarar vad som tidigare kallats blockering). Enligt artikel 18 har den registrerade i vissa uppräknade situationer rätt att begära att behandlingen av dennes uppgifter begränsas. Enligt artikel 4.3 avses med uttrycket ”be- gränsning av behandling” att lagrade personuppgifter markeras med syftet att begränsa behandlingen av dessa i framtiden.3 Rätt att göra invändningar. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av dennes personupp- gifter på vissa rättsliga grunder, bl.a. allmänt intresse, av skäl som hänför sig till den registrerades specifika situation. Undantag från dessa rättigheter får enligt artikel 89.2 endast före- skrivas i den utsträckning som sådana rättigheter sannolikt kom- mer att göra det omöjligt eller mycket svårare att uppfylla de sär- skilda ändamålen med behandlingen och sådana undantag krävs för att uppnå dessa ändamål. Även vissa av de övriga rättigheterna kan påverkas av regler i nationell rätt. Den rätt till information som den registrerade har när personuppgifterna inte erhållits från denne enligt artikel 14 ska inte tillämpas i den mån erhållande eller utlämnande av uppgifter föreskrivs i bl.a. nationell rätt, eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt (inbegripet lagstad- gad sekretess) enligt bl.a. nationell rätt. Utöver detta innehåller artikel 14.5 även direkt tillämpliga undantag som behandlas i följ- ande underavsnitt. Rätten till radering enligt artikel 17 ska inte gälla i den utsträck- ning behandlingen är nödvändig för att uppfylla bl.a. en rättslig förpliktelse. Även denna artikel innehåller i 17.3 direkt tillämpliga undantag vilka behandlas i det följande. Rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering enligt artikel 22, 3 Detta kan framstå som en cirkeldefinition. Den engelska språkversionen definierar mot- svarande uttryck på följande sätt: ”’restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future”. Vissa begränsningar av registrerades rättigheter ska inte tillämpas om ett sådant beslut är tillåtet i bl.a. nationell rätt och denna reglering fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. 10.2.2Direkt tillämpliga möjligheter att göra undantag från den registrerades rättigheter Vissa av de registrerades rättigheter, så som de anges i artiklarna 13–22 har direkt tillämpliga undantag i själva förordningen. När sådana undantag finns anges de i sista punkten i respektive artikel. När personuppgifterna samlas in från den registrerade har denne rätt att bli informerad i enlighet med artikel 13. Denna rättighet ska dock inte tillämpas om den registrerade redan förfogar över denna information. När personuppgifterna som behandlas inte har erhållits från den registrerade har denne rätt till information i enlighet med artikel 14. I artikelns punkt 5 anges dock ett stort antal undantag från den rättigheten, exempelvis om ett sådant tillhandahållande av informa- tion visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt vad gäller behandling för bl.a. forsknings- ändamål. När det är fråga om forskning baserad på befolknings- register kan antalet registrerade vara mycket stort, eller baseras på uppgifter insamlade långt innan de ska användas i forskningen, och därför göra ett tillhandahållande oproportionerligt ansträngande. I praktiken har etikprövningsnämnder i vissa sådana fall meddelat villkor att information om behandlingen ska spridas på annat sätt, exempelvis genom annonsering eller via forskningsprojektets hem- sida. Rätten att bli raderad enligt artikel 17 innehåller en direkt tillämplig möjlighet till undantag om det är nödvändigt för bl.a. forsknings- ändamål (artikel 17.3 d). Slutligen saknas helt möjlighet att i nationell lagstiftning göra undantag från den personuppgiftsansvariges anmälningsskyldighet (artikel 19) samt rätten till dataportabilitet (artikel 20) när uppgifter behandlas för forskningsändamål. När uppgifter behandlas för arkiv- ändamål kan nationell lagstiftning dock innehålla undantag från även dessa skyldigheter och rättigheter (artikel 89.3). Vissa begränsningar av registrerades rättigheter 10.2.3Rättigheter när den enskilde inte kan identifieras En viktig och direkt tillämplig grundregel i dataskyddsförordningen är att den personuppgiftsansvarige inte ska behöva bevara, förvärva eller behandla ytterligare information för att identifiera den regi- strerade endast i syfte att följa förordningen (artikel 11, jfr även skäl 57). Det är vanligt att det saknas direkt identifierande uppgif- ter i sådana personuppgifter som behandlas för forskningsändamål, exempelvis när uppgifterna kodats eller pseudonymiserats. Detta medför att den personuppgiftsansvarige i dessa fall saknar sådana uppgifter som gör det möjligt att exempelvis göra registerutdrag eller ens avgöra om uppgifter om en identifierad person behandlas. Enligt andra punkten i artikel 11 ska den personuppgiftsansvarige, om denne kan visa att han eller hon inte är i stånd att identifiera den registrerade, om möjligt informera den registrerade om detta. Denna informationsskyldighet får antas röra det fall när den registre- rade kontaktar den personuppgiftsansvarige i syfte att utöva sina rättigheter. Om den personuppgiftsansvarige kan visa att denne inte är i stånd att identifiera den registrerade ska artiklarna 15–20 inte gälla, förutom om den registrerade tillhandahåller ytterligare infor- mation som gör identifieringen möjlig. 10.2.4Andra möjligheter till undantag för särskilda ändamål Det är möjligt att i nationell lagstiftning begränsa tillämpnings- området för de skyldigheter och rättigheter som föreskrivs i bl.a. kapitel 3 med stöd av artikel 23.1. Detta under förutsättning att sådana begränsningar sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa i artikeln uppräknade mål. Forskningsändamål och närliggande mål återfinns inte i denna uppräkning, även om forsk- ning i vissa fall torde utgöra ett sådant viktigt mål av allmänt intresse som avses i artikel 23.1 e. Som angivits ovan har Dataskyddsutred- ningen funnit anledning att med stöd av artikel 23.1 föreslå ett antal bestämmelser som begränsar de registrerades rättigheter i viss ut- sträckning. Vissa begränsningar av registrerades rättigheter 10.3De aktuella rättigheterna, och behov av att göra undantag från dem 10.3.1Artikel 15 – Rätt till tillgång (registerutdrag) Den registrerade har enligt artikel 15 i dataskyddsförordningen rätt att av den personuppgiftsansvarige få bekräftelse på huruvida person- uppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna, samt även bl.a. information om ändamålen med behandlingen, de kategorier av personuppgifter som behandlingen gäller m.m. Denna rättighet benämns i förord- ningen som en ”rätt till tillgång”. Motsvarande rättighet i dataskydds- direktivet och personuppgiftslagen har, utifrån den äldre datalagens (1973:289) begreppsanvändning, betecknats som en rätt till register- utdrag.4 Rättigheten innebär att den personuppgiftsansvarige på begäran av den registrerade ska ge denne bekräftelse på huruvida person- uppgifter som rör honom eller henne behandlas och i så fall förse honom eller henne med en kopia av uppgifterna, samt viss, i arti- keln föreskriven, information om behandlingen. För eventuella ytterligare kopior som den registrerade begär får den personupp- giftsansvarige ta ut en rimlig avgift. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektro- niskt format som är allmänt använt, om den registrerade inte begär något annat (dock ska denna rätt inte inverka menligt på andras rättigheter och friheter). Denna rätt bör kunna utövas av den regi- strerade med rimliga intervall (skäl 63). Om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får dock den personuppgiftsansvarige ta ut en rimlig avgift eller vägra att tillmötesgå begäran. Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig (artikel 12.5). 1997/98:44 s. 80. Vissa begränsningar av registrerades rättigheter En motsvarande rättighet regleras i artikel 12 i det nuvarande data- skyddsdirektivet, vilken har genomförts genom 26 § personupp- giftslagen. Dataskyddsförordningens reglering innebär i jämförelse med äldre bestämmelser en utökad rätt till information om lagrings- tid, rätten till rättelse, radering, begränsning av behandling och in- vändning mot behandling, rätten att inge klagomål till en tillsyns- myndighet samt vissa uppgifter vid överföring till tredjeland. Bestämmelserna i artikel 12 i dataskyddsförordningen om i vilken form informationen ska lämnas samt vilka åtgärder som kan vidtas vid en begäran som är ogrundad eller orimlig är nya. Enligt dataskyddsförordningen ska den personuppgiftsansvarige på begäran, utan onödigt dröjsmål och under alla omständigheter senast efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits. får vid behov förlängas med ytterligare , med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen (artikel 12.3) Någon motsva- rande angiven tidsgräns finns inte angiven i det nuvarande data- skyddsdirektivet, som endast anger att informationen ska ges utan större tidsutdräkt. När bestämmelsen genomfördes i 26 § person- uppgiftslagen angavs att information skulle lämnas inom efter ansökan, eller om särskilda skäl fanns. Utredningens bedömning: Det behövs inga ytterligare undan- tag från rätten till tillgång utöver de undantag som Dataskydds- utredningen föreslår när personuppgifter behandlas för forsk- ningsändamål. Rätten till tillgång gäller, som ovan angivet, inte om den person- uppgiftsansvarige kan visa att denne inte kan identifiera den en- skilde, vilket torde vara vanligt när personuppgiftsbehandling sker med pseudonymiserade uppgifter. Vissa begränsningar av registrerades rättigheter I samband med viss forskning kan det tänkas att det kan inverka negativt på antingen forskningen eller den registrerade om denne kan få ut de uppgifter som behandlas. Så kan exempelvis vara fallet i samband med etablerade eller misstänkta medicinska diagnoser eller värden på prover som den registrerade är omedveten om av skäl som hänför sig till pågående behandling eller den registrerades allmänna välbefinnande. Sådana uppgifter torde regelmässigt om- fattas av sekretess med stöd av 25 kap. offentlighets- och sekretess- lagen (2009:400) (OSL). Det kan också vara fråga om information som kräver tolkning för att bli begriplig för den registrerade och där sådant tolkningsbistånd skulle innebära en oproportionerlig an- strängning för den personuppgiftsansvarige. Det bör understrykas att den enskilde i motsvarande situation i samband med sjukvård inte alltid har en ovillkorlig rätt att få till- gång till sina egna uppgifter om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas ut till denne (25 kap. 6 § OSL). Av det direkt tillämpliga undantaget i artikel 14.5 d i dataskydds- förordningen följer att den personuppgiftsansvarige inte på eget initiativ behöver tillhandahålla information till den registrerade om uppgifterna omfattas av sekretess eller tystnadsplikt. Som ovan an- givet föreslår en motsvarande reglering för rätten till tillgång enligt artikel 15. Enligt det föreslagna undantaget ska artikel 13–15 inte gälla sådana uppgifter som den personupp- giftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Undantaget ska även gälla för personuppgiftsansvariga som inte är myndigheter vad gäller sådana uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL.5 I andra situationer, där det går att identifiera den enskilde vars uppgifter behandlas, eller när en sådan identifiering kan ske med hjälp av kompletterande uppgifter som den enskilde tillhandahåller i samband med att denne utövar sina rättigheter, gör utredningen bedömningen att denna rättighet kan och bör respekteras. 5 SOU 2017:39 avsnitt 13.4.1. Vissa begränsningar av registrerades rättigheter Med hänsyn till den befintliga sekretessregleringen, som med förslag gäller framför denna rätt till tillgång, gör utredningen bedömningen att inget ytterligare behov av begräns- ning av denna rättighet finns. 10.3.2Artikel 16 – Rätt till rättelse Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att få felaktiga personuppgifter som rör honom eller henne rättade. Det finns också en möjlighet att, med beaktande av ändamålet med behandlingen, få ofullständiga personuppgifter kompletterade, bl.a. genom att tillhandahålla ett kompletterande yttrande. I samman- hanget bör uppmärksammas att korrekta och om nödvändigt upp- daterade uppgifter är en förutsättning för laglig behandling enligt artikel 5.1 d i dataskyddsförordningen. En motsvarande rättighet framgår av artikel 12 b i det nuvarande dataskyddsdirektivet, vilken har genomförts i 28 § personuppgifts- lagen. Enligt denna reglering är den personuppgiftsansvarige skyl- dig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd av lagen. Enligt 9 § g personuppgiftslagen krävs att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Denna grundläggande del av rättigheten är alltså oförändrad i data- skyddsförordningen gentemot tidigare reglering. Den rätt för den registrerade att komplettera ofullständiga upp- gifter genom exempelvis ett kompletterande yttrande är dock ny i förhållande till dataskyddsdirektivet. Vissa begränsningar av registrerades rättigheter Utredningens förslag: Den registrerades rätt till rättelse när personuppgifter behandlas för forskningsändamål ska inte gälla för sådana personuppgifter som behandlats för forskningsända- mål när personuppgifterna endast bevaras i syfte att dokumen- tera utförd forskning. En utgångspunkt för utredningens bedömning är att forskning ska utgå från korrekt information. Rätten till rättelse är därför även i forskningens intresse. Det finns dock aspekter som kan göra ut- övandet av denna rättighet komplicerad. Den första aspekten är att det kan föreligga oenighet mellan den registrerade och den personuppgiftsansvarige om vad som egentligen är en korrekt uppgift. Risken för detta ökar ju mer uppgifterna innefattar subjektiva bedömningar. Det är viktigt att rätten till rättelse inte innebär en rätt för den registrerade att diktera vilka uppgifter som ska behandlas om denne.