sou · H5B350 · 2017-06-09 00:00:00 — According to Article 89(2) of the Data Protection Regulation, where personal data are processed for scientific or historical re- search purposes or statistical purposes, Union or law may provide for derogations from the rights referred to in Articles 15, 16, 18 and 21 subject to the conditions and safeguards referred to in paragraph 1 of Article 89. We have therefore analysed the effect of these rights on research and propose certain restrictions in the Act. The right to rectification (Article 16) shall not apply to such personal data as is processed for research purposes if this is only preserved for archiving purposes. The right to rectification shall otherwise apply without derogations. The right to restriction of processing (Article 18) shall not apply where the data subject contests the accuracy of the data during the verification period required in order to verify the accuracy of the personal data if this means that the research cannot be carried out or would be crucially delayed or impeded. The same shall apply when the data subject has objected to processing, pending the veri- fication whether the legitimate grounds of the controller override those of the data subject. There is no need for further derogations from the right of access (Article 15) or the right to object (Article 21) where personal data is processed for research purposes, in addition to that proposed by the Data Protection Inquiry. has addressed issues of monitoring and sanctions in a general sense in relation to the processing of personal data for research purposes. Protection Inquiry proposes that the Protection Authority be appointed as a supervisory authority and have the powers under the Data Protection Regulation over the national Data Protection Act that supplements the Data Protection Regulation at a general level and the other national statutes that supplement the Data Protection Regulation. Because the proposed Act supplements the Data Protection Regulation, it is the view of the Committee that the provision proposed by the Data Protection Inquiry thus also covers the Act regarding the powers of the super- visory authority. Therefore there is no need to introduce a separate provision on monitoring in the Act. Protection Inquiry proposes a provision in the Data Protection Act that provides that the right to compensation under Article 82 of the Data Protection Regulation also applies to in- fringement of the provisions of this act, i.e. the Data Protection Act, and other statutes supplementing the Data Protection Regulation. It is the view of the Committee that the provision proposed by the Data Protection Inquiry thereby also covers the right to com- pensation in the event of infringement of the Act. There is therefore no need to introduce a specific provision on compensation in the Act. Our mandate was to analyse the safeguards that should apply to all processing of personal data for research purposes and the form these safeguards should take. Regarding sensitive personal data and personal data relating to criminal offences, etc, our mandate was to analyse the need for supplementary provisions in order to be able to process this data at all, and to determine which suitable and specific measures such a regulation should contain. We have therefore analysed key concepts, such as personal data, pseudonymisation and anonymisation, so as to subsequently examine the requirements in the Data Protection Regulation regarding safeguards. Furthermore, we have analysed a selection of organi- sational, technical and legal measures to safeguard the fundamental rights of the data subject, particularly in the light of the security requirements of the Data Protection Regulation. Bearing in mind existing opportunities to regulate safeguards when personal data is processed for research purposes, we judge that it is possible and appropriate to introduce such regulation in the form of a statute. Compared with conditions set in conjunction with ethical approval and codes of conduct, statutory regulation can provide greater clarity in application and ensure that suitable measures are also taken regarding processing that does not cover sensitive personal data or personal data that concerns criminal offences, etc. proposes that the existing provision in the Act, which states that data gathered for research purposes may not normally be used to take measures regarding the data subject, be transferred to the Act. Furthermore, we propose that a provision be introduced in the Act stating that personal data must be pseudonymised or protected in an equivalent when processed for research purposes provided that the purpose can be attained by doing so. Finally, we propose that the individual be given an opportunity to contest their personal data being processed for research pur- poses. If providing the data subject with the opportunity to contest the processing of their data proves to be impossible or involves disproportionate effort, or if the purposes of the research cannot otherwise be attained, the data may, however, be processed never- theless. has analysed the proposed provisions of the Act on the basis of the requirements predominantly of proportionality laid down in the Data Protection Regulation, the Instrument of Government and other relevant legal instruments. The analysis has been carried out on the assumption that the pro- posed Act is a form of framework legislation which is unable to regulate the processing of personal data at a detailed level, and that the actual processing of personal data carried out in research projects must be examined on the basis of the same proportionality requirement. Here, the proposed safeguards constitute a basis for ensuring that the infringement that the processing of personal data in question involves is proportionate to the expected benefit of the research. The proposed regulation must meet requirements of propor- tionality laid down in several different legal contexts. The view of the Committee, on the basis of the survey of privacy carried out, the safeguards proposed and the value of the processing of personal data enabled by the regulation, is that the Act is pro- portionate on the basis of all these proportionality requirements. has analysed the modifications that need to be made to the Act (2003:460) concerning the Involving Humans before the Data Protection Regulation starts to be applied. Initially, the Committee has addressed the issue of ethical review as a safeguard in line with the requirements of the Data Protection Regulation and reached the conclusion that ethical review constitutes such a suitable and specific safeguard as required by the Data Protection Regulation to process for research purposes sensitive personal data or personal data that concerns criminal offences, etc. subsequently analysed whether the area of application of the Act should be expanded to apply to all processing of personal data for research purposes and reached the conclusion that this would be far too invasive a measure that is disproportionate for its purpose. therefore pro- poses that the requirement for ethical review, also in the future, cover the processing for research purposes of sensitive personal data or personal data that concerns criminal offences, etc. in line with the definitions set out in Articles 9(1) and 10 of the Data Protection Regulation, and that the ethical review requirement regarding the additional data currently set out in Section 21 of the Act should continue to be covered by the area of application in the Act in the future. has further found that there is reason to further investigate the need for changes to the ethical review procedure. A differentiated ethical review procedure appears to be more fit for purpose predominantly in certain sociological and legal research. We submit several examples of such needs in conjunction with pro- cessing personal data for research purposes being based on data that is already published and where subsequent processing merely involves a minor privacy risk. In the light of restrictions to our mandate and frameworks in general, we propose that this be in- vestigated further in a separate form. Finally, the Committee has analysed the amendments to the Act that otherwise need to be made as the Data Protection Regulation starts to be applied and submits the necessary statutory proposals in this regard. Modifications to certain register statutes In the next stage of the inquiry we have been charged with further preparing the proposals of the Research Inquiry (U 2013:01) in the report Unik kunskap genom registerforskning (Unique knowledge through register-based research) (SOU 2014:45). As it is not long until the Data Protection Regulation starts to be applied, 25 2018, no general regulation governing research databases will be in place by then. Therefore, in an initial phase, an analysis needs to be carried out regarding which adaptations in respect to the Data Protection Regulation and the general regulation proposed by the Data Protection Inquiry that need to be carried out to the Act (2013:794) on certain registers for research into the impact of genetics and environment on people’s health and the Act (1999:353) on a forensic psychiatric research register until the Data Protection Regulation starts to be applied. Because the Committee has a mandate in a second phase to in- vestigate and propose long-term regulation of research databases, this first part of the mandate has focused solely on technical legal modifications to the register statutes in relation to the provisions of the Data Protection Regulation. This means that, in present phase, the Committee has assumed that considerations already made and its views on this matter should be adopted where these are compatible with the Data Protection Regulation. The analysis is thus focused on such amendments as are necessary due to the Data Protection Regulation. The overall purpose of the mandate in this phase is to ensure that the legislation on registers can also be applied after the Data Protection Regulation starts to be applied on 25 2018, and that the existing conditions for processing personal data in line with legislation on registers will not in any case be watered down. According to Article 99 of the Data Protection Regulation, the Regulation is to be applied from 25 2018. Protection Inquiry proposes that the Data Protection Act, which constitutes supplementary national legislation at a general level, is to enter into force the same day and that the Act cease to apply at the same time. Because the Research Data Act constitutes supple- mentary national legislation to the Data Protection Act in the research sector, we also propose that it should enter into force the same day. The Regulation states that references to the Data Protection Directive must be construed as references to the Data Protection Regulation as this starts to be applied and the Directive is thus repealed. Recital 171 of the Data Protection Regulation further- more states that adaptations in Member States should be in place when the Regulation starts to be applied. It is the view of the Committee that there is thereby no scope for any transitional provisions in the Act. From 25 2018 all pro- cessing of personal data for research purposes must thus apply the Data Protection Regulation and, where this is supplemented, the Act and at a general level also the Data Protection Act. The Commission has been charged with analysing the consequences of our proposals on the basis of certain specifically stated aspects. Our proposals are simultaneously primarily caused by other changes, mainly the abolition of the Act and the entry into force of the Data Protection Regulation, but also the proposals sub- mitted by the Data Protection Inquiry. We have therefore limited the analysis to such consequences that we have an opportunity to influence in any real sense, and operated on the basis of the aim of retaining the opportunities for research and protection of personal privacy that follow from current regulation. We will therefore not analyse the consequences of the Data Protection Regulation starting to be applied. judges that the proposals will not involve any changes in costs for the actors referred to in the Swedish Committees Ordinance (1998:1474). Furthermore, it is the view of the Committee that the proposals in general will reinforce personal privacy. 1 § Syftet med denna lag är att möjliggöra personuppgiftsbehand- ling för forskningsändamål som den enskildes fri- och rättigheter skyddas. 2 § Denna lag kompletterar och rådets för- ordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskydds- förordningen. 3 § Om inte annat följer av denna lag gäller lagen (2018:XX) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen). Om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter för forskningsändamål som av- viker från denna lag ska de bestämmelserna gälla. 4 § Denna lag tillämpas vid behandling av personuppgifter för forskningsändamål. Behandling av personuppgifter för forskningsändamål 5 § Av dataskyddsförordningen framgår att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. 6 § Personuppgifter får med stöd av artikel 6.1 e i dataskydds- förordningen behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse. Forskning av allmänt intresse får utföras av statliga myndig- heter, kommuner och landsting, andra juridiska personer och en- skilda näringsidkare. 7 § Vid personuppgiftsbehandling för forskningsändamål med stöd av något av villkoren i artikel 6.1 i dataskyddsförordningen gäller bestämmelserna i 8–10 §§ denna lag. 8 § Vid personuppgiftsbehandling för forskningsändamål ska personuppgifterna pseudonymiseras eller vara skyddade på likvär- digt sätt, om ändamålet kan uppfyllas på det viset. 9 § Personuppgifter får inte behandlas för forskningsändamål om den enskilde motsätter sig sådan behandling. Om det visar sig vara omöjligt eller medföra en oproportionerlig ansträngning att tillhandahålla den enskilde möjligheten att mot- sätta sig behandlingen, eller om ändamålet annars inte kan upp- fyllas, får personuppgiftsbehandling ändå utföras. 10 § Personuppgifter som behandlas för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade bara om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Detta gäller dock inte för en myndighets användning av personuppgifter i allmänna handlingar. 11 § Känsliga personuppgifter får med stöd av artikel 9.2 j i data- skyddsförordningen behandlas om behandlingen är nödvändig för forskningsändamål och om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etik- prövningslagen). Av etikprövningslagen framgår övriga krav på etikprövning av behandling av känsliga personuppgifter för forskningsändamål. Personuppgifter om lagöverträdelser m.m. 12 § Personuppgifter som rör fällande domar i brottmål, lagöver- trädelser som innefattar brott eller straffprocessuella tvångsmedel får med stöd av artikel 10 i dataskyddsförordningen behandlas för forskningsändamål av andra än myndigheter om behandlingen är nödvändig för forskningsändamål och har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etik- prövningslagen). Av etikprövningslagen framgår övriga krav på etikprövning av behandling av personuppgifter om lagöverträdelser m.m. för forsk- ningsändamål. Undantag från registrerades rättigheter 13 § Den registrerades rätt till rättelse enligt artikel 16 i dataskydds- förordningen gäller inte för sådana personuppgifter som behandlats för forskningsändamål när personuppgifterna endast bevaras i syfte att dokumentera utförd forskning. 14 § Den registrerades rätt till begränsning av behandling enligt artikel 18.1 a och d i dataskyddsförordningen gäller inte när uppgif- ter behandlas för forskningsändamål om utövandet av rätten med- för att forskningen inte kan utföras, eller på ett avgörande sätt för- senas eller försvåras. 15 § Personuppgifter får lämnas ut för att behandlas för forsk- ningsändamål, om inte något annat följer av regler om sekretess och tystnadsplikt. Vid sådan personuppgiftsbehandling behöver artikel 14.1–4 i dataskyddsförordningen inte iakttas. Detta hindrar inte att villkor enligt 6 § lagen (2003:460) om etikprövning av forsk- ning som avser människor får avse den information som ska lämnas till den registrerade. Denna lag träder i kraft . behandling av personupp- gifter: sådan behandling som anges i artikel 4.2 i Europaparla- mentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförord- ningen.47 lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor Härigenom föreskrivs i fråga om lagen (2003:460) om etikpröv- ning av forskning som avser människor dels att 12 § ska upphöra att gälla, dels att 2 och 3 §§ ska ha följande lydelse. I denna lag avses med forskning: vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskole- utbildning på grundnivå eller på avancerad nivå, forskningshuvudman: en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs, forskningsperson: en levande människa som forskningen avser, och behandling av personupp- gifter: sådan behandling som anges i 3 § personuppgiftslagen (1998:204). 1 Senaste lydelse SFS 2008:192. Denna lag ska tillämpas på forskning som innefattar behandling 1.känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204), eller 2.personuppgifter om lag- överträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen. 1. sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförord- ningen (känsliga personuppgifter), eller 2. sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Denna lag träder i kraft . 2 Senaste lydelse SFS 2008:192. lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Härigenom föreskrivs i fråga om lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa dels att 13 och 17 §§ ska upphöra att gälla, dels att 2, 3, 12, 14 och 16 §§ och rubriken närmast före 3 § och 16 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 3 a §, av följande lydelse. Lagen gäller behandling av personuppgifter som utförs av så- dana statliga universitet och högskolor som omfattas av högskole- lagen (1992:1434) och som med en enskildes uttryckliga samtycke sker i sådant syfte som anges i 1§ 1. Lagen gäller bara om behand- lingen är helt eller delvis automa- tiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Regeringen meddelar föreskrifter om vilka statliga universitet och högskolor som får behandla personuppgifter enligt denna lag och vilka register enligt lagen som får föras. 3 Senaste lydelse SFS 2013:794. 3 §4Personuppgiftslagen (1998:204) Denna lag kompletterar Europa- gäller vid behandling av person- parlamentets och rådets förordning uppgifter, om inte annat följer av (EU) 2016/679 av denna lag. 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförord-ningen.3 a §Lagen (2018:XX) med kom- pletterande bestämmelser till EU:s dataskyddsförordning (dataskydds- lagen) gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har med- delats med stöd av denna lag eller lagen med kompletterande bestäm- melser till EU:s dataskyddsförord- ning.12 §5Personuppgifter som inte Personuppgifter som inte längre behövs för de ändamål längre behövs för de ändamål som avses i 5 § 1 och 2 ska gall- som avses i 5 § 1 och 2 ska gall- ras, om inte regeringen eller den ras, om inte regeringen eller den myndighet som regeringen be- myndighet som regeringen be- stämmer har meddelat föreskrif- stämmer har meddelat föreskrif-4 Senaste lydelse SFS 2013:794.5 Senaste lydelse SFS 2013:794.50FörfattningsförslagFörhållandet till personuppgiftslagen ter om eller i ett enskilt fall be- ter om eller i ett enskilt fall be- slutat att uppgifter får bevaras slutat att uppgifter får bevaras för historiska, statistiska eller intresse, vetenskapliga eller histo- Personuppgifter som avses i 9 § får inte samlas in i syfte att de ska registreras i ett register som förs enligt denna lag utan att den som uppgifterna avser uttryckligen har samtyckt till att personupp- gifter behandlas enligt denna lag. Innan en person lämnar sitt Utöver vad som framgår av samtycke enligt första stycket ska artiklarna 13 och 14 i dataskydds- han eller hon ha informerats om förordningen ska en person innan han eller hon lämnar sitt samtycke enligt första stycket ha informerats undersökningar i syfte att upp- undersökningar i syfte att upp- gifter om detta förs in i registret gifter om detta förs in i registret samt att den registrerade när samt att den registrerade när som helst kan avbryta sitt upp- som helst kan avbryta sitt upp- eller sitt deltagande helt eller eller sitt deltagande helt eller 2. för vilka ändamål behand- 2. vilka uppgifter som ling kan ske enligt 5–7 §§ och vilka registreras enligt 9 §, enligt 9 §, hetsbestämmelser som gäller för hetsbestämmelser som gäller för 6 Senaste lydelse SFS 2013:794. 4.vem som är personuppgifts- ansvarig, 5.hur länge uppgifterna sparas, 6.rätten till rättelse av upp- gifterna, 7.rätten till information en- ligt 15 § denna lag och 26 § per- sonuppgiftslagen (1998:204), 8.vilken myndighet som har tillsyn över att denna lag följs, 9.rätten till skadestånd, och 10.rätten att få uppgifter ut- plånade. 4.rätten till information en- ligt 15 § denna lag och artikel 15 5.vilken myndighet som har tillsyn över att denna lag följs, och 6.rätten till skadestånd. Den registrerade har rätt att när som helst begära att uppgifter ordningen finns bestämmelser om i registret om honom eller henne rätt till radering. ska göras skriftligen hos den rige och vara undertecknad av undertecknad av den registrerade den registrerade själv. Om begäran innefattar ut- ran innefattar radering av sådana plåning av sådana uppgifter som uppgifter som avses i 9 § första avses i 9 § första stycket 7 ska stycket 7 ska detta särskilt anges. detta särskilt anges. att begäran gjordes utplåna upp- att begäran gjordes radera upp- gifterna i enlighet med begäran gifterna i enlighet med begäran och sända den registrerade en och sända den registrerade en bekräftelse på att så har skett. bekräftelse på att så har skett. Om den enskilde inte har be- Om den enskilde inte har be- gärd utplåning även av uppgifter gärd radering även av uppgifter som avses i 9 § första stycket 7 som avses i 9 § första stycket 7 7 Senaste lydelse SFS 2013:794.