sou · H5B350 · 2017-06-09 00:00:00 — Eftersom forskningsdatalagen utgör kompletterande nationell lagstiftning till dataskyddsförord- ningen inom forskningssektorn föreslår vi att även den ska träda i kraft . Dataskyddsförordningen trädde i kraft och ska börja tillämpas i medlemsstaterna . Av förordningen framgår att hänvisningar till dataskyddsdirektivet ska anses som hänvisningar till dataskyddsförordningen i samband med att denna börjar tillämpas och direktivet därmed upphävs. Av skäl 171 i data- skyddsförordningen framgår vidare att nationella anpassningar i medlemsstaterna bör finnas på plats när förordningen börjar tilläm- pas. Det är utredningens uppfattning att det därmed inte finns ut- rymme för några övergångsbestämmelser. ska således all personuppgiftsbehandling för forskningsända- mål tillämpa dataskyddsförordningen och, i de delar denna kom- pletteras, forskningsdatalagen samt på generell nivå även dataskydds- lagen. Det är vidare utredningens bedömning, mot bakgrund av denna slutsats, att det inte heller finns något utrymme för övergångs- bestämmelser avseende de anpassningar som utredningen föreslår med anledning av dataskyddsförordningen i lagen (2003:460) om etikprövning av forskning som avser människor, lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (1999:353) om rättspsykiatriskt forsk- ningsregister. De ändringar som utredningen föreslår i respektive författning ska träda i kraft . I detta kapitel redovisar vi konsekvenserna av utredningens förslag i enlighet med 14–15 a §§ kommittéförordningen (1998:1474) och 6–7 §§ förordningen (2007:1244) om konsekvensutredning vid regel- givning. Enligt direktiven ska utredningen utöver detta även redo- visa förslagens konsekvenser för den personliga integriteten. Det är i sammanhanget viktigt att tydliggöra att utredningens uppdrag är att analysera vilken reglering som är möjlig och kan be- hövas för personuppgiftsbehandling för forskningsändamål, utöver vad som redan framgår av dataskyddsförordningen (EU 2016/679) eller den generella kompletterande reglering som Dataskyddsutred- ningen (Ju 2016:04) föreslår. De konsekvenser som följer av för- ordningens direkt tillämpliga bestämmelser eller Dataskyddsutred- ningens förslag analyseras därför inte nedan. Utöver analysen i förevarande kapitel har utredningens förslag analyserats med avseende på proportionalitetsaspekten i kapitel 13. 17.1.1Förändringar som följer av våra förslag Utredningen föreslår i avsnitt 4.2 att en ny forskningsdatalag ska införas som möjliggör behandling av personuppgifter för forsk- ningsändamål på så lika villkor som möjligt för såväl offentliga som privata forskningsaktörer och där de närmare villkoren för behand- ling av personuppgifter för detta ändamål specificeras. De förslag till bestämmelser i forskningsdatalagen som utredningen sedan läm- nar i de olika delarna av betänkandet utgör de nödvändiga komplette- rande nationella bestämmelserna för att den samlade regleringen, enligt utredningens bedömning, ska möjliggöra en ändamålsenlig behandling som den skyddar den enskildes fri och rättig- heter. En allmän utgångspunkt för utredningen har varit att bibehålla de rättigheter och skyldigheter i samband med personuppgiftsbehand- ling för forskningsändamål som finns , inom ramen för data- skyddsförordningens utrymme för nationell kompletterande regler- ing. I vart fall ska inte möjligheterna till sådan personuppgiftsbehand- ling, eller den enskildes integritetsskydd, försämras jämfört med dagens situation. De flesta bestämmelser som utredningen föreslår i forskningsdatalagen, och de ändringar vi föreslår i de övriga för- fattningarna, motsvarar därför i stort sett de nuvarande bestämmel- serna i personuppgiftslagen och de övriga aktuella författningarna. Vissa förslag till bestämmelser i forskningsdatalagen innebär dock förändringar i relation till nuvarande rättsläge som medför att en konsekvensanalys måste göras, nämligen att det direkt i lagen före- slås två nya lämpliga skyddsåtgärder utöver den hänvisning till etik- prövning som görs för känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. Den ena av dessa skyddsåtgärder, pseudonymisering eller skydd på likvärdigt sätt, föreslås även i förordningens artikel 89.1, men har i forskningsdatalagen fått en något förstärkt ställning. Den andra skyddsåtgärden, rätten att motsätta sig behandling, har införts som konsekvens av den begränsning av möjligheten att använda sam- tycke som föreligger i vissa situationer enligt skäl 43 i dataskydds- förordningen. Rätten att motsätta sig behandling är enligt utred- ningens bedömning ett alternativt sätt att säkerställa den registre- rades möjlighet till inflytande över personuppgiftsbehandlingen, och är därmed förenligt med förordningens mål att förstärka den registrerades rättigheter som uttrycks bland annat i skäl 11. Utred- ningen föreslår även att den skyddsåtgärd som framgår av 9 § fjärde stycket personuppgiftslagen, som innebär att uppgifter inte får användas för att vidta åtgärder i fråga om den registrerade såvida det inte finns synnerliga skäl med hänsyn till den registrerades vitala intressen, överförs till forskningsdatalagen. Utöver dessa föreslagna skyddsåtgärder föreslår utredningen vissa begränsningar av de registrerades rättigheter som anges i arti- kel 16 (rättelse) och artikel 18 (begränsning av behandling). Det är fråga om rättigheter som är mer detaljerat reglerade i dataskydds- förordningen, men som ändå har en viss motsvarighet i det nuvar- ande dataskyddsdirektivet och personuppgiftslagen. Begränsning- arna av rättigheterna saknar däremot motsvarighet i nuvarande regler- ing. Förslaget medför i denna del vissa konsekvenser för de regi- strerades personliga integritet i syfte att möjliggöra ändamålsenlig behandling för forskning. Utredningens förslag till ändringar i lagen (2003:460) om etik- prövning av forskning som avser människor (etikprövningslagen), lagen (2003:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen (1999:353) om rätts- psykiatriskt forskningsregister utgör sådana anpassningar som är nödvändiga för att bestämmelserna ska vara förenliga med data- skyddsförordningen. Någon ändring i sak är i dessa fall inte avsedd. I det följande kommer utredningen sammanfattningsvis att analy- sera konsekvenserna av förslaget att genom forskningsdatalagen likställa olika forskningsaktörer med avseende på deras ställning i förhållande till allmänt intresse som rättslig grund för personupp- giftsbehandling, förslaget att i forskningsdatalagen införa två nya lagstadgade skyddsåtgärder, utöver den hänvisning till etikprövning som överförs till den nya lagen, samt förslaget att införa två nya be- gränsningar av registrerades rättigheter. Av 6 § förordningen (2007:1244) om konsekvensutredning vid regel- givning följer att en sådan ska innehålla vissa beskrivningar, uppgif- ter och bedömningar. Dessa redovisas i nedanstående underavsnitt (med undantag för kostnadsmässiga konsekvenser, vilka behandlas i efterföljande avsnitt). beslutade EU en förordning som utgör ny generell regler- ing för personuppgiftsbehandling inom unionen. Denna dataskydds- förordning ska börja tillämpas som lag i . I och med det upphävs nuvarande personuppgiftslag med tillhörande personuppgiftsförordning och övriga författningar som reglerar personuppgiftsbehandling inom sektorsvisa områden måste anpassas. har i uppdrag att föreslå anpassningar och kompletterande författningsbestämmelser på gene- rell svensk nivå. Personuppgiftsbehandling för forskningsändamål kommer i flera fall att behöva kompletterande reglering i nationell lagstiftning för att sådan behandling ska vara tillåten. Problemet som utredningen är satt att lösa är alltså hur forskning i ska kunna möjliggöras när dataskyddsförordningen börjar tillämpas. Forskningsdatautred- ningen har därför i uppdrag att föreslå en kompletterande nationell reglering av personuppgiftsbehandling för forskningsändamål, ut- över den reglering som föreslår. Målet med utredningens arbete är således att möjliggöra en ändamålsenlig be- handling av personuppgifter för forskningsändamål som den enskildes fri- och rättigheter skyddas. För de förslag utredningen lämnar, och som motiverar en konse- kvensanalys, innebär det mer konkret att olika forskningsaktörer likställs med avseende på deras ställning i förhållande till allmänt intresse som rättslig grund för personuppgiftsbehandling. Det inne- bär vidare att forskningsdatalagen kommer att reglera två nya skydds- åtgärder, utöver de krav på etikprövning som överförs från person- uppgiftslagen. Detta utgör en vägledning avseende vilka skyddsåtgär- der som bör övervägas och kan föreslås av etikprövningsnämnderna samt en vägledning om vilka hänsynstaganden som bör styra de personuppgiftsansvarigas agerande i hanteringen av personuppgifter för forskningsändamål. regleras personuppgiftsbehandling för forskningsändamål framför allt i personuppgiftslagen. Särskilda registerförfattningar kompletterar denna lag för specifika områden. Det nuvarande regel- verket bygger på dataskyddsdirektivet , vilket upphör att gälla i och med dataskyddsförordningen. Den redan beslutade dataskyddsförordningen ska börja tillämpas och är genom sin status som EU-förordning direkt tillämplig i medlemsstaterna. Detta innebär att personuppgiftslagen kommer att upphöra att gälla per detta datum och att alla författningar som kompletterar, eller har företräde framför, personuppgiftslagen måste anpassas till dataskyddsförordningen. Dataskyddsförordningen lämnar vissa möjligheter till nationella kompletterande och specificerande bestämmelser. Om nationella anpassningar till dataskyddsförordningen inte utförs kommer möjlig- heterna att behandla personuppgifter generellt att försämras p.g.a. vad som kan beskrivas som luckor i regelverket. Beträffande person- uppgiftsbehandling för just forskningsändamål ger dataskydds- förordningen i flera fall utrymme för kompletterande nationell lag- stiftning. Om dessa möjligheter inte tas om hand kommer dagens möjligheter att behandla personuppgifter för forskningsändamål att kraftigt försämras. Eftersom utredningens övergripande mål är att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål, som den skyddar den enskildes fri- och rättigheter, är det inte ett rimligt alternativ att någon reglering inte kommer till stånd. Utredningens överväganden i de olika del- arna visar vilka alternativa lösningar som kan finnas. 17.2.3Vem berörs av våra förslag? Forskning bedrivs av såväl offentliga som privata aktörer och inom många samhällssektorer. Dataskyddsförordningen får genomgrip- ande konsekvenser för alla forskningsaktörer som använder sig av personuppgifter. Kompletteringslagstiftningen riktar sig till samma aktörer. Indirekt berörs också de registrerade genom att erbjudas möjligheten att motsätta sig behandling av personuppgifter för forsk- ningsändamål. Utredningens förslag är föranledda av den förändring i som dataskyddsförordningens ikraftträdande medför. Dataskydds- förordningen är direkt tillämplig, men lämnar visst utrymme för nationell lagstiftning att bl.a. fastställa rättslig grund för person- uppgiftsbehandling, reglera skyddsåtgärder, begränsa registrerades rättigheter m.m. Utredningens förslag syftar till att utgöra en kompletterande nationell reglering för personuppgiftsbehandling för forsknings- ändamål som är förenlig med dataskyddsförordningen. Vi bedömer därmed att förslaget är förenligt med . 17.2.5Tidpunkt och information inför ikraftträdande Dataskyddsförordningen ska börja tillämpas som direkt tillämplig lag i , vilket innebär att nationella kompletterande författningar måste träda i kraft samma datum. Införandet av Dataskyddsförordningen kräver om- fattade informationsinsatser eftersom reformen berör så många aktörer. Det är utredningens bedömning att förslaget att införa en forskningsdatalag kommer att medföra ett behov av information och utbildning hos dem som är berörda, men att detta bör kunna utföras inom ramen för respektive verksamhet. I 14 § kommittéförordningen anges att om förslagen i ett betän- kande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär sam- hällsekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kom- muner och landsting ska kommittén föreslå en finansiering. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i be- tänkandet, enligt 15 a § kommittéförordningen. 17.3.1Vår bedömning av förslagen Utredningen bedömer att vare sig införandet av forskningsdata- lagens bestämmelse om att forskning av allmänt intresse får utföras av forskningsaktörer oavsett civilrättslig ställning, eller införandet av två nya skyddsåtgärder i den nya lagen, medför några kostnads- förändringar för de aktörer som omnämns i kommittéförordningen. Förslagen har snarare konsekvensen att behålla kostnaderna på de nivåer som gäller, och har inte heller i övrigt några samhällsekonomiska konsekvenser. Förslagen kan därför betraktas som kostnadsneutrala i förhållande till dagens situation. Konse- kvensen av att avstå från regleringen kunde ha blivit en kostnads- ökning, särskilt för företag och enskilda forskningsaktörer som inte längre skulle kunnat utnyttja möjligheten att hänvisa till all- mänt intresse som rättslig grund för forskningen utan hade varit hänvisade till samtycke eller intresseavvägning som laglig grund för personuppgiftsbehandlingen i varje enskilt fall. Vad gäller de föreslagna begränsningarna av de registrerades rättigheter medför de främst att forskningsaktörer i vissa avgränsade situationer inte behöver beakta en del rättigheter som tillkommer de registrerade. Begränsningarna bör därför inte medföra ökade ekonomiska kostnader för de uppräknade parterna. I denna bedömning har vi särskilt beaktat villkoren för de före- tag som utför forskning. 17.3.2Ekonomiska konsekvenser av alternativa lösningar Det alternativ som kan och har övervägts är att avstå från nationell reglering utöver vad som föreslås av . Vi finner att en sådan strategi är svår att bedöma kostnadsmässigt. I allmänhet skulle det innebära att delar av nuvarande forsknings- verksamhet, som använder personuppgifter, skulle stå utan den reglering som efterfrågas eller föreskrivs i dataskyddsförordningens artiklar 6 och 9. Forskningen skulle därmed tvingas upphöra. Konsekvensen av att avstå från att introducera ytterligare skydds- åtgärder i forskningsdatalagen skulle kunna vara att den svenska regleringen av forskning med känsliga personuppgifter skulle komma att stå i strid med dataskyddsförordningens artikel 1.3 som anger att det fria flödet av personuppgifter inte får begränsas eller förbju- das av skäl som rör skyddet av personuppgifter. 17.4Andra konsekvenser enligt kommittéförordningen Av 15 § kommittéförordningen framgår att om förslagen i ett be- tänkande har betydelse för den kommunala självstyrelsen ska kon- sekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsföre- byggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrens- förmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Utredningen bedömer att de förslag som lämnas inte får några konsekvenser i dessa avseenden. 17.5Konsekvenser för den personliga integriteten Enligt 16 § kommittéförordningen anger regeringen närmare i utredningsuppdraget vilka konsekvensbeskrivningar som ska finnas i betänkandet. Av våra direktiv framgår att utredningen, utöver vad som följer av 14–15 a §§ kommittéförordningen, ska redovisa för- slagens konsekvenser för den personliga integriteten. Utredningens bedömning är att de föreslagna ändringarna inne- bär en förstärkning av den personliga integriteten i och med in- förandet av nya skyddsåtgärder som ökar integritetsskyddet och en förstärkt ställning för skyddsåtgärden pseudonymisering, som enligt förslaget ska användas om det är möjligt att genomföra forskningen med pseudonymiserade uppgifter. De föreslagna begränsningarna i de registrerades rättigheter medför, sett isolerat, en viss försämring av skyddet för den person- liga integriteten. Begränsningarna har dock utformats så att det vi bedömer vara nödvändiga inskränkningar endast föreslås i fråga om sådant där den ökande möjligheten för reproducerbar forskning av hög kvalitet uppväger intrånget i den enskildes integritet. Det är vår bedömning att begränsningarna är väl motiverade även ur integritets- synvinkel. Utredningen har i uppdrag att analysera konsekvenserna av våra förslag ur vissa särskilt angivna aspekter. Våra förslag är primärt föranledda av andra förändringar, främst personuppgifts- lagens upphävande och dataskyddsförordningens ikraftträdande, men även de förslag som lämnar. Vi har därför begränsat konsekvensanalysen till sådana konsekvenser som vi i någon reell mening haft möjlighet att påverka, och utifrån mål- sättningen att bibehålla de möjligheter till forskning samt skydd för den personliga integriteten som följer av dagens reglering. rar därför inte de konsekvenser som följer av att dataskyddsförord- ningen börjar tillämpas. Utredningen bedömer att förslagen inte medför några kostnads- förändringar för de aktörer som omnämns i kommittéförordningen. Utredningens bedömning är vidare att förslagen överlag innebär en förstärkning av den personliga integriteten. 1 § Syftet med denna lag är att möjliggöra personuppgiftsbehandling för forskningsändamål som den enskildes fri- och rättigheter skyddas. Paragrafen utgör en s.k. portalparagraf som anger syftet med lagen. Syftet med lagen har behandlats i avsnitt 4.2. 2 § Denna lag kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. I paragrafen anges att lagen innehåller bestämmelser som komplette- rar EU:s dataskyddsförordning. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller som undantag. Detta gäller bl.a. vid behandling av personuppgifter för forskningsändamål. Hänvisningarna till dataskyddsförordningen i denna lag är dynamiska, dvs. avser förordningen i dess gällande lydelse . Bestämmelsen har behandlats i avsnitt 4.3. 3 § Om inte annat följer av denna lag gäller lagen (2018:XX) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen). Om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter för forskningsändamål som avviker från denna lag, ska de bestämmelserna gälla. Paragrafen anger i första stycket lagens relation till den generella dataskyddslag som föreslår i sitt betänkande SOU 2017:39. Dataskyddslagen avser att komplettera dataskydds- förordningen på nationell generell nivå. Forskningsdatalagen har företräde framför dataskyddslagen. Om inte annat följer av denna lag gäller således dataskyddslagen. Det andra stycket utgör en subsidiaritetsbestämmelse med av- gränsningen att lagen är subsidiär gentemot andra lagar och förord- ningar som reglerar personuppgiftsbehandling för forskningsändamål. Bestämmelsen har behandlats i avsnitt 4.3. 4 § Denna lag tillämpas vid behandling av personuppgifter för forsk- ningsändamål. Paragrafen anger lagens materiella tillämpningsområde och tydlig- gör vilken behandling som omfattas av lagen. Det materiella tillämpningsområdet har behandlats i avsnitt 4.2. Behandling av personuppgifter för forskningsändamål 5 § Av dataskyddsförordningen framgår att personuppgifter får be- handlas endast om minst ett av de villkor som anges i artikel 6.1 i för- ordningen är uppfyllt. Paragrafen upplyser om att villkoren för laglig personuppgifts- behandling finns i artikel 6.1 i dataskyddsförordningen. Uppräkningen av vad som kan utgöra rättslig grund för behand- ling av personuppgifter i artikel 6.1 är uttömmande. personuppgifter får inte utföras om inte minst ett av dessa villkor är uppfyllt. Flera rättsliga grunder kan också vara tillämpliga för en och samma behandling. Behandling av personuppgifter för forsk- ningsändamål kan i teorin grundas på vilken som helst av punkterna i artikel 6.1, men framför allt torde punkterna a och e bli tillämpliga. Punkt f är, som framgår av artikel 6.1 andra stycket, inte möjlig att åberopa för myndigheter när de fullgör sina uppgifter. Utöver att behandlingen är rättsligt grundad enligt artikel 6.1 krävs att övriga krav enligt förordningen är uppfyllda. Forskningsdatalagen är tillämplig på personuppgiftsbehandling för forskningsändamål oavsett rättslig grund för behandlingen en- ligt artikel 6.1. Bestämmelsen har behandlats i avsnitt 5.5.3. 6 § Personuppgifter får med stöd av artikel 6.1 e i dataskyddsförord- ningen behandlas för forskningsändamål om behandlingen är nödvän- dig och proportionerlig för att utföra forskning av allmänt intresse. Forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda närings- idkare. Paragrafen har införts för att uppfylla dataskyddsförordningens krav på att rättslig grund för behandling som är nödvändig för att utföra en uppgift av allmänt intresse ska fastställas i unionsrätt eller nationell rätt, i enlighet med artikel 6.2 och 6.3. Bestämmelsen möjliggör tillämpning av artikel 6.1 e som rättslig grund för behandling av personuppgifter för forskningsändamål omfattande samtliga angivna forskningsaktörer, oavsett om de är offentliga eller privata, genom att fastställa dels att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och propor- tionerlig för att utföra forskning av allmänt intresse, dels att forsk- ning av allmänt intresse får utföras av statliga myndigheter, kommu- ner och landsting, andra juridiska personer och enskilda närings- idkare. Termen nödvändig behandling har behandlats i avsnitt 5.2.2 och proportionalitet behandlas i kapitel 13. Bestämmelsen har behandlats i avsnitt 5.5.2. 7 § Vid personuppgiftsbehandling för forskningsändamål med stöd av något av villkoren i artikel 6.1 i dataskyddsförordningen gäller be- stämmelserna i 8–10 §§ denna lag. Paragrafen upplyser om att all personuppgiftsbehandling för forsk- ningsändamål ska omfattas av de generella skyddsåtgärder som fram- går av denna lag. I enlighet med artikel 89.1 i dataskyddsförordningen ska be- handling för forskningsändamål omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. De generella skydds- åtgärder som anges i 8–10 §§ denna lag utgör grundläggande krav vid all personuppgiftsbehandling för forskningsändamål. Det är den personuppgiftsansvariges ansvar att uppfylla dataskyddsförord- ningens krav på lämpliga skyddsåtgärder för varje enskild person- uppgiftsbehandling. Bestämmelsen har behandlats i avsnitt 12.2. 8 § Vid personuppgiftsbehandling för forskningsändamål ska person- uppgifterna pseudonymiseras eller vara skyddade på likvärdigt sätt, om ändamålet kan uppfyllas på det viset.