sou · H5B350 · 2017-06-09 00:00:00 — Detta före- kommer bland annat vid köp av olika varor och tjänster eller vid anställning. Bestämmelser om detta finns i 10 § personuppgifts- lagen, dvs. tillåtligheten baseras inte på den registrerades samtycke utan på att behandlingen är nödvändig exempelvis för fullgörande av ett avtal. I vissa sammanhang där det är aktuellt med en samtyckesbaserad behandling enligt 10 § personuppgiftslagen kan det förekomma att den registrerade befinner sig i ett beroendeförhållande till den som efterfrågar samtycke, eller att det på annat sätt råder ojämlikhet mellan dessa parter. Problemet har föranlett skäl 43 i dataskydds- förordningen, vilket behandlas i det följande. Kravet på frivillighet är i dataskyddsförordningen formulerad på samma sätt som i personuppgiftslagen. Det faktum att det kan råda en betydande ojämlikhet i förhållandet mellan den personuppgifts- ansvarige och den som har att lämna samtycke har föranlett infö- randet av skäl 43 i dataskyddsförordningen. För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte med- ger att separata samtycken lämnas för olika behandlingar av person- uppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande. Behandling av personuppgifter med samtycke Trots likheterna mellan bestämmelserna i dataskyddsförordningen och personuppgiftslagen föranleder detta skäl nya överväganden för den personuppgiftsbehandling som sker vid bland annat de universitet och högskolor som utgör offentligrättsliga organ. For- muleringen anger att det ska vara fråga om ”ett särskilt fall där det råder betydande ojämlikhet” och nämner att detta gäller, eller kan gälla, särskilt när den personuppgiftsansvarige är en ”offentlig myn- dighet”.9 Det kan noteras att ett så tydligt omnämnande av myndigheters begränsade möjlighet att använda samtycke som rättslig grund under vissa omständigheter saknats i svensk gällande rätt, även om beroendeförhållanden har betydelse för be- dömningen av samtyckets giltighet. Skrivningen kan tolkas som att ett särskilt fall alltid föreligger när en myndighet efterfrågar samtycke. Den kan alternativt tolkas som att särskilda fall ofta, men inte alltid, förekommer när den personuppgiftsansvarige är en myndighet. I ett yttrande om samtycke som artikel 29-gruppen publicerat behandlas sådana situationer. Typen av registeransvarig kan också vara avgörande för valet av rättslig grund för behandling av personuppgifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där behandlingen av uppgifter normalt är knuten till fullgörandet av en rättslig förpliktelse enligt artikel 7 c, eller utförandet av en arbetsuppgift av allmänt intresse som anges i artikel 7 e. Att använda samtycke från den berörda individen för att legitimera behandlingen av uppgifterna utgör följaktligen inte en lämplig rättslig grund. Detta är särskilt tydligt när det gäller hur person- uppgifter behandlas av offentliga myndigheter som har officiella makt- befogenheter, till exempel rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. Polismyndigheterna kan inte utgå från att enskilda personer ska sam- tycka till åtgärder som inte anges i eller inte skulle tillåtas enligt gäll- ande lag.10 (Författningshänvisningarna hänför sig till det nuvarande dataskyddsdirektivet, vår anm.) Begränsningen ska, enligt detta yttrande, framför allt gälla person- uppgiftsansvariga som behandlar personuppgifter i samband med fullgörandet av en rättslig förpliktelse eller för att utföra en arbets- 9Detta torde motsvaras av det svenska begreppet myndighet, och innefattar då såväl statliga som kommunala myndigheter. 10Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 16. Behandling av personuppgifter med samtycke uppgift av allmänt intresse. Artikel 29-gruppen framhåller här sär- skilt offentliga myndigheter som har officiella maktbefogenheter. Detta kan tolkas som att inte alla förhållanden mellan myndigheter och enskilda präglas av betydande ojämlikhet. Artikel 29-gruppen för vidare ett resonemang om beroende- förhållanden vid anställning. Detta resonemang är tillämpligt oav- sett den rättsliga ställningen hos huvudmannen och också när man avser att behandla personuppgifter för forskningsändamål. … om samtycke krävs från en anställd och en verklig eller potentiell skada kan uppkomma genom att samtycke inte ges är samtycket inte giltigt i den meningen att det inte uppfyller kraven i vare sig artikel 7 eller artikel 8, eftersom det inte lämnats frivilligt. Om den anställde inte har möjlighet att vägra är det inget samtycke … En svårighet upp- kommer om samtycket är ett villkor för anställningen. Den anställde kan teoretiskt sett vägra ge sitt samtycke, men konsekvensen kan vara att möjligheten till anställning går förlorad. Under sådana omständig- heter har samtycket inte getts frivilligt och är därför inte giltigt. Situa- tionen är ännu tydligare om, vilket ofta sker, alla arbetsgivare tillämpar samma eller ett liknande anställningsvillkor.11 Artikel 29-gruppens yttranden hänför sig till det nuvarande data- skyddsdirektivet, som inte innehåller någon motsvarande skrivning till skäl 43 i dataskyddsförordningen. I avsaknad av ytterligare väg- ledning är det utredningens bedömning att artikel 29-gruppens ytt- randen kan utgöra utgångspunkt för tolkningen av skäl 43 i data- skyddsförordningen. Betydande ojämlikhet vid samtycke lämnat till offentliga forskningsaktörer När det gäller offentliga forskningsaktörer kan det förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroendeställ- ning i förhållande till den personuppgiftsansvarige. För till exempel statliga forskningsinstitut med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid ett sådant institut. 11 Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 13 f där man hänvisar till yttrande 8/2001 (WP48) on the processing of personal data in the employment context. Behandling av personuppgifter med samtycke Statliga lärosäten får i många situationer inte anses kunna utöva någon speciell påtryckning gentemot individen enbart genom att man är en myndighet. Behandling av personuppgifter för forsknings- ändamål från personer utan tydlig relation till lärosätet präglas inte självklart av betydande ojämlikhet eftersom lärosätet inte kan utöva några påtryckningar gentemot dessa personer och det är osannolikt att forskningspersonerna själva upplever att en ojämlik situation föreligger. Det kan exempelvis gälla ett representativt urval av per- soner ur totalbefolkningen som deltar i en undersökning som del av ett forskningsprojekt. Som exempel kan nämnas vid opinionsundersökningar som beskrivs på följande sätt på institutets hemsida: ”svarar nästan 20 000 svenskar på frågor om allt från politik och mass- medier till ämnen som livsstil, hälsa och fritidsvanor.”12 En sådan situation som avses i skäl 43 kan dock föreligga exem- pelvis om lärosätet avser att forska med hjälp av personuppgifter som gäller studenter eller anställda vid . Kommuner och landsting har myndighetsuppgifter gentemot sina invånare. Man driver bland annat utbildningsverksamhet, hälso- och sjukvård, meddelar bygglov och andra tillstånd, samt har beskatt- ningsrätt. Här finns åtskilliga situationer där en ojämlik relation kan föreligga. När det gäller behandling av personuppgifter för forskningsändamål har hälso- och sjukvårdens regionala och natio- nella kvalitetsregister, som handhas av landstingen, en särskilt stor och ökande betydelse. Sammanfattningsvis innebär ovanstående resonemang att det kan finnas betydande hinder för myndigheter att använda samtycke för personuppgiftsbehandling med tanke på den ojämlikhet som påtalas i skäl 43. Detta kan gälla också vid behandling för forsk- ningsändamål. I många fall föreligger dock inte någon sådan ojäm- likhet vid forskning. Hindren gäller därför inte alltid utan behöver prövas från fall till fall. Det ankommer på den personuppgiftsansva- rige att göra detta som en del av bedömningen av om ett giltigt samtycke har kunnat inhämtas. Utgångspunkten för en sådan prövning är rimligen att hinder föreligger. I många fall kan dock den personuppgiftsansvarige när 12 Se vidare . beskriver sig som en opartisk undersökningsorganisation vid . Behandling av personuppgifter med samtycke det gäller forskning, enligt utredningens bedömning, kunna visa att frivillighet råder. Inhämtande av ett giltigt samtycke behöver då inte förhindras av detta skäl. Betydande ojämlikhet vid samtycke lämnat till privata forskningsaktörer En genomgång av aktuella kategorier av forskningsaktörer, och en analys av de möjliga rättsliga grunderna för olika aktörer, finns i av- snitt 5.3. De privata forskningsaktörer som i exemplifierande syfte anges där är enskilda utbildningsanordnare samt företag och stiftelser. Enskilda utbildningsanordnare borde i väsentliga delar kunna likställas med offentliga. För företag, stiftelser och andra medlems- organisationer som utför forskning torde samtycke kunna använ- das gentemot alla som inte har någon anknytning till organisatio- nen, genom att vara exempelvis anställda, intressenter och/eller medlemmar. Privaträttsliga forskningsaktörer bör med hänvisning till for- muleringen av skäl 43 kunna betraktas på annat sätt än de offentlig- rättsliga. Utgångspunkten är att det här normalt inte råder bety- dande ojämlikhet när personuppgifter behandlas för forsknings- ändamål, men att detta kan vara fallet i det som benämns ”en särskild situation”. En sådan särskild situation kan vara när den person- uppgiftsansvarige vill använda ett kund- eller anställningsregister för andra ändamål än det ursprungligen avsedda. Sammanfattningsvis kan sägas att det resonemang om ojämlik- het som förs i skäl 43 normalt inte torde innebära hinder för privat- rättsliga forskningsaktörer att använda samtycke för personuppgifts- behandling för forskningsändamål. Det bör dock även här prövas om det föreligger sådana hinder som gör samtycket ogiltigt. Det ankommer på den personuppgiftsansvarige att göra detta som en del av bedömningen av om ett giltigt samtycke har kunnat inhämtas. Behandling av personuppgifter med samtycke En specifik viljeyttring, enligt dataskyddsförordningens definition, motsvaras av det som i 3 § personuppgiftslagen benämns ”särskild … viljeyttring”. I 9 § personuppgiftslagen finns ett krav på att all personuppgiftsbehandling ska äga rum för ”särskilda, uttryckligt angivna och berättigade ändamål” (den s.k. ändamålsbegränsningen). Denna begränsning har sin motsvarighet i definitionen av samtycke genom att samtycket ska vara ”särskilt”, dvs. det ska stå klart att samtycke har lämnats för ett särskilt ändamål. Hur brett ett forskningsändamål kan vara, för vilket samtycke kan ges utan att kravet på särskildhet och otvetydighet går förlorat, har varit föremål för diskussion i olika sammanhang. En vägledning inför den framtida tolkningen av detta återfinns i skäl 33 i data- skyddsförordningen. I dataskyddsförordningen ersätts den tidigare termen ”särskild” i det nuvarande dataskyddsdirektivet och personuppgiftslagen med ”specifik”. Termerna kan språkligt sett betraktas som synonymer.13 Detta stöds också av att den engelska formuleringen i artikel 2 i det nuvarande dataskyddsdirektivet använder begreppet ”specific” medan den svenska översättningen av samma direktiv använder ”särskild”. Det framstår således inte som om förändringen i terminologi skulle innebära någon avsiktlig betydelseförändring. Frågan om samtyckets tillåtliga bredd behandlas i skäl 33 i dataskyddsförordningen. Det resonemang som förs där medför, trots att termerna får anses ha samma betydelse, en förändrad syn på bestämmelsens innebörd. Specifika och breda samtycken Ett samtycke definierar gränserna för vad som är tillåtet att be- handla och måste därför vara tydligt specificerat redan vid insam- ling av personuppgifter. En klar ändamålsbeskrivning när det gäller 13 Svenskt synonymlexikon online: Behandling av personuppgifter med samtycke känsliga personuppgifter har i svensk rättstillämpning också utgjort en förutsättning för att en etikprövningsnämnd ska kunna avgöra huruvida den avsedda personuppgiftsbehandlingen utgör forskning och därmed måste bli föremål för etikprövning. Detta gäller oavsett om behandlingen grundas på samtycke eller någon annan rättslig grund. Bredden på ett samtycke liksom möjligheten att samla in person- uppgifter för mer allmänt hållna forskningsändamål har föranlett mycket diskussion och debatt, inte minst i sam- band med bland annat strävanden efter att skapa effektiva databasinfrastrukturer för forskningsändamål.14 Problemet tydliggjordes bland annat vid bedömningar av projektet vid Institutet.15 Projektet, som rör de långsiktiga hälso- konsekvenserna av arv och miljöpåverkan, har ett mångårigt per- spektiv med en bred ändamålsbeskrivning. Personuppgifter samlas in genom provtagning och frågeformulär vid personliga besök vid mottagningar. Uppgifterna kan kompletteras med uppgifter från register insamlade för andra primära ändamål än forskning. En del av dessa uppgifter avses bestå av uppföljningar av hälsorelaterad information från hälso- och sjukvården framöver. Preciserade ändamål med själva forskningen kan inte beskrivas vid insamlingstillfället. Medverkan i projektet grundas på de registrera- des samtycke. Personuppgiftsbehandlingen i LifeGene godkändes av en regional etikprövningsnämnd, men med villkor att barn skulle undantas från blodprovstagning. Detta villkor överklagades av företrädare för LifeGene till (). CEPN konstaterade vid sin granskning att etikprövning inte behövdes, eller snarare inte kunde genomföras, på grund av att det aktuella projektet i sig inte ansågs innefatta någon forskning, utan i stället syftade till att bygga upp en infrastruktur för eventuell framtida forskning. Mot denna bakgrund undanröjde CEPN den regionala etikprövningsnämndens beslut.16 Datainspektionen tog upp ärendet inom ramen för sin tillsyns- verksamhet. Man konstaterade att det genom undanröjandet av den 14Vetenskapsrådets guide till infrastrukturen 2014, s. 12–13, 25–26. 16CEPN beslut , dnr Ö 28-2010. Behandling av personuppgifter med samtycke regionala etikprövningsnämndens beslut inte längre fanns ett god- kännande efter etikprövning, samt att det syfte som angivits för LifeGene utgjorde ett alltför opreciserat ändamål för att uppfylla kraven i 9 § personuppgiftslagen. Datainspektionen förelade därför de ansvariga för projektet att upphöra med insamlingen och övrig behandling av personuppgifter. Man framhöll i samband med detta att frågan om hantering av känsliga personuppgifter som sparas för framtida forskning är av sådan vikt att det borde bli föremål för politisk beredning.17 Ärendet behandlades av regeringen som med hänvisning till lik- nande regleringar i registerförfattningar föreslog en tidsbegränsad särskild lag som gjorde det möjligt för projektet att samla in och behandla personuppgifter för det angivna ändamålet.18 Förslaget antogs av riksdagen.19 I propositionen anförde regeringen att den föreslagna lagen var angelägen eftersom den avsåg att reglera ett specifikt område som omgärdades av rättslig osäkerhet. Ett vägande argument var att det var fråga om personuppgiftsbehandling som skapar bättre förutsättningar för svensk registerbaserad forskning. Datainspektionen ifrågasatte dock fortsatt om ändamålsbeskriv- ningen i lagen var förenlig med dataskyddsdirektivet.20 En bredare syn på samtycke jämfört med Datainspektionens och CEPN:s uppfattning efterfrågades Registerforsknings- utredning.21 Osäkerhet om hur brett ett ändamål kan beskrivas låg, tillsammans med andra hänsynstaganden, till grund för Register- forskningsutredningens förslag att införa en särskild lag om forsk- ningsdatabaser. Därefter har det blivit vårt uppdrag att i ett andra skede av utredningen ta ställning till och utveckla Registerforsk- ningsutredningens förslag. Utredningens förslag till nödvändiga an- passningar av den s.k. LifeGene-lagen till dataskyddsförordningen behandlas i kapitel 15 i detta betänkande. Artikel 29-gruppen tog upp frågan om samtyckets bredd. Man konstaterade då att samtycke inte kan tillämpas på ”en Tillsyn enligt personuppgiftslagen (1998:204), PuL. LifeGene, dnr 766-2011, s. 4 f. 2012/13:163 Vissa register för forskning om vad arv och miljö betyder för människors hälsa. 19SFS 2013:794 utfärdad . 2012/13:163, s. 25 f. 21SOU 2014:45 Unik kunskap genom registerforskning, s. 357 f. Behandling av personuppgifter med samtycke allmän uppsättning behandlingsaktiviteter”, men införde begreppet ”rimliga förväntningar” och yttrade följande: Samtycket bör avse en behandling som är rimlig och nödvändig i för- hållande till syftet. Det bör i princip vara tillräckligt om den register- ansvarige erhåller samtycke endast en gång för olika operationer om samtliga omfattas av den registrerades rimliga förväntningar.22 I dataskyddsförordningen uttrycks detta i skäl 33: Det är ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. Det kan konstateras att det förtydligande som följer av förordning- ens skäl 33 öppnar upp för en bredare syn på samtycke än vad som tillämpats. En förutsättning är dock att detta kan ske utan att det görs avkall på kraven att specificera ändamålen i enlighet med artiklarna 5.1 b och 6.1 a samt skäl 32 där det anges att sam- tycke bör gälla all behandling för samma ändamål och att samtycke ska lämnas för varje syfte för sig om flera syften finns. Forsknings- ändamålen kan således vid samtycke både vara specifika och någor- lunda breda. Samtycke ska enligt 3 § personuppgiftslagen vara en otvetydig vilje- yttring som är knuten till det ändamål för vilket behandlingen ska ske. Samtycket ska alltså tydligt kunna kopplas till den personupp- giftsbehandling som avses. Detta kräver att ändamålet är tydligt beskrivet och att det inte får föreligga tveksamhet om att vilje- yttringen verkligen avser den aktuella personuppgiftsbehandlingen. 22 Yttrande 15/2011 om definitionen av begreppet ”samtycke”, s. 17 f. Behandling av personuppgifter med samtycke Samtycke som en logisk konsekvens av ett handlande som klart innebär att en individ accepterar personuppgiftsbehandlingen (så kallat konkludent handlande) har ansetts vara tillräckligt otvetydigt under vissa omständigheter. Ett exempel inom forskningens om- råde kan vara att besvara ett frågeformulär där syftet att använda svaren för ett avgränsat forskningsändamål har klargjorts för forsk- ningspersonen i samband med datainsamlingen. Dataskyddsförordningen föreskriver i likhet med nuvarande regler- ing att samtycke baseras på en otvetydig viljeyttring. Det finns där- med ingen grund för att anta att tolkningen av begreppet ska skilja sig från nuvarande praxis. I otvetydigheten ligger att handlingen ska vara tydligt inriktad på personuppgiftsbehandlingen och inte blandas samman med andra förklaringar och ställningstaganden från individen i fråga. Definitionen i artikel 4.11 i dataskyddsförord- ningen förtydligar dessutom att samtycket ska vara ”ett uttalande eller en entydig bekräftande handling”. Uttrycket ”bekräftande handling” tyder på att konkludent handlande är en acceptabel sam- tyckesyttring, åtminstone när det inte är fråga om känsliga person- uppgifter. I skäl 32 i dataskyddsförordningen anges att samtycke bör gälla all behandling inom samma ändamål, och att om flera syften finns bör samtycke inhämtas för samtliga syften. Bekräftelsen ska inte enbart bestå i passivitet, dvs. underlåtenhet att invända mot person- uppgiftsbehandlingen. Tystnad eller inaktivitet är således inte till- räckligt. Det krävs någon form av aktiv bekräftelse för att sam- tycket ska vara giltigt. Detta krav särskiljer samtycket från rätten att under vissa omständigheter motsätta sig en redan påbörjad be- handling och utesluter därmed bland annat så kallad ”opt out”. För känsliga personuppgifter gäller dessutom att samtycket enligt arti- kel 9.2 a i dataskyddsförordningen ska vara uttryckligt. I situationer där flera viljeyttringar förekommer (eller bör före- komma därför att det finns flera syften) krävs enligt artikel 7.2 i dataskyddsförordningen att dessa tydligt särskiljs. Detta framgår även av skäl 32 om samtyckets innebörd och skäl 33 om samtycke som lämnas till vissa forskningsområden eller delar av forsknings- Behandling av personuppgifter med samtycke Den personuppgiftsansvarige ska kunna visa att den regi- strerade på förhand har lämnat samtycke för all personuppgifts- behandling som avses på sätt som föreskrivs i förordningen (arti- kel 7.1). Här uppstår i praktiken ett utökat krav på den personupp- giftsansvarige att dokumentera samtycket i jämförelse med person- uppgiftslagen, där samtycke inte är omgärdat av några formkrav. Behovet av dokumentation aktualiseras oavsett om samtycket läm- nats muntligt eller skriftligt. I 3 § personuppgiftslagen anges att ett giltigt samtycke innebär att den registrerade godtar behandlingen efter att ha fått information. Informationen ska vara tillräcklig för att en frivillig, särskild och otvetydig viljeyttring ska kunna lämnas. En vägledande utgångspunkt i detta sammanhang kan vara de all- männa bestämmelser om informationsskyldighet som finns i 23–27 §§ personuppgiftslagen. Detta gäller i första hand sådan information som lämnas på förhand. Den personuppgiftsansvarige ska enligt huvudregeln på eget initiativ lämna information till den registrerade om behandlingen. Detta kan ske i samband med insamling av personuppgifter från den registrerade själv, eller i det fall insamling har skett från någon annan källa, vid registreringstillfället om detta inte är omöjligt eller innebär en oproportionerligt stor arbetsinsats. I 25 § personuppgiftslagen anges att information ska lämnas om den registrerades identitet, ändamålet med behandlingen, samt all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. För att ett samtycke ska anses giltigt behöver i första hand in- formation av det slag bestämmelserna i 23–25 §§ anger vara upp- fyllda. Till bilden hör att den registrerade enligt 26 § en gång per kalenderår efter en skriftlig ansökan gratis har rätt att få infor- mation om bland annat vilka uppgifter som behandlas, ändamålet med behandlingen, varifrån uppgifterna hämtats, samt till vilka de lämnats ut. Detta betecknas ibland som en rätt till registerutdrag. Mer utförliga rekommendationer om förfaringssättet när det gäller personuppgiftsbehandling för forskningsändamål finns i infor- Behandling av personuppgifter med samtycke mationsmaterial från några myndigheter som ansvarar för omfatt- ande register med personuppgifter eller övervakar hanteringen av personuppgifter.23