sou · H5B350 · 2017-06-09 00:00:00 — Paragrafen anger pseudonymisering, eller skydd på likvärdigt sätt, som en skyddsåtgärd vilken den personuppgiftsansvarige alltid ska tillämpa om det är praktiskt möjligt, i syfte att uppfylla dataskydds- förordningens krav på lämpliga skyddsåtgärder i artikel 89.1. Bestämmelsen har behandlats i avsnitt 12.4.2. 9 § Personuppgifter får inte behandlas för forskningsändamål om den enskilde motsätter sig sådan behandling. Om det visar sig vara omöjligt eller medföra en oproportionerlig ansträngning att tillhandahålla den enskilde möjligheten att motsätta sig behandlingen, eller om ändamålet annars inte kan uppfyllas får dock personuppgiftsbehandling ändå utföras. Paragrafen anger en skyddsåtgärd som huvudsakligen fyller samma funktion som artikel 21 i dataskyddsförordningen, rätt att göra in- vändningar, men utan samma undantagsmöjligheter. Den ger därför ett starkare skydd för den enskildes viljeyttring, när den är tillämplig. Bestämmelsen har behandlats i avsnitt 12.4.2. 10 § Personuppgifter som behandlas för forskningsändamål får an- vändas för att vidta åtgärder i fråga om den registrerade bara om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Detta gäller dock inte för en myndighets användning av personupp- gifter i allmänna handlingar. Paragrafen motsvarar den skyddsåtgärd som återfinns i 9 § fjärde stycket personuppgiftslagen (1998:204) vad gäller forsknings- ändamål. har föreslagit motsvarande bestäm- melser för arkivändamål och statistiska ändamål i 4 kap. 1–2 §§ dataskyddslagen.1 Bestämmelsen har behandlats i avsnitt 12.4.2. 11 § Känsliga personuppgifter får med stöd av artikel 9.2 j i data- skyddsförordningen behandlas om behandlingen är nödvändig för forskningsändamål och om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etik- prövningslagen). Av etikprövningslagen framgår övriga krav på etikprövning av be- handling av känsliga personuppgifter för forskningsändamål. Paragrafens första stycke utgör nödvändig nationell reglering enligt artikel 9.2 j i dataskyddsförordningen för att behandling av känsliga personuppgifter ska vara tillåten för forskningsändamål. Huvud- regeln i artikel 9.1 i dataskyddsförordningen är annars att behand- ling av sådana särskilda kategorier av personuppgifter som anges i artikeln (känsliga personuppgifter) ska vara förbjuden. Etikpröv- ning enligt etikprövningslagen är den skyddsåtgärd som enligt ut- 1 SOU 2017:39 avsnitt 22.1. redningens bedömning uppfyller kraven på lämplig och särskild skyddsåtgärd enligt artikel 9.2 j i dataskyddsförordningen. Bestäm- melsen har behandlats i avsnitt 7.4.1. Etikprövning som skydds- åtgärd har behandlats i avsnitt 14.3. Andra stycket upplyser om att det finns andra krav på etikpröv- ning av behandling av känsliga personuppgifter för forskningsända- mål i etikprövningslagen. Genom utredningens förslag till ändring av 3 § etikprövningslagen framgår att etikprövningslagen ska tilläm- pas på all forskning som innefattar behandling av sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskydds- förordningen (känsliga personuppgifter). Detta innebär att all be- handling av känsliga personuppgifter för forskningsändamål, oavsett rättslig grund, ska etikprövas enligt etikprövningslagen. Etikpröv- ningslagens tillämpningsområde har behandlats i avsnitt 14.4. Personuppgifter om lagöverträdelser m.m. 12 § Personuppgifter som rör fällande domar i brottmål, lagöverträ- delser som innefattar brott eller straffprocessuella tvångsmedel får med stöd av artikel 10 i dataskyddsförordningen behandlas för forsknings- ändamål av andra än myndigheter om behandlingen är nödvändig för forskningsändamål och har godkänts enligt lagen (2003:460) om etik- prövning av forskning som avser människor (etikprövningslagen). Av etikprövningslagen framgår övriga krav på etikprövning av be- handling av personuppgifter om lagöverträdelser m.m. för forsknings- ändamål. Paragrafens första stycke utgör nödvändig nationell reglering enligt artikel 10 i dataskyddsförordningen för att andra än myndigheter ska få behandla personuppgifter om lagöverträdelser m.m. för forskningsändamål. Etikprövning är den skyddsåtgärd som enligt utredningens bedömning uppfyller kravet på lämplig skyddsåtgärd enligt artikel 10 i dataskyddsförordningen. Bestämmelsen har be- handlats i avsnitt 8.4. Etikprövning som skyddsåtgärd har behand- lats i avsnitt 14.3. Andra stycket upplyser om att det finns flera krav på etikpröv- ning av personuppgiftsbehandling avseende lagöverträdelser m.m. för forskningsändamål i etikprövningslagen. förslag till ändring av 3 § etikprövningslagen framgår att etikpröv- ningslagen ska tillämpas på sådana personuppgifter om lagöverträ- delser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Detta innebär att etikprövningslagens tillämpningsområde omfattar även sådana personuppgifter om lagöverträdelser som enligt nuvarande lagstift- ning ska etikprövas enligt etikprövningslagen, men som inte om- fattas av artikel 10 i dataskyddsförordningen. Enligt 3 § etikpröv- ningslagen ska också myndigheters behandling av personuppgifter om lagöverträdelser m.m. för forskningsändamål omfattas av etik- prövningslagens tillämpningsområde. Etikprövningslagens tillämp- ningsområde har behandlats i avsnitt 14.4. Undantag från registrerades rättigheter 13 § Den registrerades rätt till rättelse enligt artikel 16 i dataskydds- förordningen gäller inte för sådana personuppgifter som behandlats för forskningsändamål när personuppgifterna endast bevaras i syfte att dokumentera utförd forskning. Paragrafen utgör en begränsning, med stöd av artikel 89.2 i data- skyddsförordningen, av den registrerades rätt till rättelse enligt artikel 16 i dataskyddsförordningen. Utredningen har identifierat ett behov av en begränsning av rätten till rättelse vad gäller sådana personuppgifter som bevaras än vad som är nödvändigt för de primära forskningsändamål för vilka personuppgifterna behandlats, när detta bevarande sker i syfte att dokumentera den utförda forskningen, för att exempelvis verifiering av forskningsresultat ska vara möjlig. Denna begränsning ska enbart vara tillämplig när forskningen i någon mening är utförd så att den nått den nivå av färdigställande att det skulle strida mot god forskningssed att ändra forsknings- materialet. Det kan exempelvis vara fråga om resultat som lämnats för publicering i en vetenskaplig tidskrift. Bevarandet får då anses ske för forskningsändamål, oavsett om personuppgifterna anses vara arkiverade eller ej. Bestämmelsen har behandlats i avsnitt 10.3.2. 14 § Den registrerades rätt till begränsning av behandling enligt artikel 18.1 a och d i dataskyddsförordningen gäller inte när uppgifter behandlas för forskningsändamål om utövandet av rätten medför att forskningen inte kan utföras, eller på ett avgörande sätt försenas eller försvåras. Paragrafen utgör en begränsning, med stöd av artikel 89.2 i data- skyddsförordningen, av den registrerades rätt till begränsning av behandling enligt artikel 18.1 a och d. Rättigheten att begränsa behandling av personuppgifter den personuppgiftsansvarige kontrollerar om det i det konkreta fallet föreligger en rätt till rättelse eller till invändning (artikel 18.1 a) medför i praktiken att uppgifterna är undantagna från vidare be- handling . Samma sak gäller under väntan på kontroll av huruvida den personuppgiftsansvariges be- rättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1 d). Effekten av att enskilda personers uppgifter är undantagna från behandling i forskningen kan medföra skevhet (bias) i materialet som forskningen utförs med användning av , eller, om forskningen inriktas på att undersöka material som kan hänföras till en eller ett fåtal enskilda personer, att forskningen omöjliggörs. Beroende på vilket stadium som forsk- ningen befinner sig i kan detta i undantagsfall göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet, särskilt om det tar att utreda personuppgifternas korrekthet. Bestämmelsen innebär ett begränsat undantag från denna rättig- het, som dock endast är tillämplig om en sådan blockering skulle medföra att ett pågående forskningsprojekt inte kan utföras eller på ett avgörande sätt försenas eller försvåras. Det är den personupp- giftsansvarige som har att visa att sådana förutsättningar föreligger. Bestämmelsen har behandlats i avsnitt 10.3.3. 15 § Personuppgifter får lämnas ut för att behandlas för forsknings- ändamål, om inte något annat följer av regler om sekretess och tyst- nadsplikt. Vid sådan personuppgiftsbehandling behöver artikel 14.1–4 i dataskyddsförordningen inte iakttas. Detta hindrar inte att villkor enligt 6 § lagen (2003:460) om etikprövning av forskning som avser människor får avse den information som ska lämnas till den registre- rade. Paragrafen motsvarar i huvudsak nuvarande 12 § etikprövnings- lagen. Bakgrunden till bestämmelsen och motiveringen till att flytta den till forskningsdatalagen, samt införa ett förtydligande avseende 6 § etikprövningslagen, har behandlats i avsnitt 14.6.2. 18.2Förslaget till lag om ändring av lagen (2003:460) om etikprövning av forskning som avser människor I denna lag avses med forskning: vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå, forskningshuvudman: en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs, forskningsperson: en levande människa som forskningen avser, och behandling av personuppgifter: sådan behandling som anges i arti- kel 4.2 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), nedan kallad dataskyddsförordningen. Paragrafen anger vad som i denna lag ska avses med behandling av personuppgifter. Hänvisningen till personuppgiftslagens definition av behandling av personuppgifter ersätts med en hänvisning till definitionen i artikel 4.2 i dataskyddsförordningen. Bestämmelsen har behandlats i avsnitt 14.6.2. Denna lag ska tillämpas på forskning som innefattar behandling av 1.sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 idataskyddsförordningen (känsliga personuppgifter), eller 2.sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Paragrafen anger tillämpningsområdet för lagen avseende person- uppgiftsbehandling för forskningsändamål. Punkten 1, som hänvisar till känsliga personuppgifter en- ligt 13 § personuppgiftslagen, ändras till en hänvisning till sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i data- skyddsförordningen (känsliga personuppgifter). Detta innebär att all behandling för forskningsändamål av sådana personuppgifter som anges i artikel 9.1 i dataskyddsförordningen ska etikprövas enligt denna lag, oavsett rättslig grund enligt artikel 6.1 i dataskydds- förordningen. Punkten 2, som hänvisar till personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § person- uppgiftslagen, ändras genom att det specifika lagrummet i person- uppgiftslagen tas bort. Detta innebär att kravet på etikprövning enligt denna lag omfattar all personuppgiftsbehandling för forsk- ningsändamål av de angivna kategorierna av personuppgifter. Till- lämpningsområdet är således i detta fall mer omfattande än vad som framgår av de angivna kategorierna av personuppgifter om lag- överträdelser m.m. i artikel 10 i dataskyddsförordningen och om- fattar även personuppgiftsbehandling som utförs av myndigheter. Bestämmelsen har behandlats i avsnitt 14.4.5. 18.3Förslaget till lag om ändring av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Lagen gäller behandling av personuppgifter som utförs av sådana statliga universitet och högskolor som omfattas av högskolelagen (1992:1434) och som med en enskildes uttryckliga samtycke sker i sådant syfte som anges i 1 § 1. Paragrafen anger lagens tillämpningsområde. Andra stycket i paragrafen, som innehållsmässigt motsvarar artikel 2.1 i dataskyddsförordningen, har strukits för att undvika dubbelreglering. Bestämmelsen har behandlats i avsnitt 15.3.3. Förhållandet till annan dataskyddsreglering Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (all- män dataskyddsförordning), nedan kallad dataskyddsförordningen. I paragrafen anges att lagen innehåller bestämmelser som kom- pletterar EU:s dataskyddsförordning. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Detta gäller bl.a. vid behand- ling av personuppgifter för forskningsändamål. Lagen innehåller vid sidan av den föreslagna dataskyddslagen kompletterande be- stämmelser för behandling av personuppgifter i vissa register för forskning om vad arv och miljö betyder för människors hälsa. Rubriken före denna paragraf ändras även så att hänvisningen till personuppgiftslagen byts ut mot den bredare beteckningen ”annan dataskyddsreglering”. Bestämmelsen har behandlats i avsnitt 15.3.3. Lagen (2018:XX) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) gäller vid behandling av person- uppgifter enligt denna lag, om inte annat följer av denna lag eller före- skrifter som har meddelats med stöd av denna lag eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Paragrafen, som är ny, anger lagens förhållande till dataskydds- lagen. Dataskyddslagen kommer att innehålla bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan. Bestäm- melsen innebär att om denna lag innehåller bestämmelser som av- viker från vad som anges i dataskyddslagen ska de bestämmelserna ha företräde framför dataskyddslagen. Bestämmelsen har behandlats i avsnitt 15.3.3. Personuppgifter som inte längre behövs för de ändamål som avses i 5 § 1 och 2 ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål. Paragrafen innehåller bestämmelser om gallring. Terminologin har anpassats till dataskyddsförordningen genom att ”historiska, statis- tiska eller vetenskapliga ändamål” bytts ut mot ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Bestämmelsen har behandlats i avsnitt 15.3.3. Personuppgifter som avses i 9 § får inte samlas in i syfte att de ska registreras i ett register som förs enligt denna lag utan att den som uppgifterna avser uttryckligen har samtyckt till att personuppgifter be- handlas enligt denna lag. Utöver vad som framgår av artiklarna 13 och 14 i dataskydds- förordningen ska en person innan han eller hon lämnar sitt samtycke enligt första stycket ha informerats om 1.att det är frivilligt att lämna uppgifter, medverka till upptag- ningar eller genomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt deltagande helt eller delvis, 2.vilka uppgifter som får registreras enligt 9 §, 3.de sekretess- och säkerhetsbestämmelser som gäller för registret, 4.rätten till information enligt 15 § denna lag och artikel 15 i data- skyddsförordningen, 5.vilken myndighet som har tillsyn över att denna lag följs, och 6.rätten till skadestånd. Bestämmelsen om samtycke och information har anpassats så att de punkter som har sin motsvarighet i dataskyddsförordningen tagits bort och det i bestämmelsen enbart anges vilken information vad som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen. Hänvisningen till 26 § personuppgifts- lagen har ersatts med en hänvisning till artikel 15 i dataskyddsför- ordningen. Bestämmelsen har behandlats i avsnitt 15.3.3. I artikel 17 i dataskyddsförordningen finns bestämmelser om rätt till radering. En begäran om radering ska göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den registrerade själv. Om begäran innefattar radering av sådana uppgifter som avses i 9 § första stycket 7 ska detta särskilt anges. Den personuppgiftsansvarige ska från det att begäran gjordes radera uppgifterna i enlighet med begäran och sända den registrerade en bekräftelse på att så har skett. Om den enskilde inte har begärd radering även av uppgifter som avses i 9 § första stycket 7 ska en kopia på dessa uppgifter bifogas bekräftelsen med en påminnelse om att den enskilde har rätt att begära att även få dem raderade. Bestämmelsen om utplåning av uppgifter har anpassats till data- skyddsförordningen på så sätt att första meningen i paragrafen er- satts med en inledande upplysning om att det i artikel 17 i dataskydds- förordningen finns bestämmelser om rätt till radering. En språklig anpassning har också skett genom att begreppet utplåna genom- gående ersatts med begreppet radera. I övrigt har bestämmelsen innehållsmässigt behållits. Rubriken före denna paragraf ändras även så att begreppet utplåning ersätts med radering. Bestämmelsen har behandlats i avsnitt 15.3.3. 18.4Förslaget till lag om ändring av lagen (1999:353) om rättspsykiatriskt forskningsregister Förhållandet till annan dataskyddsreglering Vid behandling av personuppgifter för det rättspsykiatriska forsk- ningsregistret kompletterar denna lag och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. I paragrafen anges att lagen innehåller bestämmelser som kom- pletterar EU:s dataskyddsförordning. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Detta gäller bl.a. vid behand- ling av personuppgifter för forskningsändamål. Lagen innehåller vid sidan av den föreslagna dataskyddslagen kompletterande be- stämmelser för behandling av personuppgifter för det rättspsykia- triska forskningsregistret. Bestämmelsen har behandlats i avsnitt 15.4.3. Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) gäller vid behandling av person- uppgifter för det rättspsykiatriska forskningsregistret, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller lagen med kompletterande bestämmelser till EU:s data- skyddsförordning. Paragrafen, som är ny, anger lagens förhållande till dataskydds- lagen. Dataskyddslagen kommer att innehålla bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan. Be- stämmelsen innebär att om denna lag innehåller bestämmelser som avviker från vad som anges i dataskyddslagen ska de bestämmelserna ha företräde framför dataskyddslagen. Bestämmelsen har behandlats i avsnitt 15.4.3 När personuppgifter i ett mål första gången registreras i det rätts- psykiatriska forskningsregistret ska lämna den registrerade information om behandlingen. Utöver vad som framgår av artikel 14 i dataskyddsförordningen ska informationen innehålla upplysningar om 1.de sekretess- och säkerhetsbestämmelser som gäller för behand- lingen, 2.bestämmelserna i dataskyddsförordningen och dataskyddslagen om den registrerades rätt till skadestånd, samt 3.de begränsningar i fråga om tillgång till uppgifter, utlämnande av uppgifter på medium för automatiserad behandling och bevarande av uppgifter som gäller för behandlingen. Bestämmelsen som reglerar vilken information som ska lämnas till den registrerade har anpassats till dataskyddsförordningen på så sätt att de punkter som har sin motsvarighet i dataskyddsförordningen har tagits bort och det i bestämmelsen enbart anges vilken informa- tion som ska lämnas utöver vad som framgår av artikel 14 i data- skyddsförordningen, som blir direkt tillämplig när dataskydds- förordningen träder i kraft. Hänvisningen till personuppgiftslagen har ersatts med en hänvisning till dataskyddsförordningen och data- skyddslagen. Bestämmelsen har behandlats i avsnitt 15.4.3. beslutades inom EU en förordning som är en ny generell reglering för personuppgiftsbehandling inom unionen. (Ju 2016:04) har i uppdrag att föreslå an- passningar och kompletterande författningsbestämmelser på gene- rell svensk nivå. En särskild utredare får nu i uppdrag att föreslå en kompletterande reglering av behandling av personuppgifter för forsk- ningsändamål. Syftet är att regleringen ska möjliggöra en ändamåls- enlig behandling av personuppgifter för forskningsändamål sam- tidigt som den skyddar den enskildes fri- och rättigheter. analysera vilken reglering av personuppgiftsbehandling för forsk- ningsändamål som är möjlig och kan behövas utöver den gene- rella reglering som kommer att föreslå, analysera vilka anpassningar av lagen (2003:460) om etikpröv- ning av forskning som avser människor som behöver göras, i ett första skede analysera vilka anpassningar som behöver göras av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (1999:353) om rättspsykiatriskt forskningsregister inför att dataskyddsför- ordningen ska börja tillämpas och i ett andra skede föreslå lång- siktiga regleringar av forskningsdatabaser, och lämna de författningsförslag som behövs. Uppdragen i de två första punkterna och uppdraget att analysera vilka anpassningar som behöver göras av de i tredje punkten nämnda lagarna inför att dataskyddsförordningen ska börja tilläm- pas och förslag till behövliga författningsförslag i dessa delar ska delredovisas . Uppdraget i övrigt ska slut- redovisas . Nuvarande regleringar av betydelse för behandling av personuppgifter för forskningsändamål EU:s dataskyddsdirektiv och personuppgiftslagen Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Bestäm- melserna i PUL har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. PUL följer i princip dataskyddsdirektivets struktur och inne- håller i likhet med direktivet bestämmelser om bl.a. personupp- giftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff.