sou · H5B350 · 2017-06-09 00:00:00 — 1.Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande infor- mation: a)Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare. b)Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall. c)Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. d)De kategorier av personuppgifter som behandlingen gäller. e)Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall. f)I tillämpliga fall att den personuppgiftsansvarige avser att över- föra personuppgifter till en mottagare i ett tredjeland eller en inter- nationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artiklarna 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga. 2.Utöver den information som avses i punkt 1 ska den personuppgifts- ansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och transparent behandling när det gäller den registrerade: a)Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fast- ställa . b)Om behandlingen grundar sig på artikel 6.1 f, den personupp- giftsansvariges eller en tredje parts berättigade intressen. c)Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller be- gränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet. d)Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta på- verkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades. e)Rätten att inge klagomål till en tillsynsmyndighet. f)Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor. Etikprövning av personuppgiftsbehandling för forskningsändamål g)Förekomsten av automatiserat beslutsfattande, inbegripet pro- filering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade. 3.Den personuppgiftsansvarige ska lämna den information som anges i punkterna 1 och 2 a)inom en rimlig period efter det att personuppgifterna har er- hållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas, b)om personuppgifterna ska användas för kommunikation med den registrerade, senast för den första kommunika- tionen med den registrerade, eller c)om ett utlämnande till en annan mottagare förutses, senast när personuppgifterna lämnas ut . 4.Om den personuppgiftsansvarige avser att ytterligare behandla per- sonuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2. 5.Punkterna 1–4 ska inte tillämpas i följande fall och i den mån a)den registrerade redan förfogar över informationen, b)tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för be- handling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sannolikt kommer att göra det omöjligt eller av- sevärt försvårar uppfyllandet av målen med den behandlingen; i så- dana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och be- rättigade intressen, inbegripet göra uppgifterna tillgängliga för all- mänheten, c)erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åt- gärder för att skydda den registrerades berättigade intressen, eller d)personuppgifterna måste förbli konfidentiella till följd av tyst- nadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser. Etikprövning av personuppgiftsbehandling för forskningsändamål Motsvarande krav på fastställande i författning av erhållande eller utlämnande av uppgifter för att forskare ska kunna undgå infor- mationsskyldigheten återfinns alltså i artikel 14.5 c i dataskydds- förordningen. Artikel 14.5 c uppställer som krav att erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Dataskyddsförordningens krav är således något annorlunda formulerade än direktivets, som angav att registrering eller utlämnande uttryckligen skulle föreskrivas i författning och i sådana fall skulle medlemsstaterna föreskriva lämp- liga skyddsåtgärder. Men kravet på att erhållande eller utlämnande av uppgifter måste föreskrivas uttryckligen i nationell rätt kvarstår, liksom kravet på fastställda lämpliga skyddsåtgärder. Dataskyddsförordningens skäl 62 anger följande: Det är dock inte nödvändigt att införa någon skyldighet att tillhanda- hålla information, om den registrerade redan innehar denna information, om registreringen eller utlämnandet av personuppgifterna uttryckligen föreskrivs i lag eller om det visar sig vara omöjligt eller skulle medföra orimliga ansträngningar att tillhandahålla den registrerade informatio- nen. Det sistnämnda skulle särskilt kunna vara fallet om behandlingen sker för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. I detta avseende bör antalet registrerade, uppgifternas ålder och lämpliga skyddsåtgärder beaktas. För att helt undgå förordningens krav enligt artikel 14.1–4 krävs således att erhållandet eller utlämnandet av personuppgifter ut- tryckligen föreskrivs i lag. Med tanke på att artikel 14 i dataskyddsförordningen ersätter 24 § personuppgiftslagen, som baserades på motsvarande artikel 11 i direktivet, ska således 12 § etikprövningslagen framöver läsas mot bakgrund av artikel 14 i förordningen. Eftersom 12 § etikpröv- ningslagen inte innehåller någon direkt hänvisning till lagrum i personuppgiftslagen är någon anpassning av bestämmelsen inte nödvändig enbart av den anledningen. Det kan dock av andra skäl vara motiverat med en anpassning av bestämmelsen med anledning av dataskyddsförordningen. Under utarbetandet av etikprövningslagen yttrade sig Lagrådet över regeringens lagförslag. Beträffande den bestämmelse som sedan blev 12 § etikprövningslagen hade Lagrådet en del synpunkter på Etikprövning av personuppgiftsbehandling för forskningsändamål formuleringen och tydligheten i densamma. Lagrådets uppfattning var att det var svårt att se att bestämmelsen hade den innebörden att forskaren som i enlighet med bestämmelsen hämtar in person- uppgifter från något annat håll än den registrerade inte självklart skulle behöva informera den registrerade om sin behandling. Enligt Lagrådets uppfattning gav bestämmelsen snarare intryck av att vara en upplysning riktad till den som avses lämna ut personuppgifter till en forskare om att detta är möjligt såvida inte sekretess eller tystnadsplikt lägger hinder i vägen. Lagrådet ansåg därför att om bestämmelsen skulle vara en sådan lagreglering som enligt 24 § andra stycket personuppgiftslagen medför att information enligt 24 § första stycket personuppgiftslagen inte behöver lämnas ut, borde bestämmelsen utformas så att detta klart framgår. Lagrådets förslag var att en sådan bestämmelse placerades som inledande para- graf under rubriken ”Information och samtycke” enligt följande lydelse: Vid forskning som avses i 3 § behöver 24 § personuppgiftslagen (1998:204) inte iakttas. Detta hindrar inte att villkor enligt 7 § får avse den information som skall lämnas till den registrerade. Regeringen valde att inte följa Lagrådets synpunkter och förslag mot bakgrund av bedömningen att Lagrådets föreslagna alternativa skrivning inte kunde anses vara förenlig med EG-direktivet. Detta eftersom något utlämnande inte skulle föreskrivas i författning utan bara utgöra ett undantag från informationsskyldigheten. Regeringen ansåg vidare att risken för missförstånd avseende be- stämmelsens lydelse var liten och förordade därför en bestämmelse som föreskrev att personuppgifter får lämnas ut för att användas i forskning om inte något annat följer av regler om sekretess och tystnadsplikt, som därigenom tydligt uttryckte att ett utlämnande av personuppgifter får ske, i enlighet med dataskyddsdirektivets krav.60 Den bedömning som ursprungligen låg till grund för bestäm- melsens formulering återfinns i förarbetena till personuppgifts- lagen, eftersom 12 § etikprövningslagen är en överföring av mot- svarande bestämmelse i 19 § personuppgiftslagen avseende behand- ling för forskningsändamål. I förarbetena till personuppgiftslagen 2002/03:50 s. 175 f. Etikprövning av personuppgiftsbehandling för forskningsändamål framgår att den ursprungliga formuleringen i 19 § tredje stycket utgår från direktivets krav på att det uttryckligen måste föreskrivas i nationell rätt att ett utlämnande får ske och bedömningen att sekretess och tystnadsplikt är en sådan lämplig skyddsåtgärd som direktivet kräver i sammanhanget.61 Det är utredningens bedömning att det inte är tillräckligt tydligt att, om man tolkar 12 § etikprövningslagen isolerat, utläsa att be- stämmelsen reglerar vilken information som behöver lämnas till den registrerade. Eftersom 12 § ska läsas mot bakgrund av 24 § per- sonuppgiftslagen, som kommer att ersättas av dataskyddsförord- ningen, kan det vara motiverat av rättssäkerhetsskäl att tydliggöra denna nya koppling för en framtida korrekt tillämpning av bestäm- melsen. Utredningens bedömning är därför att innebörden av 12 § etikprövningslagen bör förtydligas på så vis att det framgår av be- stämmelsen att den ska läsas mot bakgrund av artikel 14 i data- skyddsförordningen. Det är vidare utredningens bedömning att bestämmelsen snarare hör hemma i den av utredningen föreslagna forskningsdatalagen, eftersom den inte har något direkt samband med etikprövningsförfarandet. Utredningens förslag: Ändringarna i lagen ska träda i kraft . Inga övergångsbestämmelser ska införas. Av artikel 99 i dataskyddsförordningen framgår att förordningen trädde i kraft och att den ska tillämpas . De föreslagna ändringarna i etikprövnings- lagen bör träda i kraft som dataskyddsförordningen börjar tillämpas. Dataskyddsförordningen innehåller inga övergångsbestämmel- ser som är relevanta för etikprövningslagen. Det är utredningens bedömning att det inte ska införas övergångsbestämmelser avse- ende de föreslagna ändringarna. 1997/98:44 s. 73. Etikprövning av personuppgiftsbehandling för forskningsändamål I detta kapitel har utredningen analyserat vilka anpassningar av etik- prövningslagen som behöver göras med anledning av att dataskydds- förordningen börjar tillämpas. Utredningen har inledningsvis be- handlat frågan om etikprövning som en skyddsåtgärd i enlighet med dataskyddsförordningens krav och kommit till slutsatsen att etikprövning utgör en sådan lämplig och särskild skyddsåtgärd som dataskyddsförordningen kräver för personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. Utredningen har därpå analyserat om etikprövningslagens tillämp- ningsområde bör utvidgas till att gälla all personuppgiftsbehandling för forskningsändamål och kommit till slutsatsen att detta vore en alltför ingripande åtgärd som inte är proportionerlig i förhållande till syftet. Utredningen föreslår därför att kravet på etikprövning även fortsättningsvis ska omfatta personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. enligt de definitioner som framgår av artiklarna 9.1 och 10 i dataskyddsförordningen, samt att kravet på etikprövning avseende de uppgifter som framgår av 21 § personuppgiftslagen även fortsättningsvis bör omfattas av etikpröv- ningslagens tillämpningsområde. Utredningen har vidare konstaterat att det finns anledning att närmare utreda behovet av förändringar i etikprövningsförfarandet inom det befintliga tillämpningsområdet. Ett differentierat etik- prövningsförfarande framstår som mer ändamålsenligt inom fram- för allt viss samhällsvetenskaplig och rättsvetenskaplig forskning. Vi lämnar flera exempel på sådana behov i samband med att person- uppgiftsbehandling för forskningsändamål baserar sig på redan offentliggjorda uppgifter och där den efterföljande behandlingen innebär endast en mindre integritetsrisk. Mot bakgrund av begräns- ningar i vårt uppdrag och ramar i övrigt föreslår vi att detta utreds vidare i särskild form. Slutligen har utredningen analyserat vilka ändringar av etikpröv- ningslagen som i övrigt behöver göras med anledning av att data- skyddsförordningen börjar tillämpas och lämnar behövliga författ- ningsförslag i dessa delar. 15.1Vårt uppdrag i denna del Av våra direktiv framgår att det är regeringens uppfattning att det behövs bättre förutsättningar för registerbaserad forskning. Som ett led i detta arbete fick en särskild utredare i upp- drag att undersöka förutsättningarna för att bedriva registerbaserad forskning och lämna förslag bl.a. i syfte att göra det möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för uttryckligt angivna forskningsändamål samt till longitudi- nella studier som håller sig inom ramen för sådana ändamål. Utred- ningen tog sig namnet (U 2013:01) och lämnade betänkandet Unik kunskap genom registerforskning (SOU 2014:45). I betänkandet konstaterade utredningen att regering och riksdag i några fall har stiftat särskilda lagar för att möjliggöra s.k. forsk- ningsdatabaser. Två sådana lagar är lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (1999:353) om rättspsykiatriskt forskningsregister. I betän- kandet lämnar utredaren förslag till lag om forskningsdatabaser. Med forskningsdatabas avses i detta sammanhang en infrastruktur som ska kunna användas av olika forskare, från olika lärosäten och inom olika forskningsområden i framtida forskningsprojekt. Den före- slagna lagen om forskningsdatabaser föreslås ge lagligt stöd åt univer- sitet och högskolor som omfattas av högskolelagen (1992:1434) samt andra statliga myndigheter som har i uppdrag att bedriva forskning att utföra behandling av personuppgifter i forskningsdatabaser. Register- forskningsutredningens förslag har remitterats. har i uppdrag att bereda Register- forskningsutredningens förslag vidare. Det är tills data- Anpassningar av vissa registerförfattningar skyddsförordningen (EU 2016/679) ska börja tillämpas och någon generell reglering av forskningsdatabaser kommer inte att kunna vara på plats tills dess. Därför behöver det i ett första skede analyseras vilka anpassningar till dataskyddsförordningen, och den generella reglering (Ju 2016:04) föreslår, som behöver göras i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen om rättspsykiatriskt forskningsregister tills dess att dataskyddsförord- ningen ska börja tillämpas. Utredningen ska i ett senare skede föreslå långsiktiga regleringar av forskningsdatabaser samt analysera om det finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och, om så bedöms vara fallet, hur en sådan reglering i så fall bör ut- formas. Utredningen ska lämna behövliga författningsförslag i alla delar. Personuppgiftslagen (1998:204) reglerar behandling av personuppgif- ter enligt nu gällande rätt och baseras på det nuvarande dataskydds- direktivet (95/46/EG). Personuppgifter får samlas in om det finns en laglig grund och enbart för särskilda, uttryckligt angivna och be- rättigade ändamål (9 §). Behandlingen är laglig om det föreligger samtycke från den enskilde eller om den är nödvändig för t.ex. ut- förande av en arbetsuppgift av allmänt intresse (10 §). Forskning anses vara en sådan verksamhet. Myndigheters behandling av person- uppgifter regleras ofta i särskilda s.k. registerförfattningar, där bland annat ändamålet och vilka personuppgifter som får behandlas anges. Personuppgifter får inte behandlas för något ändamål som anses oförenligt med det ursprungliga, om den nya behandlingen inte är tillåten enligt någon annan bestämmelse i personuppgiftslagen. Forskningsändamål ska dock inte anses som oförenligt med det ur- sprungliga ändamålet (9 § andra stycket). Det är förbjudet att behandla känsliga personuppgifter (13 §). Från detta förbud finns undantag angivna i lagen. Det är till exempel tillåtet att behandla känsliga personuppgifter med den registrerades samtycke (15 §) eller om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och regeringen eller den myndighet Anpassningar av vissa registerförfattningar regeringen bestämmer föreskriver om undantaget (20 §). För att behandla känsliga personuppgifter för forskningsändamål krävs etikgodkännande enligt lagen (2003:460) om etikprövning av forsk- ning som avser människor (19 §). I offentlighets- och sekretess- lagen (2009:400) finns bestämmelser som reglerar under vilka för- utsättningar vissa personuppgifter omfattas av sekretess och vad som krävs för att dessa ska kunna lämnas ut för ytterligare behand- ling. Regering och riksdag har som tidigare konstaterats i vissa fall stiftat särskilda lagar för att möjliggöra registerbaserad forskning genom upprättande av forskningsdatabaser. Två sådana författ- ningar är lagen (1999:353) om rättspsykiatriskt forskningsregister och lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Dessa författningar har av lagstiftaren bedömts vara förenliga med det nuvarande dataskydds- direktivet och har företräde framför personuppgiftslagen. Dataskyddsförordningen börjar tillämpas . I för- ordningen återfinns de krav och villkor som ska gälla i stället för det nuvarande dataskyddsdirektivet och personuppgiftslagen. Data- skyddsförordningen är direkt tillämplig i medlemsstaterna, vilket innebär att nationell rätt måste vara förenlig med förordningen och enbart tillåts komplettera förordningen där så är möjligt och tillåtet. Liksom personuppgiftslagen kräver dataskyddsförordningen att personuppgifter enbart får samlas in för särskilda, uttryckligt an- givna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för forskningsändamål ska inte anses som oförenligt med det ursprung- liga ändamålet (artikel 5.1 b). Enligt dataskyddsförordningen är be- handling av personuppgifter laglig om någon av de rättsliga grun- derna i artikel 6.1 är uppfyllda, till exempel samtycke eller utförande av en uppgift av allmänt intresse. Av artikel 6.3 framgår att unions- rätten eller medlemsstaternas nationella rätt ska fastställa, bland annat, den rättsliga grunden uppgift av allmänt intresse. I samband med detta fastställande i nationell lag kan samma lag även innehålla särskilda bestämmelser avseende bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behand- Anpassningar av vissa registerförfattningar ling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling m.m. Sådana särskilda bestämmelser återfinns ofta i nationella registerförfatt- ningar. Artikel 6.2 tillåter att medlemsstaterna behåller eller inför sådana nationella mer specifika bestämmelser för att anpassa tillämp- ningen av förordningen avseende bland annat den rättsliga grunden uppgift av allmänt intresse. Dataskyddsförordningen ställer vidare upp krav för behandling av känsliga personuppgifter (artikel 9) och personuppgifter om lagöverträdelser m.m. (artikel 10) samt krav på skyddsåtgärder vid all personuppgiftsbehandling för forsknings- ändamål (artikel 89.1). I det följande kommer en analys göras av vilka anpassningar som behövs av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen om rättspsykiatriskt forskningsregister med anledning av att dataskyddsförordningen börjar tillämpas. 15.3Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (registerlagen) trädde i kraft den 1 december 2013.1 Registerlagens syfte är att ge ett tydligt lag- stöd för register som förs med de registrerades samtycke i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjuk- domar och människors hälsa i övrigt. Känsliga personuppgifter samlas in med uttryckligt samtycke och enbart uppgifter som inte är direkt hänförliga till den enskilde får lämnas ut till forsknings- projekt som har godkänts vid en etikprövning. Regeringen beslutar vilka som ska få föra register i enlighet med registerlagen. om detta finns i förordningen (2013:833) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. 1 Lagen har i allmänhet kommit att kallas LifeGene-lagen, men är tillämplig för all sådan verksamhet som faller inom lagens tillämpningsområde. Anpassningar av vissa registerförfattningar Registerlagen infördes primärt för att tydliggöra rättsläget i sam- band med insamling av personuppgifter till ett projekt, LifeGene, som syftar till att skapa underlag för att kunna studera hur våra gener, vår omgivning och vårt sätt att leva påverkar vår hälsa.2 Projektet är ett samarbete mellan och universiteten i , , , och . Insamlingen av personuppgifter sker med samtycke och inom ramen för det redan befintliga projektet behandlas en stor mängd känsliga personuppgifter. Datainspektionen beslutade att förelägga att upphöra med insam- lingen och övrig behandling av personuppgifter i projektet.3 Data- inspektionen ansåg att ändamålet framtida forskning var alltför opreciserat för att uppfylla kraven i 9 § personuppgiftslagen. Vidare fann Datainspektionen att det inte kunde föreligga giltigt samtycke enligt 3 och 10 §§ personuppgiftslagen, mot bakgrund av det alltför opreciserade ändamålet. Dessutom framhöll Datainspektionen att avsaknaden av särreglering för registret utgjorde ytterligare ett hin- der. Datainspektionens beslut föranledde således regeringens åtgärd att låta utreda och föreslå en lagreglering av sådan personuppgifts- behandling som består av. beslutade sedan att anta förslaget. Registerlagen är tidsbegränsad och har förlängts till att gälla till och med . Ett förslag om ytterligare förlängning bereds vid . Bakgrunden till den tidsbegränsade registerlagen är det utrednings- arbete som påbörjades när regeringen gav en särskild utre- dare i uppdrag att utreda förutsättningarna för registerbaserad forskning.4 Utredningen resulterade i betänkandet SOU 2014:45 Unik kunskap genom registerforskning. Förslagen i det betänkan- det bereds, som redan nämnts, inom .