sou · H5B350 · 2017-06-09 00:00:00 — För sådana offentliga forskningsaktörer där forsknings- uppgiften inte kan anses fastställd i enlighet med dataskyddsför- ordningen krävs dock kompletterande nationell reglering för att personuppgiftsbehandling för forskningsändamål med stöd av arti- kel 6.1 e ska få utföras. Privat bedriven forskning utförs såväl i små, medelstora och stora företag som i verksamheter som i allt övrigt liknar offentlig verk- samhet, t.ex. hos en enskild utbildningsanordnare. En enskild ut- bildningsanordnare kan i princip bedriva samma slags forskning som universitet och högskolor med statlig huvudman. Nuvarande dataskyddslagstiftning gör i allt väsentligt ingen åt- skillnad mellan privata och offentliga forskningsaktörer. Fastställande av rättslig grund läggande kraven och laglighetsgrunderna i framför allt 9 och 10 §§ personuppgiftslagen är möjliga att åberopa oavsett forsknings- aktörens organisationsform. Kravet i artikel 6.3 i dataskyddsförordningen på att en uppgift av allmänt intresse ska vara fastställd i nationell rätt påverkar sär- skilt privata forskningsaktörer. Uppgiften av allmänt intresse är generellt sett inte rättsligt fastställd för privata aktörer som ägnar sig åt forskningsverksamhet . Privat forskning som bedrivs med stöd i att forskningen utgör ett allmänt intresse sker i stället efter en bedömning av forskningsaktören. Forskningen i sig bedöms sedan på samma villkor som offentlig forskning när en extern bedömning av forskningen sker i samband med till exempel eventuell tillståndsprövning, finansiering och publicering. En särskild fråga är hur man ska se på att en offentlig aktör upp- drar åt en privat aktör att utföra en uppgift av allmänt intresse som den offentliga aktören har fastställd i laga ordning. Den privata aktören skulle kunna anses utföra en uppgift av allmänt intresse på samma villkor som den offentliga aktören. Den privata aktören skulle då kunna åberopa artikel 6.1 e, dvs. nödvändig behandling för att utföra en uppgift av allmänt intresse, som stöd för sin behandling av personuppgifter som är nödvändig för att fullgöra uppdraget. Utfallet i en sådan situation beror dock på vem som är personupp- giftsansvarig i det enskilda fallet, så något generell bedömning låter sig inte göras. Frågan analyseras vidare av Dataskyddsutredningen.11 En avgörande skillnad mellan offentliga och privata forsknings- aktörer i dataskyddsförordningen är också skrivningen i artikel 6.1 andra stycket, som förhindrar myndigheter att lägga en intresse- avvägning till grund för behandling när de fullgör sina uppgifter. Detta hinder gäller således inte för privaträttsliga aktörer, som allt- jämt kan åberopa intresseavvägning som rättslig grund för behand- ling av personuppgifter för forskningsändamål. I det följande belyses närmare de olika förutsättningarna för några olika kategorier av privaträttsliga forskningsaktörer. 11 SOU 2017:39 avsnitt 8.3.4. Fastställande av rättslig grund Enskilda utbildningsanordnare utgörs av lärosäten som drivs av andra huvudmän än staten, till exempel av företag, stiftelser eller föreningar. Vissa enskilda utbildningsanordnare har rätt att utfärda examina enligt högskoleförordningen, på samma villkor som stat- liga utbildningsanordnare, och bedriver sin verksamhet på samma sätt som högskolor med staten som huvudman. Enskilda utbild- ningsanordnare som bedriver forskning är till exempel , i och . Dessa utgör alla privaträttsliga forskningsaktörer. Dessa forskningsaktörer har möjlighet att lägga såväl samtycke som en intresseavvägning till grund för behandling av personuppgifter, även om en bedömning i varje enskilt fall alltid måste göras. För att få åberopa artikel 6.1 e, uppgift av allmänt intresse, krävs dock att forskningsuppgiften är fastställd i enlighet med dataskyddsförord- ningens krav. Forskning bedrivs i betydande omfattning hos privata företag och stiftelser. Läkemedelsföretag är ett exempel på forskningshuvud- män som bedriver forskning med betydande användning av per- sonuppgifter. Forskningsaktörer som utgörs av privata företag eller stiftelser kan i huvudsak åberopa samtycke och intresseavvägning som rättslig grund vid personuppgiftsbehandling enligt dataskydds- förordningen. Även forskning som utförs vid privata företag eller stiftelser kan dock vara av allmänt intresse, men då forskningsupp- giften i princip aldrig är fastställd i enlighet med dataskyddsförord- ningens krav kan privata företag eller stiftelser som huvudregel inte åberopa den rättsliga grunden allmänt intresse enligt artikel 6.1 e. För att privata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs införande av författningsstöd att basera tillämpningen på. Sam- tidigt är det möjligt för privata forskningsaktörer att lägga såväl sam- tycke som intresseavvägning till grund för behandling av personupp- gifter för forskningsändamål, efter en bedömning i varje enskilt fall. Fastställande av rättslig grund Utredningens bedömning: Dataskyddsförordningens bestäm- melser innebär, om inga åtgärder vidtas, att offentliga forsk- ningsaktörer framför allt har att utgå från artikel 6.1 e, uppgift av allmänt intresse, vid behandling av personuppgifter för forsk- ningsändamål. Privata forskningsaktörer har framför allt att utgå från samtycke, enligt artikel 6.1 a, eller intresseavvägning, enligt artikel 6.1 f, vid sin behandling av personuppgifter för samma ändamål. Av resonemanget framgår att dataskyddsförordningens be- stämmelser om rättslig grund för behandling av personuppgifter skiljer sig från dagens regelverk framför allt avseende samtycke, intresseavvägning och kravet i artikel 6.3 på fastställande av den rättsliga grunden avseende artikel 6.1 c och e. Dessa förändringar får konsekvenser på olika sätt för olika aktörer i forskningssamman- hang. Beträffande samtycke som rättslig grund är möjligheterna mer be- gränsade för offentliga aktörer än för privata genom skäl 43. Ett vid- are resonemang kring detta återfinns i avsnitt 6.4.2. Uppgift av allmänt intresse Kravet enligt artikel 6.3 i dataskyddsförordningen på att grunden för behandlingen enligt artikel 6.1 e ska vara fastställd i enlighet med nationell lag innebär en påtaglig skillnad mellan olika katego- rier av forskningsaktörer vad gäller de legala förutsättningarna för personuppgiftsbehandling. För statliga universitet och högskolor är forskningsuppgiften fastställd i en och samma författning, hög- skolelagen. För andra myndigheter är det beroende på hur respek- tive myndighets uppdrag är formulerat, huruvida forskningsupp- giften är att anse som fastställd eller ej. För privata aktörer är forskningsuppgiften sällan eller aldrig fastställd på det sätt som förordningen föreskriver. Det är dock en Fastställande av rättslig grund allmänt vedertagen uppfattning att även privat bedriven forskning kan anses utgöra en uppgift av allmänt intresse. För privata aktörer innebär således villkoret i artikel 6.3 för att artikel 6.1 e ska kunna tillämpas ett hinder, när det gäller möjligheten att basera person- uppgiftsbehandling på grunden uppgift av allmänt intresse, som inte finns i dagens lagstiftning. Skillnaderna blir särskilt tydliga i en jämförelse mellan en offent- lig och en privat aktör som bedriver verksamhet som är i allt väsentligt lika, till exempel för högskolor som kan bedrivas i både offentlig och privat form. Forskningsuppgiften är i praktiken lik- värdig vid de båda verksamheterna och personuppgiftsbehand- lingen kan baseras på samma rättsliga grund. Av skäl 45 i dataskyddsförordningen framgår att medlemsstat- erna bör ange vilka aktörer, även privata, som kan utföra en uppgift av allmänt intresse, vilket innebär att det är möjligt för såväl offent- liga som privata aktörer att utföra uppgifter av allmänt intresse i dataskyddsförordningens mening. Privata aktörer har, till skillnad från offentliga myndigheter, möjlig- het att basera personuppgiftsbehandling för forskningsändamål på en intresseavvägning enligt artikel 6.1 f. Bestämmelsen avseende nödvändig behandling efter intresse- avvägning innebär att om intresset för en behandling av personupp- gifter väger tyngre än intresset av integritetsskyddet är behandlingen tillåten. Eftersom det inte framgår tydligare än så av bestämmelsen vilka situationer som kan bli aktuella finns vägledning kring dagens reglering framför allt att få i rättspraxis. Den praxis som finns sam- manfattas i lagkommentaren till personuppgiftslagen och rör bland annat direkt marknadsföring, arbetslivet, internetpublicering, behand- ling för att komma åt lagöverträdelser, fingeravtryck och andra bio- metriska uppgifter för identifiering och elektroniska inpasserings- system.12 12 Se , Personuppgiftslagen (version . 2016, Zeteo) kommentaren till 10 § f. Fastställande av rättslig grund Behandling av personuppgifter efter en intresseavvägning har med dagens lagstiftning framför allt aktualiserats i samband med marknadsföring och inom arbetslivet. Att denna tillämpning fort- farande får anses vara aktuell framöver framgår av skäl 47 i data- skyddsförordningen, som anger kundrelation och arbetstagarrela- tion till den personuppgiftsansvarige som ett sådant förhållande som skulle kunna komma ifråga för behandling av personuppgifter efter intresseavvägning. Samma exempel återfinns i skäl 48, medan förordningen i skäl 49 framhåller säkerställande av nät- och infor- mationssäkerhet som ett annat exempel på när en intresseavvägning skulle kunna resultera i laglig behandling av personuppgifter. Även om förordningens exempel inte på något sätt kan anses uttömmande ger dessa en tydlig indikation på vilken typ av relation mellan den personuppgiftsansvarige och den registrerade som avses. Redan före- liggande tolkning bör kunna tillämpas framöver beträffande intresse- avvägning som rättslig grund för behandling av personuppgifter. Det finns således inte anledning att anta att artikel 6.1 f ska tolkas på annat sätt än dataskyddsdirektivets artikel 7 f, som införlivats i svensk rätt genom 10 § f personuppgiftslagen. Enligt lagkommen- taren till personuppgiftslagen är bestämmelsen ett slags general- klausul som innebär att behandling som inte nämnts i tidigare punkter i 10 § kan genomföras om den är befogad enligt vad som anges i 10 § f. Detta betyder i praktiken att intresseavvägning ska tillämpas i sista hand, om behandlingen inte är laglig enligt någon av de andra punkterna. Samma resonemang bör enligt utredningens bedömning kunna föras vid tillämpning av artikel 6.1 i dataskydds- förordningen. Först om behandlingen av personuppgifter för forsk- ningsändamål inte är laglig enligt artikel 6.1 a–e kan en bedömning av laglighet utifrån punkten f bli aktuell. Artikel 6.1 f och 6.1 andra stycket är direkt tillämpliga och för- ordningen tillåter inte nationell lagstiftning avseende tillämpnings- området i detta avseende. Det finns därför ingen möjlighet att genom nationell lagstiftning tillåta myndigheter att tillämpa 6.1 f eller att begränsa privata aktörers tillämpning. Det är alltid den personupp- giftsansvariges ansvar att visa på aktuell rättslig grund enligt arti- kel 6.1 för sin behandling av personuppgifter. Detta innebär att nationell kompletterande lagstiftning inte kan tvinga en privat forskningsaktör att tillämpa 6.1 e genom att helt utesluta möjlig- heten att tillämpa någon annan rättslig grund enligt artikel 6.1. Fastställande av rättslig grund den personuppgiftsansvarige kan visa att artikel 5.1 efterlevs samt att artikel 6.1 f utgör tillåten rättslig grund för den aktuella behand- lingen av personuppgifter för forskningsändamål är behandlingen tillåten. För all behandling av personuppgifter för forskningsändamål, oavsett vilken grund behandlingen baseras på, krävs det enligt arti- kel 89.1 i dataskyddsförordningen att behandlingen omfattas av lämpliga skyddsåtgärder, men något krav på fastställda skydds- åtgärder framgår inte direkt av artikeln. I skäl 156 förtydligas dock att medlemsstaterna bör införa lämpliga skyddsåtgärder för be- handlingen av personuppgifter för bland annat vetenskapliga eller historiska ändamål, vilket öppnar för möjligheten att i nationell rätt reglera lämpliga skyddsåtgärder för all behandling av personupp- gifter för forskningsändamål. För att behandling av känsliga per- sonuppgifter för forskningsändamål ska vara laglig ställs det vidare i artikel 9.2 j upp ett direkt krav på att nationell rätt ska innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen och detta gäller oavsett vilken grund behandlingen baseras på. I nationell kompletterande lagstiftning både kan och förutsätts det således införas krav på skyddsåtgärder för all behandling av personuppgifter för forskningsändamål och det gäller även behand- ling baserad på intresseavvägning. I de fall privata aktörer anser det möjligt att lägga en intresseavvägning till grund för sin behandling av personuppgifter för forskningsändamål måste de alltså ändå tillämpa bestämmelser i nationell kompletterande lag avseende skydd för den enskilde. Dataskyddsförordningens bestämmelser innebär, om inga åtgärder vidtas, att offentliga forskningsaktörer framför allt har att utgå från artikel 6.1 e, uppgift av allmänt intresse, vid behandling av person- uppgifter för forskningsändamål. Privata forskningsaktörer har framför allt att utgå från samtycke, enligt artikel 6.1 a, eller intresse- avvägning, enligt artikel 6.1 f, vid sin behandling av personuppgifter för samma ändamål. Att dataskyddsförordningen medför så bety- dande skillnader i möjligheterna att åberopa de olika rättsliga grun- Fastställande av rättslig grund derna i artikel 6.1 vid behandling av personuppgifter för likvärdiga forskningsändamål, helt beroende på vilken organisationsform aktören har, är enligt utredningens uppfattning rimligen inte av- siktligt. Utredningen återkommer till hur denna situation bör åtgärdas, i syfte att skapa ändamålsenliga förutsättningar för personuppgifts- behandling för forskningsändamål oavsett forskningsaktörens orga- nisationsform, i avsnitt 5.5.2 nedan. 5.4Ytterligare behandling av personuppgifter för forskningsändamål Personuppgifter får bara samlas in för tydligt angivna och berätti- gade ändamål. Personuppgifter får vidare inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Denna finalitetsprincip, tillsammans med reglerade undantag från denna princip, sätter ramarna för de ändamål för vilka personuppgif- ter lagligen får behandlas. Finalitetsprincipen kommer till uttryck i såväl det nuvarande dataskyddsdirektivet och personuppgiftslagen som i dataskyddsförordningen. För forskningens del är finalitets- principen och reglerade undantag från denna av särskild betydelse. Huvudregeln i 9 § d personuppgiftslagen är att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Behandling för vetenskapliga ända- mål ska dock inte anses oförenlig med de ändamål för vilka uppgif- terna samlades in, enligt 9 § andra stycket personuppgiftslagen. Ytterligare behandling av personuppgifter för forskningsändamål är därmed särskilt gynnad i dagens lagstiftning. Även om det nya ända- målet är förenligt med det ursprungliga, och därför uppfyller det grundläggande kravet enligt 9 § d personuppgiftslagen, måste den nya behandlingen dock alltid vara tillåten enligt någon av de rätts- liga grunderna i 10 § personuppgiftslagen. Fastställande av rättslig grund I dataskyddsförordningen återfinns motsvarande huvudregel i arti- kel 5.1 b, som anger att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare be- handlas på ett sätt som är oförenligt med dessa ändamål. I samma punkt anges även att ytterligare behandling för bland annat veten- skapliga eller historiska forskningsändamål inte ska anses vara oför- enlig med de ursprungliga ändamålen (forskningsundantaget). Data- skyddsförordningen använder således begreppet ”ytterligare behand- ling”, vilket utredningen därför huvudsakligen använder i stället för begreppet ”vidarebehandling” som ofta används i samman- hanget. Skrivningen i artikel 5.1 b innebär att ytterligare behandling av personuppgifter för forskningsändamål är särskilt gynnad även i dataskyddsförordningen. Av skäl 50 i dataskyddsförordningen framgår bland annat att det inte krävs någon ny rättslig grund för tillåten ytterligare behandling av personuppgifter: Behandling av personuppgifter för andra ändamål än de för vilka de ur- sprungligen samlades in bör endast vara tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om be- handlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten eller medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syf- ten ytterligare behandling bör betraktas som förenlig och laglig. Ytter- ligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör betraktas som förenlig och laglig behandling av uppgifter. Dataskyddsförordningens bestämmelser innebär att ytterligare be- handling av personuppgifter för forskningsändamål av samma personuppgiftsansvarig får ske utan att någon ny rättslig grund måste åberopas. Det räcker att den ursprungliga insamlingen utfördes med åberopande av en rättslig grund enligt artikel 6.1. Detta innebär att en forskningsaktör får behandla personuppgifter som denne redan samlat in och för ett visst ändamål för ytterli- Fastställande av rättslig grund gare forskningsändamål utan krav på ny rättslig grund, vilket skiljer sig mot tillämpningen av personuppgiftslagen där all behandling kräver stöd i 10 §. När personuppgifterna ursprungligen samlats in med stöd av samtycke är dock ytterligare behandling utan ny rätts- lig grund inte lika självklar. För ett utförligare resonemang kring denna situation se avsnitt 6.4. I samband med utlämnande av personuppgifter till annan person- uppgiftsansvarig för behandling för forskningsändamål är den nya behandlingen alltjämt att anse som förenlig med den ursprungliga så länge det nya ändamålet är forskning. Den nya personuppgifts- ansvarige måste dock åberopa en ny rättslig grund för sin behand- ling för forskningsändamål sedan personuppgifterna utlämnats. Detta innebär att forskningsaktörer som samlar in personuppgifter för forskningsändamål som tidigare insamlats för annat ändamål, till exempel av en annan myndighet, måste åberopa en rättslig grund enligt artikel 6.1 för den nya behandlingen. En sådan rättslig grund kan vara forskning av allmänt intresse enligt artikel 6.1 e. Vid ytterligare behandling av personuppgifter för forsknings- ändamål måste de allmänna principerna enligt artikel 5.1 också all- tid följas för att behandlingen ska vara tillåten. Ytterligare behand- ling av personuppgifter för forskningsändamål är tillåten endast om det är nödvändigt för att uppnå ändamålet, dvs. forskningen, och dessutom måste behandlingen vara korrekt, i betydelsen skälig eller rimlig, i förhållande till den registrerade. Behovet av ytterligare be- handling måste alltså alltid vägas mot den registrerades legitima intresse av personlig integritet. Vid fråga om behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. måste de särskilda krav som förordningen ställer avseende sådan behandling alltid vara uppfyllda. Vid all behandling av personuppgifter för forskningsändamål aktualiseras även artikel 89, där villkoren avseende lämpliga skydds- åtgärder för behandlingen i artikel 89.1 är särskilt centrala i samman- hanget. Detta framgår också direkt av undantaget för ytterligare behandling för forskningsändamål i artikel 5.1 b. Fastställande av rättslig grund Utredningen har i uppdrag att föreslå den kompletterande reglering av personuppgiftsbehandling för forskningsändamål som kan behö- vas utöver den generella kompletterande reglering som Dataskydds- utredningen föreslår. Syftet med den kompletterande regleringen ska vara att möjliggöra en ändamålsenlig behandling av person- uppgifter för forskningsändamål som den ska skydda den enskildes fri- och rättigheter. En rimlig utgångspunkt är att befint- liga förutsättningar för en ändamålsenlig behandling i vart fall inte ska försämras, som skyddet för den enskilde ska upprätt- hållas. Förordningens bestämmelser är direkt tillämpliga i medlems- staterna . Beträffande den rättsliga grunden enligt artikel 6.1 ställer dock förordningen krav på ytterli- gare nationell reglering avseende artikel 6.1 c och e. Eftersom arti- kel 6.1 e är central i forskningssammanhang har utredningen i upp- drag att särskilt beakta och, om det behövs, komplettera Dataskydds- utredningens förslag. Avseende tillämpningen av den rättsliga grunden i artikel 6.1 e, uppgift av allmänt intresse, gör följande bedömning som vi har att beakta: Artikel 6.1 e i dataskyddsförordningen är direkt tillämplig. Kravet i artikel 6.3, dvs. att grunden för behandlingen ska vara fastställd i unionsrätten eller den nationella rätten, utgör ytterli- gare ett villkor för tillämpning som ska vara uppfyllt. Med grunden för behandlingen avses i detta sammanhang upp- giften som är av allmänt intresse. Mot bakgrund av bedömningen ovan är slutsats att det inte krävs någon generell nationell reglering som fastställer den rättsliga grunden enligt artikel 6.1 e. I den nya kom- pletterande dataskyddslagen föreslår en- bart ett tydliggörande av att personuppgifter får behandlas om be- handlingen är nödvändig för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller Fastställande av rättslig grund annan författning eller av beslut som har meddelats med stöd av lag eller annan författning.13 Dataskyddsförordningens bestämmelser innebär således att alla myndigheter måste ha en tydlig uppgift avseende forskning fast- ställd i enlighet med gällande rätt för att kunna behandla person- uppgifter för forskningsändamål med åberopande av artikel 6.1 e. Detta skulle låta sig göras genom att förordningarna med instruk- tioner för de myndigheter som i praktiken är forskningsaktörer ses över och forskningsuppgiften vid behov förs in. Dataskyddsförord- ningen medger dock en mer övergripande nationell reglering där uppgiften fastställs, så länge den omfattar alla berörda aktörer, enligt skäl 45. Även privata aktörer kan som konstaterats utföra forskning av allmänt intresse. Om inte forskningsuppgiften fastställs i författ- ning även för dem innebär dock förordningens bestämmelser att de måste åberopa någon annan rättslig grund enligt artikel 6.1 för be- handling av uppgifter för forskningsändamål. Förordningen med- ger nationell reglering av vilka slags personuppgiftsansvariga som ska kunna utföra en uppgift av allmänt intresse. Av skäl 45 framgår att det bör regleras huruvida en personuppgiftsansvarig som utför en uppgift av allmänt intresse ska vara en myndighet, eller annan som omfattas av offentligrättslig lagstiftning, eller om denne kan vara en fysisk eller juridisk person som lyder under civilrättslig lag- stiftning. Artikel 6.2 och 6.3 i dataskyddsförordningen möjliggör natio- nella bestämmelser som anpassar tillämpningen av den rättsliga grunden i artikel 6.1 e, dvs. nödvändig behandling för att utföra en uppgift av allmänt intresse, och specificerar villkoren för när be- handling av personuppgifter får ske och hur det ska gå till. Den rättsliga grunden kan vid fastställandet t.ex. innehålla allmänna villkor för den specifika behandlingen.