sou · H5B350 · 2017-06-09 00:00:00 — SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Regeringen beslutade att tillkalla en särskild utre- dare med uppdrag att med anledning av EU:s dataskyddsförord- ning föreslå en kompletterande reglering av behandling av person- uppgifter för forskningsändamål, med syftet att möjliggöra en ända- målsenlig behandling av personuppgifter för forskningsändamål sam- tidigt som den enskildes fri- och rättigheter skyddas (dir. 2016:65). beslutade regeringen tilläggsdirektiv till utred- ningen (dir. 2017:29) med uppdrag att analysera vilka rättsliga för- utsättningar som finns i dataskyddsförordningen för behandling av personuppgifter i Kungl. verksamhet, samt beslutade att uppdraget ska slutredovisas . Som särskild utredare förordnades professor . Som huvudsekreterare anställdes . anställdes som utrednings- sekreterare. anställdes som utredningssekreterare. Som experter att biträda utredningen förordnades professor , enhetschef , jurist , professor , chefsjurist , verksjurist , avdelningschef . förordnades även professor som expert. Som sakkunniga i utredningen förordnades kansliråden , och . entledigades från uppdraget och förordnades som expert i utredningen. förordnades även departementssekreterare som sakkunnig i utredningen. Utredningen, som har tagit sig namnet Forskningsdatautred- ningen, överlämnar härmed delbetänkandet Personuppgiftsbehand- ling för forskningsändamål (SOU 2017:50). Förslag till forskningsdatalag ................................................. 1.2Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor .................. 1.3Förslag till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för 1.4Förslag till lag om ändring i lagen (1999:353) om Vårt uppdrag och arbete ............................................. Reglering av personuppgiftsbehandling för Vissa anpassningar av registerförfattningar ........... Betänkandets disposition m.m............................................... Bakgrund, rättsliga utgångspunkter och begrepp ........... Bakgrund utifrån ett forskningsperspektiv........................... Frågor för forskningen vid Begreppsanvändning i dataskyddsregleringen....... Begreppet akademiskt skapande........................... 4.2En kompletterande lag vid personuppgiftsbehandling för forskningsändamål ska införas....................................... Överväganden och förslag .................................... 4.3Forskningsdatalagens förhållande till annan Överväganden och förslag .................................... Fastställande av rättslig grund .................................. Rättslig grund utifrån forskningsaktör................................ 5.4Ytterligare behandling av personuppgifter för 5.5 Överväganden och förslag .................................................... 5.5.2Fastställande av den rättsliga grunden allmänt Behandling av personuppgifter med samtycke ............ Samtycke och känsliga personuppgifter .............................. 6.4Samtyckets innehåll och de krav som ställs på giltigt Uttrycklig viljeyttring gällande känsliga 6.5Ytterligare behandling av personuppgifter som lämnats med stöd av samtycke .......................................................... 6.6 Samtycke tillsammans med annan rättslig grund ............... 6.6.2Samtidig förekomst av de rättsliga grunderna samtycke och allmänt intresse.............................. Behandling av känsliga personuppgifter.............................. 7.3.1Gränsdragningen mellan känsliga och övriga Krav på lagstiftning om undantag ........................ 7.4 Överväganden och förslag ................................................... 7.4.1Tillåten behandling av känsliga Personuppgifter om lagöverträdelser m.m. ................. Kraven på behandlingen och lagstiftningen ........................ Överväganden och förslag .................................................... Personnummer och samordningsnummer ................... Vissa begränsningar av registrerades rättigheter .......... 10.2.1Möjligheter att göra undantag från vissa rättigheter i nationell rätt ...................................... Direkt tillämpliga möjligheter att göra undantag från den registrerades rättigheter ......... Rättigheter när den enskilde inte kan 10.2.4Andra möjligheter till undantag för särskilda De aktuella rättigheterna, och behov av att göra undantag från dem................................................................ – Rätt till tillgång (registerutdrag) – Rätt till rättelse ................................. – Rätt till begränsning av – Rätt att göra invändningar ............... Tillsyn och sanktioner .............................................. 12.2.1 Allmän .....................reglering av skyddsåtgärder 12.2.2Reglering av skyddsåtgärder i samband med 12.2.3 Allmän reglering av säkerhetskrav ....................... Skyddsåtgärder för personuppgiftsbehandling................... 12.3.3 Tekniska och organisatoriska skyddsåtgärder..... Överväganden och förslag ................................................... Förslag till skyddsåtgärder ................................... En proportionerlig lagstiftning................................... Övriga rättsliga instrument................................... Integritetsanalys och proportionalitetsbedömning ............ 13.3.1Kartläggning av den föreslagna 13.3.3De föreslagna bestämmelserna kräver reglering i lagform ................................................. Etikprövning av personuppgiftsbehandling för Vårt uppdrag i denna del ...................................................... Etikprövning som skyddsåtgärd .......................................... 14.3.2 Etikprövning som befintlig skyddsåtgärd............ Tillämpningsområdet för kravet på etikprövning ............... Ett utvidgat tillämpningsområde? Överväganden och förslag .................................... 14.5 Behov av fortsatt översyn 14.5.2Etikprövning vid lägre risk för intrång i den Anpassningar av etikprövningslagen till Överväganden och förslag .................................... Anpassningar av vissa registerförfattningar ................. Vårt uppdrag i denna del ...................................................... Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa ........................ 15.3.2Dataskyddsförordningens utrymme för nationell lagstiftning – övergripande Överväganden och förslag .................................... Lag (1999:353) om rättspsykiatriskt forskningsregister.... nationell lagstiftning – övergripande Överväganden och förslag .................................... Ikraftträdande- och övergångsbestämmelser ............... Ikraftträdande- och övergångsbestämmelser i Ikraftträdande- och övergångsbestämmelser i Överväganden och förslag .................................................... 17.1.1 Förändringar som följer av våra förslag ............... Problem- och målbeskrivning............................... 17.2.3 Vem berörs av våra förslag? 17.2.4 Förslagens förenlighet med ................ 17.2.5 Tidpunkt och information inför 17.3.1 Vår bedömning av förslagen ................................. 17.3.2 Ekonomiska konsekvenser av alternativa Andra konsekvenser enligt kommittéförordningen ........... Konsekvenser för den personliga integriteten .................... Förslaget till forskningsdatalag ............................................ Förslaget till lag om ändring av lagen (2003:460) om etikprövning av forskning som avser människor ................ Förslaget till lag om ändring av lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa ............................................... Förslaget till lag om ändring av lagen (1999:353) om Bilaga 3 Strukturerad begreppsgenomgång av (EU) 2016/679 (allmän dataskyddsförordning) ........ I detta delbetänkande redovisar vi uppdraget att dels analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas med anledning av att dataskyddsförord- ningen (EU 2016/679) börjar tillämpas , dels lämna de författningsförslag som behövs. Förslagen ska avse reglering utöver de generella bestämmelser som (Ju 2016:04) föreslår i sitt betänkande (SOU 2017:39). Dessutom har vi haft i upp- drag att överväga och eventuellt föreslå anpassningar i viss närligg- ande lagstiftning. Bakgrund, rättsliga utgångspunkter och begrepp Dataskyddsförordningen trädde i kraft , men ska enligt artikel 99.2 tillämpas . Förord- ningen är direkt tillämplig i alla medlemsstater och gäller i stället för motsvarande nationell reglering. Dataskyddsförordningen ersätter därmed bl.a. det nuvarande dataskyddsdirektivet (95/46/EG) och dess svenska implementering genom personuppgiftslagen (1998:204). Förordningen kommer enligt artikel 2 att utgöra rättslig utgångs- punkt för den forskning som använder sig av personuppgifter och som bedrivs av en personuppgiftsansvarig eller ett personuppgifts- biträde som är etablerad i Europeiska unionen, oavsett om själva behandlingen sker inom unionen eller inte (artikel 3). Forskning som inte omfattar behandling av personuppgifter faller, genom den avgränsning som görs i artikel 2, utanför förordningens tillämpnings- område. Förordningens återkommande uttryck ”vetenskapliga eller histo- riska forskningsändamål” innefattar enligt utredningens bedömning forskning utan att någon särskild betydelseåtskillnad bör göras mellan dessa två delar med avseende på personuppgiftsbehandling. Begreppen forskning och forskningsändamål kan enligt utredningens bedöm- ning likställas. Personuppgiftsbehandling för forskningsändamål bör vidare kunna omfatta hela eller delar av forskningsprocessen. Iordning- ställande av personuppgifter i databaser för forskningsändamål bör kunna innefattas i vad som avses med forskning i bred bemärkelse. Utredningens bedömning är således att de enskilda delarna av denna process ska kunna betecknas som behandling för forskningsändamål utan att alla delar måste ingå. Detta är särskilt viktigt i s.k. longitu- dinella studier där förlopp studeras över tidsperioder som ibland omfattar . Utredningen har identifierat ett behov av att införa en forsknings- datalag med syfte att möjliggöra personuppgiftsbehandling för forsk- ningsändamål som den enskildes fri- och rättigheter skyddas. Den föreslagna forskningsdatalagen ska vara tillämplig för all personuppgiftsbehandling för forskningsändamål oavsett rättslig grund. Den föreslagna forskningsdatalagen ska gälla utöver vad som framgår av dataskyddsförordningen. Den generella kompletterande dataskyddslag som föreslår ska vara subsi- diär i förhållande till andra lagar och förordningar. Av tydlighets- skäl föreslår utredningen att det av forskningsdatalagen ska framgå att dataskyddslagen gäller om inte annat följer av forskningsdata- lagen. En registerförfattning, eller en bestämmelse i en registerför- fattning, som specifikt är tillämplig på personuppgiftsbehandling för ändamålet forskning ska ha företräde framför avvikande be- stämmelser i forskningsdatalagen. Fastställande av allmänt intresse som rättslig grund Artikel 6 i dataskyddsförordningen anger vilka villkor som måste vara uppfyllda för att personuppgiftsbehandling ska vara laglig. De rättsliga grunder som framför allt kan komma ifråga för forsknings- ändamål är, enligt utredningens bedömning, samtycke enligt arti- kel 6.1 a, nödvändig behandling för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e och (för privata aktörer) intresseavväg- ning enligt artikel 6.1 f. Beträffande den rättsliga grunden enligt artikel 6.1 ställer dock förordningen krav på ytterligare nationell reglering avseende bl.a. artikel 6.1 e (nödvändig behandling för att bl.a. utföra en uppgift av allmänt intresse). Med tanke på att artikel 6.1 e är central i forsk- ningssammanhang, eftersom forskning generellt sett är att anse som en uppgift av allmänt intresse, har utredningen i uppdrag att särskilt analysera dessa krav och vid behov komplettera dataskyddsförord- ningen. Dessa krav anges i artikel 6.2 och 6.3, vilka möjliggör och kräver nationell reglering som fastställer och specificerar tillämpningen av den rättsliga grunden i artikel 6.1 e. Den rättsliga grunden kan som ett inslag i fastställandet t.ex. innehålla allmänna villkor för den sär- skilda behandlingen. Det är således möjligt enligt dataskyddsförord- ningen att införa särskilda bestämmelser i nationell rätt som specifi- cerar när och hur personuppgiftsbehandling för forskningsändamål får ske. Kravet enligt artikel 6.3 på att grunden för behandlingen enligt artikel 6.1 e ska vara fastställd i enlighet med nationell rätt medför en påtaglig skillnad mellan olika kategorier av forskningsaktörer vad gäller de legala förutsättningarna för personuppgiftsbehandling. För privata aktörer är forskningsuppgiften sällan eller aldrig fastställd på det sätt som förordningen föreskriver. Det är dock en allmänt vedertagen uppfattning att även privat bedriven forskning kan anses utgöra en uppgift av allmänt intresse. För att privata forsk- ningsaktörer ska kunna åberopa artikel 6.1 e krävs införande av för- fattningsstöd att basera tillämpningen på. I skäl 45 till dataskyddsförordningen anges att medlemsstaterna bör ange vilka aktörer, även privata, som kan utföra en uppgift av allmänt intresse, vilket visar att det är möjligt för såväl offentliga som privata aktörer att utföra uppgifter av allmänt intresse i data- skyddsförordningens mening. Om inga nationella lagstiftningsåtgärder vidtas innebär förord- ningens bestämmelser att offentliga forskningsaktörer framför allt har att tillämpa den rättsliga grunden uppgift av allmänt intresse, enligt artikel 6.1 e, vid behandling av personuppgifter för forsk- ningsändamål. Privata forskningsaktörer har framför allt att tillämpa de rättsliga grunderna samtycke, enligt artikel 6.1 a, eller intresse- avvägning, enligt artikel 6.1 f, vid sin behandling av personuppgifter för samma ändamål. Att dataskyddsförordningen medför så bety- dande skillnader i möjligheterna att åberopa de olika rättsliga grun- derna i artikel 6.1 vid behandling av personuppgifter för likvärdiga forskningsändamål, i praktiken beroende på vilken organisations- form aktören har, är enligt utredningens bedömning rimligen inte avsiktligt. Det är angeläget med ett sammanhållet grundläggande regelverk för personuppgiftsbehandling för forskningsändamål, inte minst för att uppnå ett rättssäkert och i övrigt adekvat skydd för den enskildes integritet. Olika forskningsaktörers möjligheter till sam- verkan och att bedriva forskning som kan komma att få nytta för all- mänheten bör likställas i så stor utsträckning som möjligt. Skyddet för den personliga integriteten ska alltid hålla lika hög nivå obero- ende av kategori av forskningsaktör. Detta bör åstadkommas genom skyddsåtgärder. Utredningen föreslår därför att det införs en be- stämmelse i forskningsdatalagen som möjliggör för såväl offentliga som privata forskningsaktörer att tillämpa den rättsliga grunden uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförord- ningen för behandling av personuppgifter för forskningsändamål. Dataskyddsförordningens bestämmelser innebär att ytterligare behandling av personuppgifter för forskningsändamål av samma personuppgiftsansvarig får ske utan att någon ny rättslig grund måste åberopas, om den ursprungliga insamlingen utfördes med tillämpning av en rättslig grund enligt artikel 6.1. Detta skiljer sig mot tillämpningen av personuppgiftslagen där all behandling kräver stöd i 10 §. När personuppgifterna ursprungligen samlats in med stöd av samtycke är dock ytterligare behandling utan ny rättslig grund inte lika självklar. I samband med utlämnande av personuppgifter till annan person- uppgiftsansvarig för behandling för forskningsändamål är den nya behandlingen alltjämt att anse som förenlig med den ursprungliga så länge det nya ändamålet är forskning. Den nya personuppgifts- ansvarige måste dock ha en egen rättslig grund för sin behandling för forskningsändamål sedan personuppgifterna utlämnats till denne. Detta innebär att forskningsaktörer som samlar in personuppgifter för forskningsändamål som tidigare insamlats för annat ändamål, till exempel av en annan myndighet, måste åberopa en rättslig grund enligt artikel 6.1 för den nya behandlingen. En sådan rättslig grund kan vara forskning av allmänt intresse enligt artikel 6.1 e. Definitionen av samtycke i dataskyddsförordningen överensstämmer i väsentliga delar med personuppgiftslagens bestämmelser. Data- skyddsförordningens införande innebär därmed inga betydande förändringar av samtyckets innebörd. Samtycke ska vara frivilligt, specifikt, informerat och för känsliga personuppgifter uttryckligt, samt ska lämnas genom ett uttalande eller en entydig bekräftande handling. Den senare formuleringen av vilken slags aktivitet som god- känns som samtycke har lagts till i definitionen jämfört med i person- uppgiftslagen. Utredningen bedömer att det med utgångspunkt i artikel 9.2 a i dataskyddsförordningen är möjligt att behandla känsliga person- uppgifter för forskningsändamål med samtycke som rättslig grund när samtycke föreligger tillsammans med godkännande efter etik- prövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Skäl 33 i dataskyddsförordningen innebär en utvidgning av det möjliga utrymmet för samtycke när ändamålet med den aktuella forskningen inte exakt kan beskrivas vid insamlingstillfället. Skäl 43 i dataskyddsförordningen innebär begränsningar, för myndigheter, när det gäller möjligheten att använda samtycke som rättslig grund för personuppgiftsbehandling. Av särskild vikt är här om den rättsliga grunden allmänt intresse förekommer som samtycke inhämtats. Dataskyddsförordningen erbjuder ingen slutlig lösning på de hybridförhållanden, dvs. när flera rättsliga grunder föreligger för samma personuppgiftsbehandling, som redan uppmärksammats av artikel 29-gruppen och som innebär att samtyckets giltighet kan ifrågasättas. Ytterligare behandling av personuppgifter för forskningsända- mål insamlade med samtycke bör normalt omfattas av inhämtande av nytt samtycke, oavsett om det sker hos samma eller hos en ny person- uppgiftsansvarig, om det är praktiskt möjligt och inte olämpligt ur etisk synpunkt. Av artikel 9.1 i dataskyddsförordningen framgår att det är förbju- det att behandla personuppgifter som avslöjar ras eller etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Dataskyddsförordningens definition av den här kategorin av personuppgifter är något utökad jämfört med det nuvarande dataskyddsdirektivets. I dataskyddsförordningen används vidare benämningen särskilda kategorier av personuppgifter i artikel 9. I enlighet med bedömning väljer vi dock att även fortsatt benämna dessa slags personuppgifter som känsliga personuppgifter. För att behandling av känsliga personuppgifter ska vara tillåten under vissa förutsättningar krävs stöd i nationell rätt som fastställer lämpliga och särskilda skyddsåtgärder. Utredningen föreslår därför en bestämmelse i forskningsdatalagen som tillåter sådan personupp- giftsbehandling när denna är nödvändig för att uppnå forsknings- ändamålet. Som huvudsaklig skyddsåtgärd föreslår utredningen att kravet på etikprövning enligt etikprövningslagen ska kvarstå. Personuppgifter om lagöverträdelser m.m. Behandling av personuppgifter om lagöverträdelser m.m. regleras i artikel 10 i dataskyddsförordningen. Enligt dataskyddsförordningen behövs kompletterande reglering i nationell rätt för att behandling av uppgifter om lagöverträdelser m.m. för forskningsändamål för andra än myndigheter ska vara möjlig. Utredningen föreslår därför en bestämmelse i forskningsdatalagen som tillåter sådan personupp- giftsbehandling när denna är nödvändig för att uppnå forsknings- ändamålet. Sådan reglering ska vidare innehålla bestämmelser om lämpliga skyddsåtgärder för att säkerställa den registrerades rättigheter och friheter. Utredningen föreslår att etikprövning enligt etikprövnings- lagen fortsatt ska vara den huvudsakliga skyddsåtgärden. Den reglering som föreslår för behandling av personnummer eller samordningsnummer innehåller samma direkt tillämpliga villkor som återfinns i nuvarande lagstiftning. Dessa vill- kor torde vara uppfyllda i vissa forskningssammanhang. Utredningen gör bedömningen att rättsläget för användningen av personnummer för forskningsändamål inte ändras i och med föreslagna bestämmelser. Jämfört med är det samma villkor som ska uppfyllas för att behandling av personnummer ska vara tillåten och regeringen samt tillsynsmyn- digheten har samma möjligheter som tidigare att meddela special- reglering i form av registerförfattningar för vissa typer av behand- lingar. Något behov av ytterligare kompletterande nationell regler- ing finns därmed inte. Begränsningar av registrerades rättigheter I dataskyddsförordningens tredje kapitel (artiklarna 12–23) anges den registrerades rättigheter i samband med att dennes personupp- gifter behandlas. Dessa rättigheter kan under vissa förutsättningar begränsas. har föreslagit vissa generella begränsningar i dessa rättigheter. Om personuppgifter behandlas för bl.a. forskningsändamål får det, enligt artikel 89.2 i dataskyddsförordningen, i unionsrätten eller i medlemsstaternas nationella rätt föreskrivas undantag från den registrerades rättigheter i artiklarna 15, 16, 18 och 21 med för- behåll för de villkor och skyddsåtgärder som avses i första punkten i artikel 89. Vi har därför analyserat dessa rättigheters effekt på forsk- ningen, och föreslår vissa begränsningar genom bestämmelser i forskningsdatalagen. Rätten till rättelse (artikel 16) ska inte gälla för sådana person- uppgifter som behandlats för forskningsändamål om de enbart be- varas i arkiveringssyfte. Rätten till rättelse ska i övrigt gälla utan undantag. Rätt till begränsning av behandling (artikel 18) ska inte gälla när den registrerade bestrider uppgifternas korrekthet under den ut- redningstid som krävs för att kontrollera om personuppgifterna är korrekta, om detta medför att forskningen inte kan utföras eller på ett avgörande sätt försenas eller försvåras. Detsamma ska gälla när den registrerade invänder mot behandlingen, i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl. Det saknas behov av ytterligare undantag från rätten till tillgång (artikel 15) samt rätten att göra invändningar (artikel 21) när per- sonuppgifter behandlas för forskningsändamål, utöver vad Data- skyddsutredningen har föreslagit. Utredningen har översiktligt behandlat frågor om tillsyn och sanktio- ner i relation till personuppgiftsbehandling för forskningsändamål. föreslår att Datainspektionen ska utses till tillsynsmyndighet, och ha befogenheter enligt dataskyddsförord- ningen, över den nationella dataskyddslagen som kompletterar dataskyddsförordningen på generell nivå samt de andra nationella författningar som kompletterar dataskyddsförordningen. Eftersom den föreslagna forskningsdatalagen kompletterar data- skyddsförordningen är det utredningens bedömning att den av föreslagna bestämmelsen därmed täcker även forskningsdatalagen vad avser tillsynsmyndighetens befogen-