sou · H5B350 · 2017-06-09 00:00:00 — För privaträttsliga forskningsaktörer kan även punkt f (nedan) vara aktuell. Vad gäller punkt a framgår utifrån såväl skäl 33 som skäl 43 samt även artikel 5.1 b att samtycke som rättslig grund för person- uppgiftsbehandling i forskningssammanhang kräver en djupare analys. Punkt e behöver analyseras utifrån artikel 6.3 i relation till artikel 6.2. f) Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den regi- strerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registre- rade är ett barn. Led f i första stycket ska inte gälla för behandling som utförs av offent- liga myndigheter när de fullgör sina uppgifter. Att myndigheter, när de fullgör sina uppgifter, kan tillämpa intresseavvägning som rättslig grund ens i de fall där en sådan avvägning uppenbart väger över för den personuppgifts- ansvarige eller tredje parts intresse skulle kunna leda till ökade önskemål om författningsreglering (för att omfattas av 6.1 e) eller inhämtande av samtycken (för att omfattas av 6.1 a). Vad gäller möjligheten att inhämta giltiga samtycken bör dock skäl 43, rör- ande situationer med betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, beaktas. 2.Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX. 3.Den grund för behandlingen som avses i punkt 1 c och e ska fast- ställas i enlighet med a) unionsrätten, eller b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att ut- föra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av be- stämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ända- målsbegränsningar, lagringstid samt typer av behandling och förfaran- den för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situatio- ner enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den person- uppgiftsansvarige för att fastställa huruvida behandling för andra ända- mål är förenlig med det ändamål för vilket personuppgifterna ursprung- ligen samlades in bland annat beakta följande: a)Kopplingar mellan de ändamål för vilka personuppgifterna har sam- lats in och ändamålen med den avsedda ytterligare behandlingen. b)Det sammanhang inom vilket personuppgifterna har samlats in, sär- skilt förhållandet mellan de registrerade och den personuppgiftsansvarige. c)Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida person- uppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10. d)Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. e)Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa krypter- ing eller pseudonymisering. Särskilt 6.1(a), 6.1(e), 6.2 och 6.3 framhålls i våra utredningsdirektiv (s. 6 f.). Artikel 9 Behandling av särskilda kategorier av personuppgifter 1.Behandling av personuppgifter som avslöjar ras eller etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- lemskap i fackförening och behandling av genetiska uppgifter, biomet- riska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. 2.Punkt 1 ska inte tillämpas om något av följande gäller: […] a) Den registrerade har uttryckligen lämnat sitt samtycke till behand- lingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskri- ver att förbudet i punkt 1 inte kan upphävas av den registrerade. […] g) Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla be- stämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. i)Behandlingen är nödvändig av skäl av allmänt intresse på folkhälso- området, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produk- ter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. j)Behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det eftersträ- vade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgär- der för att säkerställa den registrerades grundläggande rättigheter och intressen. Medlemsstaterna får behålla eller införa ytterligare villkor, även be- gränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Artikel 9.2 (i) handlar om ett område som ibland överlappar med forskning (folkhälsa). Vad gäller artikel 9.4 kan uttrycket ”biomet- riska” ge upphov till särskilda tolkningsproblem. En vid tolkning av begreppet skulle kunna innebära att en stor mängd uppgifter som inte uppfattas som känsliga i det allmänna rättsmedvetandet skulle kunna inkluderas. Ett försök till avgränsning har gjorts i artikeln genom det fortsatta uttrycket ”för att ensidigt identifiera en fysisk person”. Artikel 14 Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande infor- mation […] Punkterna 1–4 ska inte tillämpas i följande fall och i den mån […] b) tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sanno- likt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen; i sådana fall ska den personuppgifts- ansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra upp- gifterna tillgängliga för allmänheten, Det är en viktig uppgift att skilja dels mellan forskningsdatabaser, dels grundregister samt att skilja mellan primärt insamlade forsk- ningsdata och sekundärt inhämtade data från andra källor. Lag- stiftaren förefaller ha tänkt på att uppgifter som inte insamlats pri- märt utan kommer från andra verksamheter (t ex biologisk prover som tas i hälso- och sjukvårdsverksamhet) ofta kan lämnas ut pseudo- nymiserade, och att en återidentifiering för att uppfylla denna infor- mationsplikt skulle innebära stora svårigheter och i sig innebära integritetsrisker. Det stadgas på annat ställe (artikel 11.1) att den personuppgifts- ansvarige inte ska vara tvungen att återidentifieras den registrerade enbart för att tillfredsställa regler i förordningen. Detta är en tydlig hänvisning till att pseudonymiserade data inte behöver återidenti- fieras av t.ex. forskare enbart för att tillfredsställa de regler som finns i artiklarna 14–21. Artikel 15 Den registrerades rätt till tillgång 1.Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information: a) Ändamålen med behandlingen. b) De kategorier av personuppgifter som behandlingen gäller. c) De mottagare eller kategorier av mottagare till vilka personuppgif- terna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer. d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som an- vänds för att fastställa . e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av be- handling av personuppgifter som rör den registrerade eller att invända mot sådan behandling. f) Rätten att inge klagomål till en tillsynsmyndighet. g) Om personuppgifterna inte samlas in från den registrerade, all till- gänglig information om varifrån dessa uppgifter kommer. h) Förekomsten av automatiserat beslutsfattande, inbegripet profiler- ing enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade. 2.Om personuppgifterna överförs till ett tredjeland eller till en inter- nationell organisation, ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen. 3.Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytter- ligare kopior som den registrerade begär får den personuppgiftsansva- rige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat. 4.Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter. Artikel 16 Rätt till rättelse Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande. Artikel 17 Rätt till radering (”rätten att bli bortglömd”) Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den person- uppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller […] Punkterna 1 och 2 ska inte gälla i den utsträckning som behand- lingen är nödvändig av följande skäl:[…] d) För arkivändamål av all- mänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar upp- nåendet av syftet med den behandlingen. Artikel 17.3 (d) undantar data som behöver sparas för forsknings- ändamål. Artikel 18 Rätt till begränsning av behandling Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt: a)Den registrerade bestrider personuppgifternas korrekthet, som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta. b)Behandlingen är olaglig och den registrerade motsätter sig att person- uppgifterna raderas och i stället begär en begränsning av deras använd- ning. c)Den personuppgiftsansvarige behöver inte längre personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. d) Den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges be- rättigade skäl väger tyngre än den registrerades berättigade skäl. Om behandlingen har begränsats i enlighet med punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller för- svara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmän- intresse för unionen eller för en medlemsstat. Notera att förordningen i artikel 89 ger utrymme för att göra undan- tag från rätten till begränsning av behandling samt anmälan om att några av de nämnda åtgärderna har vidtagits (jfr artikel 19, som dock i sig inte har särskild anknytning till forskningsändamål och därför inte är medtagen här). Artikel 21 Rätt att göra invändningar Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grun- dar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre be- handla personuppgifterna såvida denne inte kan påvisa tvingande berätti- gade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Om personuppgifter behandlas för vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av person- uppgifter avseende honom eller henne om inte behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse. Punkt 6 ska läsas i samband med artikel 89.2, som möjliggör undan- tag från denna rättighet Artikel 32 Säkerhet i samband med behandlingen Med beaktande av den senaste utvecklingen, genomförandekostna- derna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgär- der för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt a)pseudonymisering och kryptering av personuppgifter, b)förmågan att fortlöpande säkerställa konfidentialitet, integritet, till- gänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c)förmågan att återställa tillgängligheten och tillgången till person- uppgifter i rimlig tid vid en fysisk eller teknisk incident, d)ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får an- vändas för att visa att kraven i punkt 1 i den här artikeln följs. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets över- inseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unions- rätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. Denna artikel, som tillhör den generella regleringen i förordningen, och inte är begränsad till forskningsändamål, utgör en utgångs- punkt för lämplighetsbedömning av tekniska och organisatoriska skyddsåtgärder. Den kan jämföras med artikel 17.1 i nuvarande dataskyddsdirektivet. Artikel 89 Skyddsåtgärder och undantag för behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål 1.Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den regi- strerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att sär- skilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbe- gripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger iden- tifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. 2.Om personuppgifter behandlas för vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål får det i unionsrätten eller i medlemsstaternas nationella rätt föreskrivas undantag från de rättig- heter som avses i artiklarna 15, 16, 18 och 21 med förbehåll för de villkor och skyddsåtgärder som avses i punkt 1 i den här artikeln i den utsträck- ning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål. Om behandling enligt punkterna 2 och 3 har andra ända- mål, ska undantagen endast tillämpas på behandling för de ändamål som avses i dessa punkter. Dessa artiklar är centrala för utredningens uppdrag eftersom de dels anger att hantering för bl.a. vetenskapliga eller historiska forsknings- ändamål måste kombineras med lämpliga skyddsåtgärder, dels anger att om så är fallet finns utrymme för att i bl.a. nationell rätt föreskriva undantag från vissa av de rättigheter som tillkommer registrerade (rätt till tillgång till den registrerades personuppgifter och informa- tion om behandling, rätt till rättelse, rätt till begränsning av behand- ling, samt rätt att göra invändningar). Notera även att undantag från andra rättigheter finns angivna direkt i förordningen och alltså inte kräver reglering i nationell rätt (artikel 17.3 d samt artikel 20.3). –en sammanhållen politik för arbete, hållbar tillväxt och välfärd. 2.Kraftsamling för framtidens energi. 3.Karens för statsråd och statssekreterare. 4.För en god och jämlik hälsa. En utveckling av det folkhälsopolitiska ramverket. 5.Svensk social trygghet i en globaliserad värld. Del 1 och 2. 7.Straffprocessens ramar och domstolens beslutsunderlag i brottmål – en bättre hantering av stora mål. 8.Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. 9.Det handlar om oss. –unga som varken arbetar eller studerar. 10.Ny ordning för att främja god sed och hantera oredlighet i forskning. Volym 1 och 2. 12.Att ta emot människor på flykt. 13.Finansiering av infrastruktur med privat kapital? 16.Sverige i –2014. 17.Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. 18.En nationell strategi för validering. 19.Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan för unga arbetslösa. 20.Tillträde för nybörjare – ett öppnare och enklare system för tillträde till högskoleutbildning. Nationell kvalitetsplan för vård och omsorg om äldre personer. Del 1 och 2. 22.Från värdekedja till värdecykel – så får en mer cirkulär ekonomi. 24.Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? 25.Samlad kunskap – stärkt handläggning. På användarnas villkor. 27.Vissa frågor inom fastighets- och stämpelskatteområdet. 28.Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. 30.En omreglerad spelmarknad. Del 1 och 2. –stärkt konkurrenskraft med kemikaliesmarta lösningar. 33.Stärkt ställning för hyresgäster. 34.Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystem- tjänster, som behovet av markexploatering tillgodoses. 35.Samling för skolan. Nationell strategi för kunskap och likvärdighet. 36.Informationssäkerhet för samhälls viktiga och digitala tjänster. –förebygga, förhindra, upptäcka och beivra. 38.Kvalitet i välfärden – bättre upphandling och uppföljning. Kompletterande bestämmelser till EU:s dataskydds förordning. 40.För dig och för alla. 41.Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. 42.Vem har ansvaret? 43.På lika villkor! Delaktighet, jämlikhet och effektivitet i hjälpmedelsförsörj- ningen. 44.Entreprenad, fjärrundervisning och distansundervisning. 45.Ny lag om företagshemligheter. 46.Stärkt ordning och säkerhet i domstol. 47.Nästa steg på vägen mot en mer jämlik hälsa. Förslag för ett långsiktigt arbete för en god och jämlik hälsa. 48.Kunskapsbaserad och jämlik vård. Förutsättningar för en lärande hälso- och sjukvård. 49.EU:s dataskyddsförordning och utbildningsområdet. 50.Personuppgiftsbehandling för forskningsändamål. Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan för unga arbetslösa. Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. Karens för statsråd och statssekreterare. [3] Vägskatt. Volym 1 och 2. Finansiering av infrastruktur med privat kapital? På användarnas villkor. Vissa frågor inom fastighets- och stämpel- skatteområdet. En omreglerad spelmarknad. Del 1 och 2. Kvalitet i välfärden – bättre upphandling och uppföljning. Straffprocessens ramar och domstolens beslutsunderlag i brottmål – en bättre hantering av stora mål. Att ta emot människor på flykt. Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. [31] Stärkt ställning för hyresgäster. Informationssäkerhet för samhällsviktiga och digitala tjänster. – förebygga, förhindra, upptäcka och beivra. Kompletterande bestämmelser till EU:s dataskydds förordning. Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. Ny lag om företagshemligheter. [45] Stärkt ordning och säkerhet i domstol. Kraftsamling för framtidens energi. Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. Från värdekedja till värdecykel – så får en mer cirkulär ekonomi. – stärkt konkurrenskraft med kemikaliesmarta lösningar.