sou · H5B350 · 2017-06-09 00:00:00 — Det konstateras vidare att arbetsuppgiften kan utföras av såväl en myndighet som ett enskilt subjekt och att det inte är något hinder för bedömningen av om en arbetsuppgift är av allmänt intresse att någon kan tjäna pengar på att utföra den.6 6 SOU 1997:39 s. 364. Fastställande av rättslig grund Flera centrala myndigheter inom forskningssektorn har gemen- samt konstaterat att personuppgifter får behandlas för forsknings- ändamål efter samtycke eller om behandlingen är nödvändig för att forskningsuppgiften ska kunna utföras. I en informationsskrift framhålls t.ex. att: En nödvändig behandling kan vara att personuppgifter hanteras för att en arbetsuppgift av allmänt intresse ska kunna utföras. Eftersom forskning normalt sett är en arbetsuppgift av allmänt intresse, är det tillåtet att behandla personuppgifter för forskningsändamål om be- handlingen är nödvändig för att kunna utföra forskningen.7 resonerar kring en något utvidgad defini- tion av begreppet allmänt intresse i dataskyddsförordningen, jäm- fört med dagens lagstiftning. Bakgrunden till detta är dataskydds- förordningens begränsningar för myndigheter att tillämpa såväl samtycke som intresseavvägning som rättsliga grunder för att be- handla personuppgifter inom ramen för sin verksamhet. Data- skyddsutredningens bedömning är därför att detta sammantaget talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförord- ningen än det har haft.8 En bredare betydelse av begreppet allmänt intresse får för forskningens del antas innebära att det är än mer som talar för att uppgiften att forska också fortsättningsvis ska ingå i vad som anses vara av allmänt intresse. Sammanfattningsvis bör således arbetsuppgiften forskning även fortsatt som huvudregel anses utgöra en uppgift av allmänt intresse i dataskyddsförordningens mening. Detta innebär att sådan be- handling av personuppgifter för forskningsändamål som har tillåtits med stöd av 10 § d personuppgiftslagen (artikel 7 e i dataskydds- direktivet), på den grunden att den ansetts nödvändig för att utföra en arbetsuppgift av allmänt intresse, också får anses som nödvändig behandling för att utföra en uppgift av allmänt intresse enligt arti- kel 6.1 e i dataskyddsförordningen. Forskning som är av allmänt intresse kan bedrivas av såväl offent- liga som privata forskningsaktörer. Det är dock inte självklart att all 7Personuppgifter i forskningen – vilka regler gäller? Skrift från Centrala etikprövnings- nämnden, Datainspektionen, och , uppdaterad , s. 4. 8SOU 2017:39 avsnitt 8.3.4. Fastställande av rättslig grund forskning som bedrivs är av allmänt intresse. Utredningen har dock inte sett det som sin uppgift att försöka dra några exakta gränser för vilken slags forskning som är att anse som av allmänt intresse, utan detta får bedömas av rättstillämparen i varje enskilt fall. Möjligheten att behålla eller införa mer specifika tillämpningsbestämmelser enligt artikel 6.2 Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna be- hålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av förordningen med hänsyn till behandling för att efterleva artikel 6.1 c och 6.1 e. Sådana nationella bestämmelser får fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. förekommer sådana mer specifika bestämmelser framför allt i registerförfattningar. Artikel 6 Laglig behandling av personuppgifter Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX. Artikel 6.2 möjliggör för medlemsstaterna att uppfylla kravet på fastställande av den rättsliga grunden för artikel 6.1 c och e som gäller enligt artikel 6.3. Artikel 6.2 är således grundläggande för möjligheterna att komplettera förordningen med nationella bestäm- melser avseende laglighet för behandling av personuppgifter för forskningsändamål. Krav på fastställande av grunden i vissa fall enligt artikel 6.3 Artikel 6.1 i dataskyddsförordningen är direkt tillämplig i nationell rätt, men ytterligare villkor för att kunna tillämpa delar av bestäm- melsen uppställs i artikel 6.3. Enligt artikel 6.3 ska den grund för behandlingen som avses i 6.1 c och e fastställas i enlighet med unions- rätten eller den nationella rätten. Fastställande av rättslig grund Artikel 6 Laglig behandling av personuppgifter Den grund för behandlingen som avses i punkt 1 c och e ska fast- ställas i enlighet med a)unionsrätten, eller b)en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att ut- föra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmel- serna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av upp- gifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamåls- begränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situatio- ner enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Bestämmelsen i artikel 6.3 får antas innebära att det inte kommer att vara möjligt att enbart åberopa den generella regleringen i arti- kel 6.1 c och e vid sådan behandling av personuppgifter. Den rätts- liga grunden måste dessutom vara fastställd i unionsrätten eller den nationella rätten på det sätt som anges i artikel 6.3. Syftet med be- handlingen ska fastställas med utgångspunkt i den rättsliga grunden eller, i fråga om behandling enligt 6.1 e, vara nödvändigt för att ut- föra en uppgift av allmänt intresse eller vara ett led i den person- uppgiftsansvariges myndighetsutövning. Detta begränsar tillämp- ningsområdet för den rättsliga grunden avseende uppgift av allmänt intresse, som är av särskild vikt i forskningssammanhang, eftersom det inte räcker med att en behandling av personuppgifter är nöd- vändig för att utföra en uppgift av allmänt intresse, själva forsk- ningsuppgiften (av allmänt intresse) måste också vara fastställd i enlighet med gällande rätt. Enligt skäl 45 i dataskyddsförordningen medför inte bestäm- melsen i artikel 6.3 något krav på en särskild lag för varje enskild behandling, utan det kan räcka med en lag som grund för nödvändig behandling för att utföra en viss slags uppgift av allmänt intresse. Fastställande av rättslig grund Det är dock viktigt att den fastställda rättsliga grunden är tydlig och precis och att tillämpningen av den bör vara förutsägbar för per- soner som omfattas av den, i enlighet med skäl 41 i förordningen. Dataskyddsförordningens krav och villkor enligt artikel 6.3 för tillämpningen av artikel 6.1 e har varit föremål för analys av Data- skyddsutredningen.9 tolkning av kravet på fastställande av den rättsliga grunden är att det inte krävs någon ytterligare kompletterande reglering på nationell generell nivå. Detta eftersom det redan framgår av direkt tillämpliga bestämmelser i förordningen att uppgiften måste utgöra ett allmänt intresse, att uppgiften måste vara fastställd i enlighet med unionsrätt eller nationell rätt och att behandlingen måste ske för ett ändamål som är nödvändigt för uppgiften. Med uppgiften av allmänt intresse menas i vårt fall arbetsuppgiften att forska. Denna slutsats gäller oavsett om aktören är offentlig eller privat. Mot bakgrund av denna tolkning föreslås upplysande, och i viss mån förtydligande, bestämmelser föras in i den nya dataskyddslag som föreslår och som kommer att kom- plettera dataskyddsförordningen på generell nivå. För artikel 6.1 e innebär detta således att dataskyddslagen förtydligar att: Personuppgifter får behandlas med stöd av artikel 6.1 e i dataskydds- förordningen om behandlingen är nödvändig för att den personupp- giftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning. Detta innebär i praktiken att för att åberopa rättslig grund enligt artikel 6.1 e för behandling av personuppgifter för forskningsända- mål (allmänt intresse) kommer det att krävas att forskningsuppgif- ten följer av lag eller annan författning eller av beslut som meddelats med stöd av lag eller annan författning. Grunden måste således vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt, för att uppfylla förordningens krav. Syftet med behandlingen ska enligt artikel 6.3 vara nödvändigt för att utföra en uppgift av allmänt intresse. Detta innebär att: 1.Den specifika behandlingen ska vara nödvändig för ett visst ändamål. 9 SOU 2017:39 avsnitt 8.3.4. Fastställande av rättslig grund 2.Ändamålet ska i sin tur vara nödvändigt för att uppgiften av all- mänt intresse ska kunna utföras. I forskningssammanhang kan detta konkretiseras till att person- uppgiftsbehandlingen ska vara nödvändig för att uppfylla forsk- ningsändamålet, som i sig utgör den uppgift av allmänt intresse som forskningsaktören har i uppdrag att utföra. Det är således en bedömning av nödvändighet i två steg som dels tar sikte på själva behandlingen, dels på uppfyllandet av den reglerade forskningsupp- giften. Ett tydligt angivet ändamål är som huvudregel en förutsättning för att det ska gå att bedöma om en viss behandling är laglig, dvs. om den är nödvändig i något av de sammanhang som räknas upp i artikel 6.1 b–f. Dataskyddsförordningen ställer inte krav på att ända- målen, enligt artikel 5.1 b, ska fastställas i författning men det finns inga hinder mot att detta görs. Sådana bestämmelser ska, enligt artikel 6.3 andra stycket, uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Ändamålet behöver således inte framgå i samband med att upp- giften av allmänt intresse fastställs, men ändamålet med varje en- skild behandling måste vara nödvändigt för att utföra den fastställda uppgiften. I vårt fall är ändamålet med personuppgiftsbehandlingen forskningsändamålet, som måste vara nödvändigt i varje specifikt fall, som uppgiften av allmänt intresse som måste fastställas är själva arbetsuppgiften att forska. Oavsett om ändamålen fast- ställts i författning eller inte är det enligt artikel 5.2 i dataskydds- förordningen alltid den personuppgiftsansvariges ansvar att följa och kunna visa att principerna i artikel 5.1 efterlevs. Beträffande vilka aktörer som ska kunna anses utföra en uppgift av allmänt intresse kan viss vägledning återfinnas i skäl 45 där följ- ande framgår: Unionsrätten eller medlemsstaternas nationella rätt bör också reglera frågan huruvida en personuppgiftsansvarig som utför en uppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig lagstiftning eller, om detta motiveras av allmänintresset, vilket inbegriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårds- tjänster, av civilrättslig lagstiftning, exempelvis en yrkesorganisation. Fastställande av rättslig grund Denna skrivning öppnar för en nationell reglering av vilka rätts- subjekt, såväl offentliga som privata, som kan utföra en uppgift av allmänt intresse. Utgångspunkten är att forskning bedrivs av såväl offentliga som privata forskningsaktörer, vilket innebär att natio- nell reglering i enlighet med skrivningen i skäl 45 kan bli aktuell. Särskilda villkor för behandling av personuppgifter för forskningsändamål För behandling av personuppgifter för forskningsändamål gäller dessutom särskilda villkor enligt artikel 89.1 som anger att behand- lingen ska omfattas av lämpliga skyddsåtgärder i enlighet med för- ordningen. Detta gäller för alla slags personuppgifter och är således ett absolut krav vid behandling av personuppgifter för forsknings- ändamål. Dataskyddsförordningen ställer inte krav på att nationell rätt särskilt ska reglera skyddsåtgärderna när det inte är fråga om känsliga personuppgifter, men något hinder däremot uppställs inte.10 5.3Rättslig grund utifrån forskningsaktör Utredningen använder sig av begreppet forskningsaktör. Begreppet återfinns inte i dataskyddsförordningen. I dataskyddsförordningen hänvisas genomgående till personuppgiftsansvarig och personupp- giftsbiträde. Personuppgiftsansvarig definieras i artikel 4.7 i data- skyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Personuppgiftsbiträde definieras i arti- kel 4.8 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Med forskningsaktör menar utredningen sådan aktör som behandlar personuppgifter för forskningsändamål. Vem som är personuppgifts- ansvarig eller personuppgiftsbiträde får bedömas i varje enskilt fall. 10 Se vidare kapitel 12 Skyddsåtgärder. Fastställande av rättslig grund Utredningen har vidare funnit det motiverat att i själva fram- ställningen redogöra för offentligrättsliga och privaträttsliga aktö- rers förutsättningar var för sig. Denna bedömning baseras på att bestämmelserna i dataskyddsförordningen innebär att förutsätt- ningarna för att tillämpa olika bestämmelser som rättslig grund för behandling av personuppgifter skiljer sig åt beroende på om aktö- ren är offentlig eller privat. Såväl offentligrättsliga som privaträtts- liga aktörer bedriver forskning och är personuppgiftsansvariga eller personuppgiftsbiträden enligt dataskyddsförordningen. Forskning finansieras dels av offentliga medel, dels av medel från privata finansiärer. Forskning utförd av en offentlig aktör kan finansieras av privata medel, och tvärt om. Finansieringsformen påverkar inte vem som utgör forskningsaktör. Förutsättningarna när det gäller vilka rättsliga grunder en forsk- ningsaktör kan åberopa för att behandla personuppgifter, i enlighet med dataskyddsförordningens artikel 6.1, är som redan framkom- mit i viss mån olika beroende på om forskningsaktören är offentlig eller privat. I det följande analyseras dessa skillnader. En stor del av den forskning i som bedrivs av offentligrätts- liga aktörer utförs vid universitet och högskolor, men det bedrivs omfattande forskningsverksamhet också vid många andra offentliga organ. Flera andra statliga myndigheter har en uttalad forsknings- uppgift inom ramen för sin ordinarie verksamhet och i såväl kom- muner som landsting pågår forskning där personuppgifter används. Förvaltningsmyndigheters uppgifter framgår i huvudsak av författ- ningar och författningsenliga beslut, till exempel myndighetsinstruk- tioner i förordningsform och regleringsbrev. Verksamheten vid kommuner och landsting är reglerad i regeringsformen, kommunal- lagen (1991:900) och speciallagstiftning inom till exempel skola, miljö och vård- och omsorg. Kommuner och landsting har även viss rätt att meddela egna lokala föreskrifter. Beträffande samtycke som rättslig grund, enligt artikel 6.1 a, innebär skrivningarna i skäl 43 i dataskyddsförordningen vissa be- gränsningar för myndigheter, vilket kräver en närmare analys. Se avsnitt 6.4.2. Fastställande av rättslig grund För offentliga forskningsaktörer utgör den rättsliga grunden enligt artikel 6.1 e en central laglig utgångspunkt vid personupp- giftsbehandling för forskningsändamål. Forskning anses utgöra en uppgift av allmänt intresse och motsvarande reglering i 10 § d person- uppgiftslagen utgör ofta rättslig grund för behandling av person- uppgifter för forskningsändamål . I enlighet med redogörelsen ovan ställer dock artikel 6.3 krav på att grunden för behandlingen enligt artikel 6.1 e, uppgiften av all- mänt intresse, ska fastställas i enlighet med unionsrätten eller den nationella rätten. Det innebär att forskningsuppgiften – verksam- heten – behöver fastställas i lag eller annan författning, dvs. förord- ning eller myndighetsföreskrift, alternativt beslut som meddelats med stöd av sådan författning. Detta krav skiljer sig från nuvarande reglering såtillvida att det är tillräckligt att forskning enligt en generell bedömning är av allmänt intresse för att nödvän- dig behandling av personuppgifter ska kunna ske utan samtycke, det finns alltså inget krav på en fastställd forskningsuppgift enligt gällande rätt. Dataskyddsförordningen uppställer således krav på att forsk- ningsuppgiften ska vara fastställd så att det går att åberopa den rättsliga grunden att behandlingen av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse. Något krav på att forskningsuppgiften ska vara fastställd för respektive forsknings- aktör i separata författningar finns dock inte. Avgörande är att forsk- ningsuppgiften är fastställd i laga ordning för forskningsaktören för att laglig grund enligt artikel 6.1 e ska kunna åberopas. Myndigheters verksamhetsuppgifter är beslutade i enlighet med regeringsformens bestämmelser om normgivningskompetens och kommunalt självstyre. Myndigheternas verksamhet, som syftar till att utföra dessa uppgifter, torde därmed i sig ha en rättslig grund som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter i sådan verksamhet som omfattas av den fastställda uppgiften bör därmed som utgångspunkt kunna ske med stöd av artikel 6.1 e i dataskyddsförordningen. tolkning av dataskyddsförordningens be- stämmelser är därvid att någon ytterligare reglering av myndighet- ernas verksamhet inte krävs på generell nationell nivå för att myn- digheter ska kunna vidta nödvändiga behandlingsåtgärder för att fullgöra sina uppgifter. Fastställande av rättslig grund Enligt artikel 6.1 andra stycket gäller inte artikel 6.1 f, behand- ling av personuppgifter efter en intresseavvägning, för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta utgör en betydande skillnad mot nuvarande lagstiftning, genom att motsvarande bestämmelse i 10 § f personuppgiftslagen får tillämpas även av myndigheter. Bakgrunden till denna begräns- ning beskrivs närmare i skäl 47 i förordningen, där det bland annat framhålls att: Med tanke på att det är lagstiftarens sak att genom lagstiftning till- handahålla den rättsliga grunden för de offentliga myndigheternas be- handling av personuppgifter, bör den rättsliga grunden inte gälla den behandling de utför som ett led i fullgörandet av sina uppgifter. Skrivningen syftar på artikel 6.1 f och innebär att myndigheter inte längre ska kunna göra en egen bedömning av lagligheten i behand- lingen genom en intresseavvägning. För att en myndighet ska få behandla personuppgifter vid fullgörandet av sina uppgifter måste myndigheten finna en annan rättslig grund än intresseavvägning. Något utrymme för myndigheters egen bedömning av lagligheten efter en intresseavvägning i samband med varje enskild behandling finns således inte enligt dataskyddsförordningen. I det följande belyses närmare de olika förutsättningarna för några olika kategorier av offentligrättsliga forskningsaktörer. Universitet och högskolor med statlig huvudman I 2 kap. 18 § andra stycket regeringsformen fastslås att forskning- ens frihet är skyddad enligt bestämmelser som meddelas i lag. Hög- skolelagen (1992:1434) reglerar verksamhet vid universitet och hög- skolor under statligt huvudmannaskap och innehåller bestämmelser som tar avstamp i grundlagsregleringen. I 1 kap. 2 § högskolelagens anges forskning som en huvuduppgift. I 1 kap. 3 a § samma lag uppställs krav på att vetenskapens trovärdighet och god forsknings- sed värnas i verksamheten och 1 kap. 6 § reglerar just forskningens frihet, genom att ange allmänna principer för den delen av högskol- ornas verksamhet. Behandling av personuppgifter för forsknings- ändamål vid universitet och högskolor med staten som huvudman utförs således inom ramen för en forskningsuppgift som är fast- ställd i svensk lag. Fastställande av rättslig grund Många statliga myndigheter, utöver universitet och högskolor, be- handlar personuppgifter för forskningsändamål. För flera av dessa myndigheter är forskningsuppgiften tydligt fastställd genom för- ordning, se t.ex. 2 § förordningen (2007:1170) med instruktion för eller 4 § förordningen (2013:1020) med instruktion för . Om forskningsuppgiften inte framgår av en författning eller ett beslut grundat i en författ- ning, som myndigheten omfattas av, kan myndigheten inte åberopa artikel 6.1 e i dataskyddsförordningen som grund för behandling av personuppgifter. Myndigheten måste då åberopa någon annan rätts- lig grund enligt artikel 6.1 för sin behandling. drivs ofta i myndighetsform vilket med- för att samma resonemang gäller för dem som för myndigheter i allmänhet. Exempel på sådana forskningsinstitut är och . Det finns dock även forskningsinstitut som drivs i aktiebolagsform med staten som delägare helt eller delvis. () är ett exempel på nätverk av teknikinriktade forskningsinstitut som sam- verkar med akademi, näringsliv och samhälle. Regeringsformens kapitel 14 anger ramarna för det kommunala självstyret. I 2 § anges att: Kommunerna sköter lokala och regionala angelägenheter av allmänt intresse på den kommunala självstyrelsens grund. Närmare bestämmel- ser om detta finns i lag. På samma grund sköter kommunerna även de övriga angelägenheter som bestäms i lag. Kommunallagen (1991:900) reglerar såväl kommuner som lands- ting på en övergripande nivå. Självstyret framgår av 2 kap. 1 § kom- munallagen som stadgar att: Fastställande av rättslig grund Kommuner och landsting får själva ha hand om sådana angelägenheter av allmänt intresse som har anknytning till kommunens eller landsting- ets område eller deras medlemmar och som inte skall handhas enbart av staten, en annan kommun, ett annat landsting eller någon annan. Av ovanstående författningsreglering framgår att kommuner och landsting har laglig grund att utföra uppgifter av allmänt intresse, vilket torde innefatta forskningsuppgiften. Det är dock utredning- ens uppfattning att den relativt generella och oprecisa bestämmel- sen inte kan anses uppfylla dataskyddsförordningens krav på tyd- lighet, precision och förutsägbarhet vid fastställandet av den rätts- liga grunden uppgift av allmänt intresse. Det är också svårt att i detta fall bedöma proportionaliteten, vilket är ytterligare ett krav enligt artikel 6.3 i dataskyddsförordningen. Offentliga forskningsaktörers forskningsuppgift har ofta angivits i tydliga, precisa och förutsebara bestämmelser i författningar. Grunden för behandling av personuppgifter i verksamheten har därigenom fastställts i nationell rätt för dessa forskningsaktörer. Nödvändig behandling av personuppgifter i sådan verksamhet som omfattas av den fastställda forskningsuppgiften kan därmed som utgångspunkt ske med stöd av artikel 6.1 e i dataskyddsförord- ningen.