sou · H5B350 · 2017-06-09 00:00:00 — ska en kopia på dessa uppgifter bifogas bekräftelsen med en på- minnelse om att den enskilde har rätt att begära att även få dem utplånade. ska en kopia på dessa uppgifter bifogas bekräftelsen med en på- minnelse om att den enskilde har rätt att begära att även få dem raderade. Denna lag träder i kraft . Vid behandling av personupp- gifter för det rättspsykiatriska forsk- ningsregistret kompletterar denna lag och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), nedan kallad data- skyddsförordningen.2 a §Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning (dataskydds- lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister Härigenom föreskrivs i fråga om lagen (1999:353) om rättspsykia- triskt forskningsregister dels att 15 och 16 §§ ska upphöra att gälla, dels att 2 och 12 §§ och rubriken närmast före 2 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 2 a §, av följande lydelse. Om inget annat följer av denna lag tillämpas personuppgiftslagen (1998:204) vid behandling av personuppgifter för det rättspsykia- triska forskningsregistret. 8 Senaste lydelse SFS 1999:353. lagen) gäller vid behandling av personuppgifter för det rättspsykia- triska forskningsregistret, om inte annat följer av denna lag eller före- skrifter som har meddelats med stöd av denna lag eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. När personuppgifter i ett mål När personuppgifter i ett mål första gången registreras i det första gången registreras i det information om behandlingen. information om behandlingen. Utöver vad som framgår av 1.att är ningen ska informationen inne- personuppgiftsansvarigt för be- hålla upplysningar om handlingen, 3. vilken typ av uppgifter be- 4. mottagarna av uppgifterna, 5. de sekretess- och säkerhets- 1. de sekretess- och säkerhets- bestämmelser som gäller för be- bestämmelser som gäller för be- 6. bestämmelserna i person- uppgiftslagen (1998:204) om infor- mation som skall lämnas efter an- sökan samt om rättelse och skade- rätt till skadestånd, samt 9 Senaste lydelse SFS 1999:353. 7. de begränsningar i fråga 3. de begränsningar i fråga om tillgång till uppgifter, utläm- om tillgång till uppgifter, utläm- nande av uppgifter på medium nande av uppgifter på medium för automatiserad behandling och för automatiserad behandling och bevarande av uppgifter som gäller bevarande av uppgifter som gäller Denna lag träder i kraft . 2 Vårt uppdrag och arbete Vårt övergripande uppdrag (dir. 2016:65, se bilaga 1) har varit att dels analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas med anledning av att dataskyddsförordningen1 börjar tillämpas , dels lämna nödvändiga författningsförslag. Förslagen ska gälla regler- ing utöver de generella bestämmelser som (Ju 2016:04) föreslår i sitt betänkande (SOU 2017:39). Dessutom har vi haft i uppdrag att överväga och eventuellt föreslå anpassningar i viss närliggande lagstiftning. Det uppdrag som redovisas har bestått av två huvudsakliga delar: reglering av personuppgiftsbehand- ling för forskningsändamål samt anpassningar av vissa registerförfatt- ningar. 2.1.1Reglering av personuppgiftsbehandling för forskningsändamål Den första delen av vårt uppdrag har varit att föreslå komplette- rande reglering i förhållande till de anpassningar av svensk lagstift- ning som (Ju 2016:04) föreslår. Syftet med denna kompletterande reglering är att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål som den skyddar den enskildes fri- och rättigheter. Uppdraget inne- fattar huvudsakligen följande: 1 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförord- ning). Vårt uppdrag och arbete Att lämna förslag på lämpliga skyddsåtgärder för den registrera- des fri- och rättigheter som behandling av personuppgifter för forskningsändamål ska omfattas av. Att överväga om kravet på etikprövning ska utvidgas till att gälla all behandling av personuppgifter för forskningsändamål och vilka skyddsåtgärder som annars bör gälla vid behandling för forskningsändamål av sådana personuppgifter som inte omfattas av lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Att, vid en sådan eventuell utvidgning av kravet på etikprövning, analysera vilka anpassningar som kan behöva göras i de bestäm- melser i etikprövningslagen som reglerar handläggningen av ären- dena, samt att överväga om det bör införas ett enklare förfar- ande vid etikprövning när det är fråga om en behandling av personuppgifter som innebär en liten risk för intrång i den en- skildes integritet. Att se över vilka anpassningar av etikprövningslagen i övrigt som behövs med anledning av dataskyddsförordningen och den generella reglering som föreslår. Att analysera om det, utöver den generella reglering som Data- skyddsutredningen föreslår och de förslag som utredaren i övrigt kan komma att lämna, finns ett behov av bestämmelser som regle- rar behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. för forskningsändamål och vilka be- stämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen en sådan reglering bör innehålla. Att analysera om det utöver den generella reglering som Data- skyddsutredningen föreslår även finns ett behov av undantag från den registrerades rättigheter enligt artiklarna 15, 16, 18 och 21 vid behandling av personuppgifter för vetenskapliga och histo- riska forskningsändamål och lämna förslag på hur sådana undan- tag i så fall bör utformas, samt Att lämna de författningsförslag som behövs. Vårt uppdrag och arbete 2.1.2Vissa anpassningar av registerförfattningar Eftersom det är tills dess att dataskyddsförordningen ska börja tillämpas och någon generell reglering av forskningsdatabaser då inte kommer att kunna vara på plats, behöver det i ett första skede analyseras vilka anpassningar som behöver göras i viss lagstiftning som reglerar specifika forskningsdatabaser. De författningar som anges i utredningens direktiv är lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen (1999:353) om rättspsykiatriskt forskningsregister. I tilläggsdirektiv (dir. 2017:29, se bilaga 2) har utredningen fått i uppdrag att analysera vilken reglering som, utöver dataskydds- förordningen, kan behövas för att personuppgifter ska kunna be- handlas på ett ändamålsenligt sätt i verksam- het. Detta deluppdrag ska redovisas . Utöver ovanstående har utredningen även i uppdrag att i ett nästa skede föreslå långsiktiga regleringar av forskningsdatabaser, analysera och ta ställning till om det finns behov av att stärka skyddet för uppgifter om avlidna inom forensisk forskning samt lämna för- slag till en reglering av . Detta deluppdrag ska redovisas . Det framhålls i utredningens direktiv att en enhetlig tolkning bör eftersträvas vid anpassningen av svensk rätt till den nya EU-regler- ingen. Det är viktigt att den nationella regleringen är så enhetlig som möjligt i sin utformning när det t.ex. gäller begrepp, uttryck och struktur samt hänvisningar till dataskyddsförordningen. Behovet av planering och samordning när det gäller utrednings- och lagstift- ningsarbetet på detta område har även uppmärksammats av Justitie- kanslern.2 Utredningen har därför på flera sätt samverkat med andra utred- ningar vars uppdrag berör dataskyddsförordningen. 2 Remissyttrande över betänkandet Hur står det till med den personliga integriteten? (SOU 2016:41), dnr 4260-16-80. Vårt uppdrag och arbete Av utredningsdirektiven framgår på flera ställen att vi ska förhålla oss till den reglering som (Ju 2016:04) haft i uppdrag att föreslå. Vi har därför löpande hållit oss uppdaterade om arbete och utgått från dess förslag när vi bedömt vilken ytterligare reglering som behövs för personuppgifts- behandling för forskningsändamål. Av (dir. 2016:15) framgår att den utredningen har att analysera vilka övriga kompletterande be- stämmelser om behandling av personuppgifter för arkivering i all- mänhetens intresse samt för vetenskapliga eller historiska forsk- ningsändamål eller för statistiska ändamål som bör finnas i den generella regleringen. Eftersom våra utredningsdirektiv beslutades efter ovanstående direktiv resulterade detta i ett delvis överlapp- ande uppdrag för dessa båda utredningar. Mot denna bakgrund har vi i samråd med konstaterat att samtliga frågor rörande behandling av personuppgifter för forskningsändamål bör behandlas i ett samlat sammanhang och att Forskningsdata- utredningen är bäst lämpad att göra den analys och de övervägan- den som krävs i detta sammanhang. har därför på eget initiativ avstått från att i sitt betänkande behandla frågan om behandling av personuppgifter för forskningsändamål. Dataskyddsförordningen har föranlett ett stort antal utrednings- initiativ, både i form av uppdrag för särskilda utredare såväl som departementsinterna utredningar. Uppdragen har handlat om såväl anpassning av befintlig lagstiftning inom en viss sektor för att vara förenlig med dataskyddsförordningen, som annat lagstiftnings- arbete som måste beakta dataskyddsförordningens krav. Av direktiven framgår att utredningen ska hålla sig informerad om och beakta arbetet i övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av , i syfte att uppnå en enhetlig nationell reglering. Mångfalden utredningar som haft anledning att utforska dataskyddsförordningen ur ett svenskt perspektiv föranledde bildandet av en informell samord- ningsgrupp. Gruppen har haft tio möten och Vårt uppdrag och arbete , och har utgjort ett forum för dialog om gemensamma frågor om terminologi, avgränsningar, rättsliga bedömningar m.m. i arbetet med att anpassa den nationella lagstiftningen till dataskydds- förordningen. Sammanlagt har representanter för ett femtontal utredningar deltagit i gruppens möten. Utöver arbetet i samordningsgruppen har utredningen genom en- skilda möten hållit sig särskilt informerad om och beaktat arbetet i (Ju 2016:04), (U 2016:03), (S 2016:05), Utredningen om tillsynen över den personliga integriteten (Ju 2015:02), Utred- ningen om översyn av etikprövningen (U 2016:02) och (Ju 2014:09). Arbetet har utgått från utredningens sekretariat som, utöver den särskilda utredaren, har bestått av en huvudsekreterare och två övriga sekreterare. Till utredningen har förordnats nio experter och fyra sakkunniga. Utredningens expertgrupp (inbegripet de sakkunniga) har sammanträtt sammanlagt sex gånger, inklusive ett internatsamman- träde. I samband med dessa möten har ett antal promemorior pre- senterats och diskuterats, vilka senare bildat stommen i förvarande betänkande. Enskilda experter och sakkunniga har även bistått utred- ningen vid särskilda möten och i dialog om specifika frågor m.m. Utöver expertgruppen har utredningen bildat en referensgrupp med närmare tjugo deltagare. Syftet med denna grupp har varit att komplettera utredningens perspektiv och ta tillvara kompetens i Vårt uppdrag och arbete utredningens frågor som deltagarna besitter. Personerna i referens- gruppen har medverkat i arbetet utan ersättning och i mån av tid. Utredningen har haft två möten med referensgruppen i sin helhet för att diskutera uppdraget och anknytande frågor av särskild betydelse för utredningen, samt flera mindre möten med delar av referensgruppen för att närmare diskutera tekniska och organisatoriska skyddsåtgärder. Utredningen har uppmärksammats på vissa behov av översyn av etikprövningslagens nuvarande krav avseende bland annat forsk- ning som innefattar behandling av personuppgifter ur offentligt material. Med anledning av detta anordnade utredningen en hearing. Deltagare var företrädare för rättsveten- skaplig forskning från , , , , och , som delgav utredningen synpunkter på dagens etikprövningskrav och behovet av en översyn i vissa delar. Utredningen har i olika sammanhang träffat representanter från , , Rättsmedicinal- verket och utredning om mikrosimulerings- modellen FASIT. Utredningen har även presenterat pågående arbete på ett möte med nätverket för EU:s dataskyddsförordning, organi- serat av Pensionsmyndigheten.3 Utredningen har också deltagit i det årliga nationella mötet med SUNET4 som varit inriktat på konsekvenserna av förordningens införande för svenska universitet. Utredningen har utöver detta tillsammans med utbildnings- departementets representant medverkat vid två möten i ett nor- diskt samarbete mellan företrädare för regeringar och myndigheter 3Nätverket för EU:s dataskyddsförordning arbetar med att bevaka den nationella rätts- utvecklingen och tolka bestämmelserna i dataskyddsförordningen. 4Swedish University computer Network, se Vårt uppdrag och arbete kring förberedelser inför dataskyddsförordningens införande. Utred- ningen har dessutom deltagit i ett möte med representanter för forskarintressen i de nordiska länderna. Betänkandet inleds i kapitel 3 med en redogörelse för bakgrunden till dataskyddsförordningen och den nuvarande regleringen, med ett särskilt fokus på villkoren för forskning. Kapitel 4 behandlar förslaget till forskningsdatalag och lagens tillämpningsområde. Kapitel 5 redogör för utredningens bedöm- ning och förslag avseende fastställande av den rättsliga grunden all- mänt intresse. Kapitel 6 behandlar samtycke till personuppgifts- behandling för forskningsändamål. Kapitel 7, 8 och 9 redogör för särskilda regler för känsliga personuppgifter, personuppgifter om lag- överträdelser m.m. samt personnummer och samordningsnummer. Kapitel 10 behandlar vissa begränsningar av registrerades rättig- heter och kapitel 11 rör frågor om tillsyn och sanktioner. Eftersom dataskyddsförordningen särskilt kräver skyddsåtgär- der för behandling av personuppgifter i flera sammanhang inne- håller kapitel 12 en översiktlig analys av förordningens krav, tänk- bara skyddsåtgärder av olika slag samt författningsförslag till vissa skyddsåtgärder. I kapitel 13 bedöms den föreslagna lagstiftningens proportiona- litet gentemot de grundläggande rättigheter som framgår ur bl.a. regeringsformen och . Frågor om etikprövning avhandlas i kapitel 14, bl.a. hur etik- prövningen ska regleras för att uppfylla förordningens krav på sär- skilda och lämpliga skyddsåtgärder och frågan om etikprövnings- lagens tillämpningsområde. Den del av utredningens uppdrag som rör översyn av befintliga registerförfattningar för att föreslå nödvändiga förändringar i sam- band med dataskyddsförordningen redovisas i kapitel 15. Nödvändiga ikraftträdandebestämmelser avhandlas i kapitel 16. Konsekvensbedömningar finns i kapitel 17. Författningsförslagen kommenteras i kapitel 18. Utredningens direktiv återges i bilaga 1 och 2. Avslutningsvis finns även en strukturerad genomgång av dataskyddsförordningen Vårt uppdrag och arbete med betoning på de bestämmelser som är av vikt för forskning i bilaga 3. kan noteras att betänkandetexten är utformad med an- vändning av ”vi-form” omfattande utredningen i sin helhet. Arbetet har bedrivits med aktivt deltagande av och i samverkan med experter och sakkunniga. Det har förts särskilda mer ämnesinriktade diskussioner samt bilaterala dialoger med experter inom olika special- områden. Mot denna bakgrund redogör utredningen för uppdraget med användande av vi-form även om det inte funnits fullständig samsyn i alla delar. 3Bakgrund, rättsliga utgångspunkter och begrepp (Ju 2016:04) har i uppdrag att redogöra för de allmänna rättsliga konsekvenserna av att dataskyddsförordningen1 börjar tillämpas.2 Utöver detta ska ett antal sektorsspecifika utred- ningar analysera konsekvenserna för specifika samhällssektorer. har i uppdrag att analysera vilken regler- ing av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella kompletterings- lagstiftning som föreslår, samt komma med lämpliga författningsförslag.3 I detta kapitel presenteras utgångs- punkterna för arbetet i form av bakgrund, rättsliga utgångspunkter och centrala begrepp. Kapitlet inleds med en kort redogörelse för den reglering som gäller med avseende på personuppgiftsbehandling för forskningsändamål. Därefter följer en redogörelse för EU:s data- skyddsreform utifrån ett forskningsperspektiv, där utvecklingen fram till den slutgiltiga förordningstexten vad gäller några för forsk- ningen särskilt viktiga frågor beskrivs. För att avgränsa konsekvenserna av dataskyddsförordningens införande, och kunna lämna de författningsförslag som behövs, krävs som utgångspunkt en genomgång av några centrala begrepp. Därför följer också en allmänt hållen analys av vad som i detta sam- manhang avses med begreppet forskning och vad som avses med 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Bakgrund, rättsliga utgångspunkter och begrepp förordningens uttryck ”vetenskapliga och historiska forsknings- ändamål”. Även överväganden om behovet av att skilja mellan vetenskapliga och historiska forskningsändamål samt om det finns behov av att skilja på begreppen forskning och forskningsändamål behandlas. Slutligen görs en bedömning av vad som avses med personuppgiftsbehandling för forskningsändamål, som därmed utgör avgränsningen för det materiella tillämpningsområdet av dataskydds- förordningens bestämmelser och de kompletterande bestämmelser som föreslås i detta betänkande. Persondataskydd regleras på många nivåer, av olika aktörer. FN:s allmänna förklaring om de mänskliga rättigheterna, Europakonven- tionen och EU:s rättighetsstadga innehåller alla någon form av skydd för privatlivet, i vilket ingår ett skydd för den enskildes personliga integritet och personuppgifter. I anslutning till sådana allmänna rättighetsförklaringar finns ofta även mer detaljerade konventioner eller andra rättsliga instrument som närmare behandlar persondata- skydd. I det följande ger vi en inledande översikt av de rättsliga instru- ment som har särskild betydelse för personuppgiftsbehandling för forskningsändamål. Det nuvarande dataskyddsdirektivet och data- skyddsförordningen behandlas löpande genom hela betänkande- texten. Övriga rättsliga instrument behandlas mer ingående i vissa avsnitt, exempelvis i kapitlen om proportionerlig lagstiftning och etikprövning. Genomgången utgår delvis från liknande översikter i framför allt SOU 2014:45 samt SOU 2016:41.4 4 SOU 2014:45 – Unik kunskap genom registerforskning () respektive SOU 2016:41 – Hur står det till med den personliga integriteten? Bakgrund, rättsliga utgångspunkter och begrepp I det följande behandlas reglering som härstammar från , samt Europeiska unionen, i den ordningen. FN:s allmänna förklaring om de mänskliga rättigheterna m.m. Artikel 12 i FN:s allmänna förklaring om mänskliga rättigheter stadgar att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för an- grepp på sin heder eller sitt anseende. Var och en har rätt till lagligt skydd mot sådana ingripanden och angrepp. FN:s allmänna förklar- ing om de mänskliga rättigheterna är inte rättsligt bindande men ses som ett uttryck för sedvanerättsliga regler. är ansluten till FN:s konvention om medborgerliga och politiska rättigheter, som i artikel 17 upprepar innehållet i ovan- nämnda artikel 12 i den allmänna förklaringen. Konventionen är till skillnad från förklaringen bindande för anslutna stater. antog riktlinjer om datoriserade register med personuppgifter.5 Riktlinjerna anger tio grundläggande principer rörande minimigarantier som medlems- staternas lagstiftning ska uppfylla. Dessa principer rör bland annat uppgifters korrekthet, ändamålsbeskrivningar, insyn i behandlingen och för vilka skäl undantag från dessa principer kan tillåtas. En utgångspunkt för all personuppgiftsbehandling är den Europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna (), som stadgar att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. in- korporerades i svensk rätt och gäller som lag i Sverige.6 Av 2 kap. 19 § regeringsformen framgår att lag 5”Guidelines concerning computerized personal data files”, resolution 45/95. 6Lag (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna. Bakgrund, rättsliga utgångspunkter och begrepp eller annan föreskrift inte får meddelas i strid med åtagan- den på grund av konventionen. Det är framför allt artikel 8 i konventionen som har betydelse för personuppgiftsbehandling. I bestämmelsen anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikel 8 innebär att staten ska avhålla sig från in- grepp i den skyddade rättigheten, men också en skyldighet för staten att vidta åtgärder för att skydda den enskildes privata sfär. Rätten till skydd för privatlivet har av getts en vid tolkning. Skyddet omfattar bl.a. uppgifter om den enskildes identitet, inklusive namn och kön, uppgifter om hälsa och sexuell läggning samt information som rör den personliga utvecklingen och relationer till andra individer. Det krävs inte att det är fråga om rent privata relationer, utan skyddet kan även omfatta relationer och aktiviteter som är relaterade till den enskildes yrkesliv. Skyddet gäller även mot angrepp av den enskildes ära och ryktbarhet och mot spridning av information som rör privata förhållanden. Vidare omfattar rätten till respekt för privatlivet ett skydd mot registrer- ing och utlämnande av uppgifter ur allmänna register.7 konvention (nr 108) till skydd för enskilda vid automa- tisk databehandling av personuppgifter (dataskyddskonventionen) har till syfte att säkerställa respekten för grundlägg- ande fri- och rättigheter, särskilt rätten till personlig integritet, i samband med automatisk databehandling av personuppgifter. Kon- ventionens tillämpningsområde är automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Konventionen har ändrats och ett tilläggsproto- koll (nr 181) har antagits . Till konventionen ansluter en rad rekommendationer om hur personuppgifter bör behandlas inom olika områden, till exempel rekommendation nr R (83) 10, antagen , till skydd för personuppgifter som används för vetenskaplig forskning 7 Se SOU 2016:41 s. 151 och där refererade rättsfall. Bakgrund, rättsliga utgångspunkter och begrepp Rekommendationerna är, till skillnad från konventio- nen, inte direkt bindande. inledde en översyn av konventionen som fortfarande pågår. De övergripande syftena med översynen är att bemöta utmaningar för den personliga integriteten som en följd av användning av ny informations- och kommunikationsteknik, samt att stärka konventionens uppföljningsmekanism. Första fasen av detta arbete slutfördes . Den andra fasen, som inleddes , syftar till att ta fram ett slutligt förslag som även ska säkerställa överensstämmelse med dataskyddsförordningen.8 konvention om mänskliga rättigheter och biomedicin antog en konvention om mänskliga rättigheter och biomedicin. Konventionen skyddar människor i samband med hälso- och sjukvård och medicinsk forskning, och innehåller bl.a. principer om information och samtycke, ställföreträdare för icke beslutskompetenta personer, gendiagnostik och genterapi, forsk- ning och försök på människor, tagande och användning av biolo- giskt material från människor.