sou · H5B350 · 2017-06-09 00:00:00 — Korrektheten måste kunna verifieras.6 Det bör vara den personuppgiftsansvarige, som är den som bestämmer ändamålen och medlen för behandlingen av person- uppgifter, som har att ställa upp krav kring de riktlinjer som ska användas för att avgöra vilka objektiva kriterier som ska tillämpas för att fastställa en uppgifts korrekthet. Med denna tolkning av rätten till rättelse föreligger inget ytterligare behov av att begränsa densamma. Den andra aspekten är att för forskningsprojekt som är avslu- tade och där resultaten är publicerade, finns det ändå ett behov av att bevara det forskningsmaterial, inklusive personuppgifter, som resultaten baserat sig på. Det tillhör god forskningssed att doku- mentera sin forskning så att den kan granskas i efterhand.7 Riks- arkivet har meddelat föreskrifter och allmänna råd om gallring av allmänna handlingar i statliga myndigheters forskningsverksamhet, som anger att en förutsättning för att gallra handlingar i forsk- ningsverksamhet är att handlingar inte gallras innan rimlig tid har 6I samband med detta bör uppmärksammas rättigheten till begränsning av behandling som ger den personuppgiftsansvarige möjligheten att kontrollera om personuppgif- terna är korrekta (artikel 18.1 a, se nedan). 7Se SOU 2017:10 s. 188. Vissa begränsningar av registrerades rättigheter förflutit för att det ska ha funnits möjlighet att granska handlingar för att verifiera forskningsresultat.8 Att tillåta rättning i sådant arki- verat forskningsmaterial skulle avsevärt försvåra verifiering, och därmed strida mot syftet att bevara forskningsmaterialet. föreslår en bestämmelse som anger att en arkivmyndighet inte behöver rätta eller komplettera personupp- gifter enligt artikel 16 när det gäller personuppgifter i arkivmaterial som tagits emot för förvaring av myndigheten. Tillämpningsområ- det för den av föreslagna bestämmelsen är begränsat till arkivmyndigheter. Forskningsaktörer kommer i många fall att ha behov av att inom sin egen organisation bevara forskningsmaterial som innehåller per- sonuppgifter. Eftersom sådant bevarande inte täcks av Dataskydds- utredningens förslag finns det därför ett behov av en begränsning av rätten till rättelse vad gäller sådana personuppgifter som bevaras än vad som är nödvändigt för de primära forskningsändamål för vilka personuppgifterna behandlats, när detta bevarande sker i syfte att dokumentera den utförda forskningen, för att exempelvis verifiering av forskningsresultat ska vara möjlig. Denna begränsning ska enbart vara tillämplig när forskningen i någon mening är utförd så att den nått den nivå av färdigställande att det skulle strida mot god forskningssed att ändra forsknings- materialet. Det kan exempelvis vara fråga om resultat som lämnats för publicering i en vetenskaplig tidskrift. Bevarandet får då anses ske för forskningsändamål, oavsett om personuppgifterna anses vara arkiverade eller ej. I forskningssammanhang, där material som har legat till grund för forskningsresultat som har publicerats eller som av annat skäl måste kunna verifieras, även lagras och behandlas i syfte att uppnå nya, framtida forskningsresultat (exempelvis i en databas som upp- dateras löpande) är begränsningen av rätt till rättelse inte lika själv- klar. För att uppnå målet att verifiering ska vara möjlig och sam- tidigt säkerställa att ny forskning utgår från korrekt information bör den personuppgiftsansvarige se till att data lagras så att det exempelvis är möjligt att ta fram materialet så som det såg ut , även om uppgifter har ändrats eller tillkommit vid senare tillfällen. Detta kan ske genom att en ändringshistorik för 8 8 § RA-FS 1999:1. Vissa begränsningar av registrerades rättigheter varje enskild uppgift lagras. En sådan lösning bör enligt vår bedöm- ning vara förenlig med den grundläggande rätten till rättelse i aktu- ellt forskningsmaterial som den möjliggör replikering ut- ifrån arkiverat forskningsmaterial. 10.3.3Artikel 18 – Rätt till begränsning av behandling Den registrerade har enligt artikel 18.1 en rätt att av den person- uppgiftsansvarige kräva att behandlingen begränsas om någon av följande förutsättningar är uppfyllda. a)Om den registrerade bestrider personuppgifternas korrekthet. b)Om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning. c)Om den personuppgiftsansvarige inte längre behöver person- uppgifterna för ändamålen med behandlingen men den registre- rade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. d)Om den registrerade har invänt mot behandling i enlighet med artikel 21.1. Rättigheten medför alltså inte en generell möjlighet för den regi- strerade att begränsa behandling av personuppgifter i exempelvis hälsodataregister eller myndighetsregister, utan det krävs att någon av de fyra förutsättningarna är uppfyllda. Med begränsning av be- handling avses enligt artikel 4.3 att markera lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Av artikel 18.2 framgår vidare att begränsningen innebär att person- uppgifter, med undantag för lagring, endast får behandlas med den registrerades samtycke eller för rättsliga anspråk, annans rättigheter eller för viktiga allmänintressen. Vissa begränsningar av registrerades rättigheter I förhållande till det nuvarande dataskyddsdirektivet innebär artikel 18.1 bl.a. en ny skyldighet att på begäran bevara personuppgifter och en skyldighet att begränsa behandlingen medan det utreds om det är korrekt att behandla uppgifterna. Rätten till begränsning av behandling har ersatt den åtgärd som enligt artikel 12 b i dataskyddsdirektivet benämns som blockering och som genomförts genom 28 § personuppgiftslagen (samt defi- nierats i 3 § samma lag). Det nuvarande dataskyddsdirektivets reglering av dessa rättig- heter är inte lika omfattande. I artikel 12 b i dataskyddsdirektivet anges endast att medlemsstaterna ska säkerställa att varje registre- rad har rätt att i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i direktivet rättade, ut- plånade eller blockerade, särskilt om dessa är ofullständiga eller fel- aktiga. Enligt artikel 12 c ska varje registrerad vidare ha rätt att få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b, om inte detta visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. Utredningens förslag: När personuppgifter behandlas för forsk- ningsändamål ska den registrerade inte ha rätt till begränsning av behandling när denne bestrider uppgifternas korrekthet som krävs för att kontrollera om personupp- gifterna är korrekta. Detsamma ska gälla när den registrerade invänder mot be- handlingen, i väntan på kontroll av huruvida den personupp- giftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl. Dessa begränsningar ska enbart gälla under förutsättning att utövande av denna rätt medför att forskningen inte kan utföras, eller på ett avgörande sätt försenas eller försvåras. Vissa begränsningar av registrerades rättigheter Rätten till begränsning av behandling syftar till att skydda den regi- strerades rättigheter eller övriga intressen vid felaktig eller miss- tänkt felaktig behandling. Genom att få personuppgiftsbehand- lingen begränsad kan även den registrerade begränsa skadan av sådan behandling. Led a och d i artikel 18.1 har det gemensamt att den registrerade vill utöva en annan rättighet (rätt till rättelse respektive rätt att göra invändningar), vilken kräver av den personuppgifts- ansvarige att denne ska kontrollera om en sådan rätt föreligger i det konkreta fallet. Led b och c i samma författning ger i stället den registrerade vissa möjligheter att hindra den personuppgiftsansva- rige att radera uppgifterna. Att hindra den personuppgiftsansvarige från att radera uppgif- terna, när denne annars skulle ha gjort det, torde inte göra det omöjligt eller mycket svårare att uppnå ändamålet med behand- lingen. Utredningen bedömer därför inledningsvis att det saknas rättsliga förutsättningar till att införa ett undantag från artikel 18.1 b och c. Rättigheten att begränsa behandling av personuppgifter den personuppgiftsansvarige kontrollerar om det i det kon- kreta fallet föreligger en rätt till rättelse eller till invändning (artikel 18.1 a) medför i praktiken att uppgifterna är undantagna från vidare behandling . Samma sak gäller under väntan på kontroll av huruvida den personuppgiftsansvariges be- rättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1 d). Effekten av att enskilda personers uppgifter är undantagna från behandling i forskningen kan medföra skevhet (bias) i materialet som forskningen utförs med användning av , eller, om forskningen inriktas på att under- söka material som kan hänföras till en eller ett fåtal enskilda perso- ner, att forskningen omöjliggörs.9 Denna risk minskar ju fler indivi- der som forskningsmaterialet omfattar, men kan variera med hur forskningsprojektet utformats. Risken ökar i motsvarande mån ju fler individer som åberopar rättigheten Beroende på vilket stadium som forskningen befinner sig i kan detta i undantagsfall göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet, 9 Exempelvis om den tilltalade i ett mål i vill begränsa behandlingen och därmed blockerar möjligheten att göra en rättsvetenskaplig analys av rättsfrågan i målet. Vissa begränsningar av registrerades rättigheter särskilt om det tar att utreda personuppgifternas korrekt- het. Utredningen gör därför bedömningen att det bör införas ett be- gränsat undantag från denna rättighet, vilket medför att person- uppgifter inte behöver blockeras med stöd av artikel 18.1 a eller d. Begränsningen ska dock endast vara tillämplig om en sådan blocker- ing skulle medföra att ett pågående forskningsprojekt inte kan ut- föras eller på ett avgörande sätt försenas eller försvåras. Det är den personuppgiftsansvarige som har att visa att sådana förutsättningar föreligger. 10.3.4Artikel 21 – Rätt att göra invändningar Den registrerade har enligt artikel 21.1 rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (allmänt intresse respek- tive myndighetsutövning) eller f (intresseavvägning). Den person- uppgiftsansvarige får då inte längre behandla personuppgifterna om denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter eller friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Enligt artikel 21.6 ska dock den registrerade endast ha rätt att göra sådana invändningar om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse när personuppgifter be- handlas för bl.a. forskningsändamål. Artikelns lagtekniska konstruktion innebär att huvudregeln i artikel 21.1 begränsar regelns tillämpningsområde till bara sådan behandling som sker med stöd av artikel 6.1 e eller f. Specialregeln för bl.a. forskningsändamål i artikel 21.6 är i stället utformad så att dess tillämpningsområde är behandling som sker med annat stöd än den del av artikel 6.1 e som rör allmänt intresse. Det framgår inte tydligt om tillämpningsområdet för artikel 21.6 är tänkt att utgå från tillämpningsområdet för artikel 21.1 eller om den ska läsas fri- stående. Detta tolkningsproblem leder till två tänkbara omfång för tillämp- ningsområdet av artikel 21.6. Läser man den tillsammans med arti- Vissa begränsningar av registrerades rättigheter kel 21.1 innebär det att den registrerade skulle kunna ha rätt att göra invändningar enbart när behandlingen sker med stöd av intresse- avvägning (artikel 6.1 f) eller myndighetsutövning (den del av arti- kel 6.1 e som inte omfattar uppgift av allmänt intresse). Läser man den i stället fristående skulle den registrerade kunna ha rätt att göra invändningar när behandlingen sker med stöd av samtliga rättsliga grunder som anges i artikel 6.1, inklusive bl.a. samtycke, förutom allmänt intresse. Vi bedömer att artiklarna bör läsas tillsammans, och att tillämp- ningsområdet för rättigheten vid personuppgiftsbehandling för forskningsändamål därmed är begränsat till de fall där behandlingen sker med stöd av intresseavvägning eller myndighetsutövning. Vid- are ska en intresseavvägning mellan den personuppgiftsansvariges berättigade skäl och den registrerades berättigade skäl göras i enlig- het med artikel 21.1, även när artikel 21.6 tillämpas. Vid denna be- dömning har vi beaktat att förordningens artiklar, särskilt vad gäller rättigheterna i artikel 12–22, ofta är uppbyggda så att en huvudregel anges i artikelns första punkt, som sedan preciseras eller görs undan- tag från i följande artiklar. Forskning specialregleras även på flera ställen i förordningen på så sätt att flera bestämmelser som utgör skydd för den registrerade inte ska tillämpas eller endast tillämpas i begränsad utsträckning när det är fråga om behandling för forsk- ningsändamål (se allmänt den strukturerade genomgången av för- ordningen i bilaga 3). Det framstår då inte som motiverat att just detta skydd för den registrerade skulle vara mer vidsträckt när det är fråga om forskningsändamål än för andra ändamål. I det nuvarande dataskyddsdirektivet regleras rätten att göra in- vändningar i artikel 14 a. Av bestämmelsen framgår att medlems- staterna ska tillförsäkra den registrerade en rätt att när som helst av avgörande och berättigade skäl som rör den registrerades personliga situation, motsätta sig behandling av personuppgifter som rör honom eller henne, åtminstone i de fall behandlingen sker med stöd av grun- derna allmänt intresse, myndighetsutövning eller intresseavvägning. Regleringen i dataskyddsförordningen skiljer sig alltså från den i dataskyddsdirektivet på så sätt att det är den registre- Vissa begränsningar av registrerades rättigheter rade som ska ha berättigade skäl, utan i stället den personuppgifts- ansvarige som ska kunna redogöra för varför behandlingen ska få äga rum. Till skillnad från dataskyddsförordningen ställer dataskydds- direktivet inte upp några särskilda villkor på sådan nationell lag- stiftning som innehåller undantag från rätten att motsätta sig be- handlingen. Utredningens bedömning: Det behövs inga ytterligare undan- tag från rätten att göra invändningar när uppgifter behandlas för forskningsändamål. I avsnitt 12.4.2 föreslår vi som skyddsåtgärd att den registrerade ska ha rätt att motsätta sig personuppgiftsbehandling. En sådan rätt har stora likheter med rätten att göra invändningar enligt artikel 21. För att bedöma om det finns ett behov av att göra undantag från rätten att göra invändningar måste vi därför först se om denna rätt i något avseende går längre än vår föreslagna rätt att motsätta sig personuppgiftsbehandling. Om vår föreslagna skyddsåtgärd i alla avseenden skyddar den registrerade på samma sätt som rätten att göra invändningar så kan det inte finnas något behov av att göra undantag från den . Som utgångspunkt ger vår föreslagna skyddsåtgärd en rätt att motsätta sig behandling ovillkorligt, till skillnad från rätten att göra invändningar enligt artikel 21.1. Vårt förslag är dock förenat med vissa undantag, exempelvis om det visar sig vara omöjligt eller med- föra en oproportionerlig ansträngning att tillhandahålla den enskilde möjligheten att motsätta sig behandlingen, eller om ändamålet annars inte kan uppfyllas. Rätten att göra invändningar när personuppgifter behandlas för forskningsändamål är avhängig med vilken rättslig grund som själva personuppgiftsbehandlingen utförs. I praktiken kommer person- uppgiftsbehandling för forskningsändamål ske med stöd av artikel 6.1 a (samtycke), e (allmänt intresse) eller f (intresseavvägning). Vi behandlar därför enbart dessa tre rättsliga grunder i det nedanstå- ende. Vissa begränsningar av registrerades rättigheter Rätten att göra invändningar gäller enligt artikel 21.6 inte om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Vi har i avsnitt 5.5.2 föreslagit att det i forskningsdata- lagen ska framgå att personuppgifter får behandlas för forsknings- ändamål med stöd av artikel 6.1 e om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse. I de fall forskningen utförs med denna rättsliga grund finns alltså inte någon rätt att invända mot behandlingen, och därmed inte heller något behov av att begränsa den. I de fall där grunden för personuppgiftsbehandlingen i stället är den registrerades samtycke finns inte heller någon rätt för den regi- strerade att invända mot behandlingen, utöver den rätt att dra till- baka samtycket som följer av artikel 7.3. Enligt vår tolkning av artikel 21 finns det dock en rätt för den registrerade att invända mot behandlingen när denna sker med stöd av intresseavvägning enligt artikel 6.1 f. Denna rättsliga grund är enligt andra stycket samma punkt inte tillämplig för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Eftersom behandling då inte får utföras saknar den registrerades rätt att invända mot behandlingen i dessa fall betydelse. För sådan forskning som utförs av andra forskningsaktörer än offentliga myndigheter med stöd av intresseavvägning har dock den enskilde en rätt att invända. Intresseavvägningen ska göras mellan å ena sidan den personuppgiftsansvariges eller en tredje parts berätti- gade intressen och å andra sidan den registrerades intressen eller grundläggande rättigheter och friheter. Om den registrerade invän- der mot behandlingen får detta anses tala för att behandlingen stri- der mot den registrerades intressen. Det kan därför inte anses nöd- vändigt att göra någon begränsning i den registrerades rätt att in- vända i dessa fall. Sammantaget bedömer vi att det inte finns något sammanhang där det är motiverat att begränsa den registrerades rätt att göra in- vändningar. Vissa begränsningar av registrerades rättigheter I detta kapitel har vi gjort en bred beskrivning av de rättigheter som tillkommer de registrerade enligt dataskyddsförordningen, de möjligheter som förordningen ger att inskränka dessa möjligheter, och vilka inskränkningar som föreslår. Vi har sedan analyserat de fyra olika rättigheter som enligt arti- kel 89.2 kan begränsas för personuppgiftsbehandling för forsk- ningsändamål. För två av dessa – rätten till rättelse och rätten till begränsning av behandling – föreslår vi vissa begränsningar i forskningsdata- lagen. Rätten till rättelse ska inte gälla för sådana personuppgifter som behandlats för forskningsändamål om de enbart bevaras i syfte att dokumentera utförd forskning. Rätten till rättelse ska i övrigt gälla utan undantag. Rätten till begränsning av behandling när den registrerade be- strider uppgifternas korrekthet ska inte gälla under den utrednings- tid som krävs för att kontrollera om personuppgifterna är korrekta eller, när denne invänder mot behandlingen, i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl, om detta medför att forsk- ningen inte kan utföras, eller på ett avgörande sätt försenas eller försvåras. Det saknas behov av undantag från rätten till tillgång när person- uppgifter behandlas för forskningsändamål, utöver vad Dataskydds- utredningen föreslagit, samt från rätten att göra invändningar. 11 Tillsyn och sanktioner Utredningen har vad gäller tillsyn och sanktioner inget specifikt upp- drag att analysera vilket behov av kompletterande nationell reglering som behövs utöver vad som framgår direkt av dataskyddsförord- ningen (EU 2016/679) och (Ju 2016:04) förslag till kompletterande reglering. Eftersom vi har att föreslå en reglering som ska möjliggöra en ändamålsenlig personuppgiftsbehand- ling med avseende på forskning, som den skyddar den enskildes fri- och rättigheter, är det dock utredningens övergrip- ande uppdrag att göra en så heltäckande analys av regelverket som möjligt. Utredningen har därmed att analysera vilken reglering som är möjlig och kan behövas utöver den generella reglering som Data- skyddsutredningen föreslår. I det följande kommer därför frågorna om tillsyn och sanktioner i relation till personuppgiftsbehandling för forskningsändamål att behandlas översiktligt. Av artikel 28 i det nuvarande dataskyddsdirektivet (95/46/EG) följer att medlemsstaterna ska utse en eller flera myndigheter som har till uppgift att inom medlemsstatens territorium övervaka tillämpningen av de bestämmelser som följer av direktivet. har genom 2 § personuppgiftsförordningen (1998:1191) fastställt att det är Data- inspektionen som är tillsynsmyndighet enligt personuppgiftslagen (1998:204). Artikel 28 i det nuvarande dataskyddsdirektivet mot- svaras av artikel 51.1 i dataskyddsförordningen, som utöver språk- liga förändringar har motsvarande innebörd. Tillsyn och sanktioner SOU 2017:50 Utredningen om tillsynen över den personliga integriteten (Ju 2015:02) har föreslagit att Datainspektionen ska utses till svensk tillsynsmyndighet enligt dataskyddsförordningen.1 I betänkandet redovisar utredningen även följande bedömning avseende tillsyns- myndighetens befogenheter enligt dataskyddsförordningen: Förordningens uppräkning av vilka befogenheter en tillsynsmyndighet ska ha är omfattande och såvitt vi kan bedöma tillräckliga för att myndig- heten ska kunna fullgöra sina uppgifter. På grundval av det vi kän- ner till och kan överblicka saknas det därmed behov av att på nationell nivå föreskriva att Datainspektionen ska ha ytterligare befogenheter utöver dem som följer av förordningen.2 föreslår i linje med detta att Datainspektio- nen ska utses till tillsynsmyndighet enligt dataskyddsförordningen och den nationella dataskyddslagen, som kompletterar dataskydds- förordningen på generell nivå, genom en bestämmelse i 3 § i den nationella förordning som kompletterar dataskyddsförordningen (motsvarande nuvarande personuppgiftsförordningen). Dataskydds- utredningens bedömning är att en reglering i vilken Datainspek- tionen utses till tillsynsmyndighet enligt dataskyddsförordningen och dataskyddslagen bör medföra att Datainspektionen ska utöva tillsyn även i fråga om efterlevnaden av de andra nationella författ- ningar som kompletterar dataskyddsförordningen.3 befogenheter återges i artikel 58 i data- skyddsförordningen. Bestämmelsen i artikel 58 avser enligt dess lydelse endast tillsynen över tillämpningen av förordningens bestäm- melser. Det är bedömning att för att för- ordningens intentioner ska få fullt genomslag krävs att tillsyns- myndigheten kan vidta samma åtgärder vid sin tillsyn över tillämp- ningen av de nationella bestämmelser som kompletterar förord- ningen. föreslår därför en bestämmelse i dataskyddslagen som anger att de befogenheter som tillsyns- myndigheten har enligt artikel 58.1–3 i dataskyddsförordningen gäller även vid tillsyn över efterlevnaden av bestämmelserna i denna lag och andra författningar som kompletterar dataskyddsförordningen.4 1SOU 2016:65 s. 142 f. 3SOU 2017:39 avsnitt 6.4.3. Eftersom vår föreslagna forskningsdatalag kompletterar data- skyddsförordningen är det utredningens bedömning att den av föreslagna bestämmelsen därmed täcker även forskningsdatalagen vad avser tillsynsmyndighetens befogen- heter. Någon särskild bestämmelse om tillsyn behöver därför inte införas i forskningsdatalagen. I sammanhanget finns dock anledning att även belysa vilket till- synsansvar som föreligger för etikprövningslagen, vilken anknyter till vår föreslagna forskningsdatalag. Av 34 § etikprövningslagen framgår att har tillsyn över efterlevnaden av etikprövningslagen och föreskrifter som har meddelats med stöd av lagen, utom i de fall tillsynen faller inom någon annan myndig- hets ansvarsområde.