sou · H5B350 · 2017-06-09 00:00:00 — Europeiska unionens stadga om de grundläggande rättigheterna m.m. Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) antogs . Lissabonfördraget har medfört att stadgan numera är rättligt bindande när EU-institutionerna och medlems- länderna tillämpar . Vad gäller skyddet för den personliga integriteten anger stadgan att var och en har rätt till fysisk och mental integritet (artikel 3), respekt för sitt privatliv och familjeliv, sin bostad och sina kommu- nikationer (artikel 7) samt skydd av de personuppgifter som rör honom eller henne (artikel 8). I artikel 8 anges vidare att person- uppgifter ska behandlas lagenligt för bestämda ändamål och på 8 Se även för en beskrivning av översynsarbetet. Bakgrund, rättsliga utgångspunkter och begrepp grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till in- samlade uppgifter och att få rättelse av dem. Även artikel 16.1 i fördraget om Europeiska unionens funktions- sätt anger att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Det nuvarande dataskyddsdirektivet9 har införts i svensk lagstift- ning i form av personuppgiftslagen (1998:204). Dataskyddsdirekti- vet utgör en precisering och en förstärkning av principerna i data- skyddskonventionen. Dataskyddsförordningen, som ersätter dataskyddsdirektivet och vars tillkomst behandlas ingående i de olika delarna av detta betän- kande, utgår från och respekterar de grundläggande friheter som erkänns i stadgan. Parallellt med de nationella anpassningarna till dataskyddsförord- ningen sker arbete med införlivande av det nya dataskyddsdirekti- vet.10 Enligt artikel 63 i det nya dataskyddsdirektivet ska medlems- staterna anta och offentliggöra de lagar och andra författningar som är nödvändiga för att efterleva detta direktiv. Det är Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06) som har i uppdrag att föreslå en sådan reglering.11 Utredningen har lämnat ett delbetänkande och lämnar slutbetän- kande . Utredningens förslag till brotts- datalag syftar till att genomföra dataskyddsdirektivet i svensk rätt. 9Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 10Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 12SOU 2017:29 Brottsdatalag. Bakgrund, rättsliga utgångspunkter och begrepp Dataskyddsdirektivets mål är att fastställa bestämmelser om skydd för fysiska personer med avseende på behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 1.1). Dataskyddsdirektivets tillämpningsområde är därmed snävare än dataskyddsförordningens, som syftar till att fastställa bestäm- melser om skydd för fysiska personer med avseende på behand- lingen av personuppgifter och om det fria flödet av personuppgifter (artikel 1.1). Gränsdragningen mellan direktivet och förordningen kan dock behöva tydliggöras, särskilt avseende personuppgifts- behandling för vetenskapliga forskningsändamål. Behandling av personuppgifter för vetenskapliga ändamål inom dataskyddsdirektivets tillämpningsområde Principer för behandling av personuppgifter framgår av artikel 4 i dataskyddsdirektivet. Artikel 4.3 anger att behandling som utförs av en personuppgiftsansvarig kan inbegripa arkivändamål av allmänt intresse och vetenskaplig, statistisk eller historisk användning för de ändamål som anges i artikel 1.1 under förutsättning att det finns lämpliga skyddsåtgärder för de registrerades rättigheter och fri- heter. Utredningen om 2016 års dataskyddsdirektiv föreslår en be- stämmelse i 2 kap. 5 § brottsdatalagen som föreskriver att en behörig myndighet får behandla personuppgifter för vetenskapliga, statis- tiska eller historiska ändamål inom denna lags tillämpningsområde. Detta gäller således behandling av personuppgifter för veten- skapliga ändamål inom direktivets och den föreslagna brottsdata- lagens tillämpningsområde, dvs. för ändamålen att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder eller behandling i syfte att upprätthålla allmän ordning och säkerhet (förslag till 1 kap. 2 § brottsdatalagen). Bakgrund, rättsliga utgångspunkter och begrepp Behandling av personuppgifter för vetenskapliga forskningsändamål utanför dataskyddsdirektivets tillämpningsområde Regleringen i dataskyddsdirektivet är utformad som ett undantag från dataskyddsförordningens tillämpningsområde, vilket innebär att om personuppgifter behandlas för något annat ändamål än brotts- bekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet ska direktivet, och den föreslagna brottsdatalagen, inte tillämpas. En myndighet kan således ha såväl verksamhet som faller inom direktivets tillämpningsområde som utanför det. Det är de faktiska aktiviteterna som styr när direktivet blir tillämpligt. Detta innebär att behandling av personuppgifter som omfattas av unionsrätten faller in under tillämpningsområdet för antingen direktivet eller förordningen. Direktivet och förord- ningen kan inte vara tillämpliga på samma behandling för samma syfte. Har behandlingen däremot flera olika syften kan såväl direk- tivet som förordningen vara tillämpliga parallellt.13 I artikel 9.1 i dataskyddsdirektivet anges att personuppgifter som samlats in för något av de i direktivet angivna ändamålen inte får behandlas för något annat ändamål om inte sådan behandling är tillåten enligt unionsrätten eller nationell rätt. När personuppgifter behandlas för andra ändamål än dem som anges i artikel 1.1 ska data- skyddsförordningen tillämpas, om behandlingen omfattas av unions- rätten. Artikel 9.2 anger vidare att om myndigheter som omfattas av direktivet har andra verksamhetsuppgifter än dem som anges i arti- kel 1.1 ska dataskyddsförordningen tillämpas på behandling för sådana andra ändamål. Det gäller även behandling för arkivändamål av allmänt intresse eller för historiska eller vetenskapliga forsk- ningsändamål eller för statistiska ändamål, om behandlingen om- fattas av unionsrätten. Detta gäller således för personuppgiftsbehandling för ändamål utanför direktivets tillämpningsområde. Prövningen av om sådan behandling är tillåten ska därmed enbart göras utifrån bestämmel- serna i dataskyddsförordningen och nationell kompletterade lag- stiftning. 13 SOU 2017:29 s. 171 f. Bakgrund, rättsliga utgångspunkter och begrepp Av artikel 2.1 d i dataskyddsförordningen framgår att förord- ningen inte ska tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dessa bestämmelser i direktivet och förordningen mynnar ut i att Utredningen om 2016 års dataskyddsdirektiv föreslår en upplysande bestämmelse i 2 kap. 21 § brottsdatalagen med följande lydelse: Behandling för ändamål utanför denna lags tillämpningsområde 21 § Av artikel 2.1 d i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med av- seende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), i den ursprungliga lydelsen, framgår att dataskydds- förordningen ska tillämpas när en behörig myndighet behandlar person- uppgifter för ändamål utanför denna lags tillämpningsområde. Detta innebär sammanfattningsvis att personuppgiftsbehandling för vetenskapliga ändamål i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder eller i syfte att upprätthålla allmän ordning och säkerhet faller inom dataskyddsdirektivets, och den föreslagna brottsdatalagens, tillämpningsområde. En ytterligare förutsättning är att behandlingen också utförs av en behörig myndig- het enligt direktivet. All annan personuppgiftsbehandling för vetenskapliga forsk- ningsändamål ska tillämpa dataskyddsförordningen och komplette- rande nationell rätt. Regeringsformen (RF) innehåller vissa grundläggande bestämmelser till skydd för den personliga integriteten. Av målsättningsstadgandet i 1 kap. 2 § RF framgår att den offentliga makten ska utövas med respekt för den enskilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. I för- arbetena till denna bestämmelse anförs bl.a. att kränkningar av den Bakgrund, rättsliga utgångspunkter och begrepp personliga integriteten utgör intrång i den fredade sfär som den en- skilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas. I 2 kap. 6 § RF föreskrivs ett skydd mot bl.a. husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtro- lig försändelse och mot hemlig avlyssning eller upptagning av telefon- samtal eller annat förtroligt meddelande. För att stärka skyddet för den personliga integriteten infördes ett nytt andra stycke i 2 kap. 6 § RF. I bestäm- melsen anges nu även att var och en är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes per- sonliga förhållanden. Offentlighetsprincipen, som framgår av 2 kap. tryckfrihetsförord- ningen (TF), medför en grundläggande rätt för alla att ta del av allmänna handlingar hos en myndighet. Med handling avses enligt 2 kap. 3 § TF framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tek- niskt hjälpmedel. Rätten att ta del av allmänna handlingar får endast begränsas om det är påkallat med hänsyn till något av de intressen som framgår av 2 kap. 2 § TF första stycket, där sjätte punkten (skyddet för enskilds personliga eller ekonomiska förhållanden) är av särskilt intresse vad gäller personuppgiftsbehandling. I offentlighets- och sekretesslagen (2009:400) finns undantag från huvudregeln om handlingsoffentlighet som medför att möjlig- heterna att ta del av allmänna handlingar begränsas. Lagen inne- håller bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar, gemensamt betecknat som sekretess. Bestämmelserna om offentlighet och sekretess är så- ledes av avgörande betydelse för möjligheten att få ta del av myndig- heters handlingar. Bestämmelserna reglerar också skyddet för de uppgifter myndigheter förvarar hos sig. Bakgrund, rättsliga utgångspunkter och begrepp Personuppgiftslagen är, som ovan nämnts, resultatet av det svenska genomförandet av det nuvarande dataskyddsdirektivet. Personupp- giftslagen följer i stort sett dataskyddsdirektivets text och disposi- tion och innehåller bland annat bestämmelser om behandling av personuppgifter, personuppgiftsansvar, information till den regi- strerade, säkerhet och sanktioner.14 Det angivna syftet med person- uppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. I syfte att bland annat uppfylla de krav som ställdes i konvention om mänskliga rättigheter och biomedicin infördes lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Lagen innehåller bestäm- melser om etikprövning av forskning som avser människor och biologiskt material från människor. Den innehåller också bestäm- melser om samtycke till sådan forskning. Utöver generell lagstiftning finns ett antal författningar som regle- rar personuppgiftsbehandling för forskningsändamål i specifika verksamheter. Nedan presenteras ett par författningar av detta slag. Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa (”LifeGene-lagen”) tillkom för att ge ett tyd- ligt rättsligt stöd för statliga universitet och högskolor att med den enskildes uttryckliga samtycke behandla personuppgifter i syfte att 14 (SFS 2006:398) har dock den hanteringsmodell som framgår av dataskydds- direktivet i personuppgiftslagen kompletterats av en missbruksmodell, med omfattande undantag när personuppgifter i s.k. ostrukturerat material behandlas. Bakgrund, rättsliga utgångspunkter och begrepp skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjuk- domar och för människors hälsa i övrigt. Lagens giltighet tidsbegrän- sades i avvaktan på beredningen av den översyn av förutsättning- arna för registerbaserad forskning som gjordes av Registerforsk- ningsutredningen (SOU 2014:45). Efter förlängning gäller lagen till och med . Förslag om ytterligare förlängning bereds inom . Nödvändiga anpass- ningar av denna lag inför att dataskyddsförordningen börjar tilläm- pas behandlas i kapitel 15. Lag (1999:353) om rättspsykiatriskt forskningsregister () är personuppgiftsansvarigt för ett rättspsykiatriskt forskningsregister. Registret får användas för två ändamål, dels behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts en- ligt etikprövningslagen, dels för RMV:s uppföljning, utvärdering och kvalitetssäkring av sin verksamhet inom rättspsykiatrin (ut- vecklingsarbete). Registret regleras i lagen (1999:353) om rätts- psykiatriskt forskningsregister. Nödvändiga anpassningar av denna lag inför att dataskyddsförordningen börjar tillämpas behandlas i kapitel 15. 3.3Bakgrund utifrån ett forskningsperspektiv initierade en konsultation riktad till allmänheten rörande skyddet för personuppgifter inom EU.15 Utgångspunkter för det kommande arbetet presenterades genom ett bidrag av den s.k. artikel 29-gruppen,16 publicerat 16Den så kallade artikel 29-gruppen är en rådgivande och oberoende grupp som bildats på grundval av artikel 29 i det nuvarande dataskyddsdirektivet och som ska se till att det tidigare dataskyddsdirektivet tillämpas enhetligt i medlemsstaterna, bland annat genom att utfärda rekommendationer i alla frågor som rör personuppgiftsskyddet. Bakgrund, rättsliga utgångspunkter och begrepp samma år.17 presenterade ett förslag till ny allmän uppgiftsskyddsförordning för Europa.18 utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor () arbetade och 2013 fram ett ändringsförslag som i sina huvuddrag antogs av parla- mentet efter den s.k. första läsningen i mars 2014.19 antog en i väsentliga delar annan ståndpunkt i sitt ändringsförslag av den 11 juni 2015.20 Som resultat av den därpå följande trilogen21 antogs en gemensam ståndpunkt . Det slut- liga förslaget till allmän dataskyddsförordning antogs av minister- rådet och av parlamentet . Dataskyddsförordningen publicerades och trädde i kraft , men ska enligt artikel 99.2 tillämpas först . Förordningen är direkt tillämplig i alla medlemsstater och ersätter motsvarande nationell reglering. Dataskyddsförordningen ersätter därmed bl.a. det nuvarande data- skyddsdirektivet och dess svenska implementering genom person- uppgiftslagen. Förordningen kommer enligt artikel 2 att utgöra rättslig utgångspunkt för den forskning som använder sig av person- uppgifter och bedrivs av en personuppgiftsansvarig eller person- uppgiftsbiträde som är etablerad i Europeiska unionen, oavsett om behandlingen sker inom unionen eller inte (artikel 3). Forskning som inte omfattar behandling av personuppgifter faller, genom den avgränsning som görs i artikel 2, utanför förordningens materiella tillämpningsområde. 17The Future of Privacy. Joint contribution to the Consultation of Commission on the legal framework for the fundamental right to protection of personal data. 02356/09/EN WP 168. 18COM (2012) 11 final av . Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). 19P7_TA(2014)0212 Protection of individuals with regard to the processing of personal data. European Parliament legislative resolution of 12 2014 on the proposal for a regulation of Parliament and of protection of individuals with regard to the processing of personal data and on the free movement of such data (Protection Regulation). 20Note 9565/15 from the Presidency to the Council, 11 2015. : Proposal for a Regulation of Parliament and of protection of individuals with regard to the processing of personal data and on the free movement of such data (Protection Regulation). 21Trepartsförhandlingar mellan kommissionen, ministerrådet och parlamentet. Bakgrund, rättsliga utgångspunkter och begrepp 3.3.2Frågor för forskningen vid dataskyddsförordningens tillkomst Två grundläggande syften bakom den nya dataskyddsförordningen är:22 Att skydda fysiska personers fundamentala rättigheter och fri- heter med avseende på skyddet för personuppgifter mot bak- grund av den snabba utveckling av teknik och organisation som har gjort att kommersiella företag och myndigheter har allt större möjligheter att samla in, lagra och samutnyttja personlig infor- mation från olika källor. Att underlätta den fria rörligheten vad gäller personuppgifter inom den Europeiska unionen genom likformig lagstiftning i alla medlemsstater. Härigenom avses att även inom de områden där personuppgifter används komma närmare förverkligandet av artikel 179 i EUF-fördraget23 som verkar för att skapa ett gemen- samt europeiskt forskningsområde. Dataskyddsförordningen kommer att få central betydelse för forsk- ning inom EU. I liksom i några andra länder är möjligheten att använda personuppgifter i stora befolkningsbaserade register av särskilt intresse. Förekomsten av register som täcker flera generatio- ner av hela befolkningen, deras omfattning vad gäller olika samhälls- sektorer, samt existensen av ett nationellt personnummer ger sär- skilda möjligheter för forskning och ställer höga krav på ett starkt integritetsskydd för fysiska personer. Det nuvarande svenska regelverket utgör en implementering av dataskyddsdirektivet som kan sägas ha tagit hänsyn till behovet av att balan- sera dessa motstående intressen. Under den process som ledde fram till den slutliga utformningen av dataskyddsförordningen gjordes ansträngningar från den företrädare, med stöd från olika forskningsaktörer, att klargöra dessa för speciella förutsättningar och värdera de förslag till förordningstexter som lades fram utifrån ett forsknings- 22Se skäl 1–7 i dataskyddsförordningen. 23Fördraget om Europeiska Unionens funktionssätt EUT C 326, 26.10.2012 s. 47. Bakgrund, rättsliga utgångspunkter och begrepp De nordiska länderna och andra länder med motsvar- ande behov samverkade i detta arbete. En viktig fråga för forskningen hade att göra med forskningens möjligheter att använda personuppgifter hämtade från andra verk- samheter än de som har forskning som primärt syfte. En annan fråga hade att göra med samtyckets roll som rättslig grund för person- uppgiftsbehandling när mängden personuppgifter är så stor att in- hämtandet av individuella samtycken försvåras. En tredje fråga rörde de rättsliga möjligheterna att kombinera uppgifter från olika datakällor och över långa tidsperioder med användning av person- nummer eller motsvarande personbundna identifikatorer. Med detta som allmän utgångspunkt framstod tre frågor som särskilt betydelsefulla för forskningen: Det s.k. forskningsundantagets24 plats i förordningstexten (i den slutliga förordningen i artikel 5 b). Förslag till särskilda regler om obligatoriskt samtycke vid forsk- ning med användning av personuppgifter om hälsa (tidigare för- slag till skrivning av artikel 81). Förslag om pseudonymisering som skyddsåtgärd (i den slutliga förordningen i artikel 89.1). Med avseende på de två första frågorna fanns skillnader mellan position25 efter första läsningen26 och minister- rådets uppfattning.27 Den sista punkten, som rör pseudonymiser- ingens ställning, diskuterades mellan representanter för medlems- länderna under hela processen fram till den överenskommelse som träffades som resultat av trilogen . 24Artikel 5 b i dataskyddsförordningen, andra meningen: ”Ytterligare behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ända- målen.” 25P7_TA(2014)0212. 26Beslutet togs efter den inledande parlamentsbehandlingen. Beslut efter den andra läsningen i parlamentet var det konsoliderade förslaget (nuvarande förordnings- text) efter trilogen som antogs . 27Note 9565/15 from the Presidency to the Council, 11 2015. Bakgrund, rättsliga utgångspunkter och begrepp I 9 § andra stycket personuppgiftslagen anges (med hänvisning till be- stämmelsen om den i första stycket föreskrivna finalitetsprincipen): I fråga om första stycket d gäller dock att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samla- des in. Denna särställning för bland annat forskning benämns ibland ”forskningsundantaget”. I dataskyddsförordningen finns de allmänna principerna för personuppgiftsbehandling i artikel 5. Ytterligare behandling för forskning regleras genom att sådan behandling enligt 5 b inte ska betraktas som oförenlig med det ursprungliga ändamålet för in- samlingen av personuppgifter. Formuleringen av denna bestäm- melse är således parallell till det nuvarande dataskyddsdirektivet och dess implementering i personuppgiftslagen. Forskningsundantaget fanns varken med i kommissionens ur- sprungliga förslag till ny uppgiftsskyddsförordning eller i parlamentets förslag till modifikationer från mars 2014.29 I stället för ett generellt undantag fanns i kommissionens förslag skäl 4030 där formuleringen föreföll tillåta forskning för ändamål som inte står i motsättning till det ursprungliga ändamålet. Detta torde ha utgjort en inskränkning av den nuvarande regeln där inte något nytt ändamål för ytterligare behandling behöver anges utan ett generellt undantag görs för behandling för forsknings- ändamål utförd av samma personuppgiftsansvarig. Dessutom åter- fanns formuleringen om forskning i ett skäl och inte i den artikel som beskriver ändamålsbegränsning och finalitetsprincip. Parlamentet tog ett ytterligare steg i denna riktning genom att helt stryka skäl 40 från förslaget31 utan att införa undantaget i artikel- texten. Den förändring i förhållande till gällande rätt det skulle medföra att forskningsundantaget saknas i förordningen skulle enligt den dåvarande svenska bedömningen kraftigt kunna begränsa forskningen. Möjligheten att i forskning återanvända personuppgif- 28COM (2012) 11 final av . 29P7_TA(2014)0212. 30COM (2012) 11 final av , skäl 40. 31P7_TA(2014)0212. Bakgrund, rättsliga utgångspunkter och begrepp ter från administrativa register eller verksamhetsregister, samt att återanvända data insamlade för vissa forskningsändamål för annan forskning är av central betydelse. Det skulle därmed också påverka möjligheten att dela information mellan forskargrupper, och att använda sig av historiska uppgifter, exempelvis för retrospektiva kohortstudier.32