sou · H5B350 · 2017-06-09 00:00:00 — sammanhang kan det emellertid vara svårt att på förhand avgränsa den mängd uppgifter som är adekvata och relevanta. I samman- hanget bör påpekas att det för bl.a. forskningsändamål går att göra undantag från den närliggande principen om lagringsminimering enligt artikel 5.1 e, under förutsättning att lämpliga tekniska och organisatoriska åtgärder genomförs. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet Detta krav framhåller pseudonymisering som skyddsåtgärd på ett sådant sätt att det finns anledning att i nationell reglering särskilt föreskriva att pseudonymisering ska övervägas. Meningens andra led tydliggör dock att pseudonymisering inte behöver användas om forskningsändamålet inte kan uppfyllas med en sådan skydds- åtgärd. I avsnitt 12.3.3 beskrivs pseudonymisering närmare, bl.a. i vilka fall användandet av denna skyddsåtgärd kan försvåra eller omöjliggöra forskning. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet Det avslutande kravet i artikel 89.1 får anses vara en påminnelse om nödvändighetskravet i artikel 6.1 e och 9.2 j, eftersom behandlingen av personuppgifter inte kan anses nödvändig om ändamålet kan uppnås med uppgifter som inte längre medger identifiering. När forskningsändamålet kan uppnås genom behandling av uppgifter som inte längre medger identifiering är det, enligt skäl 26, fråga om anonym information, och alltså inte längre fråga om person- uppgiftsbehandling. I sammanhanget kan uppmärksammas att arti- kel 89.1 är det enda stället i förordningen där ”further processing” översätts med ”vidare behandling” i den svenska versionen. I övriga delar av förordningen översätts samma uttryck med ”ytterligare behandling” (jfr exempelvis artikel 5.1 b). 7.4.1Tillåten behandling av känsliga personuppgifter Utredningens förslag: En bestämmelse ska införas i forsknings- datalagen som anger att känsliga personuppgifter får med stöd av artikel 9.2 j i dataskyddsförordningen behandlas om behand- lingen är nödvändig för forskningsändamål och om behandlingen har godkänts enligt lagen om etikprövning av forskning som av- ser människor. Som framgått behövs det kompletterande reglering i nationell rätt för att behandling av känsliga personuppgifter för forskningsända- mål ska vara möjlig. Utredningen föreslår därför en bestämmelse i forskningsdata- lagen som tillåter sådan behandling när denna är nödvändig för att uppnå ändamålet. Med nödvändig behandling avses detsamma som i dataskyddsförordningens artikel 9.2 j. Dataskyddsförordningen anger vidare att sådan nationell regler- ing ska innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Utredningens bedömning av lämplig och särskild skydds- åtgärd för behandling av känsliga personuppgifter för forsknings- ändamål behandlas i avsnitt 14.3 i kapitlet om etikprövning av personuppgiftsbehandling för forskningsändamål. I detta avsnitt har vi behandlat känsliga personuppgifter, dess bety- delse i forskningssammanhang och dataskyddsförordningens krav på lagstiftning som tillåter behandling av sådana personuppgifter. Vi har därefter lämnat ett förslag på en generell tillåtlighetsregel när känsliga personuppgifter behandlas för forskningsändamål. Vad gäller den huvudsakliga skyddsåtgärd som i dessa fall ska tillämpas beskrivs den närmare i kapitel 14. I artikel 10 i dataskyddsförordningen (EU 2016/679) regleras ”per- sonuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder”. Motsvarande term i det nuvarande dataskyddsdirektivet (95/46/EG) finns i arti- kel 8.5 och lyder ”uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder”. Det framgår inte om någon saklig skillnad är avsedd i förordningen jämfört med direktivet. Skillnaden i de engelska språkversionerna är ännu mindre, ”personal data relating to criminal convictions and offences or related security measures” respektive ”data relating to offences, criminal convictions or security measures”. har lämnat in en begäran om rättelse av den svenska språkversionen av dataskyddsförordningen till rådet, där “överträdelser” föreslås ersättas av “lagöverträdelser som innefattar brott”. Någon rättelse har inte skett. Dataskyddsdirektivets bestämmelser har genomförts genom 21 § personuppgiftslagen (1998:204), som under rubriken ”Uppgif- ter om lagöverträdelser m.m.” anger ”personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden”. Vi har i det nedanstående valt att använda oss av en förtydli- gande variant av den beteckning som används i personuppgifts- lagen, nämligen ”personuppgifter om lagöverträdelser m.m.” Vad gäller den nuvarande svenska regleringen infördes ”admi- nistrativa frihetsberövanden” i begreppet med stöd av direktivets möjlighet i artikel 8.5 för medlemsstater att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också Personuppgifter om lagöverträdelser m.m. ska behandlas under kontroll av en myndighet. Vi återkommer nedan till vilket utrymme förordningen ger för en liknande reglering. Behandling av personuppgifter om lagöverträdelser m.m. regleras i 21 § personuppgiftslagen, som har följande lydelse: Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Personuppgifter som avses i första stycket får dock behandlas för forskningsändamål av andra än myndigheter, om behandlingen har god- känts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om undantag från förbudet i första stycket. Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. När dataskyddsdirektivet införlivades i svensk rätt genom person- uppgiftslagen fanns det ursprungligen en möjlighet när det gällde behandling av känsliga personuppgifter för forskningsändamål för forskare att själva tillämpa en avvägning mellan värdet av forskningen och intrånget i den enskildes integritet (avvägningsnormen). Känsliga personuppgifter fick behandlas för forsknings- och statistikändamål, om behandlingen var nödvändig på sätt som sägs i 10 § personupp- giftslagen och om samhällsintresset av det forsknings- eller statistik- projekt där behandlingen ingår klart vägde över den risk för otillbör- ligt intrång i enskildas personliga integritet som behandlingen kunde innebära. Hade behandlingen godkänts av en forskningsetikkommitté skulle de angivna förutsättningarna anses vara uppfyllda. Motsvar- ande möjlighet fanns inte för uppgifter om lagöverträdelser m.m., utan i stället infördes ett bemyndigande för regering och tillsyns- myndighet att meddela undantag från förbudet för andra än myndig- heter att behandla sådana uppgifter, antingen i föreskriftsform eller Personuppgifter om lagöverträdelser m.m. genom beslut om enskilda behandlingar.1 Lagens förarbeten tog inte upp frågan om behandling av sådana uppgifter för forskningsändamål. Någon förändring ägde inte rum i samband med att etikpröv- ning infördes vad gäller personuppgiftslagens reglering för person- uppgifter om lagöverträdelser m.m. För känsliga personuppgifter ändrades regleringen så att ett godkännande enligt etikprövnings- lagen i sig utgjorde tillräcklig grund för att behandla sådana uppgifter. Däremot innehöll den nya etikprövningslagen en bestämmelse i 3 § som angav att lagen var tillämplig på uppgifter om lagöverträdelser m.m. För att behandla sådana uppgifter för forskningsändamål utan den registrerades samtycke krävdes därmed dels ett tillämpligt undantag meddelat av regeringen eller tillsynsmyndigheten, dels ett godkännande enligt etikprövningslagen.2 När etikprövningslagen ändrades infördes en bestämmelse i 21 § personuppgiftslagen som tog bort dessa dubbla krav och inne- bar att personuppgifter om lagöverträdelser m.m. fick behandlas för forskningsändamål av andra än myndigheter om behandlingen hade godkänts enligt etikprövningslagen.3 Detta motiverades av att forskningshuvudmän som inte är myndigheter inte skulle behöva såväl beslut av regering eller tillsynsmyndighet om undantag som godkännande från etikprövningsnämnd. I sammanhanget uttalades även att etikprövning fick anses uppfylla direktivets krav på till- räckliga skyddsåtgärder, och att det därför inte också behövdes ett särskilt undantagsbeslut från regering eller tillsynsmyndighet.4 har inte särskilt behandlat dataskyddsdirektivets artikel 8.5. Svenska domstolar har i några fall berört frågor om be- handling av uppgifter om lagöverträdelser m.m. I HFD 2014:32 rörde frågan domstols publicering av uppropslistor i bl.a. brottmål på internet. I NJA 2015 s. 180 var fråga om privat behandling av uppgifter om brott. Slutligen berördes i HFD 2016:8 tillsynsmyndig- 1997/98:44 s. 73 f. 2002/03:50 s. 102 och 112. 3Lag (2008:187) om ändring i personuppgiftslagen (1998:204). 4SOU 2005:78 s. 70 f. (det är dock värt att notera att direktivet ställer kravet att skyddsåtgärder ska vara ”lämpliga och särskilda”, inte ”tillräckliga”). Personuppgifter om lagöverträdelser m.m. hetens möjlighet att meddela undantag från förbud att behandla uppgifter om lagöverträdelser. Inget av dessa mål tar dock särskilt sikte på behandling av uppgifter om lagbrott för just forsknings- ändamål. Sammanfattningsvis har svenska domstolar tolkat det tillåtna utrymmet för behandling av uppgifter om lagöverträdelser m.m. relativt snävt. Personuppgifter om lagöverträdelser m.m. regleras i dataskydds- förordningens artikel 10, som har följande lydelse: Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av myndighet eller då be- handling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och fri- heter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Skäl 97 i dataskyddsförordningen anger bl.a. att när den person- uppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling i stor omfattning av särskilda kategorier av personuppgifter och uppgifter som rör fällande domar i brottmål och överträdelser, bör en person med sakkunskap i fråga om data- skyddslagstiftning och -förfaranden bistå den personuppgiftsansva- rige eller personuppgiftsbiträdet för att övervaka den interna efter- levnaden av denna förordning. Till skillnad från regleringen av känsliga personuppgifter i artikel 9 i dataskyddsförordningen finns ingen uttömmande uppräkning av tillåtna ändamål i artikel 10. Bestämmelser om behandling för forsk- ningsändamål är möjliga i nationell lagstiftning, precis som alla andra ändamål, under förutsättning att lämpliga skyddsåtgärder är fast- ställda. Behandlingen måste dock alltjämt, som vid all behandling av personuppgifter för forskningsändamål, uppfylla samtliga allmänna principer som följer av artikel 5, och det måste finnas en rättslig grund för behandlingen enligt artikel 6. En viktig begränsning av dataskyddsförordningens definition, jämfört med det nuvarande dataskyddsdirektivet, är att endast fäll- ande domar i brottmål omfattas. Friande domar i brottmål faller Personuppgifter om lagöverträdelser m.m. därmed utanför definitionen. I praktiken synes det dock vanskligt att dra en sådan gräns. Uppgifter som förekommer i en friande brottmålsdom kan ofta fortfarande utgöra uppgifter om överträdel- ser, exempelvis i de fallen där den friande domen bygger på att pre- skription inträtt. Dataskyddsdirektivet inkluderar ”lagöverträdelser” i definitionen, medan dataskyddsförordningen endast hänvisar till ”överträdelser”. Någon förändring i sak torde dock inte vara avsedd.5 I svensk rätt har faktiska iakttagelser av en persons handlande inte ansetts utgöra uppgifter om lagöverträdelser,6 men däremot uppgifter om miss- tankar i de fall som ligger nära faktiska iakttagelser.7 För att forskningsaktörer som inte är myndigheter alls ska kunna behandla uppgifter om lagöverträdelser m.m. för forskningsända- mål måste alltså detta tillåtas i unionsrätten eller nationell rätt. Personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verk- ställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten är undantagna från dataskyddsförordning- ens tillämpningsområde.8 För sådan behandling är i stället dataskyddsdirektiv tillämpligt.9 Direktivet får betydelse för forsk- ningen eftersom det kommer vara direktivet som styr hur dessa myndigheter får lämna ut uppgifter för forskningsändamål. Den utredning (Ju 2016:06) som tillsattes för att föreslå hur detta direk- tiv ska genomföras i svensk rätt har bl.a. haft i uppdrag att lämna förslag till en ny ramlagstiftning för skydd av personuppgifter inom direktivets tillämpningsområde.10 Utredningen överlämnade betän- kandet Brottsdatalag (SOU 2017:29) till regeringen . 5SOU 2017:39 avsnitt 11.3. 6SOU 1997:39 s. 380. 7Datainspektionens beslut , dnr 1020-2005 och , dnr 1563-2010, se även HFD 2016:8. 8Se artikel 2.2 d i dataskyddsförordningen. 9Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Personuppgifter om lagöverträdelser m.m. Av våra direktiv framgår bl.a. följande: har i uppdrag att analysera i vilken utsträck- ning det bör införas regler i den kompletterande generella regleringen som tillåter behandling av uppgifter om lagöverträdelser som inte sker under kontroll av en officiell myndighet.11 har gjort bedömningen att den möjlighet för regering eller tillsynsmyndighet att meddela undantag från för- budet att behandla uppgifter om lagöverträdelser m.m. som finns i 21 § tredje och fjärde stycket personuppgiftslagen ska kvarstå. har vidare gjort bedömningen att det inte finns stöd i förordningen för att föreskriva ett förbud för andra än myndigheter mot behandling av personuppgifter om administra- tiva frihetsberövanden. Sådana uppgifter ingår i tillämpnings- området för 21 § personuppgiftslagen. 8.3Kraven på behandlingen och lagstiftningen Vi analyserar i denna del de krav som framställs i dataskyddsförord- ningens artikel 10, led för led. Varje underrubrik i det följande motsvarar ett led i artikel 10. Får endast utföras under kontroll av myndighet I förarbetena till motsvarande bestämmelser i personuppgiftslagen uttalades bl.a. att myndigheter mycket ofta behöver hantera upp- gifter om lagöverträdelser m.m. för att kunna fullgöra de samhälls- uppdrag som lagts på dem, och att myndigheter får hantera denna typ av uppgifter i sådan mån som framgår av de föreskrifter som reglerar respektive myndighets verksamhet.12 Det framgår inte från förordningen att tillåten behandling är begränsad till behandling i samband med myndighetsutövning. Vår bedömning är därför att behandling även för forskningsändamål under kontroll av myndig- het kan falla in under tillåten behandling enligt huvudregeln. Som alltid gäller dock att kraven i både artikel 5 och 6 måste vara upp- fyllda. 2016:65 s. 11. 12SOU 1997:39 s. 382. Personuppgifter om lagöverträdelser m.m. Eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt Motsvarande reglering finns i artikel 8.5 i nuvarande dataskydds- direktivet, men direktivet ger endast möjlighet att föreskriva tillå- ten behandling i nationell rätt. Där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Motsvarande formulering i artikel 8.5 i dataskyddsdirektivet är ”som innehåller lämpliga och specifika skyddsåtgärder”. Det framgår inte om ändringen från ”lämpliga och specifika” till endast ”lämp- liga” är avsedd att utgöra någon reell skillnad. Frågan om direkti- vets ramar för undantag utreddes inte särskilt inför införandet av personuppgiftslagen.13 Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet Begränsningen av möjligheten till undantag vad gäller förbudet för annan än myndighet att föra fullständigt register över fällande domar i brottmål är i princip oförändrat jämfört med nuvarande data- skyddsdirektiv.14 Det framgår inte på vilket sätt ett register kan vara fullständigt – är ett register som har fällande brottmålsdomar för samtliga domstolar i medlemsstaten ”fullständigt” i förordningens betydelse, eller hur mycket historisk information krävs? Är ett register över samtliga överinstansers fäll- ande brottmålsdomar fullständigt, eller krävs även samtliga under- instanser? Vad gäller svenska förhållanden finns ingen myndighet som har ett fullständigt register om man kräver fullständighet både vad gäller tidsperioder och instanser. Däremot strävar flera kommersi- ella rättsinformationsdatabaser efter att erbjuda samtliga domar.15 13SOU 1997:39 s. 381. 14Lydelsen i artikel 8.5 i nuvarande dataskyddsdirektiv är ”Ett fullständigt register över brott- målsdomar får dock föras endast under kontroll av en myndighet” – jämfört med artikel 10 i dataskyddsförordningen har endast ordet ”dock” strukits. 15Pressmeddelande från InfoTorg: ”Förutom att tjänsten innehåller samtliga domar från de högsta instanserna samt hovrätts- och kammarrättsavgöranden kommer InfoTorg Juridik att utökas med fler domar från tingsrätterna. Vi får en totalteckning på även brott- och tvistemål vilket är mycket efterfrågat.”, /Kampanjer/Forbattringar-i- InfoTorg-Juridik-2012/ Personuppgifter om lagöverträdelser m.m. I sammanhanget kan även uppmärksammas ”Rådets slutsatser om uppmaning att införa European Case (ECLI) och en minimiuppsättning enhetliga metadata för rättspraxis”,16 som bl.a. förordar att ett gemensamt gränssnitt i den europeiska e-juridikportalen införs, och att det via detta gränssnitt ska vara möj- ligt att göra alla medlemsstaternas tillhandahållna rättsliga avgöranden sökbara.17 Utredningens förslag: En bestämmelse ska införas i forsknings- datalagen som anger att personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straff- processuella tvångsmedel får med stöd av artikel 10 i dataskydds- förordningen behandlas för forskningsändamål av andra än myn- digheter om behandlingen är nödvändig för forskningsändamål och har godkänts enligt lagen om etikprövning av forskning som avser människor. Som framgått behövs kompletterande reglering i nationell rätt för att behandling av personuppgifter om lagöverträdelser m.m. för forskningsändamål av andra än myndigheter ska vara möjlig. Utredningen föreslår därför en bestämmelse i forskningsdata- lagen som tillåter sådan behandling när denna är nödvändig för att uppnå forskningsändamålet. Artikel 10 innehåller inte något krav på att behandlingen ska vara nödvändig, detta följer dock av artikel 6.1 e. Sådan reglering ska vidare innehålla bestämmelser om lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Utred- ningens bedömning av lämplig skyddsåtgärd för behandling av person- uppgifter om lagöverträdelser m.m. för forskningsändamål behand- las i avsnitt 14.3 i kapitlet om etikprövning av personuppgiftsbehand- ling för forskningsändamål. Tillämpningsområdet för artikel 10 är, som ovan beskrivits, snävare än för nuvarande reglering i 21 § personuppgiftslagen. 16Detta inkluderar bl.a. uppgifter om domstolens fullständiga namn, territoriell behörighet, avgörandedatum, språk, och typen av avgörande. 17EUT C 127, 29.4.2011, s. 1–7, punkt 17. Personuppgifter om lagöverträdelser m.m. Framför allt faller friande domar i brottmål samt uppgifter om administrativa frihetsberövanden utanför tillämpningsområdet för artikel 10. Att i vår kompletterande reglering till dataskyddsförord- ningen använda tillämpningsområdet för artikel 10 innebär att be- handling av vissa personuppgifter som omfattas av särskilda skyddsåtgärder enligt 21 § personuppgiftslagen inte är förenade med samma skydd. Vi anser inte att en sådan försämring av den registrerades skydd är befogat, även med beaktande av intresset av en harmoniserad reglering av persondataskyddet. Vi anser vidare att det går att införa krav på sådana särskilda skyddsåtgärder även för behandling av uppgifter som faller utanför tillämpningsområdet för artikel 10, med stöd av nationell rätt i form av etikprövningslagen, se utredningens överväganden och förslag i avsnitt 14.4.5. I detta avsnitt har vi behandlat personuppgifter om lagöverträdelser m.m., hur detta begrepp har förändrats gentemot dagens reglering, och vilka förutsättningar som gäller för forskning som innefattar behandling av sådana personuppgifter. Vi har därefter lämnat ett förslag på en tillåtlighetsregel när sådana personuppgifter behandlas av andra än myndigheter för forskningsändamål. Vad gäller den huvudsakliga skyddsåtgärd som i dessa fall ska tillämpas beskrivs den närmare i kapitel 14. Personnummer eller samordningsnummer utgör formellt sett inte känsliga personuppgifter, men har ända sedan datalagen (1973:289) specialreglerats i samband med personuppgiftsbehandling. Reger- ingen har i äldre förarbeten uttalat att själva personnumret inte i sig är en integritetskränkande uppgift, men att viss användning av det, såsom samkörning av register och liknande, kan uppfattas som integri- tetskränkande. Regeringen har också uttalat att ”onödig” användning ska betraktas som ett integritetsintrång.1 För forskningens behov har personnummersystemet möjliggjort inte minst avancerad registerforskning med exempelvis insamlat forskningsmaterial, som tack vare personnummer kan kombineras med information från myndighetsregister, och historiska uppgifter som kan användas för nytillkomna frågeställningar med tillförande av ny information insamlad från de registrerade. Viktiga frågeställ- ningar kan därmed belysas snabbt och kostnadseffektivt med hjälp av redan insamlat material.2 har det utvecklats en praxis som innebär att personnummerhantering omgärdas av omfattande skyddsåtgärder, med registerhållande myndigheter som ofta undvi- ker att lämna ut personnummer direkt till forskare, för att i stället ersätta dessa med exempelvis löpnummer eller andra identifierare som inte kan härledas till personnumret. 1990/91:60 s. 69. 2SOU 2014:45 s. 103. Det nuvarande dataskyddsdirektivet (95/46/EG) innehåller inte några regler om personnummer eller samordningsnummer som är tvingande för medlemsstaterna. Artikel 8.7 i dataskyddsdirektivet anger dock att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller andra vedertagna identifie- rare får behandlas. Artikel 8.7 har genomförts genom 22 § personuppgiftslagen (1998:204), som anger att personnummer eller samordningsnum- mer endast får behandlas med samtycke eller när det är klart moti- verat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Regeringen har i 50 § c samma lag bemyndigats att meddela närmare föreskrifter om hur och när personnummer eller samordningsnummer får be- handlas. Det saknas särskild reglering kring behandling av personnum- mer för just forskningsändamål.