sou · H5B350 · 2017-06-09 00:00:00 — Samtliga ovanstående lagar, förordningar och övriga rättsliga instru- ment lämnar ett visst utrymme för nationell lagstiftning som be- gränsar eller inskränker de fri- och rättigheter som de ger individen vad gäller den personliga integriteten. Det ställs dock vissa propor- tionalitetskrav på sådan lagstiftning. Vad gäller särskilt regleringen i regeringsformen framgår av för- arbetena att en följd av denna reglering bl.a. är att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid propor- tionalitetsbedömningen. Detta kan förväntas öka förutsättningarna för att avvägningarna i fråga om integritetsintrånget blir mer ingå- ende belysta och att de presenteras på ett sådant sätt att kvaliteten i lagstiftningen höjs ytterligare.9 13.3.1Kartläggning av den föreslagna personuppgiftsbehandlingen Datainspektionen har publicerat en vägledning för integritetsanalys i syfte att underlätta arbetet med att kartlägga konsekvenserna för den personliga integriteten vid personuppgifts- behandling när förslag till nya lagar och andra föreskrifter utarbetas.10 I vägledningen föreslår Datainspektionen en metod där man först utför en kartläggning av den personuppgiftsbehandling som ett för- slag kan medföra och därefter vilka konsekvenser den får för den per- sonliga integriteten. Utan en sådan kartläggning är det inte möjligt att besvara frågan om konsekvenserna är proportionerliga i förhållande till det man avser att uppnå med behandlingen. Mot denna bakgrund har vi försökt beakta de centrala faktorer som enligt vägledningen behöver belysas i en sådan kartläggning. Eftersom utredningens uppdrag med anknytande förslag inte om- fattar personuppgiftsbehandling i det konkreta fallet har det varit nödvändigt att i vår kartläggning fokusera på vilken personupp- giftsbehandling allmänt sett som, med beaktande av föreslagna skyddsåtgärder, blir möjlig med utredningens förslag. 2009/10:80 s. 177. 10Vägledning för integritetsanalys, Datainspektionen , Särskilda faktorer i personuppgiftsbehandlingen De här diskuterade frågeställningarna är hämtade från Datainspek- tionens vägledning. För vilka ändamål ska personuppgifter behandlas? Den föreslagna forskningsdatalagen fastställer en rättslig grund för laglig behandling av personuppgifter när det är fråga om att utföra forskning av allmänt intresse. I en generell reglering av detta slag går det inte att göra ändamålsbeskrivningen mer detaljerad. Även den grundlagsskyddade forskningsfriheten11 medför att det inte i förväg går att göra en ändamålsbeskrivning i lagstiftning av generell karaktär. Varje enskilt forskningsprojekt eller annat sammanhang där person- uppgifter behandlas behöver dock för sin del göra en mer detaljerad ändamålsbeskrivning. Med vilket rättsligt stöd ska personuppgifterna behandlas? När personuppgifter behandlas för forskningsändamål är det, som redan framkommit, huvudsakligen fråga om nödvändig behandling för en uppgift av allmänt intresse, och har därmed stöd i dataskydds- förordningens artikel 6.1 e. Den rättsliga grunden ges i den före- slagna forskningsdatalagen, med stöd av artikel 6.2 och 6.3. Vem ska utföra personuppgiftsbehandlingen och vem ansvarar för den? Den forskningsaktör som behandlar personuppgifterna torde vara personuppgiftsansvarig enligt dataskyddsförordningen. Individuella forskare utför själva personuppgiftsbehandlingen som del av forsk- ningsarbetet. De forskare som på detta sätt medverkar till behand- lingen utan att vara personuppgiftsansvariga har i doktrin kommit att betecknas medhjälpare.12 112 kap. 18 § andra stycket regeringsformen, se även 1 kap. 6 § högskolelagen som anger att forskningsproblem fritt får väljas, forskningsmetoder fritt får utvecklas samt forsknings- resultat fritt får publiceras. 12Se , Personuppgiftslagen (version . 2016, Zeteo), kommentaren till 3 §. Vilka personuppgifter kommer att behöva samlas in och i övrigt behandlas? Vilka personuppgifter som kommer att samlas in och behandlas be- ror på forskningens inriktning, vald forskningsmetod m.m. Exakt vilka uppgifter som är nödvändiga att behandla går inte att ange i lagstiftningssammanhang. Allmänt kan ändå sägas att det finns mycket få typer av personuppgifter som aldrig kan komma ifråga för behandling för forskningsändamål. Såväl känsliga personuppgif- ter som personuppgifter om lagöverträdelser m.m. behandlas regel- mässigt inom forskningen. Även andra integritetskänsliga uppgifter som inte särskilt regleras i dataskyddsförordningen kan komma att behandlas för forskningsändamål. Hur många personer kommer att beröras av personuppgiftsbehandlingen och hur många uppgifter om varje person kommer att behöva samlas in? Antalet registrerade personer beror på forskningsändamålen och den valda forskningsmetodiken i det enskilda projektet. Vår föreslagna reglering ställer här inte upp någon gräns. Det kan med andra ord förekomma forskningsprojekt som behöver uppgifter om signifi- kanta delar av eller hela befolkningen, likväl som projekt som be- höver behandla ett stort antal uppgifter om varje registrerad individ. Varifrån ska personuppgifterna samlas in? De huvudsakliga datakällorna kommer att vara olika typer av myn- dighetsregister (såväl befolkningsregister som kvalitetsregister och annat) samt de registrerade själva. Även allmänna handlingar kan för vissa vetenskapliga metoder utgöra ett viktigt underlag för forsk- ningen. Utredningen föreslår ingen ny författningsreglerad skyldig- het för myndigheter att lämna ut uppgifter för forskningsändamål eller någon reglering av elektroniskt informationsutbyte. Vilka kommer att ha åtkomst till personuppgifterna och vilken spridning kan uppgifterna i övrigt komma att få? Inom ramen för personuppgiftsbehandling i ett visst forsknings- projekt kan medverkande forskare komma att ha tillgång till per- sonuppgifterna. Den här föreslagna regleringen kräver inte särskilt att åtkomsten till personuppgifterna begränsas till bara vissa del- tagare i ett projekt, även om det i vissa fall kan vara möjligt och lämpligt att strukturera arbetet så rent praktiskt. Uppgifter som samlas in för forskningsändamål kan i vissa fall, när forskningsaktören tillhör det allmänna, få spridning genom offent- lighetsprincipen. Det är dessutom en forskningspolitisk målsättning att främja öppen tillgång till forskningsresultat och tillgängliggör- ande av forskningsdata.13 Sådan spridning av uppgifter och forsk- ningsresultat måste förstås ske i enlighet med dataskyddsförord- ningen. När forskningsresultat publiceras sker detta i de flesta fall genom aggregerade personuppgifter eller andra sammanställningar som inte avslöjar enskilda personuppgifter. Inom vissa områden, särskilt vad gäller rättsvetenskaplig forskning, finns dock behov av att publicera indirekta personuppgifter i form av beslutsidentifierare såsom målnummer eller referatbeteckning, med hänvisning till att detta kan utgöra vedertagen forskningssed på dessa områden. Finns det behov av nya sekretessbestämmelser och sekretessbrytande bestämmelser? Utredningen föreslår varken någon tillkommande sekretessregler- ing eller sekretessbrytande bestämmelser. Vilka sök- och sammanställningsmöjligheter är nödvändiga för ändamålet och hur kan de begränsas? Det är, utifrån kravet att forskningsmetodik ska få utvecklas fritt, inte möjligt att på generell nivå ange vilka sök- och sammanställ- ningsmöjligheter som är nödvändiga för forskningsändamål. 2016/17:50 s. 106 f. därför inte heller lämpligt att ställa upp generella krav på sökbegräns- ningar (se avsnitt 12.3.3). Det kan däremot i vissa fall vara lämpligt att i samband med etikprövning meddela villkor att vissa sökningar eller sammanställningar inte får göras. Hur länge behöver personuppgifter bevaras? Efter avslutat projekt kommer personuppgifter ofta kunna pseudo- nymiseras eller anonymiseras, vilket också är ett krav enligt artikel 89.1 i dataskyddförordningen. För longitudinella studier behöver personuppgifter, inklusive identifierande uppgifter, regelmässigt bevaras , vilket kan ske med stöd av artikel 5.1 e (undantag från principen om lagringsminimering) under förutsätt- ning att lämpliga skyddsåtgärder genomförs. När forskning utförs av en myndighet, och uppgifterna inte längre bevaras, måste arkivlagens (1990:782) regler om gallring be- aktas (se vidare avsnitt 12.3.4). Även sådana kompletterande upp- gifter som används vid pseudonymisering (såsom kodnycklar) kan vara föremål för gallring. Utredningen föreslår inga nya särskilda gallringsbestämmelser. Vilket inflytande kommer de registrerade att ha över personuppgiftsbehandlingen? Enligt den föreslagna regleringen kommer den registrerade som huvudregel ha möjlighet att motsätta sig behandling (”opt out”, se avsnitt 12.3.4). Utöver detta får uppgifterna användas för att vidta åtgärder i fråga om den registrerade endast om denne har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. När uppgifter hämtas direkt från den enskilde inom ramen för ett forskningsprojekt kan den enskilde alltid avstå från att uppge dessa. Utöver dessa möjligheter finns även de möjligheter till inflytande som följer direkt av dataskyddsförord- ningen, såsom rätt till rättelse (artikel 16), rätt till radering (arti- kel 17), rätt till begränsning av behandling (artikel 18), rätt till data- portabilitet (artikel 20) samt rätt att göra invändningar (artikel 21). Vilken information om behandlingen av personuppgifter kommer de registrerade få? De registrerade har rätt att få information om behandlingen i en- lighet med artiklarna 13–15 dataskyddsförordningen. När möjlig- het för den registrerade att motsätta sig behandling tillämpas som skyddsåtgärd, i enlighet med förslag i avsnitt 12.4.2, får denna rättig- het inte inskränkas med stöd av något av de undantag som ges i dataskyddsförordningen. Vilka regler kommer att gälla till skydd för de registrerades personliga integritet vid den föreslagna personuppgiftsbehandlingen? Utredningen föreslår att pseudonymisering och möjlighet att mot- sätta sig behandling som huvudregel ska gälla generellt för all behand- ling av personuppgifter för forskningsändamål. Personuppgifter får som huvudregel inte heller användas för att vidta åtgärder i fråga om den registrerade (se avsnitt 12.4.2). Utöver detta ska etikprövning äga rum för behandling av känsliga personuppgifter samt person- uppgifter om lagöverträdelser m.m. för forskningsändamål (se av- snitt 14.3.4). Sådan prövning kan vidare resultera i villkor för behand- lingen, vilket också kan fungera som skyddsåtgärder. Som tidigare angetts omfattar inte utredningens uppdrag att detalj- reglera den personuppgiftsbehandling som kan komma att ske för forskningsändamål. Den huvudsakliga regleringen av personupp- giftsbehandling, även för forskningsändamål, kommer att finnas i dataskyddsförordningen, som är direkt tillämplig. Den reglering som utredningen föreslår medför dock att viss personuppgiftsbehandling som annars hade varit förbjuden blir tillåten. Detta rör framför allt sådan behandling som sker utan stöd av giltigt samtycke, samt be- handling av känsliga personuppgifter samt personuppgifter om lag- överträdelser m.m. Vidare görs även vissa begränsningar av de rättigheter som enligt dataskyddsförordningen tillkommer de regi- strerade, med stöd av artikel 89.2. Genom de föreslagna skyddsåtgärderna begränsas dock integri- tetsintrånget avsevärt. Inte minst kravet på pseudonymisering, som motsvarar vad som är vanligt i forskningsmetodik, motverkar effek- ten av den kartläggning av enskilda som kan komma att ske i forsk- ningsprojekt. Det förhåller sig som sagt också så att dataskyddsförordningen, även om den ger visst utrymme för nationell reglering, är direkt tillämplig. En nationell lagstiftning om skyddsåtgärder kan exem- pelvis aldrig upphäva kravet i artikel 89.1 i dataskyddsförordningen på att personuppgiftsbehandling för forskningsändamål ska vara omgärdad av lämpliga skyddsåtgärder. Om de av utredningen före- skrivna skyddsåtgärderna är otillräckliga i det specifika fallet är det den personuppgiftsansvariges ansvar att självständigt efterleva data- skyddsförordningens krav. Utredningens slutsats blir med hänvisning till ovanstående resone- mang att konsekvenserna för den personliga integriteten är för- enliga med det väsentliga innehållet i rätten till dataskydd. För att personuppgiftsbehandlingen ska vara tillåten måste dock det all- männa syftet med den behandling som möjliggörs (behandling för forskningsändamål) vägas in i en proportionalitetsbedömning. Som framgår av avsnitt 13.2 inrymmer samtliga här aktuella rättsliga instrument någon form av möjlighet att begränsa eller inskränka de rättigheter avseende skydd av den personliga integriteten som säkerställs på principiell nivå. Gemensamt för samtliga dessa (med undantag för dataskyddskonvention) är att någon form av proportionalitetsbedömning ska göras. I en sådan bedöm- ning ställs det ändamål för vilket personuppgiftsbehandlingen sker, och som måste vara godtagbart enligt olika kriterier, mot det integri- tetsintrång som behandlingen medför. Den personuppgiftsbehandling som vårt lagförslag kan medföra, med beaktande av effekten av de skyddsåtgärder som föreslås, ska alltså ställas mot värdet av det ändamål för vilket personuppgifts- behandlingen sker. En viktig utgångspunkt är att själva forskningsändamålet gene- rellt kan anses vara legitimt och godtagbart i ett demokratiskt sam- Personuppgiftsbehandling för forskningsändamål intar en särställning i dataskyddsregleringen. Bland de många särreglering- arna för forskningsändamål kan särskilt nämnas det s.k. forsknings- undantaget i artikel 5.1 b, och möjligheterna att inskränka flera av de registrerades rättigheter enligt artikel 89.2. I bilaga 3 finns en mer fullständig genomgång av dataskyddsförordningens särregler- ing för forskningsändamål. Utgångspunkter för en proportionalitetsbedömning De här diskuterade frågeställningarna är hämtade från den tidigare nämnda vägledningen för integritetsanalys från Datainspektionen. Syftet med det närmaste följande är att belysa den avvägning mellan motstående intressen som görs i alla proportionalitetsbedömningar. Vilket eller vilka ändamål motiverar behandlingen av personuppgifter? Den behandling av personuppgifter som kan komma att ske med stöd av den föreslagna forskningsdatalagen är sådan som är nöd- vändig för att utföra forskning av allmänt intresse. Den forskning som sedan sker med stöd av lagen måste fortfarande ange: Sitt specifika ändamål på så sätt att det går att avgöra vilka upp- gifter som ska behandlas. Behandlingens förenlighet med ändamålet för vilket de samlades in (med beaktande av att det s.k. forskningsundantaget medför att ytterligare behandling inte ska anses oförenlig med det ur- sprungliga ändamålet). Hur länge personuppgifter ska bevaras (med beaktande av att personuppgifter får lagras vid behandling för forskningsändamål). Finns det några mindre integritetsingripande alternativ för att uppnå det avsedda ändamålet än den föreslagna personuppgiftsbehandlingen? Ändamålet som utgör bas för forskningsdatalagen – forsknings- ändamål – är för generellt till sin natur för att det ska gå att bedöma alternativa metoder för att uppnå detta. Av särskild betydelse i sammanhanget är att en förutsättning för att tillämpa den rättsliga grund som utredningen föreslår är att behandlingen ska vara nöd- vändig för att kunna utföra forskning av allmänt intresse. Vidare gäller för sådan forskning som kräver etikprövning att forskning inte får godkännas, om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för bl.a. forskningspersoners personliga integritet (10 § etikprövningslagen). Står integritetsintrånget som behandlingen medför i rimlig proportion till den nytta som behandlingen innebär för de avsedda ändamålen? Även den förväntade nyttan kan endast bedömas på ett generellt plan. Värdet av forskning framhålls emellertid såväl i dataskydds- förordningen som i andra rättskällor. Vad gäller nyttobedömningen bör man särskilt uppmärksamma att forskning som kräver etik- prövning endast får godkännas om de risker som den kan medföra för bl.a. forskningspersonernas personliga integritet uppvägs av dess vetenskapliga värde (9 § etikprövningslagen). Vi föreslår nationell lagstiftning som med stöd av artikel 6.2 och 6.3 fastställer den rättsliga grunden allmänt intresse för personupp- giftsbehandling för forskningsändamål. Sådan nationell rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Målet är att forskning ska kunna bedrivas på ett effektivt sätt med respekt för de registrerades personliga integritet. Detta mål framgår även från dataskyddsförordningen (se exempelvis skäl 157 och 159). Målet är alltså legitimt och av allmänt intresse också en- ligt förordningen. Forskningsdatalagen innehåller två viktiga begränsningar till för- mån för den personliga integriteten. Den rättsliga grund som vi fastställer är begränsad till nödvändig och proportionerlig behandling för forskning av allmänt intresse. Vi föreslår även skyddsåtgärder för all behandling av personupp- gifter för forskningsändamål. Lagen innehåller dock även vissa begränsningar av den registrerades rättigheter och därmed integritetsskyddet. Dessa begränsningar är utformade för att endast kunna tillämpas när det är nödvändigt för att uppnå forskningsändamålen. Det sammanlagda integritetsintrånget blir därför begränsat. Ställt mot det stora värde som forskningen har, vilket även framhålls i förordningen, finner vi att den före- slagna lagstiftningen måste anses vara proportionell. Vi föreslår vidare att det under vissa förutsättningar ska vara tillåtet att behandla känsliga personuppgifter. Av artikel 9.2 j fram- går att lagstiftning som tillåter behandling av känsliga personupp- gifter ska stå i proportion till det eftersträvade syftet. Vi föreslår att sådan tillåtande lagstiftning ska innehålla bestämmelser om skydds- åtgärder i form av etikprövning. Detta ställningstagande har sin grund i att etikprövningslagstiftningen särskilt kräver att de risker som forskningen medför ska uppvägas av dess vetenskapliga värde, att endast sådan forskning som innebär den minsta risken för det förväntade resultatet kan godkännas, samt att forskning endast får godkännas om den kan utföras med respekt för människovärdet. Även denna reglering måste anses stå i proportion till det eftersträ- vade syftet. Regeringsformen skyddar inte den personliga integriteten mot all slags personuppgiftsbehandling. Den första bedömning som måste göras är därför om den personuppgiftsbehandling som utredningens förslag kan medföra når upp till kravet för skydd av den personliga integriteten enligt 2 kap. 6 § regeringsformen (se avsnitt 13.2.2). Det ska alltså vara fråga om personuppgiftsbehandling som ut- gör betydande intrång i den personliga integriteten, sker utan sam- tycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Vid denna bedömning ska särskilt beaktas att det är fråga om en rättighetsbegränsande lagstiftning, vilket talar för en restriktiv tolk- ning till den enskildes fördel. Kartläggningen ovan visar att den personuppgiftsbehandling som forskningsdatalagen möjliggör åt- minstone i vissa fall kommer uppfylla samtliga dessa krav, i det fall det är fråga om omfattande uppgiftsinsamlingar om enskilda som inbegriper integritetskänsliga behandlingar. Eftersom det kan vara fråga om bestämmelser som omfattas av 2 kap. 6 § regeringsformen blir det därför nödvändigt att ta ställ- ning till de krav som ställs i 21 § samma kapitel. Vid denna bedömning är det återigen värt att uppmärksamma att forskning är ett ändamål som inte bara är godtagbart i ett demo- kratiskt samhälle utan som är legitimt enligt gällande lag. Forsk- ningsfriheten är dessutom även grundlagsskyddad (18 § andra stycket samma kapitel). Det finns inget som talar för att den här aktuella begränsningen på något sätt skulle utgöra ett hot mot den fria åsiktsbildningen. Begränsningens utformning tar inte sikte på politisk, religiös, kulturell eller annan sådan åskådning. Det kan i och för sig förekomma forskningsprojekt där exempelvis forsknings- personer väljs ut utifrån sådana kriterier, men kravet på etikpröv- ning säkerställer att en sådan urvalsmetod är motiverad och godtag- bar från etisk synvinkel. Proportionalitetskrav i övriga rättsliga instrument Av artikel 8.2 i framgår att inskränkningar endast får ske med stöd av lag och om det är nödvändigt med hän- syn till statens säkerhet, den allmänna säkerheten, landets ekono- miska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det framgår inte klart av ovanstående att forskning är ett av de ändamål som kan motivera en inskränkning (legitima ändamål). I doktrinen har det dock framhållits att det är naturligt att ge varje konventionsstat stor rörelsefrihet och inte kräva mera än att sär- skilt känslig information behandlas på ett ansvarsfullt sätt och inte görs i onödan tillgänglig för andra än dem som har ett legitimt intresse av att få del av informationen.14 Vidare har uttalats att upp- räkningen legitima ändamål är omfattande, att de olika ändamålen är allmänt formulerade, och att det är i de flesta fall möjligt att hänföra ett ingrepp till någon av dessa kategorier.15 Vår bedömning är därför att forskningsändamål ryms inom ovanstående uppräkning. De proportionalitetskrav, och de legitima syften för vilka in- skränkningar kan göras, som framgår av dataskyddskonventionen, rättighetsstadgan och skiljer sig i övrigt inte på ett avgörande sätt från de ovan behandlade kraven. Vår bedöm- ning är därför att en reglering som uppfyller dataskyddsförordning- ens och regeringsformens krav även uppfyller kraven i de övriga behandlade rättsliga instrumenten. Inskränkningarna i de registrerades fri- och rättigheter görs för att tillgodose forskningsändamålet. Detta är ett ändamål som inte bara är godtagbart i ett demokratiskt samhälle utan som dessutom är grundlagsskyddat. Inskränkningarna har utformats så de inte går utöver vad som är nödvändigt med hänsyn till ändamålet. Den före- slagna lagstiftningen kan därför anses vara förenlig med dataskydds- förordningen, regeringsformen och övriga rättsliga instrument. 13.3.3De föreslagna bestämmelserna kräver reglering i lagform Utredningen föreslår bestämmelser i nationell rätt som kompletterar och fyller ut dataskyddsförordningens bestämmelser, inom ramen för vad som är möjligt enligt förordningen. Förordningen inne- håller i sig inte närmare krav på i vilken form den nationella rätten ska fastställas. I svensk rätt kan generell bindande reglering ges i form av lag, förordning eller myndighetsföreskrifter (8 kap. 1 § regeringsfor- men). Normgivning i form av lag förutsätter riksdagsbeslut, medan 14SOU 2004:20 s. 89, som hänvisar till . 15Danelius, Mänskliga rättigheter i europeisk praxis, 5 u, s. 370. normgivning i form av förordning kan ske genom regeringsbeslut. Normer som måste ges i form av lag sägs tillhöra det obligatoriska lagområdet. Kapitel 8 regeringsformen innehåller närmare bestäm- melser om denna gränsdragning. Av den föreslagna regleringen följer att vissa personuppgifts- behandlingar som annars skulle ha varit förbjudna blir tillåtna. Eftersom det dessutom åtminstone i vissa fall rör behandling utan den registrerades samtycke är det fråga om ett ingrepp i enskildas personliga förhållanden. Enligt 8 kap. 2 § andra punkten reger- ingsformen måste sådan reglering ges i form av lag. Utöver detta är det fråga om lagstiftning som begränsar var och ens rätt att vara skyddad mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket. Enligt 2 kap. 20 § reger- ingsformen ska sådan reglering ske i form av lag.