bet · H601UbU5 · 2018-11-16 00:00:00 — Särskilda kategorier av personuppgifter benämns känsliga personuppgifter i dataskyddslagen Dataskyddsförordningen innehåller ett principiellt förbud mot behandling av särskilda kategorier av uppgifter samt flera undantag från detta förbud (artikel 9 i dataskyddsförordningen). I dataskyddslagen används begreppet känsliga personuppgifter som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. Bakgrunden till detta förslag är att begreppet får anses väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i författningstext (prop. 2017/18:105 s. 75). Dataskyddsförordningen möjliggör behandling av känsliga personuppgifter för forskningsändamål I artikel 9.2 j finns ett uttryckligt undantag från förbudet mot behandling av känsliga personuppgifter, som anger att förbudet inte gäller om behandlingen är nödvändig för bl.a. forskningsändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 följer att all personuppgifts-behandling för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dataskyddsförordningen ger därmed en explicit möjlighet till behandling av känsliga personuppgifter för forskningsändamål. Etikprövning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter för forskningsändamål Regeringen gör bedömningen att etikprövning enligt etikprövningslagen är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs för behandling av känsliga personuppgifter för andra forskningsändamål än klinisk läkemedelsprövning enligt EU:s dataskyddsförordning. Enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) får vissa typer av forskning som avser människor inte utföras utan tillstånd. Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. I skälen för regeringens förslag framgår att enligt regeringens uppfattning uppfyller en etikprövning enligt etikprövningslagen dataskyddsförordningens krav på en objektiv bedömning av de risker personuppgiftsbehandlingen kan medföra för den registrerades grundläggande rättigheter och friheter. Regeringen bedömer således att etikprövning är en sådan i nationell rätt fastställd lämplig och särskild åtgärd som artikel 9.2 j i dataskyddsförordningen kräver vid nödvändig behandling av känsliga personuppgifter för forskningsändamål. För sådan forskning som består i klinisk läkemedelsprövning finns särskilda bestämmelser i form av EU:s förordning nr 536/2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv /20/EG (nedan kallad EU-förordningen om kliniska läkemedelsprövningar). Denna EU-förordning har dock inte börjat tillämpas och det är inte bestämt när så ska ske. Av propositionen framgår att det sannolikt inte blir tidigare än . Eftersom det i EU-förordningen anges att kliniska läkemedelsprövningar ska genomgå etisk granskning och godkännas enligt förordningen föreslog regeringen i propositionen Kompletterande bestämmelser om etisk granskning till EU-förordningen om kliniska läkemedelsprövningar (prop. 2017/18:193) att forskning som består i klinisk läkemedelsprövning inte ska etikprövas enligt etikprövningslagen. Sådan forskning ska i stället genomgå etisk granskning enligt den nya lagen (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel. beslutade i enlighet med förslaget (bet. 2017/18:UbU26, rskr. 2017/18:332). Bestämmelserna har emellertid inte trätt i kraft eftersom EU-förordningen inte börjat tillämpas ännu utan bestämmelserna ska träda i kraft den dag regeringen bestämmer, dvs. när EU-förordningen börjar tillämpas. När det gäller frågan om rättslig grund för behandling av personuppgifterna anser regeringen att om ett forskningsprojekt har godkänts enligt etikprövningslagen så har forskningen erkänts i svensk rättsordning på ett sådant sätt att utförande av forskningsuppgiften är en i svensk rätt fastställd uppgift av allmänt intresse. Etisk granskning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter vid forskning inom ramen för kliniska läkemedelsprövningar Regeringen gör bedömningen att etisk granskning enligt lagen med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs enligt EU:s dataskyddsförordning för behandling av känsliga personuppgifter för forskningsändamål inom ramen för klinisk läkemedelsprövning. I skälen för regeringens förslag framgår bl.a. följande. EU-förordningen om kliniska läkemedelsprövningar är bindande och direkt tillämplig i . Som angetts ovan är det dock inte klart när den ska börja tillämpas. Enligt EU-förordningen ska ansökningar om sådana prövningar genomgå vetenskaplig och etisk granskning och godkännas i enlighet med EU-förordningen. Den etiska granskningen ska utföras av en etikkommitté i enlighet med nationell rätt i den berörda medlemsstaten. Enligt definitionen i artikel 2.2.11 är en etikkommitté ett oberoende organ i en medlemsstat vilket inrättats i enlighet med nationell rätt i den medlemsstaten och som har befogenhet att avge yttranden i samband med tillämpningen av EU-förordningen, med beaktande av synpunkter från lekmän, i synnerhet patienter eller patientorganisationer. Varje berörd medlemsstat ska genom ett enda beslut underrätta sponsorn om huruvida den kliniska läkemedelsprövningen eller en väsentlig ändring av prövningen har beviljats tillstånd på vissa villkor eller huruvida ansökan om tillstånd har avslagits (artiklarna 8.1, 14.3, 19.1, 20.5 och 23.1). Med sponsorn avses enligt förordningen en person, ett företag, en institution eller en organisation som ansvarar för att inleda, leda och ordna med finansieringen av en klinisk prövning. genomförs en organisationsförändring av den svenska etikprövningsorganisationen som innebär att de sex regionala etikprövningsnämnderna avvecklas och att etikprövning av forskning som avser människor i stället ska hanteras av en ny myndighet, . Syftet är att öka effektiviteten och skapa en mer enhetlig tillämpning av regelverket (prop. 2017/18:45, bet. 2017/18:UbU12, rskr. 2017/18:173). Den nya myndigheten kommer att vara på plats när EU-förordningen ska börja tillämpas. I propositionen Kompletterande bestämmelser om etisk granskning till EU-förordningen om kliniska läkemedelsprövningar (prop. 2017/18:193) föreslås att forskning som består i klinisk läkemedelsprövning framöver inte ska etikprövas enligt etikprövningslagen. Som har angivits ovan har antagit regeringens förslag men bestämmelserna har ännu inte trätt i kraft. Forskning som består av klinisk läkemedelsprövning ska, när bestämmelserna har trätt i kraft, i stället genomgå etisk granskning enligt en ny lag (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel. Enligt den lagen ska den etiska granskningen utföras av och resultatet av den etiska granskningen ska redovisas i ett yttrande som beslutas av och lämnas till (2 och 3 §§). När det gäller behandling av känsliga personuppgifter för bl.a. forskningsändamål krävs som beskrivits ovan ett stöd i svensk rätt utöver det som dataskyddsförordningen ger. Kraven enligt artikel 9.2 i eller j går utöver de krav som ställs på rättslig grund enligt artikel 6 i dataskyddsförordningen. Regeringen gör i föregående avsnitt bedömningen att etikprövning är en lämplig och särskild åtgärd vid all behandling av känsliga personuppgifter för andra forskningsändamål än kliniska läkemedelsprövningar. Enligt 3 § i den föreslagna lagen med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel ska vad som anges i 7–11 §§ etikprövningslagen ligga till grund för den etiska bedömningen av en ansökan om klinisk läkemedelsprövning som ska göras av . Den etiska granskningen av forskning som består i kliniska läkemedelsprövningar kommer alltså att vila på samma etiska överväganden som ska göras vid etikprövning. Regeringen gör därför bedömningen att etisk granskning är en sådan i svensk rätt fastställd lämplig och särskild åtgärd som krävs enligt EU:s dataskyddsförordning för behandling av känsliga personuppgifter för forskningsändamål inom ramen för klinisk läkemedelsprövning. Det behövs kompletterande nationella bestämmelser om skyddsåtgärder för behandling av personuppgifter om lagöverträdelser Dataskyddsförordningen möjliggör en kompletterande nationell reglering för personuppgifter om lagöverträdelser Enligt dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet. Behandling av sådana uppgifter får också ske om behandlingen tillåts enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet (artikel 10). I dataskyddslagen finns en bestämmelse som förtydligar att personuppgifter som avses i artikel 10 får behandlas av myndigheter (3 kap. 8 § första stycket). För att andra än myndigheter alls ska kunna behandla sådana personuppgifter om lagöverträdelser som framgår av artikel 10 måste detta tillåtas i unionsrätten eller nationell rätt, med fastställande av lämpliga skyddsåtgärder. Till skillnad från regleringen av känsliga personuppgifter i artikel 9 i dataskyddsförordningen finns ingen uttömmande uppräkning av tillåtna ändamål i artikel 10. Bestämmelser om behandling av sådana uppgifter för t.ex. forskningsändamål är möjliga i nationell lagstiftning, precis som andra ändamål, under förutsättning att lämpliga skyddsåtgärder är fastställda. I dataskyddslagen anges att även andra än myndigheter får behandla personuppgifter som avses i artikel 10, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 § andra stycket). Det har även förts in ett bemyndigande i dataskyddslagen med innebörden att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning (3 kap. 9 § första stycket). Det anges vidare att den myndighet som regeringen bestämmer även i enskilda fall får besluta att andra än myndigheter får behandla sådana uppgifter. Ett sådant beslut får förenas med villkor (3 kap. 9 § andra stycket). Etikprövning ska vara en skyddsåtgärd vid behandling av personuppgifter om lagöverträdelser för forskningsändamål Regeringen gör bedömningen att etikprövning enligt etikprövningslagen är en sådan lämplig skyddsåtgärd, fastställd i svensk rätt, som krävs för behandling av personuppgifter om lagöverträdelser för forskningsändamål enligt EU:s dataskyddsförordning. I skälen för regeringens bedömning konstaterar regeringen att myndigheter får behandla personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder. Detta gäller även behandling för forskningsändamål. För andra än myndigheter krävs att behandlingen är tillåten enligt unionsrätten eller nationell rätt. Här möjliggör alltså dataskyddsförordningen kompletterande nationell lagstiftning. Sådan lagstiftning ska även fastställa lämpliga skyddsåtgärder. Det är regeringens uppfattning att det finns behov av att kunna behandla personuppgifter om lagöverträdelser för forskningsändamål även för andra forskningsaktörer än myndigheter. Dataskyddsförordningens möjlighet till nationell reglering i det aktuella fallet bör därför utnyttjas när behandling är nödvändig för forskningsändamål. Regeringen anser att etikprövning är en lämplig skyddsåtgärd vid behandling av sådana personuppgifter som avses i artikel 10. Regeringen anser således att det ska framgå av nationell rätt att sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen ska få behandlas för forskningsändamål om behandlingen har godkänts enligt etikprövningslagen. Regeringen anser sammanfattningsvis att personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden ska få behandlas för forskningsändamål om behandlingen är nödvändig för ändamålet och har godkänts enligt etikprövningslagen. Detta krav ska gälla oavsett om det är fråga om en offentlig eller privat forskningsutförare och oavsett med stöd av vilken rättslig grund i artikel 6.1 som behandlingen utförs. Regeringen anser att om ett forskningsprojekt har godkänts enligt etikprövningslagen så har forskningen erkänts i svensk rättsordning på ett sådant sätt att utförande av forskningsuppgiften är en i svensk rätt fastställd uppgift av allmänt intresse. Det krävs följdändringar i bestämmelserna om etikprövningslagens tillämpningsområde Regeringen föreslår att den bestämmelse i etikprövningslagen som reglerar att behandling av personuppgifter avser sådan behandling av personuppgifter som anges i personuppgiftslagen ska ersättas med en hänvisning till dataskyddsförordningen. Regeringen föreslår vidare att etikprövningslagen ska tillämpas på forskning som innefattar behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (känsliga personuppgifter) personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. I skälen för regeringens förslag framgår att dataskyddsförordningens definition av särskilda kategorier av personuppgifter (i 3 kap. 1 § dataskyddslagen benämnda känsliga personuppgifter), är vidare än dataskyddsdirektivets och PUL:s definitioner. I dataskyddsförordningen utvidgas de särskilda kategorierna av uppgifter till att också omfatta behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Om godkänd etikprövning ska vara ett krav för att få behandla känsliga personuppgifter för forskningsändamål i enlighet med dataskyddsförordningens definition innebär det således ett visst utökat tillämpningsområde för etikprövningslagen till följd av den EU-rättsliga utvecklingen. Vidare skiljer sig de kategorier av personuppgifter som omfattas av artikel 10 i dataskyddsförordningen något från de kategorier av personuppgifter om lagöverträdelser som omfattats av kravet på etikprövning enligt etikprövningslagen och den upphävda PUL. Det är regeringens bedömning att det som i praktiken skiljer definitionen i dataskyddsförordningen från den i PUL är att personuppgifter om lagöverträdelser som innefattar friande domar i brottmål och administrativa frihetsberövanden omfattas av den upphävda PUL, men inte av artikel 10 i dataskyddsförordningen. Övriga förslag och bedömningar I propositionen finns även förslag och bedömningar av lagteknisk karaktär om att lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas till dataskyddsförordningen. I avsnittet om att det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av personuppgifter för forskningsändamål föreslår regeringen att personuppgifter som enbart behandlas för forskningsändamål ska få användas för att vidta åtgärder i fråga om den registrerade bara om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Regeringen gör i detta sammanhang bedömningen att det utöver detta förslag är tillräckligt att etikprövningslagen och de befintliga registerförfattningarna på forskningsområdet anpassas till EU:s dataskyddsförordning. Regeringen bedömer vidare att det inte bör införas någon ytterligare lag som kompletterar EU:s dataskyddsförordning vid personuppgiftsbehandling för forskningsändamål. Regeringen föreslår även en följdändring i offentlighets- och sekretesslagen (2009:400). Regeringen föreslår att ändringarna i lagen om rättspsykiatriskt forskningsregister, etikprövningslagen, offentlighets- och sekretesslagen, lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska träda i kraft . I skälen för regeringens förslag framgår att enligt artikel 99.1 i dataskyddsförordningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Av artikel 99.2 följer att förordningen ska tillämpas fr.o.m. . I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan fr.o.m. och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. I samband med att dataskyddslagen trädde i kraft upphävdes PUL. Av punkt 5 i övergångsbestämmelserna framgår dock att PUL ska fortsätta att gälla efter i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till PUL. Det finns sådana hänvisningar i etikprövningslagen, lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Detta innebär att etikprövning enligt etikprövningslagen ska hanteras i enlighet med dessa lagars nuvarande lydelse till dess förslagen om ändrade lydelser i dessa lagar träder i kraft. Förslagen bör träda i kraft . Med hänsyn till den tid som lagstiftningsprocessen tar föreslås att ändringarna ska träda i kraft . Det är regeringens bedömning att det inte är möjligt med ett tidigare ikraftträdande. Utskottet anser i likhet med regeringen att det behövs kompletterande reglering i svensk rätt för en ändamålsenlig behandling av personuppgifter för forskningsändamål. Utskottet kan konstatera att anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig som den enskildes fri- och rättigheter skyddas. Utskottet instämmer således i de ändringar som föreslås i lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor, offentlighets- och sekretesslagen (2009:400), lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Med det anförda tillstyrker utskottet regeringens proposition. Utskottet övergår nu till att i det följande avsnittet behandla en motion som innehåller en begäran om ett tillkännagivande. Likställa villkoren för offentliga och privata forskningsutförare Utskottets förslag i korthet tillkännager för regeringen att regeringen bör se över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund. Jämför reservationen (V). I kommittémotion 2018/19:69 av m.fl. (L, M, C, KD) begärs en översyn av möjligheterna att återkomma med förslag på lagstiftning som likställer villkoren för offentliga och privata forskningsutövare att bedriva forskning som inbegriper personuppgifter på rättslig grund. Motionärerna konstaterar att offentliga forskningsaktörer – med stöd av lag – kommer att ha möjlighet att direkt använda sig av den rättsliga grunden ”allmänt intresse” för att använda personuppgifter i sin forskning. För att privata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs införande av författningsstöd, vilket fört fram i sitt förslag om en ny forskningsdatalag. För att ska fortsätta att vara ledande i klinisk och medicinsk forskning och i andra vetenskapliga forskningsfält behöver man underlätta, och inte försvåra, för både offentliga och privata forskningsutövare. Artikel 6 i dataskyddsförordningen reglerar frågan om laglig behandling av personuppgifter. Enligt artikel 6.1.e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för behandlingen ska enligt artikel 6.3 dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Regeringen bedömer i propositionen i fråga om den rättsliga grunden uppgift av allmänt intresse att för universitet och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För andra statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen. När det gäller kommuner och landsting kan forskningsuppgiften vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen. En privaträttslig forskningsutförares forskningsuppgift är fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikprövningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt. Regeringens bedömning av förslag har i sitt delbetänkande föreslagit att det ska införas kompletterande nationella bestämmelser för behandling av personuppgifter för forskningsändamål i en forskningsdatalag. Utredningen har bl.a. föreslagit att det i den lagen ska införas en bestämmelse som bl.a. anger att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse. Vidare ska forskning av allmänt intresse få utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. I propositionen sägs att detta innebär att forskningsutföraren själv även i fortsättningen skulle ha att bedöma om den forskning som utförs är av allmänt intresse och om personuppgiftsbehandlingen är nödvändig för att utföra forskningen. Av skäl 41 i dataskyddsförordningen framgår att en rättslig grund bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den.