bet · H601UbU5 · 2018-11-16 00:00:00 — Behandling av personuppgifter för forskningsändamål Utskottet ställer sig bakom regeringens förslag till lag om ändring i lagen om rättspsykiatriskt forskningsregister, lag om ändring i lagen om etikprövning av forskning som avser människor, lag om ändring i offentlighets- och sekretesslagen, lag om ändring i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lag om ändring i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller privata forskningsutförare. Lagändringarna föreslås träda i kraft . Vidare föreslås ett tillkännagivande till regeringen med anledning av ett motionsyrkande om att regeringen bör se över möjligheterna att återkomma med förslag på lagstiftning som likställer villkoren för offentliga och privata forskningsutövare att bedriva forskning som inbegriper personuppgifter på rättslig grund. I betänkandet finns en reservation (V). Proposition 2017/18:298 Behandling av personuppgifter för forskningsändamål. Ett yrkande i en följdmotion. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Behandling av personuppgifter för forskningsändamål Likställa villkoren för offentliga och privata forskningsutförare Likställa villkoren för offentliga och privata forskningsutförare, punkt 2 (V) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Behandling av personuppgifter för forskningsändamål antar regeringens förslag till 1. lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister, 2. lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor, 3. lag om ändring i offentlighets- och sekretesslagen (2009:400), 4. lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa, 5. lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Därmed bifaller proposition 2017/18:298 punkterna 1–5. Likställa villkoren för offentliga och privata forskningsutförare ställer sig bakom det som utskottet anför om att regeringen bör se över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund och tillkännager detta för regeringen. 2018/19:69 av m.fl. (L, M, C, KD). Reservation (V) Följande ledamöter har deltagit i beslutet: (S), (L), (M), (S), (M), (SD), (C), (M), (SD), (S), (KD), (S), (SD), (MP), (L), (S) och (V). Ärendet och dess beredning I betänkandet behandlar utskottet regeringens proposition 2017/18:298 Behandling av personuppgifter för forskningsändamål. En motion har väckts med anledning av propositionen. De behandlade förslagen finns i bilaga 1 och regeringens lagförslag i bilaga 2. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskydds-förordningen. Dataskyddsförordningen, som har börjat tillämpas , finns i svensk lydelse med beslutade rättelser. Regeringen beslutade att tillkalla en särskild utredare, som bl.a. fick i uppdrag att analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som den redan tillsatta (Ju 2016:04) hade i uppdrag att föreslå med anledning av dataskyddsförordningen. I den nya utredningens uppdrag ingick också att föreslå nödvändiga anpassningar till dataskyddsförordningen av vissa registerspecifika författningar på forskningsområdet (dir. 2016:65). Utredningen, som antog namnet , presenterade delbetänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). Utredningen föreslog att det skulle införas en forskningsdatalag. Utredningens betänkande har remissbehandlats (dnr U2017/02644/F). Ett utkast till lagrådsremiss remitterades . I utkastet gjordes bedömningen att den forskningsdatalag som föreslog inte skulle genomföras . De förslag som regeringen därefter lade fram i lagrådsremissen överensstämmer i sak med det remitterade utkastet till lagrådsremiss. Regeringens avsikt är att föreslå nödvändiga anpassningar till dataskyddsförordningen. Arbetet med de aktuella författningarna kommer att fortsätta bl.a. i samband med beredningen av förslagen i betänkandet Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård (SOU 2017:104) och slutbetänkande Rätt att forska – Långsiktig reglering av forskningsdatabaser (2018:36). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 2. Lagrådet har lämnat förslagen utan erinran. I propositionen föreslås vissa ändringar i svensk rätt med anledning av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Det föreslås ändringar i – lagen (1999:353) om rättspsykiatriskt forskningsregister – lagen (2003:460) om etikprövning av forskning som avser människor – offentlighets- och sekretesslagen (2009:400) – lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa – lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller privata forskningsutförare. Avsnittet är disponerat så att utskottet inleder med att behandla regeringens lagförslag och bedömningar. Slutligen behandlas ett motionsyrkande som innehåller ett förslag på ett tillkännagivande till regeringen i en fråga som anknyter till propositionen. Behandling av personuppgifter för forskningsändamål Utskottets förslag i korthet antar regeringens förslag till ändringar i lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor, offentlighets- och sekretesslagen (2009:400), lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig som den enskildes rättigheter skyddas oavsett om behandlingen utförs av offentliga eller privata forskningsutförare. Lagändringarna föreslås träda i kraft . Ändringar i medför behov av ändringar i den svenska regleringen av behandling av personuppgifter Dataskyddsdirektivet har ersatts av en dataskyddsförordning Fram till har offentliga och privata forskningsutförare behandlat personuppgifter i huvudsak med stöd av personuppgiftslagen (1998:204), förkortad PUL. Från och med denna dag gäller i stället och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), som är direkt tillämplig i EU:s medlemsstater. Dataskyddsförordningen föregicks av och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Det direktivet hade i genomförts genom PUL. Sedan dataskyddsdirektivet beslutades har den ekonomiska och sociala integrationen på EU:s inre marknad lett till en betydande ökning av gränsöverskridande flöden av personuppgifter. Vidare har den snabba tekniska utvecklingen och globaliseringen skapat nya utmaningar i fråga om skyddet av personuppgifter. Dataskyddsdirektivet har inte förhindrat bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av EU. Skillnader i nivån på skyddet av personuppgifter har ansetts förhindra det fria flödet av personuppgifter och utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten. Dataskyddsförordningen syftar till att säkerställa en enhetlig skyddsnivå över hela unionen så att avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden undviks. Förordningen syftar även till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för personuppgifterna samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (skäl 10 och 13 till dataskyddsförordningen). Dataskyddsförordningen har antagits med beaktande av bl.a. 173 olika skäl som finns angivna i inledningen av förordningen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men kan kompletteras i nationell rätt Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2). Att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU-förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande nationella bestämmelser gäller framför allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). När det gäller behandling av personuppgifter för forskningsändamål både förutsätter och möjliggör förordningen en kompletterande nationell reglering (artiklarna 9.2 j och 89). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8). Dataskyddsförordningen kompletteras av en ny svensk övergripande lag och förordning om dataskydd (den s.k. dataskyddslagen) Samma datum som PUL upphävdes trädde en ny lag i kraft som innehåller bestämmelser som kompletterar dataskyddsförordningen och är av generell karaktär. Den nya lagen heter lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och benämns i det följande dataskyddslagen. Genom namnet på lagen betonas att lagen inte är heltäckande, utan endast utgör komplement till dataskyddsförordningen. På motsvarande sätt som PUL hade ett vidare tillämpningsområde än dataskyddsdirektivet, finns det en bestämmelse i dataskyddslagen som utsträcker dataskyddsförordningens tillämpningsområde (1 kap. 2 §). Dataskyddslagen innehåller bl.a. bestämmelser som förtydligar innehållet i dataskyddsförordningens bestämmelser och kompletterar dataskyddsförordningen i vissa delar. Bestämmelser i annan lag eller förordning som rör behandling av personuppgifter och som avviker från dataskyddslagen ska ha företräde framför dataskyddslagen (1 kap. 6 §), dvs. dataskyddslagen är subsidiär till andra författningar. Det innebär att dataskyddslagen, på motsvarande sätt som PUL, kan kompletteras av s.k. registerförfattningar, dvs. författningar som reglerar behandling av personuppgifter på ett avgränsat område. Dataskyddsförordningen behöver även kompletteras med svenska bestämmelser på forskningsområdet För att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål behöver dataskyddsförordningen och dataskyddslagen kompletteras. De frågor som regeringen ser behov av att reglera, eller i vilka bör informeras om regeringens bedömning, är främst förekomsten av rättslig grund för att olika forskningsaktörer ska kunna behandla personuppgifter för forskningsändamål, skyddsåtgärder vid all behandling av personuppgifter för forskningsändamål, behandling av s.k. känsliga personuppgifter för forskningsändamål, behandling av personuppgifter som rör lagöverträdelser för forskningsändamål samt undantag från artiklar i dataskyddsförordningen som reglerar den registrerades rättigheter. Vidare behöver anpassningar göras i lagen (2003:460) om etikprövning av forskning som avser människor, i vissa registerförfattningar på forskningsområdet och i offentlighets- och sekretesslagen (2009:400). I dataskyddsförordningen används begreppet forskningsändamål När villkoren för personuppgiftsbehandling inom forskning regleras särskilt i dataskyddsförordningen används i stort sett genomgående termen vetenskapliga eller historiska forskningsändamål. I vissa fall talas det enbart om forskningsändamål. Till ledning för tolkningen av detta begrepp anges det att begreppet vetenskapliga forskningsändamål bör ges en vid tolkning i förordningen och omfatta t.ex. teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Även studier som utförs av ett allmänt intresse inom folkhälsoområdet bör omfattas av begreppet (skäl 159 i dataskyddsförordningen). Historiska forskningsändamål omfattar historiska och genealogiska ändamål (skäl 160 i dataskyddsförordningen). Termen vetenskapliga och historiska forskningsändamål är alltså ett unionsrättsligt begrepp. De rättsliga grunderna för behandling av personuppgifter för forskningsändamål Behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde får bara göras om det finns en tillämplig rättslig grund. De rättsliga grunder som är relevanta när det gäller behandling av personuppgifter för forskningsändamål är främst att den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a) behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (uppgift av allmänt intresse, artikel 6.1.e) behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1 f). I något fall kan också den rättsliga grunden att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1 c) vara aktuell. Uppräkningen av rättsliga grunder i artikel 6.1 är uttömmande. Om ingen av de rättsliga grunderna i artikeln är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga på en och samma behandling. Forskningsutförare inom det offentligrättsliga området En stor del av den forskning i som bedrivs av offentligrättsliga forskningsutförare bedrivs vid universitet och högskolor, men det bedrivs omfattande forskningsverksamhet också vid många andra offentliga organ. Enligt 2 kap. 18 § andra stycket regeringsformen (RF) är forskningens frihet skyddad enligt bestämmelser som meddelas i lag. och högskolor med staten som huvudman framgår det av högskolelagen (1992:1434) att de ska bedriva forskning. Där anges det att staten som huvudman ska anordna högskolor för dels utbildning som vilar på vetenskaplig eller konstnärlig grund samt på beprövad erfarenhet, dels forskning och konstnärlig forskning samt utvecklingsarbete (1 kap. 2 §). Av högskolelagen framgår också forskningens frihet. Som allmänna principer för forskning som bedrivs av dessa utförare gäller att forskningsproblem får väljas fritt, forskningsmetoder får utvecklas fritt och forskningsresultat får publiceras fritt (1 kap. 6 §). I högskolornas uppgift ska det ingå att samverka med det omgivande samhället och att informera om sin verksamhet samt verka för att forskningsresultat tillkomna vid högskolan kommer till nytta. Flera andra statliga myndigheter har forskningsuppgifter inom ramen för sin ordinarie verksamhet, och i såväl kommuner som landsting pågår forskning där personuppgifter används. Förvaltningsmyndigheters uppgifter framgår i huvudsak av författningar och författningsenliga beslut, t.ex. myndighetsinstruktioner i förordningsform och regleringsbrev. Verksamheten vid kommuner och landsting är reglerad i RF, kommunallagen (2017:725) och speciallagstiftning inom t.ex. skola, miljö samt vård och omsorg. Kommuner och landsting har även viss rätt att meddela egna lokala föreskrifter. Forskningsutförare inom det privaträttsliga området Bland privaträttsliga aktörer som utför forskning ska först enskilda utbildningsanordnare nämnas. Enskilda utbildningsanordnare är lärosäten som drivs av andra huvudmän än staten, t.ex. av företag, stiftelser eller föreningar. Vissa enskilda utbildningsanordnare har rätt att utfärda examina enligt lagen (1993:729) om tillstånd att utfärda vissa examina, och bedriver sin verksamhet på samma sätt som högskolor med staten som huvudman. Enskilda utbildningsanordnare som bedriver forskning är t.ex. , i och Stiftelsen (). Dessa är alla privaträttsliga forskningsutförare. För de enskilda utbildningsanordnarna anges det emellertid inte i lagen om tillstånd att utfärda vissa examina att de har en uppgift att bedriva forskning. Forskning bedrivs även i betydande omfattning hos privata företag och stiftelser. Läkemedelsföretag är ett exempel på forskningsutförare som bedriver forskning med omfattande användning av personuppgifter. Möjligheterna för olika forskningsutförare att åberopa olika rättsliga grunder Enligt regeringens bedömning bör dataskyddsförordningen normalt inte innebära något hinder för forskningsutförare att använda samtycke som rättslig grund för sin personuppgiftsbehandling. Det måste dock beaktas om det föreligger en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt, särskilt när den personuppgiftsansvarige är en offentligrättslig forskningsutförare. I propositionen sägs att med samtycke avses varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne (artikel 4.11). Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter (skäl 32). För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. För forskningens del är också vad som anges i skäl 33 i dataskyddsförordningen av betydelse. Där konstateras det att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta. I skälen för regeringens bedömning framgår även att kravet på frivillighet som gäller för att ett samtycke ska vara giltigt är formulerat på samma sätt i dataskyddsförordningen som i PUL. Det faktum att det kan råda en betydande ojämlikhet i förhållandet mellan den personuppgiftsansvarige och den som har att lämna samtycke har gett anledning till införandet av skäl 43 i dataskyddsförordningen. Där anges det att för att säkerställa att samtycket lämnas frivilligt bör samtycket inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande. När det gäller offentliga forskningsutförare kan det enligt regeringens bedömning förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroendeställning i förhållande till den personuppgiftsansvarige. För statliga forskningsutförare med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid en sådan inrättning. En myndighet kan således inte anses utöva påtryckning gentemot en individ enbart därför att det är fråga om en myndighet, om den inte har några verktyg för att direkt eller indirekt utöva påtryckningar. En undersökning där ett representativt urval av personer ur totalbefolkningen tillfrågas om de vill delta som en del av ett forskningsprojekt bör t.ex. kunna utföras med samtycke som rättslig grund även av ett universitet eller högskola med statlig huvudman. En sådan situation som avses i skäl 43 (se ovan) i dataskyddsförordningen kan dock föreligga exempelvis om lärosätet avser att forska med hjälp av personuppgifter som gäller studenter eller anställda vid . I en sådan situation kan det ifrågasättas om ett giltigt, frivilligt, samtycke kan inhämtas och om forskningsutföraren kan använda sig av denna rättsliga grund. I propositionen framhålls också att kommuner och landsting bl.a. bedriver utbildningsverksamhet, hälso- och sjukvård, meddelar bygglov och andra tillstånd samt har beskattningsrätt och att det här finns situationer där en ojämlik situation kan föreligga. I skälen för regeringens bedömning framgår att även privaträttsliga forskningsutförare måste beakta att förutsättningarna för ett giltigt samtycke är uppfyllda när de tar ställning till vilken rättslig grund personuppgiftsbehandling i ett projekt ska grundas på och om det är lämpligt att använda sig av samtycke.