bet · H601UbU5 · 2018-11-16 00:00:00 — Regeringens bedömning är att utgångspunkten när det gäller privaträttsliga forskningsutförare är att det normalt inte råder betydande ojämlikhet mellan dem som personuppgiftsansvariga och registrerade när personuppgifter behandlas för forskningsändamål. För enskilda utbildningsanordnare bör enligt regeringen väsentligen samma resonemang om fall där en betydande ojämlikhet skulle kunna föreligga kunna föras som för universiteten och högskolorna med offentlig huvudman. Företag, stiftelser och andra medlemsorganisationer som utför forskning bör kunna använda samtycke för alla som inte har någon anknytning till organisationen, genom att vara exempelvis anställda, intressenter eller medlemmar. En sådan särskild situation enligt skäl 43 då samtycke inte kan anses ha lämnats frivilligt kan vara när den personuppgiftsansvarige vill använda ett anställningsregister för andra ändamål än det ursprungligen avsedda. Sammanfattningsvis bör formuleringen i skäl 43 normalt inte innebära hinder för privaträttsliga forskningsutförare att använda samtycke för personuppgiftsbehandling för forskningsändamål. Även privaträttsliga forskningsutförare behöver emellertid beakta om det kan föreligga en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt och det därmed inte är möjligt att använda samtycke som rättslig grund för personuppgiftsbehandlingen i ett forskningsprojekt. Det ankommer på den personuppgiftsansvarige att för varje forskningsprojekt göra denna prövning som en del av bedömningen av om ett giltigt samtycke kan inhämtas. Uppgift av allmänt intresse I skälen för regeringens bedömning framgår att för universitet och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För andra statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen. När det gäller kommuner och landsting kan forskningsuppgiften enligt regeringens bedömning vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen. En privaträttslig forskningsutförares forskningsuppgift är enligt regeringens bedömning fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikprövningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt. Regeringen gör bedömningen att det inte bör införas en bestämmelse i lag där det anges att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. Uppgift av allmänt intresse i dataskyddsförordningen och dataskyddslagen Artikel 6 i dataskyddsförordningen reglerar frågan om laglig behandling av personuppgifter. Enligt artikel 6.1 e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för behandlingen ska enligt artikel 6.3 dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I 2 kap. 2 § dataskyddslagen framgår att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. I 2 kap. 3 dataskyddslagen första stycket sägs att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. I andra stycket sägs att den myndighet som regeringen bestämmer i enskilda fall får besluta att sådana personuppgiftsansvariga får behandla personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. I skälen för regeringens bedömning framgår bl.a. att det är regeringens bedömning att presumtionen är att uppgiften att forska är en uppgift av allmänt intresse även i dataskyddsförordningens mening. För att den rättsliga grunden i artikel 6.1 e, uppgift av allmänt intresse, ska vara tillämplig och kunna åberopas krävs emellertid enligt artikel 6.3 att uppgiften är fastställd i enlighet med unionsrätten eller den nationella rätten. När det gäller universitet och högskolor med staten som huvudman anför regeringen följande. I 2 kap. 18 § andra stycket RF fastslås att forskningens frihet är skyddad enligt bestämmelser som meddelas i lag. Högskolelagen (1992:1434) reglerar verksamhet vid universitet och högskolor under statligt huvudmannaskap och innehåller bestämmelser som tar avstamp i grundlagsregleringen. I 1 kap. 2 § högskolelagen anges forskning som en huvuduppgift. I 1 kap. 3 a § samma lag ställs det krav på att vetenskapens trovärdighet och god forskningssed värnas i verksamheten, och 1 kap. 6 § reglerar just forskningens frihet genom att det anges allmänna principer för den delen av högskolornas verksamhet. För forskningen ska gälla att forskningsproblem får fritt väljas, forskningsmetoder får fritt utvecklas och forskningsresultat får fritt publiceras. Regeringens bedömning är därför att för universitet och högskolor med staten som huvudman är forskningsuppgiften fastställd i svensk lag och de kan därför behandla personuppgifter som är nödvändiga för att utföra forskningen med stöd av artikel 6.1 e. När det gäller övriga offentligrättsliga forskningsutförare anför regeringen följande. och högskolor behandlar många statliga myndigheter personuppgifter för forskningsändamål. Dessa myndigheters möjligheter att behandla personuppgifter för forskningsändamål med stöd av artikel 6.1 e är beroende av vilket uppdrag och vilka uppgifter som har ålagts respektive myndighet i gällande rätt. Flera myndigheter har en förordningsreglerad uppgift som omfattar forskning, se t.ex. 2 § förordningen (2007:1170) med instruktion för eller 4 § förordningen (2013:1020) med instruktion för . Uppgiften att forska kan även regleras på annat sätt, t.ex. direkt i lag eller genom särskilda regeringsbeslut. Om uppgiften att forska är tydligt fastställd på detta sätt för en myndighet har myndigheten möjlighet att grunda behandling av personuppgifter som är nödvändig för att utföra forskningen på att det är en uppgift av allmänt intresse enligt artikel 6.1 e. drivs ofta i myndighetsform, vilket medför att samma resonemang kan föras för dem som för myndigheter i allmänhet. Exempel på sådana forskningsinstitut är och . Det finns dock även forskningsinstitut som drivs i aktiebolagsform med staten som delägare helt eller delvis. () är ett exempel på nätverk av teknikinriktade forskningsinstitut som samverkar med akademi, näringsliv och samhälle. För sådana organ är det bedömningarna beträffande privaträttsliga forskningsutförare som är relevanta (se nedan). Verksamheten vid kommuner och landsting är reglerad i RF, kommunallagen (2017:725) och speciallagstiftning för t.ex. skola, miljö samt vård och omsorg. Kommuner och landsting har även viss rätt att meddela egna lokala föreskrifter. När det gäller forskning och innovation är det en viktig del av många landstings och kommuners utvecklingsarbete. Nämnas kan att enligt hälso- och sjukvårdslagen (2017:30) ska landsting och kommuner medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete. Landsting och kommuner ska i dessa frågor, i den omfattning som behövs, samverka med varandra och med berörda universitet och högskolor (18 kap. 2 § hälso- och sjukvårdslagen). Att i författning fastställa att forskning är en uppgift för kommuner och landsting inom andra områden skulle innebära att nya uppgifter läggs på kommunerna, vilket med hänsyn till den kommunala självstyrelsen kräver särskilda överväganden som det saknas underlag för i detta lagstiftningsärende. För att kommuner och landsting i övrigt ska kunna använda sig av den rättsliga grunden uppgift av allmänt intresse när de bedriver forskning är det enligt regeringens uppfattning av vikt att de beaktar att forskningsuppgiften anges tydligt i de beslut om verksamheten som fattas av fullmäktige så att forskningsuppgiften därigenom kan anses vara fastställd i nationell rätt. Som framgår ovan är det regeringens bedömning att presumtionen är att uppgiften att forska är en uppgift av allmänt intresse även i dataskyddsförordningens mening. I skälen för regeringens bedömning framgår bl.a. följande. När det gäller forskning som bedrivs av privata forskningsutförare är forskningsuppgiften inte fastställd i nationell rätt för dessa aktörer på motsvarande sätt som för de flesta offentligrättsliga forskningsutförare. I propositionen framgår att det enligt dataskyddsförordningen inte räcker att uppgiften är av allmänt intresse. Den måste också vara fastställd i nationell rätt eller unionsrätt. Vidare framgår det i propositionen att det för privata forskningsutförare innebär att de har rätt att forska fritt så länge staten inte har ställt krav på tillstånd för viss forskning eller forskningen innefattar brottslig verksamhet etc. Vad dataskyddsförordningens krav på att en uppgift ska vara fastställd i nationell rätt eller i unionsrätten innebär för att den ska anses vara en uppgift av allmänt intresse i den mening som avses i artikel 6.1 e framgår av 2 kap. 2 § 1 dataskyddslagen. Enligt den bestämmelsen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Flera skäl talar enligt regeringen för att det skulle finnas ett behov av en reglering där forskningsuppgiften fastställs för privaträttsliga forskningsutförare för att göra det möjligt för dem att använda sig av den rättsliga grunden uppgift av allmänt intresse. Även forskning som bedrivs av privata utförare kan anses vara en uppgift av allmänt intresse. Som exempel kan nämnas att högskolor kan bedrivas i både offentlig och privat form. Forskningsuppgiften är i praktiken likvärdig vid de båda verksamheterna. Forskning bedrivs vidare ofta i samverkan mellan offentliga och privata forskningsutförare. Det är också av vikt att såväl offentliga som privata forskningsutförare har möjlighet att behandla personuppgifter för att genomföra storskaliga registerbaserade studier inom exempelvis hälsoområdet. Sådana studier är av stor betydelse för ökad kunskap om t.ex. sjukdomsorsaker och behandlingsmetoder. Det är inte alltid möjligt eller ens lämpligt att inhämta samtycke för behandling av personuppgifter för forskningsändamål i studier som omfattar flera hundra tusen personer. Detta innebär att såväl offentliga som privata forskningsutförare behöver ha möjligheter att behandla personuppgifter även utan samtycke. I propositionen framgår att bl.a. har föreslagit att det ska införas bestämmelser i en forskningsdatalag som bl.a. anger att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse och att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. När det gäller förslaget om att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare anförs i propositionen att denna bestämmelse inte innebär att en uppgift att forska ges. Regeringen anser att en jämförelse, såvitt gäller privata forskningsutförare, kan göras med regleringen av personuppgiftsbehandling i enskilda arkiv i dataskyddslagen (2 kap. 3 § första stycket). Den regleringen innebär bl.a. att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. För att uppgiften att forska ska anses fastställd för privata forskningsutförare på motsvarande sätt som för enskilda arkiv krävs att det på något av de sätt som anges i 2 kap. 2 § dataskyddslagen, dvs. i lag eller annan författning, i kollektivavtal eller i beslut som har meddelats med stöd av lag eller annan författning, fastställs vilka privata forskningsutförare som har i uppgift att forska. Först då kan de utföra sådan personuppgiftsbehandling som är nödvändig för den forskningsuppgift som är fastställd i den nationella rätten med stöd av artikel 6.1 e i dataskyddsförordningen. Vid en jämförelse mellan den detaljerade reglering som föreslås för enskilda arkiv och den reglering som föreslår för bl.a. privata forskningsutförare anser regeringen att förslag inte uppfyller de krav som anges i EU-förordningen för att det ska vara fråga om en i nationell rätt fastställd uppgift. Vid överväganden om privata forskningsutförares forskningsuppgift ska fastställas i t.ex. föreskrifter eller beslut anser regeringen vidare att hänsyn måste tas till att även privat finansierad forskning måste omfattas av forskningens frihet. Regeringen anser att en uppdelning i ”forskning” och ”forskning av allmänt intresse” är olycklig utifrån principerna om forskningens frihet och att en sådan uppdelning skapar en mängd frågor. Enligt regeringen är presumtionen att forskning är av allmänt intresse. Detta är centralt utifrån principerna om forskningens frihet. En presumtion kan dock brytas. De fall då staten har ansett sig behöva reglera forskning är då frågan uppstår om forskningen är etiskt försvarbar eller inte. Det är en fråga som har ansetts vara så viktigt att den både är föremål för internationella överenskommelser och lagstiftning. Enligt gällande rätt får vissa typer av forskning som avser människor inte utföras om tillstånd inte har meddelats enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. och oavsett om forskningsutföraren är en statlig myndighet eller en fysisk eller juridisk person (3 och 6 §§ etikprövningslagen). Av sista stycket i 6 § etikprövningslagen framgår även att ett godkännande enligt den lagen inte medför att forskningen får utföras om den strider mot någon annan författning. Det kan alltså vara så att det för ett forskningsprojekt inte alltid är tillräckligt med ett beslut om godkännande enligt etikprövningslagen utan det kan även krävas tillstånd av myndigheter enligt andra författningar, exempelvis krävs tillstånd av vid kliniska läkemedelsprövningar. Ett beslut om godkännande av ett forskningsprojekt enligt etikprövningslagen innebär således enligt regeringen att forskningen bedömts kunna vara till nytta för samhället. Ett forskningsprojekt som godkänts enligt etikprövningslagen får därmed anses vara en uppgift av allmänt intresse. Regeringen anser därför att ett beslut enligt etikprövningslagen och eventuellt andra tillämpliga författningar ger en sådan grund för behandlingen som är fastställd i enlighet med nationell rätt enligt artikel 6.3 i dataskyddsförordningen. Regeringen anser också att det vore en fördel om även privata forskningsutförare skulle kunna åberopa den rättsliga grunden att utföra en uppgift av allmänt intresse i de fall det är fråga om behandling av andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Det skulle dock kräva en omfattande reglering av privata forskningsutförare som det saknas beredningsunderlag för. Privata forskningsutförare har vidare, som framgått ovan, stora möjligheter att bedriva forskning med samtycke. De har även stora möjligheter att bedriva forskning efter en intresseavvägning, vilket utvecklas nedan. Regeringens uppfattning är därför att förslagen i propositionen väl tillgodoser forskningens intressen av att kunna använda personuppgifter. Enligt regeringens bedömning kan offentliga forskningsutförare inte tillämpa den rättsliga grunden intresseavvägning i artikel 6.1 f i dataskyddsförordningen som grund för sin personuppgiftsbehandling. Privaträttsliga forskningsutförare kan tillämpa intresseavvägning som grund för nödvändig personuppgiftsbehandling i forskningen. Det ska enligt regeringens bedömning i varje enskilt fall göras en avvägning mellan den personuppgiftsansvariges eller en tredje mans berättigade intresse av att utföra personuppgiftsbehandlingen och den registrerades intressen och grundläggande rättigheter och friheter. I skälen för regeringens bedömning framgår att enligt artikel 6.1 andra stycket dataskyddsförordningen gäller inte den rättsliga grunden intresseavvägning för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta motiveras i skäl 47 i dataskyddsförordningen med att då det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter bör denna rättsliga grund inte gälla för den behandling som de utför som ett led i fullgörandet av dessa uppgifter. När det i bestämmelsen talas om att den inte ska gälla när offentliga myndigheter fullgör sina uppgifter gäller det enligt regeringens uppfattning vid fullgörandet av alla uppgifter en myndighet har, såväl sådana som innefattar myndighetsutövning som övriga uppgifter av t.ex. mer förvaltningskaraktär. Den rättsliga grunden intresseavvägning är alltså inte tillämplig när offentligrättsliga forskningsutförare fullgör uppgiften att bedriva forskning. Till skillnad från vad som gäller för de offentligrättsliga forskningsutförarna är det möjligt för privaträttsliga forskningsutförare att stödja sin personuppgiftsbehandling på den rättsliga grunden intresseavvägning. Bland de vanligaste sammanhang där frågan om berättigat intresse kan uppstå nämns i propositionen behandling för historiska, vetenskapliga eller statistiska ändamål och behandling för forskningsändamål (yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv /46/EG). Regeringen bedömer att presumtionen är att forskning är en uppgift av allmänt intresse och att presumtionen därmed är att det är fråga om ett berättigat intresse. Som nämnts ovan får enligt gällande rätt vissa typer av forskning som avser människor inte utföras om tillstånd inte har meddelats enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. och oavsett om forskningsutföraren är en statlig myndighet eller en fysisk eller juridisk person (3 och 6 §§ etikprövningslagen). Det är enligt regeringen bara när det är fråga om forskningsprojekt som inte involverar känsliga personuppgifter eller personuppgifter som avser lagöverträdelser m.m. som en privat forskningsutförare behöver åberopa andra rättsliga grunder som t.ex. samtycke eller intresseavvägning. Då presumtionen är att forskning är ett berättigat intresse bedömer regeringen att det finns stora möjligheter att behandla personuppgifter för forskningsändamål efter en intresseavvägning, särskilt då en sådan avvägning normalt bara blir aktuell för mindre känsliga uppgifter. En presumtion kan dock brytas och omständigheterna i ett enskilt fall kan vara sådana att en intresseavvägning enligt 6.1 f inte utfaller till den planerade forskningens förmån. Det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av personuppgifter för forskningsändamål Uppgifter ska inte få användas för att vidta åtgärder i fråga om den registrerade Regeringen föreslår att personuppgifter som enbart behandlas för forskningsändamål ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Något undantag för myndigheters användning av personuppgifter i allmänna handlingar ska enligt förslaget inte gälla. I propositionen framgår att den föreslagna bestämmelsen som huvudregel förhindrar att personuppgifter som behandlas av den personuppgiftsansvarige enbart för forskningsändamål används för att vidta åtgärder som avser den registrerade. Sådana åtgärder får bara vidtas om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av personuppgifter och inte bara känsliga sådana. Med vitala intressen avses intressen som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas för forskningsändamål behöver användas för att varna de registrerade. Det kan förekomma t.ex. när en forskare, som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling. Det är den personuppgiftsansvarige som har att visa att det finns sådana omständigheter som utgör synnerliga skäl. För att det ska vara tillåtet att använda uppgifterna för att vidta åtgärder i fråga om den registrerade krävs också att användningen inte är oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in (se artikel 5.1 b i dataskyddsförordningen). Undantaget från användningsbegränsningen kan alltså inte tillämpas till stöd för en vidarebehandling som i sig är otillåten enligt dataskyddsförordningen. Bestämmelsen innebär även en begränsning av myndigheters möjligheter att använda personuppgifter i allmänna handlingar för att vidta åtgärder i fråga om den registrerade. Det följer direkt av dataskyddsförordningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder Regeringen gör bedömningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder när de behandlas för forskningsändamål. Detta framgår direkt av EU:s dataskyddsförordning och bör därför inte föreskrivas i svensk rätt. I artikel 4.5 dataskyddsförordningen definieras pseudonymisering enligt följande: Behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. För att en åtgärd ska utgöra pseudonymisering krävs alltså kompletterande uppgifter som förvaras separat. Dataskyddsförordningens definition anger dock inte hur pseudonymisering ska utformas. Detta kan göras på i huvudsak två sätt, antingen baserat på identifierande uppgifter eller utifrån helt fristående värden i form av ett kodnyckelförfarande. Det behövs kompletterande nationella bestämmelser för behandling av känsliga personuppgifter