prop · H503298 · 2018-09-14 00:00:00 — I artikel 32 anges att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säker- hetsnivå som är lämplig i förhållande till risken och anger bl.a. pseudony- misering och kryptering som sådana slags åtgärder i de fall det är lämpligt. Av artikel 89.1 framgår att lämpliga skyddsåtgärder får inbegripa pseudo- nymisering under förutsättning att forskningsändamålet kan uppfyllas på det sättet. Även skäl 28, 29 och 156 lyfter fram pseudonymisering som exempel på skyddsåtgärd. I skäl 78 anges ett antal övriga skyddsåtgärder som främst är organisa- toriska till sin natur. Sådana åtgärder kan bland annat bestå av att uppgifts- behandlingen minimeras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgifts- behandlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Utöver sådana skyddsåtgärder som nämns direkt i förordningen finns i svensk rätt andra former av skyddsåtgärder, exempelvis sökbegränsningar och sekretessbestämmelser. Vad innebär pseudonymisering? Som nämnts ovan återkommer pseudonymisering på flera ställen i data- skyddsförordningen som exempel på en skyddsåtgärd. I artikel 4.5 defi- nieras pseudonymisering enligt följande: Behandling av personuppgifter på ett sätt som innebär att personuppgif- terna kan tillskrivas en specifik registrerad utan att komplet- terande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisato- riska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. För att en åtgärd ska utgöra pseudonymisering krävs alltså kompletterande uppgifter som förvaras separat. Dataskyddsförordningens definition anger dock inte hur pseudonymisering ska utformas. Detta kan göras på i huvud- sak två sätt, antingen baserat på identifierande uppgifter eller utifrån helt fristående värden i form av ett kodnyckelförfarande. I många fall, särskilt vid forskningsstudier som pågår där det finns ett behov av att komplettera uppgifterna vid senare tillfällen, är det önskvärt att pseudonymen kan härledas från de ursprungliga uppgif- terna. Ett enkelt exempel kan vara att skapa en pseudonym från ett person- nummer genom att med en s.k. säker hashfunktion beräkna en hashsumma på personnumret. En säker (eller kryptografisk) hashfunktion är en algoritm som används för att deterministiskt transformera godtyckligt invärde till ett utvärde (hashsumma) på så sätt att det är mycket svårt att finna vilket invärde som gett upphov till hashsumman. Från hashsumman kan man inte direkt återskapa personnumret, men när man behöver tillföra nya personnummersatta data till det pseudonymiserade datasetet är det lätt att återupprepa pseudonymiseringsprocessen och erhålla samma pseudonymer från samma personuppgifter, under förutsättning att personnumret inte ändrats för en enskild individ. Kodnyckelförfaranden är en form av pseudonymisering där det inte finns något samband mellan de identifierande uppgifterna och pseudony- men. I stället väljs varje pseudonym som ett slumpvärde eller liknande. Kopplingen mellan de identifierande uppgifterna och pseudonymen sparas i en förteckning (kodnyckel). För att översätta mellan identifierande upp- gifter och pseudonymer behövs denna kodnyckel. Ett dataset där sådan kodning har tillämpats kommer att utgöra personuppgifter. Kodnyckelförfaranden kräver att en betrodd part hanterar den kodnyckel som kopplar samman de tilldelade pseudonymerna till de direkt identifie- rande uppgifterna. Vid exempelvis forskningsstudier som pågår kan det medföra svårigheter att bevara kodnycklar på så sätt att nya uppgifter från primärkällor kan tillföras forskningsdatan med bibehållande av samma pseudonymer. Skillnaden mellan pseudonymer baserade på identifierande uppgifter och pseudonymer i form av kodnycklar kan beskrivas så att i det första fallet utgörs kopplingen av en funktion (algoritm), i det andra fallet av en förteckning (kodnyckel). Funktionen är inte hemlig, men förteckningen måste vara det. 9.2Skyddsåtgärder bör föreskrivas i svensk rätt Regeringens bedömning: Bestämmelser om skyddsåtgärder vid per- sonuppgiftsbehandling för forskningsändamål kan och bör ges i författ- ningsform. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: De remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot bedömningen. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: De remissinstanser som har yttrat sig tillstyrker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning: Dataskyddsförordningens krav på lämpliga skyddsåtgärder för personuppgiftsbehandling för forsknings- ändamål i artikel 89.1 är direkt tillämpliga. Utifrån dessa krav är det dock inte självklart att lämpliga skyddsåtgärder ska föreskrivas i nationell rätt. Av skäl 156 framgår dock att medlemsstaterna bör införa lämpliga skydds- åtgärder för behandlingen av personuppgifter för bl.a. forskningsändamål. Alternativ till författningsreglering av skyddsåtgärder kan vara att be- myndiga en tillsynsmyndighet att utfärda föreskrifter eller i enskilda fall fatta beslut om villkor. Även självreglering i form av uppförandekoder, enligt artikel 40, kan vara ett sätt att se till att lämpliga skyddsåtgärder vidtas. En författningsreglering kan dock ge större tydlighet vid tillämp- ningen och säkerställa att lämpliga åtgärder vidtas i sådana situationer där det bedöms särskilt viktigt. Det är i sammanhanget värt att understryka att vid all personuppgiftsbe- handling för forskningsändamål kräver dataskyddsförordningen att be- handlingen omfattas av lämpliga skyddsåtgärder. Det är den personupp- giftsansvariges ansvar att se till att sådana lämpliga skyddsåtgärder före- ligger. Det är därför inte tillräckligt att endast tillämpa bestämmelser i nationell rätt utan att ta ställning till om kraven i förordningen är uppfyllda vid varje enskild behandling. Med beaktande av dataskyddsförordningens möjligheter att i nationell rätt reglera skyddsåtgärder när personuppgifter behandlas för forsknings- ändamål är det regeringens bedömning att viss sådan reglering ska införas i författningsform. Frågan om vilken reglering som ska införas avseende all behandling av personuppgifter för forskningsändamål behandlas i avsnitt 9.3–9.7. Frågor om skyddsåtgärder som särskilt tar sikte på behand- ling av känsliga personuppgifter eller personuppgifter om lagöverträdelser för forskningsändamål behandlas i avsnitt 10 och 11. 9.3Uppgifter ska inte få användas för att vidta åtgärder i fråga om den registrerade Regeringens förslag: Personuppgifter som enbart behandlas för forsk- ningsändamål ska få användas för att vidta åtgärder i fråga om den re- gistrerade endast om det finns synnerliga skäl med hänsyn till den re- gistrerades vitala intressen. Något undantag för myndigheters använd- ning av personuppgifter i allmänna handlingar ska inte gälla. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningen föreslår att personuppgifter som behandlas för forskningsän- damål ska få användas för att vidta åtgärder i fråga om den registrerade bara om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Detta ska dock inte gälla för en myndighets användning av per- sonuppgifter i allmänna handlingar. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. Ett flertal lands- ting, däribland landstingen i län, , län, , , län, , och anser att förslaget är lämpligt. (Brå) anser att formuleringen är svårläst. Svå- righeterna gäller främst att förstå hur sista meningen ska tolkas i förhål- lande till föregående mening och alltså vad ordet ”detta” syftar på. Brå anser att det är lämpligare att använda samma konstruktion som den man använder i förslaget till dataskyddslag. (), som påpekar att de insamlade uppgifterna vid ett lärosäte som regel är allmänna handlingar, undrar vad ordet ”detta” i den andra mening syftar på. Menas att personuppgifter från allmänna handlingar inte alls får använ- das för att vidta åtgärder i fråga om den registrerade, ens om det finns vi- tala intressen, eller är avsikten med formuleringen någon annan? Veten- skapsrådet anser att sista meningen i den föreslagna bestämmelsen, om myndigheters användning av uppgifter i allmänna handlingar, inte behövs eftersom den föreslagna lagen endast ska gälla när personuppgifter be- handlas för forskningsändamål. Utredningens förslag ska motsvara bestämmelsen i PUL. Bakgrunden till regleringen i PUL om undantaget för myndigheters användning av uppgifter i allmänna handlingar torde vara behovet av information för rättskipningen och förvaltningen dvs. möj- ligheten att använda uppgifterna för andra ändamål än forskning. Det är enligt uppfattning också olämpligt att ha kvar sista me- ningen i den föreslagna bestämmelsen. Detta eftersom en konsekvens som uppmärksammats av samma skrivning i PUL är att den ger forskare vid myndigheter formell möjlighet att utan hinder av användningsbegräns- ningen i PUL använda personuppgifter i forskningsmaterial som utgör all- männa handlingar för att vidta åtgärder i fråga om de registrerade. Data- inspektionen kan inte tillstyrka förslaget i den föreslagna forskningsdata- lagen, eftersom utredningen inte gjort en egen bedömning utan endast ut- gått från en bedömning som gjorts . Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Samtliga remissinstanser som yttrat sig tillstyrker eller har inga synpunkter på förslaget. Kommuner och Landsting (SKL) framför särskilt att SKL delar uppfattningen att det finns vissa un- dantagssituationer på exempelvis hälso- och sjukvårdens område då upp- gifter som annars bara behandlas för forskningsändamål måste kunna an- vändas även för att vidta sådana åtgärder, t.ex. då forskningspersonens liv eller egna vitala intressen står på spel. Skälen för regeringens förslag Användningsbegränsning är en befintlig skyddsåtgärd vid behandling av personuppgifter för forskningsändamål I PUL fanns en skyddsåtgärd i form av en bestämmelse som angav att per- sonuppgifter som behandlades för historiska, statistiska eller veten- skapliga ändamål bara fick användas för att vidta åtgärder i fråga om den registrerade om den registrerade hade lämnat sitt samtycke eller det fanns synnerliga skäl med hänsyn till den registrerades vitala intressen (9 § fjärde stycket PUL). Denna begränsning gällde dock inte för en myndig- hets användning av personuppgifter i allmänna handlingar (8 § andra stycket PUL). Personuppgifter som har samlats in för forskningsändamål får inte an- vändas för andra ändamål som är oförenliga med det ursprungliga forsk- ningsändamålet. Denna ändamålsbegränsning framgår av såväl artikel 5.1 b i dataskyddsförordningen som tidigare av 9 § d PUL. Att behandla personuppgifter som insamlats för forskningsändamål för att vidta åtgärder beträffande de registrerade är som huvudregel att behandla personuppgifterna för ett nytt ändamål. Av förarbetena till PUL framgår att ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder mot de registrerade är när personuppgifter som behandlas för forsknings- ändamål behöver användas för att varna de registrerade. Det kan före- komma t.ex. när en forskare, som undersöker ett misstänkt samband mel- lan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta un- dersöka sig och få behandling. En sådan personuppgiftsbehandling har inte bedömts vara oförenlig med det ursprungliga forskningsändamålet. I vissa fall kan personuppgifter som behandlas för forskningsändamål även an- vändas för att vidta åtgärder beträffande de registrerade för att forsknings- projektet är upplagt så att personuppgifterna ska användas för att vidta åt- gärder rörande enskilda. Ett sådant projekt har dock enbart bedömts vara tillåtet om de registrerade har samtyckt till det (prop. 1997/98:44 s. 62 och 119). Mot denna bakgrund infördes bestämmelsen i PUL som angav att personuppgifter som behandlas för bl.a. forskningsändamål fick användas för att vidta åtgärder beträffande den registrerade bara om den registrerade hade lämnat sitt samtycke eller det fanns synnerliga skäl med hänsyn till den registrerades vitala intressen. Av förarbetena till PUL framgår vidare att det beträffande personupp- gifter i myndigheters arkiv finns bestämmelser om lämpliga skydds- åtgärder i form av t.ex. sekretess och skydd för arkiv, varför användnings- begränsningen bedömdes inte behöva gälla för sådana personuppgifter som finns i en myndighets arkiv. Mot bakgrund av detta infördes undanta- get i PUL som angav att begränsningen dock inte gällde för en myndighets användning av personuppgifter i allmänna handlingar. Detta undantag av- såg således främst personuppgifter som behandlades för arkivändamål, vil- ket inte helt tydligt framgick av bestämmelsens utformning (prop. 1997/98:44 s. 62 och 118). Motsvarande skyddsåtgärd vid behandling av personuppgifter för arkiv- ändamål och statistiska ändamål föreslås i dataskyddslagen I dataskyddslagen finns bestämmelser om användningsbegräsningar som avser personuppgifter i arkiv och statistik i 4 kap. Enligt 1 § första stycket får personuppgifter som behandlas enbart för arkivändamål av allmänt intresse användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Bestämmelsen hindrar enligt andra stycket inte myndigheter från att använda personuppgifter som finns i allmänna handlingar. Vid tillämpningen av andra stycket ska vidare andra än myn- digheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i deras verksamhet. Enligt 2 § får personuppgifter som behandlas enbart för statistiska ända- mål användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Av propositionen Ny dataskyddslag framgår att de nya bestämmelserna utformats för att det ska framgå tydligare än av PUL att användnings- begränsningen bara gäller personuppgifter som enbart behandlas för arkiv- ändamål av allmänt intresse respektive statistiska ändamål. Det är så bestämmelsen i PUL var avsedd att tillämpas och tillägget utgör därmed inte någon utvidgning av den personuppgiftsansvariges befogenheter. I propositionen har regeringen vidare tagit ställning för att det inte finns skäl att i de nya bestämmelserna ange att uppgifter får användas med den registrerades samtycke. Om samtycke inhämtas till att en uppgift används för nya ändamål kan behandlingen nämligen jämställas med att personuppgiften samlas in på nytt med stöd av artikel 6.1 a i dataskyddsförordningen (prop. 2017/18:105 s. 119). Någon saklig skillnad mellan de nya bestämmelserna och 9 § fjärde stycket PUL är inte avsedd, varför förarbeten och praxis avseende bestämmelsen i PUL bör kunna vara vägledande även vid tillämpningen av dataskyddslagen. Ett undantag för myndigheters användning av uppgifter i allmänna hand- lingar gäller vid behandling av personuppgifter för arkivändamål… Som framgår ovan gäller enligt 4 kap. 1 § andra stycket dataskyddslagen att bestämmelsen i första stycket om begränsningar av möjligheten att vidta åtgärder i fråga om den registrerade med användning av personupp- gifter som behandlas enbart för arkivändamål av allmänt intresse, inte ska hindra myndigheter och andra vars verksamhet omfattas av offentlighets- principen och sekretesslagstiftningen från att använda personuppgifter som finns i allmänna handlingar. Detta beror bl.a. på att myndigheternas arkiv enligt lag ska tillgodose behovet av information för rättsskipningen och förvaltningen m.m. Bestämmelsen innebär ingen förändring i förhål- lande till vad som gällt enligt PUL. … men inte vid behandling av personuppgifter för statistiska ändamål När det gäller undantag från användningsbegränsningen av personuppgif- ter som enbart behandlas för statistiska ändamål har regeringen dock gjort en annan bedömning i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 125). En allmän utgångspunkt för behandling av personuppgifter för statistiska ändamål är att resultatet eller uppgifterna inte används till stöd Prop. 2017/18:298 för åtgärder eller beslut som avser en särskild fysisk person (skäl 162 i dataskyddsförordningen). Enligt regeringens mening står det klart att det finns vissa undantagssituationer då uppgifter som annars bara behandlas för statistiska ändamål måste kunna användas även för att vidta sådana åtgärder, nämligen då den registrerades egna vitala intressen står på spel. I övrigt borde däremot inte heller myndigheter kunna använda uppgifterna för att vidta åtgärder i förhållande till den registrerade. Den omständig- heten att uppgifterna finns i allmänna handlingar, eftersom dessa ännu inte hunnit anonymiseras eller gallras, föranleder enligt regeringen ingen an- nan bedömning. Myndigheter undantas därför inte från använd- ningsbegränsningen i 4 kap. 2 § dataskyddslagen. Användningsbegränsning bör även i fortsättningen vara en skyddsåtgärd vid behandling av personuppgifter för forskningsändamål Regeringen anser att en användningsbegränsning som innebär att person- uppgifter som behandlas för vetenskapliga eller historiska forsknings- ändamål bara får användas för att vidta åtgärder i fråga om den registrerade om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen, alltjämt utgör en väl avvägd skyddsåtgärd. I likhet med vad som föreslogs i propositionen Ny dataskyddslag anser regeringen att det inte finns skäl att i den nya bestämmelsen ange att uppgifter får användas för att vidta åtgärder i fråga om den registrerade med den registrerades sam- tycke. Om samtycke inhämtas till att en uppgift används för nya ändamål kan behandlingen nämligen jämställas med att personuppgiften samlas in på nytt med stöd av artikel 6.1 a i dataskyddsförordningen. Någon saklig skillnad mellan förslaget och 9 § fjärde stycket PUL är inte avsedd, varför förarbeten och praxis avseende bestämmelsen i PUL bör kunna vara vägledande även vid tillämpningen av den nya bestämmelsen. Något undantag för myndigheters användning av personuppgifter i all- männa handlingar ska inte gälla. Begränsningen i 9 § fjärde stycket PUL gällde, som framgått, inte vid myndigheters användning av uppgifter i allmänna handlingar (8 § andra stycket PUL). Undantaget motiveras i förarbetena med att det för sådana personuppgifter redan finns lämpliga skyddsåtgärder i form av bestämmel- ser om sekretess och skydd för arkiv, bl.a. mot bakgrund av att myndig- heternas arkiv enligt lag ska tillgodose behovet av information för rätts- skipningen och förvaltningen m.m. Av dataskyddsförordningen framgår att om resultatet av vetenskaplig forskning, särskilt för hälso- och sjukvårdsändamål, ger anledning till ytterligare åtgärder i den registrerades intresse bör de allmänna reglerna i förordningen tillämpas på dessa åtgärder (skäl 159). Enligt regeringens mening står det klart att det finns vissa undantagssituationer då uppgifter som annars bara behandlas för forskningsändamål måste kunna användas även för att vidta sådana åtgärder, nämligen då den registrerades egna vitala intressen står på spel. Dessa situationer rör i huvudsak hälso- och sjukvårdsändamål i den registrerades intresse, enligt de exempel som åter- 2017/18:298 givits tidigare, och ska alltså dataskyddsförordningen och komplette- rande svensk rätt tillämpas på den personuppgiftsbehandling som sker i samband med att åtgärder vidtas mot den registrerade. Det är regeringens uppfattning att i övrigt bör inte myndigheter kunna använda sådana personuppgifter som enbart behandlas för forsknings- ändamål för att vidta åtgärder i förhållande till den registrerade. Den om- ständigheten att uppgifterna finns i allmänna handlingar föranleder ingen annan bedömning. Forskningsmaterial utgör som huvudregel allmänna handlingar vid myndigheter och det tidigare undantaget i PUL var inte hel- ler avsett att möjliggöra för forskningsutförare som är myndigheter att fritt kunna använda personuppgifter som enbart behandlas för forskningsända- mål för att vidta åtgärder mot den registrerade. Regeringen instämmer där- med i invändningar och anser att myndigheter inte bör undantas från den föreslagna användningsbegränsningen. Något undantag för myndigheters användning av personuppgifter i allmänna handlingar ska därför inte gälla. Det följer direkt av dataskyddsförordningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder Regeringens bedömning: Personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder när de behandlas för forsk- Detta framgår direkt av EU:s dataskyddsförordning och bör därför inte föreskrivas i svensk rätt. Utredningens förslag överensstämmer inte med regeringens bedöm- Utredningen föreslår att en bestämmelse ska införas i den föreslagna forskningsdatalagen som anger att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål förutsatt att ändamålet kan uppfyllas på det viset. Remissinstanserna: Ett övervägande antal av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. landsting, däribland landstingen i län, , län, , , län, , och anser att de av utredningen föreslagna skyddsåtgärderna är lämpliga. sala välkomnar den föreslagna bestämmelsen om att personuppgifter så långt det är möjligt bör pseudonymiseras. bedömer föreslaget som rimligt. Kommuner och Landsting anser att huvudregeln bör vara att personuppgifter anonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål. tillstyrker förslaget men noterar att uppfyllandet av detta krav kommer att kräva en infrastruktur som flertalet lärosäten inte äger . anser att också kostnaden för anskaffning av sådan infrastruktur bör beaktas i analysen av de ekono- miska konsekvenserna av utredarens förslag. Tekniska högskolan (KTH) anser att det inte tydligt framgår om detta även gäller personuppgiftsbiträdens skyldigheter. och folkminnen framför att förslaget om pseudony- misering som skyddsåtgärd förefaller vara en relativt effektiv metod för att skydda personuppgifter vid forskning, eftersom tröskeln för att koppla samman en handling, innehållande forskningsuppgifter, med en specifik person höjs. Emellertid ger pseudonymiseringsåtgärder, eller övriga skyddsåtgärder enligt dataskyddslagstiftningen, inget fullgott skydd för in- dividen. De handlingar som uppstår i samband med forskning vid myndig- heter är underkastade tryckfrihetsförordningen och offentlighetsprincipen, vilken har företräde framför dataskyddslagsstiftningen. Även de nyck- lar/samordningsregister som är kopplade till de pseudonymiserade uppgif- terna blir således allmänna handlingar. och föreslår att begreppen och deras inbördes förhållanden tydliggörs ytterligare. En viss begreppsförvirring råder kring användandet av begreppen anonymisering, avidentifiering samt pseudonymisering. Det är viktigt för tillämpare att tydligt kunna särskilja de fall som faller utanför regelverket från de som omfattas. Det behövs även mer vägledning i att förstå begreppens innebörd rätt så att lämpliga skyddsåtgärder vidtas i samband med hantering av per- sonuppgifter.