prop · H503298 · 2018-09-14 00:00:00 — i nu aktuellt fall uppgiften att forska. Något motsvarande krav på att grunden för behandlingen ska vara fastställd i unionsrätt eller nationell rätt när det är fråga om bl.a. uppgift av allmänt intresse finns inte i dataskyddsdirekti- vet. Det har därför t.ex. ansetts möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbets- uppgift av allmänt intresse, även om uppgiften inte är fastställd i författ- ning eller liknande. Detta har bl.a. inneburit att grunden uppgift av allmänt intresse har kunnat åberopas av enskilda som utför sådana uppgifter utan författningsstöd, t.ex. privata forskningsutförare. I detta avseende innebär dataskyddsförordningen en väsentlig förändring i förhållande till vad som gäller . Att grunden för en behandling ska vara fastställd i nationell rätt är vis- serligen en nyhet i förhållande till dataskyddsdirektivet, men i nämnda proposition konstateras att det inte är någon nyhet när det gäller svenska myndigheters behandling av personuppgifter, då legalitetsprincipen är en av de principer som kännetecknar som rättsstat (s. 49 f.). Legali- tetsprincipen är grundlagsfäst genom 1 kap. 1 § RF, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som har beslutat, utan även andra för- fattningar och t.ex. sedvanerätt (prop. 1973:90 s. 397 och KU 1973:26 s. 59). Legalitetsprincipen innebär alltså att myndigheternas maktutövning i vidsträckt mening, även i den mån denna förutsätter behandling av person- uppgifter, måste ha stöd i någon av de källor som tillsammans bildar rätts- ordningen. När det gäller den bestämmelse i artikel 6.3 som anger att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas kons- tateras i nämnda proposition att bestämmelsen motsvarar det krav som ställer på lagstiftaren i en rättsstat. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna har Europakon- ventionen inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åta- ganden enligt . Det bör därför vara mycket ovanligt att svensk rätt inte uppfyller krav. Mot denna bak- grund bör utgångspunkten vara att dataskyddsförordningens krav i art. 6.3 är uppfyllt i fråga om bl.a. de uppgifter av allmänt intresse som fastställs i enlighet med svensk rätt. Myndigheternas uppdrag och åligganden framgår av författningar, rege- ringsbeslut och kommunala reglementen, antagna i enlighet med om normgivningskompetens och kommunalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offent- liggjorts genom tydliga, precisa och förutsebara regler. Statliga myndig- heter får sina uppdrag och befogenheter av riksdag och regering – i myn- dighetsinstruktioner, regleringsbrev och andra regeringsbeslut. På motsva- rande sätt följer de kommunala myndigheternas obligatoriska uppgifter av åligganden som fastställts i lag eller förordning. Även sådana frivilliga åta- ganden som en kommun gör inom ramen för sin allmänna befogenhet ska framgå av gällande rätt, nämligen av det reglemente som fullmäktige ut- färdar för den ansvariga nämnden. En behandling av personuppgifter måste dock i det enskilda fallet vara nödvändig i förhållande till uppgiften av allmänt intresse och följa de grundläggande principer som gäller för personuppgiftsbehandling i artikel 5 (se mer om nödvändighetsrekvisitet nedan och om nämnda principer i avsnitt 8). Dessutom ankommer det på varje svensk myndighet att i all verksamhet iaktta proportionalitetskravet. Detta krav kommer numera även till uttryck i 5 § i den nya förvaltningslagen (2017:900), där det anges att en åtgärd aldrig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot. Såväl offentliga som privata aktörer kan tillämpa den rättsliga grunden uppgift av allmänt intresse Vid tillämpningen av artikel 6.1 e spelar det ingen roll om den personupp- giftsansvarige är en offentlig eller en privat aktör. Om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns en rättslig grund för nödvändig behandling enligt artikel 6.1 e. Det saknar då betydelse om en privat aktör utför verksamheten på direkt uppdrag av en myndighet eller på eget initiativ. Avmonopolisering och konkurrensutsättning av offentlig verksamhet i har inneburit att privaträttsliga organ numera utför en inte obetyd- lig del av de uppgifter som sannolikt skulle anses vara av allmänt intresse, även i begreppets mest snäva bemärkelse. Detta gäller inom den kommu- nala sektorn exempelvis avseende förskoleverksamhet och skola, hälso- och sjukvård samt stöd och service till funktionshindrade. Inom den tradi- tionellt statliga sektorn kan nämnas rikstäckande infrastruktur, kommuni- kation och energiförsörjning. bedrivs verksamheten alltjämt under eller statlig styrning, i form av kommunala eller statliga bolag, men på andra områden förekommer också eller enbart privata subjekt som är associationsrättsligt helt fristående från den offentliga sektorn. I flera av dessa fall är verksamheten av kommersiell karaktär och bygger i viss utsträckning på avtal med den registrerade. I den mån behandling av per- sonuppgifter är nödvändig kan den i sådana fall ske med stöd av artikel 6.1 b i dataskyddsförordningen (den rättsliga grunden avtal), även om uppgif- ten inte skulle vara fastställd i lagstiftningen. När det gäller hälso- och sjukvårdsverksamhet, i både offentlig och privat regi, fastställs dock upp- giften i bl.a. hälso- och sjukvårdslagen (2017:30). På motsvarande sätt regleras uppgiften att tillhandahålla stöd och service till funktionshindrade av lagen (1993:387) om stöd och service till vissa funktionshindrade och 2017/18:298 uppgiften att tillhandahålla insatser inom av socialtjänstla- gen (2001:453). Skolväsendets uppgifter fastställs i skollagen (2010:800), som gäller för både offentliga och enskilda anordnare av sådan utbildning som regleras i den lagen. De uppgifter av allmänt intresse som utförs i syfte att utföra ett uttryck- ligt uppdrag eller till följd av ett åliggande måste anses vara av denna ka- raktär oavsett om de faktiskt utförs i myndighetens egen regi eller om de genom utkontraktering eller entreprenad utförs av någon annan. När en juridisk eller fysisk person, på uppdrag av en eller statlig myn- dighet, utför en förvaltningsuppgift som åligger kommunen eller myndig- heten, bör alltså även den privata utföraren, entreprenören eller det kom- munala bolaget anses utföra en uppgift av allmänt intresse. Ett privaträtts- ligt organ som fullgör ett uppdrag från en myndighet som avser en sådan uppgift som är fastställd i författning, regeringsbeslut eller kommunalt beslut i fullmäktige kan därför vidta nödvändiga behandlingsåtgärder på samma rättsliga grund som om myndigheten själv utfört uppgiften, dvs. med stöd av artikel 6.1 e i dataskyddsförordningen. Det bör noteras att en uppdragstagare som är personuppgiftsbiträde åt myndigheten i stället behandlar personuppgifter med stöd av artikel 28 i dataskyddsförordningen. När det är tveksamt om den verksamhet som en privaträttslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att grunda nödvändig behandling av personuppgifter på en intresseavvägning i enlighet med artikel 6.1 f i dataskyddsförordningen eller genom att in- hämta den registrerades samtycke. Detsamma gäller om verksamheten vis- serligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten. Av skäl 41 i dataskyddsförordningen kan man dra slutsatsen att den rättsliga grunden inte måste fastställas i en av beslutad lag men däremot att grunden måste vara fastställd i laga ordning, dvs. på ett kons- titutionellt korrekt sätt. Vad detta konkret innebär i svensk rätt när det gäl- ler uppgift av allmänt intresse har preciserats 2 kap. 2 § 1 dataskyddslagen. Enligt den bestämmelsen får personuppgifter behandlas med stöd av arti- kel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författ- ning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Av skäl 41 i dataskyddsförordningen framgår också att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Europeiska unio- nens domstol och Europeiska domstolen för de mänskliga rättigheterna. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nöd- vändig måste bedömas från fall till fall, utifrån behandlingens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen medan ett mer kännbart intrång kräver att den rättsliga grun- den är mer preciserad och därmed gör intrånget förutsebart (propositionen Ny dataskyddslag, s. 51). På forskningsområdet innebär detta att uppgiften att forska måste vara reglerad i den nationella rätten på det sätt som framgår av 2 kap. 2 § 1 dataskyddslagen för att den rättsliga grunden i artikel 6.1 e ska vara til- lämplig och kunna åberopas. Det ställs däremot inte något krav enligt data- skyddsförordningen på att uppgiften att forska ska vara fastställd för respektive forskningsutförare i separata författningar. Som nämnts ovan får personuppgifter behandlas om behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse (artikel 6 1 e). Syftet med behandlingen ska vara nödvändigt för att utföra en uppgift av allmänt intresse (artikel 6.3). Nödvändighetsrekvisitet har även gällt enligt artiklarna 6 och 7 i data- skyddsdirektivet och 10 § PUL. Enligt be- tyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan underlåtas. Det unionsrättsliga begreppet har dock inte denna strikta innebörd. Nödvändighetsrekvisitet i dataskyddsdirektivet har t.ex. inte an- setts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i dom i målet Huber mot , som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). uttalade att en myndighets fö- rande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, ef- tersom en informationshantering inte utgör ett realistiskt alterna- tiv för vare sig myndigheter eller företag. Att det ska vara nödvändigt att behandla en uppgift ska enligt regeringens bedömning således inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personupp- giftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening. Kravet på att ändamålet ska vara nöd- vändigt för att utföra en uppgift av allmänt intresse innebär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan behand- ling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (propositionen Ny dataskyddslag s. 46 f. och 60). 2017/18:298 För forskningens del innebär nödvändighetsrekvisitet i artikel 6.1 i data- skyddsförordningen att personuppgiftsbehandlingen måste vara nödvän- dig för att forskningen ska kunna utföras, men utifrån en rimlighetsbedöm- ning av vilka alternativa sätt att utföra forskningsuppgiften som är möjliga. I forskningssammanhang bör den rimlighetsbedömningen även kunna om- fatta bedömningen av huruvida användandet av personuppgifter kan med- föra högre kvalitet och tillförlitlighet i forskningsresultatet. Behandling av personuppgifter är enligt dataskyddsförordningen även lag- lig om den är nödvändig för ändamål som rör den personuppgiftsansvari- ges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och krä- ver skydd av personuppgifter, särskilt när den registrerade är ett barn (ar- tikel 6.1 f första stycket). Motsvarande grund har enligt dataskyddsdirek- tivet och PUL även kunnat tillämpas av myndigheter. I artikel 6.1 andra stycket i dataskyddsförordningen klargörs dock att den rättsliga grunden intresseavvägning inte gäller för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Vid den rättsliga grunden intresseavvägning ska behandlingen av per- sonuppgifter vara nödvändig för ett ändamål som rör ett berättigat intresse. Nödvändighetsrekvisitet har behandlats i avsnitt 7.1.2. Av skäl 47 till dataskyddsförordningen framgår att vid bedömningen av om den rättsliga grunden intresseavvägning kan tillämpas ska den registre- rades rimliga förväntningar till följd av förhållandet till den personupp- Som exempel på när en personuppgiftsansvarig kan ha ett berättigat intresse nämns att det föreligger ett relevant och lämp- ligt förhållande mellan den registrerade och den personuppgiftsansvarige, t.ex. att den registrerade är kund hos eller arbetar för den personuppgifts- Ett berättigat intresse kräver under alla omständigheter en nog- grann bedömning som inbegriper huruvida den registrerade för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en behandling kan komma att ske. intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre om personuppgifter behandlas under omständigheter där den regi- strerade inte rimligen kan förvänta sig någon ytterligare behandling. behandling av personuppgifter som är absolut nödvändig för att förhindra bedrägerier utgör också ett berättigat intresse för berörd personuppgifts- Behandling av personuppgifter för direkt marknadsföring kan betraktas som ett berättigat intresse (skäl 47 till dataskyddsförordningen). Som nämnts tidigare framhålls vetenskaplig forskning i dataskyddsdi- rektivets skäl 34 som ett exempel på viktigt allmänt intresse som kan mo- tivera undantag från förbudet att behandla känsliga personuppgifter. förarbetena till personuppgiftslagen exemplifieras vidare arbetsuppgifter som kan vara av allmänt intresse med till exempel arkivering, forskning och framställning av statistik. Det konstateras vidare att arbetsuppgiften kan utföras av såväl en myndighet som ett enskilt subjekt och att det inte är något hinder för bedömningen av om en arbetsuppgift är av allmänt intresse att någon kan tjäna pengar på att utföra den (SOU 1997:39 s. 364). Enligt regeringens uppfattning bör en uppgift, som bedöms vara av all- Prop. 2017/18:298 mänt intresse men som inte har fastställts i unionsrätten eller nationell rätt, i många fall kunna anses vara ett berättigat intresse enligt artikel 6.1 f. Artikel 29-gruppen har när det gäller dataskyddsdirektivet uttalat att intresset måste vara tillräckligt tydligt angett för att kunna vägas mot den registrerades intressen och grundläggande rättigheter. Intressets art kan va- riera. Vissa intressen kan vara tvingande och gynna samhället i stort, t.ex. intresset av att genomföra vetenskaplig forskning. Andra intressen kan vara mindre akuta för samhället som helhet eller åtminstone kan samhälls- effekterna av dessa vara blandade. Begreppet berättigat intresse kan om- fatta ett brett spektrum av intressen. Bland de vanligaste sammanhang där frågan om berättigat intresse i den mening som avses i artikel 7 i data- skyddsdirektivet kan uppstå nämner Artikel 29-gruppen behandling för historiska, vetenskapliga eller statistiska ändamål och behandling för forskningsändamål (Yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv /46/EG). Eftersom artikel 6.1 f i dataskyddsförordningen motsvarar artikel 7 f i dataskyddsdirektivet bör vägledning kunna sökas i detta yttrande även när det gäller tillämpningen av artikel 6.1 f. Som nämnts ovan följer det dock av artikel 6.1 andra stycket dataskyddsförordningen att myndigheter, bl.a. universitet och hög- skolor med statlig huvudman, inte längre får åberopa denna grund för per- sonuppgiftsbehandling när de fullgör sina uppgifter. 7.2Möjligheterna för olika forskningsutförare att åberopa olika rättsliga grunder Regeringens bedömning: Dataskyddsförordningen bör normalt inte innebära något hinder för forskningsutförare att använda samtycke som rättslig grund för sin personuppgiftsbehandling. Det måste dock beaktas om det föreligger en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt, särskilt när den personuppgifts- ansvarige är en offentligrättslig forskningsutförare. Utredningens bedömning överensstämmer i sak med regeringens Utredningen gjorde fler bedömningar med inriktning på olika aspekter av ett giltigt samtycke. Remissinstanserna: Ingen remissinstans yttrar sig i frågan om utred- ningens bedömning av olika forskningsutförares möjlighet att använda den rättsliga grunden samtycke. De flesta remissinstanser som yttrar sig delar i huvudsak utredningens bedömning av innebörden av samtycke. Några remissinstanser, bl.a. och läns landsting, problematiserar kring samtyckens giltighet vid ett ojämlikt förhållande mellan den personuppgiftsansvarige och den registrerade. anser att en diskussion borde ha förts kring hur äldre samtycken som inhämtats innan dataskyddsdirektivet infördes ska hante- Flera remissinstanser, Verket för innovationssystem (), Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU), och Cancerfonden, tar upp frågan om tolkningen av skäl 33 i dataskyddsförordningen och vikten av att kunna använda s.k. breda samtycken i forskningen. Några remissinstanser kommenterar också utredningens bedömning när det gäller ytterligare behandling av personuppgifter som inhämtats med stöd av samtycke. och anser att möjligheten att ytterligare behandla personuppgifter som inhämtats med samtycke bör regleras. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Datainspektionen konstaterar att samtycke kan an- vändas som rättslig grund så länge det inte är fråga om ett ojämlikt förhål- lande. Inspektionen anser att man bör iaktta försiktighet när man gör en bedömning av om samtycke kan utgöra en rättslig grund och framhåller att det inte enbart är i de situationer där det råder ett direkt maktförhållande mellan den personuppgiftsansvarige och den registrerade som möjligheten att använda samtycke är begränsad. framhåller att sam- tycke kan vara problematiskt när den registrerade upplever sig beroende av den personuppgiftsansvarige. Universitet anser att det krävs en mer in- gående analys av när ett betydande ojämlikhetsförhållande föreligger. Skälen för regeringens bedömning Alla personuppgiftsansvariga som vill använda den rättsliga grunden sam- tycke för sin personuppgiftsbehandling har att beakta förutsättningarna som angivits i avsnitt 7.1.1 för att ett giltigt samtycke ska föreligga. Kravet på frivillighet som gäller för att ett samtycke ska vara giltigt är formulerat på samma sätt i dataskyddsförordningen som i PUL. Det fak- tum att det kan råda en betydande ojämlikhet i förhållandet mellan den personuppgiftsansvarige och den som har att lämna samtycke har föranlett införandet av skäl 43 i dataskyddsförordningen. Där anges det att för att säkerställa att samtycket lämnas frivilligt bör samtycket inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personupp- giftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte medger att separata sam- tycken lämnas för olika behandlingar av personuppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbe- gripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande. I ett yttrande om samtycke har Artikel 29-gruppen uttalat att inom den offentliga sektorn är behandlingen av uppgifter normalt knuten till fullgö- randet av en rättslig förpliktelse eller utförandet av en arbetsuppgift av all- mänt intresse och att då använda samtycke från den berörda individen för att legitimera behandlingen av uppgifterna är inte en lämplig rättslig grund (Yttrande 15/2011 om definitionen av begreppet samtycke). Artikel 29- gruppen pekar på att detta är särskilt tydligt när det gäller hur personupp- gifter behandlas av offentliga myndigheter som har officiella maktbefo- genheter, till exempel rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. Polis- myndigheterna kan inte utgå från att enskilda personer ska samtycka till åtgärder som inte anges i eller inte skulle tillåtas enligt gällande lag. Som nämnts i avsnitt 7.1.1 har Artikel 29-gruppen antagit under Regulation 2016/679, som kompletterar tidigare yttranden. Artikel 29-gruppen uttalar i vägledningen att det generellt är osannolikt att offentliga myndigheter kan förlita sig på den rättsliga grunden samtycke eftersom det ofta föreligger ett sådant ojämlikt maktförhållande mellan myndigheten som är personuppgiftsansvarig och den registrerade. I många fall har inte den registrerade något alternativ förutom att acceptera myndighetens villkor för behandling av personuppgifter. Arbetsgruppen anser därför att andra rättsliga grunder i princip är lämpligare att använda än samtycke för offentliga myndigheter. Arbetsgruppen anger emellertid i vägledningen att det inte är helt uteslutet att offentliga myndigheter kan använda samtycke enligt dataskyddsförordningen, utan att det kan vara lämpligt under vissa omständigheter (under Regulation 2016/679, s. 6). När det gäller offentliga forskningsutförare kan det enligt regeringens bedömning förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroendeställning i förhållande till den personuppgiftsansvarige. För statliga forskningsutförare med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid en sådan inrättning.