prop · H503298 · 2018-09-14 00:00:00 — 6.behandling av känsliga personuppgifter och personuppgifter om lag- överträdelser bara får godkännas om den är nödvändig för att forsk- ningen skall kunna utföras, 7.forskning får godkännas bara om den ska utföras av eller under över- inseende av en forskare som har den vetenskapliga kompetens som be- Ett beslut om etikgodkännande kan förenas med villkor. Detta används i de fall integritetsaspekterna kan tas tillvara på ett tillfredsställande sätt genom särskilda villkor, istället för att en ansökan avslås. Av sista meningen i 6 § etikprövningslagen framgår att ett etikgodkän- nande inte medför att forskningen får utföras om den strider mot någon annan författning. Dataskyddsförordningen ställer krav på lämpliga och särskilda skyddsåt- gärder Dataskyddsförordningen nämner inte specifikt etikprövning som en skyddsåtgärd. Vid personuppgiftsbehandling för forskningsändamål anges krav på skyddsåtgärder i flera artiklar i förordningen. All personuppgiftsbehandling för forskningsändamål måste omfattas av lämpliga skyddsåtgärder, men dessa måste inte vara fastställda i unionsrätt eller nationell rätt (artikel 89.1). Det finns dock inget hinder i förordningen mot att nationellt reglera skyddsåtgärder med stöd av artikel 89.1. Behandling av känsliga personuppgifter för forskningsändamål måste omfattas av lämpliga och särskilda åtgärder som är fastställda i unionsrätt eller nationell rätt (artikel 9.2 j). Behandling av personuppgifter om lagöverträdelser för forskningsända- mål som utförs av andra än myndigheter får utföras när behandling är til- låten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder måste vara fastställda (artikel 10). Dataskyddsförordningens krav har stora likheter med de krav som det upphävda dataskyddsdirektivet ställde. Dataskyddsdirektivet krävde lämpliga skyddsåtgärder för behandling av känsliga personuppgifter och lämpliga och specifika skyddsåtgärder vid behandling av personuppgifter om lagöverträdelser. Regeringen finner ingen anledning att anta att begreppet särskilda skyddsåtgärder så som det används i dataskyddsför- ordningen skulle innebära någon skillnad i sak jämfört med begreppet spe- cifika skyddsåtgärder. Denna bedömning stärks också av att den engelska versionen av artikel 9.2 j i dataskyddsförordningen anger ett krav på ”sui- table and specific measures to safeguard” och den engelska versionen av artikel 8.5 i dataskyddsdirektivet angav kravet på ”suitable specific safe- guards”. Det engelska begreppet specific har således översatts till såväl särskilda som specifika i respektive svensk version av dataskyddsförord- ningen och dataskyddsdirektivet. 2017/18:298 Syftet med de skyddsåtgärder som enligt artikel 9.2 j i dataskydds- förordningen ska omfatta behandling av känsliga personuppgifter för forskningsändamål ska vara att säkerställa den registrerades grundläg- gande rättigheter och intressen. I artikel 10 anges att kravet på lämpliga skyddsåtgärder syftar till att skydda de registrerades rättigheter och fri- heter vid personuppgiftsbehandling av uppgifter om lagöverträdelser. Någon motsvarande formulering av syftet med skyddsåtgärderna fanns inte i dataskyddsdirektivet, som dock hade som övergripande syfte att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter (artikel 1). Det framgår av 7 och 8 §§ etikprövningslagen att forskning bara får godkännas om den kan utföras med respekt för människovärdet och att mänskliga rät- tigheter och grundläggande friheter alltid ska beaktas vid etikprövningen. Ansvaret för att varje enskild personuppgiftsbehandling uppfyller data- skyddsförordningens krav på lämpliga och särskilda skyddsåtgärder åvilar alltid den personuppgiftsansvarige. I avsnitt 9.1 finns utförligare beskriv- ningar av dataskyddsförordningens krav på skyddsåtgärder generellt. Tillämpningsområdet för kravet på etikprövning Regeringens bedömning: Tillämpningsområdet för etikprövnings- lagen bör inte utvidgas till att omfatta all behandling av personuppgifter Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Samtliga remissinstanser som har yttrat sig tillstyr- ker eller har inga invändningar mot bedömningen. Av dem som uttryckli- gen tillstyrker återfinns Västra , , i , Regionala etikprövnings- utvärdering (IFAU), och . anser att en utvidgning av etikprövningen till att om- fatta all personuppgiftsbehandling för forskningsändamål knappast är en praktisk genomförbar lösning och att de föreslagna generella skyddsåtgär- derna att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt förefaller vara en mer proportionerlig åtgärd. bakom utredningens bedömning och anser att nuvarande reglering av vil- ken forskning som ska etikprövas överensstämmer väl med dataskydds- förordningens krav på lämplig och särskild skyddsåtgärd för personupp- giftsbehandling av känsliga personuppgifter. En utvidgning av etikpröv- ningslagens tillämpningsområde skulle enligt kunna innebära minskade möjligheter för forskare att initiera och genomföra insamlingar och studier till följd av att krav om etikprövning föreligger oavsett vilken typ av personuppgiftsbehandling som ska genomföras. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Samtliga remissinstanser som har yttrat sig tillstyr- ker eller har inga invändningar mot bedömningen. Detta gäller bland annat i som delar denna bedömning. 2017/18:298 kommun anser att utöver de skäl som framförs av regeringen bör beaktas att ett utvidgande av tillämpningsområdet till att omfatta alla per- sonuppgifter skulle medföra negativa konsekvenser för möjligheterna att bedriva forskning till följd av betydligt ökade byråkratiska krav. Därtill skulle möjligheterna att bedriva forskning som grundas på vad som får anses vara harmlös information försvåras och innebära en onödig arbetsin- sats för den blivande . Skälen för regeringens bedömning Mot bakgrund av dataskyddsförordningens krav på lämpliga skyddsåtgär- der för all behandling av personuppgifter för forskningsändamål och det faktum att etikprövning är en fastställd skyddsåtgärd för käns- liga personuppgifter och personuppgifter om lagöverträdelser finns det an- ledning att överväga om kravet på etikprövning ska utvidgas till att gälla all behandling av personuppgifter för forskningsändamål. Att bedöma vilket tillämpningsområde etikprövningslagen bör ha hand- lar ytterst om att hitta en balans mellan etiska principer och andra värden som bör vägas in. En uttrycklig avgränsning av etikprövningens tillämp- ningsområde skapar tydlighet för forskare bl.a. vid planering av forsk- ningsprojekt. Rättssäkerhetsaspekten, med tonvikt på förutsebarhet, är minst lika viktig för allmänhetens förtroende för systemet. Kravet på etik- prövning kan också anses vara en begränsning av forskningens frihet, fors- karens möjlighet att fritt använda sig av personuppgifter i forskningen, vil- ket kräver proportionalitet i avgränsningen av tillämpningsområdet. Definitionen av personuppgift är vidsträckt En personuppgift är enligt definitionen i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person (artikel 4.1). Alla uppgifter som enskilt eller tillsammans med andra upp- gifter kan knytas till en levande person omfattas. Om etikprövningslagens tillämpningsområde utvidgas till att omfatta all behandling för personuppgiftsändamål skulle kravet på etikprövning om- fatta varje slags behandling för forskningsändamål även av indirekta per- sonuppgifter utan någon sannolik integritetsmässig risk. Att kräva en så omfattande skyddsåtgärd, som etikprövning innebär, för behandling av alla slags personuppgifter är enligt regeringens uppfattning inte propor- tionerligt sett i relation till skyddsintresset. Konsekvenserna för såväl fors- kningsutförarna som för etikprövningsorganisationen skulle också bli omotiverat omfattande, med ökad arbetsbörda och ökade resursbehov. Befintliga kategoriseringar utgör en lämplig avgränsning av vilka personuppgifter som ska etikprövas Behandling av andra personuppgifter än känsliga personuppgifter eller personuppgifter om lagöverträdelser har i tidigare lagstiftningssamman- hang bedömts inte vara av särskilt integritetskänslig karaktär. Det bör dock i sammanhanget framhållas att en sådan uppfattning i viss mån kan vara subjektiv, vad någon uppfattar som integritetskänsligt kan någon annan uppfatta som helt oproblematiskt. En större mängd uppgifter som var och en för sig är av mindre integritetskänslig karaktär kan samlade innebära en ökad integritetsrisk för den registrerade. Med en så vid definition av per- sonuppgift som framgår av såväl den upphävda PUL som EU:s data- skyddsförordning kan alla olika slags personuppgifter graderas på en skala från mycket integritetskänsliga till i det närmaste helt utan integritets- mässig risk att behandla. Det är regeringens uppfattning att PUL:s katego- riseringar avseende känsliga personuppgifter och personuppgifter om lagöverträdelser alltjämt är rimliga och lämpliga avgränsningar för vad som generellt kan karaktärisera sådana integritetskänsliga personuppgifter som kräver ett ökat skydd. Denna bedömning gäller förstås med de juste- ringar av dessa begrepp som EU:s dataskyddsförordningen innebär (se vi- dare avsnitt 10 och 11). Tillämpningsområdet ska vara tydligt, precist och förutsägbart Det är viktigt att en avgränsning är så lätt att tillämpa som möjligt och uppfyller grundläggande krav på rättssäkerhet, inbegripande förutsägbarhet. Metoden att räkna upp de situationer som ska etikprövas får anses uppfylla detta syfte. De situationer som inte räknas upp ska såle- des inte etikprövas. Denna avgränsning är, enligt regeringens uppfattning, såväl tydlig och precis som förutsägbar och proportionerlig i enlighet med dataskyddsförordningens krav. finns dessutom i förordningen (2003:615) om etikprövning av forskning som avser människor ett förfa- rande med rådgivande yttrande för ärenden där forskningen inte omfattas av etikprövningslagens tillämpningsområde (4 a §). Andra skyddsåtgärder bör komma ifråga när personuppgiftsbehandling för forskningsändamål sker i andra fall Etikprövningens syfte är att skydda den enskilda människan och respekten för människovärdet vid forskning. Vid personuppgiftsbehandling handlar detta främst om att skydda den enskilde från skada vid kränkning av den personliga integriteten. Finns det i princip ingen risk för sådan skada bör inte heller någon etikprövning behöva ske. Regeringens samlade bedöm- ning är därför att en utvidgning av etikprövningslagen till att omfatta all personuppgiftsbehandling för forskningsändamål skulle undergräva själva syftet med skyddsåtgärden och dessutom riskera att urholka förtroendet för etikprövningssystemet. För att uppnå ett lämpligt skydd i enlighet med dataskyddsförordningens krav för personuppgiftsbehandling för forsk- ningsändamål som inte omfattar känsliga personuppgifter eller personupp- gifter om lagöverträdelser bör således andra skyddsåtgärder komma ifråga. Regeringen instämmer således med som anser att ett utvidgande av etikprövningen till att omfatta all personuppgiftsbehandling för forskningsändamål knappast är en praktiskt genomförbar lösning och att skyddsåtgärder som innebär att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt förefaller vara en mer proportionerlig åt- gärd. Som framgår av avsnitt 9.4 anser regeringen att det framgår direkt av dataskyddsförordningen att personuppgifter bör pseudonymiseras eller skyddas på likvärdigt sätt. Regeringens sammantagna bedömning är således att etikprövningsla- gens tillämpningsområde inte bör utvidgas till att omfatta all personupp- giftsbehandling för forskningsändamål. 10 Det behövs kompletterande nationella Prop. 2017/18:298 bestämmelser för behandling av känsliga personuppgifter 10.1Förbudet mot behandling av känsliga person- uppgifter utvidgas Dataskyddsförordningen innehåller, i likhet med dataskyddsdirektivet, ett principiellt förbud mot behandling av särskilda kategorier av uppgifter samt flera undantag från detta förbud (artikel 9 i dataskyddsförordningen respektive 8 i dataskyddsdirektivet). I PUL användes benämningen käns- liga personuppgifter för de uppgifter som omfattas av denna särskilda reglering. Dessa var enligt dataskyddsdirektivet och 13 § PUL personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Enligt dataskyddsförordningen omfattar de särskilda kategorierna av uppgifter även genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Särskilda kategorier av personuppgifter benämns känsliga personuppgif- ter i dataskyddslagen I såväl dataskyddsdirektivet som i dataskyddsförordningen benämns de personuppgifter som omfattas av förbudet som särskilda kategorier av personuppgifter. I dataskyddsförordningens beaktandeskäl omnämns de på ett par ställen som känsliga respektive särskilt känsliga uppgifter (skäl 10 och 51). I PUL har särskilda kategorier av personuppgifter kallats känsliga personuppgifter, utan att detta närmare har kommenterats i förarbetena. I dataskyddslagen används begreppet känsliga person- uppgifter som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i data- skyddsförordningen. Bakgrunden till detta förslag är att begreppet får anses väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i författningstext (prop. 2017/18:105 s. 75). 10.2Dataskyddsförordningen möjliggör behandling av känsliga personuppgifter för forsknings- ändamål Dataskyddsförordningens förbud mot att behandla känsliga personuppgif- ter kompletteras, liksom i direktivet, av en rad undantag som möjliggör sådan behandling i vissa fall. Förbudet i sig, liksom undantagen, är direkt tillämpliga genom förordningen och kräver alltså inga åtgärder av med- Vissa av undantagen innehåller dock hänvisningar till natio- nell rätt som kan innebära att lagstiftningsåtgärder bör vidtas för att dessa undantag ska vara tillämpliga (artikel 9.2). 2017/18:298 Av förordningen framgår att känsliga personuppgifter får behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen för ett eller flera specifika ändamål, utom då unionsrätten eller medlemssta- ternas nationella rätt föreskriver att förbudet inte kan upphävas av den registrerade (artikel 9.2 a). I artikel 9.2 j finns ett uttryckligt undantag från förbudet mot behandling av känsliga personuppgifter, som anger att förbudet inte gäller om behand- lingen är nödvändig för bl.a. forskningsändamål i enlighet med arti- kel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den registre- rades grundläggande rättigheter och intressen. Av artikel 89.1 följer att all personuppgiftsbehandling för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakt- tas. Dataskyddsförordningen ger därmed en explicit möjlighet till behand- ling av känsliga personuppgifter för forskningsändamål. Som nämnts fanns inte något sådant explicit undantag för behandling av personuppgif- ter för forskningsändamål i dataskyddsdirektivet. Enligt dataskyddsdirek- tivet var det emellertid möjligt för medlemsstaterna att under förutsättning av lämpliga skyddsåtgärder besluta om undantag från förbudet att be- handla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse (artikel 8.4). I PUL fanns undantag för behandling av känsliga personuppgifter för forskningsändamål i 19 §, som angav att känsliga personuppgifter fick behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. 10.3Etikprövning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter för forskningsändamål Regeringens bedömning: Etikprövning enligt etikprövningslagen är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs för behandling av känsliga personuppgifter för andra forskningsända- mål än klinisk läkemedelsprövning enligt EU:s dataskyddsförordning. Utredningens bedömning och förslag överensstämmer delvis med regeringens bedömning. Utredningen föreslår att det ska regleras i en forskningsdatalag att känsliga personuppgifter får med stöd av artikel 9.2 j i dataskyddsförordningen behandlas om behandlingen är nödvändig för forskningsändamål och om behandlingen har godkänts enligt etikpröv- ningslagen. Utredningen föreslår även en kompletterande bestämmelse i andra stycket i den föreslagna paragrafen som upplyser om att övriga krav på etikprövning av behandling av känsliga personuppgifter för forsknings- ändamål framgår av etikprövningslagen. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. Ett flertal lands- ting, däribland i län, , län, Västra Göta- lands län, , län, , och ser positivt på förslaget. anser att det är av godo att upprätthålla ett starkt nationellt skydd för känsliga per- sonuppgifter genom den föreslagna bestämmelsen. , Cancerfon- den och Nationellt biobanksråd framhåller att de stödjer förslaget. påpekar att det är rimligt och bra att alla personupp- gifter inom den utökade definitionen av känsliga personuppgifter ska få behandlas när det är nödvändigt för forskningsändamålet och efter etik- prövning. (Smer) tillstyrker utredningens förslag att kravet på etikprövning enligt etikprövningslagen ska kvarstå för tillåtelse för behandling av känsliga personuppgifter när denna behandling är nöd- vändig för att uppnå forskningsändamålet. Smer ifrågasätter dock om det är ett tillräckligt krav för tillåtelse ”när denna är nödvändig för att uppnå forskningsändamålet”. förordar att begreppet ”särskilda kategorier av person- uppgifter” används istället för begreppet ”känsliga personuppgifter”. anser att utredningen föreslår ett avsteg från data- skyddsförordningens vokabulär utan att ange någon egentlig förklaring till detta förslag. anser att begreppet ”känsliga personuppgif- ter” bör strykas ur lagstiftningen. Att använda dataskyddsförordningens terminologi ”särskilda kategorier av personuppgifter” tydliggör att det inte är upp till forskaren att bestämma vilka uppgifter det är fråga om, samt underlättar ett av dataskyddsförordningens huvudsyften, nämligen den fria rörligheten av personuppgifter inom EU. Datainspektionen avstyrker utredningens förslag till upplysningsbe- stämmelse då den är otydlig på så sätt att bestämmelsen i sig eller de vill- kor som framgår av etikprövningsnämnders beslut kan komma att uppfat- tas som den rättsliga regleringen av behandling av känsliga personuppgif- ter, trots att dataskyddsförordningens krav alltid är tillämpliga. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga synpunkter på bedömningen. Detta gäller bl.a. Kammarrätten i , Förvaltningsrätten i , Justitiekans- lern (JK), i , Regionala etik- prövningsnämnden i , , universitet, , , uni- versitet, , , Försvarsmak- ten, , , Folkhälsomyndig- heten, för hälsa, arbetsliv och välfärd, , Inspektionen för socialförsäkringen, Arbetsgi- varverket, Kungl. Datainspektionen anser att etikprövning är en viktig skyddsåtgärd, men framhåller att en förutsättning för att etikprövningen ska kunna vara en skyddsåtgärd i dataskyddsförordningens mening är att etikprövnings- nämnder utgår från förordningens krav, när de tar ställning till frågor som rör personuppgiftsbehandling. Utöver detta finns det, , 2017/18:298 situationer där etikprövningslagens tillämpningsområde inte överensstäm- mer med dataskyddsförordningen. Ett exempel på detta är när personupp- giftsansvariga som bedriver forskning som omfattar känsliga personupp- gifter är etablerade i , men bedriver forskning utomlands. Den per- sonuppgiftsansvarige kan inte få något etikgodkännande för forskningen utomlands, men kommer att omfattas av dataskyddsförordningens förbud mot behandling av personuppgifter. Mot bakgrund av detta anser Data- inspektionen att det fortsatta lagstiftningsarbetet bör omfatta en analys huruvida det är aktuellt att uppställa andra former av skyddsåtgärder för de registrerades del. Skälen för regeringens bedömning Undantag från förbudet att behandla känsliga personuppgifter kräver att nationell rätt innehåller bestämmelser om skyddsåtgärder Som nämnts ska enligt artikel 9.2 j i dataskyddsförordningen förbudet mot behandling av känsliga personuppgifter inte tillämpas om behandlingen är nödvändig för bl.a. vetenskapliga eller historiska forskningsändamål i en- lighet med artikel 89.1, på grundval av unionsrätten eller medlemsstater- nas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och inne- hålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I skäl 10 anges att dataskyddsförordningen är avsedd att ge medlemssta- terna handlingsutrymme att specificera bestämmelser för behandlingen av känsliga uppgifter samt att förordningen inte utesluter att det fastställs när- mare omständigheter och mer exakta villkor för laglig behandling av per- I skäl 52 nämns att vissa undantag från förbudet att behandla känsliga personuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter, när allmänintresset motiverar detta, samt att sådant undantag får göras för bl.a. vetenskapliga eller historiska forskningsändamål. även skrivningarna i skäl 8 beaktas, där det anges att om dataskydds- förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemssta- terna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt. I propositionen Ny dataskyddslag konstaterar regeringen att det inte är helt klart vilken innebörd hänvisningarna till och kraven på unionsrätten och den nationella rätten, som finns i flera av de punkter i artikel 9.2 som innehåller undantag från förbudet att behandla känsliga personuppgifter, har eller vilken betydelse det har att de utformats på olika sätt. gör där bedömningen att undantaget i sig inte måste genomföras i nationell rätt för att vara tillämpligt, men att det är uppenbart att det vid behandling av känsliga personuppgifter för bl.a. forskningsändamål krävs ett stöd i svensk rätt utöver det som dataskyddsförordningen ger. tikel 9.2 j går utöver de krav som ställs på rättslig grund enligt artikel 6 i Tröskeln för att den personuppgiftsansvarige ska få behandla känsliga personuppgifter är således högre än den som gäller för behandling av andra personuppgifter i samma situation. I artikel 9.2 j tillkommer ett krav på att gällande rätt innehåller bestämmelser om lämp- liga och särskilda åtgärder för att säkerställa den registrerades grundläg- gande intressen.