prop · H503298 · 2018-09-14 00:00:00 — och Västra ställer sig frågade till varför pseudonymisering och kodning skulle utgöra två olika typer av åtgärder och befarar att detta kommer leda till att förvirring på området kvarstår. (Smer) ifrågasätter undantagsformule- ringen i bestämmelsen som föreslås införas i forskningsdatalagen, i vilken det anges att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål - ”förutsatt att ändamålet kan uppnås på sådant vis.” Det behövs ett förtydligande av denna bestämmelse. Formuleringen är för bred och för otydlig. för hälsa, arbetsliv och välfärd (Forte) anser att for- muleringen”…ska vara pseudonymiserade…” är en olämplig förstärkning av dataskyddsförordningens motsvarande formulering ”… får inbegripa pseudonymisering…”. anser att förslaget ska revide- ras, genom att ”ska” ändras till ”får”, eller att bestämmelsen helt kan utgå och påpekar att regleringen i artikel 89 i dataskyddsförordningen, där pseudonymisering nämns som en möjlig skyddsåtgärd bland andra, utgör en tillräcklig skyddsåtgärd. anser att det finns anled- ning att ifrågasätta om inte kravet på pseudonymisering har fått en alltför långtgående utformning. Cancerfonden vill uppmärksamma att pseudony- misering är en skyddsåtgärd bland flera, och föreslår att det förtydligas genom att ordet bör används istället för ska, dvs. ”…personuppgifter bör pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål…”. anser att frågan bör ställas om inte en mindre långtgående anonymisering av personuppgif- terna vore en bättre avvägning mellan forskningens behov och den enskil- des integritet. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot bedömningen. läns landsting anser att det är viktigt att upprätthålla integritetsskyddet i sam- band med forskning, inte minst för dem som deltar i forskningsprojekt, och 2017/18:298 ställer sig positiv till utredningens förslag om att införa en bestämmelse om att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål förutsatt att ändamålet kan uppfyllas på det viset. Skälen för regeringens bedömning Det framgår av dataskyddsförordningen att pseudonymisering ofta är en lämplig skyddsåtgärd Pseudonymisering framhålls på flera ställen i dataskyddsförordningen som exempel på lämplig skyddsåtgärd. Artikel 89.1 lyfter särskilt fram pseudo- nymisering i samband med personuppgiftsbehandling för forskningsända- mål. I praktiken är också pseudonymisering och liknande åtgärder viktiga för att skydda enskildas integritet i samband med forskning. I samband med registerforskning är det exempelvis vanligt att personuppgifter läm- nas ut från registren i kodad form. Artikel 89.1 anger vidare att skyddsåt- gärderna får inbegripa pseudonymisering under förutsättning att forsk- ningsändamålet kan uppfyllas på det sättet. Annars bör alltså andra lämp- liga skyddsåtgärder vidtas för att uppnå motsvarande skydd. Denna for- mulering öppnar för att det inte i alla situationer är möjligt att pseudony- misera om ändamålet med forskningen ska kunna uppfyllas och att det då måste finnas möjlighet att tillämpa andra lämpliga skyddsåtgärder för att uppnå förordningens krav på skydd för varje enskild personuppgiftsbe- handling. Det framgår således direkt av förordningen att i de fall pseudo- nymisering, enligt definitionen i förordningen, inte är den lämpligaste skyddsåtgärden så ska personuppgifterna omfattas av andra lämpliga skyddsåtgärder för att uppnå dataskyddsförordningens krav. Det bör finnas en möjlighet att inte tillämpa pseudonymisering eller annan likvärdig skyddsåtgärd Den legaldefinition av pseudonymisering som finns i dataskyddsförord- ningen är strikt och ställer framför allt krav på att uppgifterna inte ska kunna tillskrivas en specifik registrerad utan att kompletterande uppgifter (som en kodnyckel) används. Detta kräver att all information som direkt kan identifiera en person ersätts med pseudonymer. Utöver detta krävs även att annan information som kan användas för att indirekt identifiera personen behandlas så att detta är möjligt. Sådan behandling kan medföra att uppgifterna blir mindre lämpade för det aktuella forsk- ningsändamålet. till syftet med pseudonymisering bör det därför vara möjligt att använda alternativa skyddsåtgärder, som uppfyller samma syfte, och därmed ger ett likvärdigt eller bättre skydd. Det kan förekomma forskningsmetoder där identifierande uppgifter såsom personnummer måste bevaras eller behandlas i själva forsk- ningsverksamheten. Forskningsmetoden kan utgöra det minst ingripande sättet att uppnå det förväntade resultatet, och forskningens vetenskapliga värde kan väga upp risken för den enskildes personliga integritet. Det bör därför finnas en möjlighet att inte tillämpa pseudonymisering eller annan likvärdig åtgärd, om forskningsändamålet annars inte kan uppnås. Av dataskyddsförordningen framgår också att tillämpningen av pseudonymi- sering kan minska riskerna för de registrerade och hjälpa personuppgifts- ansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Ett uttryckligt införande av pseudonymisering i förord- ningen är dock inte avsett att utesluta andra åtgärder för dataskydd (skäl 28). Det är i första hand den personuppgiftsansvarige som bedömer om forskningsändamålen kan uppfyllas när pseudonymisering eller liknande skyddsåtgärder tillämpas. I samband med personuppgiftsbehandling för forskningsändamål som etikprövas kan etikprövningsnämnder meddela villkor, bland annat om pseudonymisering. Det är dock alltid den som be- handlar personuppgifterna, dvs. den personuppgiftsansvarige eller person- uppgiftsbiträdet, som ytterst ansvarar för att varje enskild personuppgifts- behandling omfattas av lämpliga skyddsåtgärder i enlighet med data- skyddsförordningens krav. Krav på pseudonymisering eller ett likvärdigt skydd bör inte föreskrivas som skyddsåtgärd i svensk rätt Att pseudonymisering är en central skyddsåtgärd vid behandling av per- sonuppgifter för forskningsändamål framgår direkt av dataskyddsförord- ningen. Att i enlighet med utredningens förslag föreskriva ett ska-krav i svensk lagstiftning, med motsvarande undantagsmöjligheter som i princip redan framgår av förordningen, är enligt ett flertal remissinstanser alltför långtgående. Bland annat Forte, , , Cancerfonden och Kungl. framför att dataskyddsför- ordningen utgör tillräcklig reglering i sammanhanget. Regeringen instäm- mer i denna bedömning och anser att det redan framgår av förordningen att psedonymisering bör användas när det är lämpligt och möjligt i relation till forskningsändamålet och i annat fall bör andra lämpliga skyddsåtgärder komma ifråga för att uppnå motsvarande skyddsnivå. Det är således rege- ringens uppfattning, till skillnad från läns landsting, att utredning- ens förslag inte bör genomföras i denna del. Det finns sekretesskydd även för kodnyckel i vissa fall och folkminnen framför att pseudonymiseringsåtgärder, eller övriga skyddsåtgärder enligt dataskyddslagstiftningen, inte ger något fullgott skydd för individen därför att även de nycklar/samordningsregister som är kopplade till de pseudonymiserade uppgifterna blir allmänna hand- lingar. Regeringen vill i detta sammanhang framhålla att det enligt vissa bestämmelser i 24 kap. offentlighets- och sekretesslagen (2009:400, OSL) gäller sekretess till skydd för enskilda i viss forskning. Enligt 18 kap. 9 § OSL gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med me- toden motverkas om uppgiften röjs och metoden har till syfte att underlätta befordran eller användning i allmän verksamhet av uppgifter utan att före- skriven sekretess åsidosätts. Om det gäller sekretess för uppgifter om enskilda i ett forskningsprojekt där pseudonymisering används kan således också kodnyckeln skyddas. I de fall uppgifterna i forskningsprojektet inte omfattas av sekretess omfattas inte heller kodnyckeln av sekretess. Det hindrar inte att användning av pseudonymisering och andra skyddsåtgär- der ger ett integritetsskydd även om det inte kan upprätthållas om någon 2017/18:298 väljer att låta sin begäran om utfående av allmänna handlingar även om- fatta kodnyckeln. Nämnas kan också att enligt 21 kap. 7 § OSL gällde ti- digare sekretess för personuppgift om det kunde antas att ett utlämnande skulle medföra att uppgiften behandlades i strid med PUL. I och med att PUL nu har upphävts och den generella dataskyddsregleringen i stället finns i dataskyddsförordningen och dataskyddslagen gäller numera enligt 21 kap. 7 § OSL sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförord- ningen eller dataskyddslagen. Regeringen återkommer i avsnitt 15.2 med förslag till ytterligare komplettering av 21 kap. 7 § OSL. 9.5Det följer direkt av dataskyddsförordningen att den registrerade kan invända mot behandling Regeringens bedömning: En skyddsåtgärd som innebär att personupp- gifter, med vissa undantag, inte får behandlas för forskningsändamål om den enskilde motsätter sig sådan behandling bör inte föreskrivas i svensk rätt. Att den registrerade kan invända mot behandling följer direkt av EU:s dataskyddsförordning. Utredningens förslag överensstämmer inte med regeringens bedöm- ning. Utredningen föreslår en bestämmelse i forskningsdatalagen som anger att personuppgifter inte ska få behandlas för forskningsändamål om den registrerade motsätter sig sådan behandling. Om det visar sig vara omöjligt eller medföra en oproportionerlig ansträngning att tillhandahålla den registrerade möjligheten att motsätta sig behandlingen, eller om forsk- ningsändamålen annars inte kan uppfyllas, ska dock personuppgiftsbe- handling ändå få utföras. Remissinstanserna: En större del av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. Ett flertal lands- ting, däribland landstingen i län, , län, , , län, , och samt , Kungl. Vetenskapsaka- demien och Cancerfonden tillstyrker utredningens förslag. tillstyrker förslaget i sak men anser att den negativt formulerade ordalydelsen gör regeln otydlig. () anser att lagtexten är otydligt utformad. I första stycket anges att personuppgifter inte får behandlas om den enskilde motsätter sig det. I andra stycket sägs det att det går bra ändå. För en lekman framstår lagtex- ten enligt som tvetydig. anser att förslaget innebär en dämpande skrivning jämfört med utredningens fö- reslagna undantag från de registrerades rättigheter beträffande rätten att återta eller ändra information och önskar ett förtydligande. Statens medi- cinsk-etiska råd (Smer) anser att formuleringarna som rör undantag för den enskildes möjlighet att motsätta sig att dennes personuppgifter behandlas för forskningsändamål bör förtydligas. Datainspektionen avstyrker utredningens förslag då det inte står klart huruvida denna bestämmelse påverkar de registrerades rättigheter enligt kapitel III i dataskyddsförordningen. anser att den begränsning av den registrerades rättig- Prop. 2017/18:298 heter att invända mot behandling som föreslås står i strid med dennes rät- tigheter att invända mot behandling enligt förordningen. Den föreslagna skrivningen innebär, enligt , sannolikt en kraftig försäm- ring av den registrerades rättigheter i förhållande till dataskyddsförord- ningen. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot bedömningen. Kommuner och Landsting (SKL) noterar att rätten att göra invändningar har en tydlig koppling till vilken rättslig grund som används vid forskningen; samtycke, allmänt intresse eller intresseavvägning. Om det gäller artikel 21.6 torde detta innebära, att om den registrerade invänder mot behandling av dennes personuppgifter för forskningsändamål måste den personuppgiftsansvarige beakta om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse har den registrerade inte rätt att invända. anser att regeringens bedömning innebär en onö- dig försvagning av den registrerades rätt till att motsätta sig behandling för forskningsändamål jämfört med förslag. Institutet framhåller att rätten att motsätta sig deltagande i forskning til- lämpas i praktiken så gott som alltid inom forskningen och anser att denna praxis bör införlivas i svensk rätt, t.ex. genom en lagstiftningsåtgärd enligt artikel 23.1(i) som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artikel 21.6, eller genom ett förtydligande i etikprövningslagen om att kan uppställa krav på att den enskilde ska ges möjlighet att motsätta sig att dennes person- uppgifter behandlas för forskningsändamål. Detta skulle enligt institutet förstärka integritetsskyddet för den enskilde i förhållande till det skydd som ges i dataskyddsförordningen och även stärka förtroendet för forsk- ningen. anser att då frågan är omdebatterad skulle det vara en stor fördel om den svenska lagstiftningen på området kunde för- medla en klar och entydig grund för att tillåta ett opt-out förfarande. Även om det saknas lagtekniska skäl för en sådan reglering skulle den kunna bidra till ökad tydlighet och därmed underlätta för dem som har att tillämpa regleringen. vill i detta sammanhang framhålla att oklarheter i regleringen av förutsättningarna att bedriva forskning kan leda till att forskare av försiktighetsskäl avstår från att utföra sådan forskning som hade varit lagligt möjlig, vilket i sin tur riskerar att få en hämmande effekt på svensk forskning. I förlängningen kan detta leda till sämre förut- sättningar för att hävda sig internationellt, exempelvis med avse- ende på forsknings- och innovationssamarbeten och rekrytering av fram- stående forskare. Skälen för regeringens bedömning Hur förhåller sig den föreslagna skyddsåtgärden till rätten att invända mot behandling? Den registrerade ska, enligt artikel 21 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende ho- nom eller henne som grundar sig på artikel 6.1 e (bl.a. uppgift av allmänt intresse) eller f (intresseavvägning). Den personuppgiftsansvarige får i så fall inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fast- ställande, utövande eller försvar av rättsliga anspråk (artikel 21.1). Senast vid den första kommunikationen med den registrerade ska bl.a. denna rätt uttryckligen meddelas den registrerade och redovisas tydligt, klart och åt- skilt från eventuell annan information (artikel 21.4). Om personuppgifter behandlas för bl.a. vetenskapliga eller historiska forskningsändamål i en- lighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot be- handling av personuppgifter avseende honom eller henne om inte behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Enligt artikel 89.1 ska behandling för bl.a. vetenskapliga eller historiska forskningsändamål omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den registrerades rättigheter och friheter. Skyddsåt- gärderna ska säkerställa att tekniska och organisatoriska åtgärder har in- förts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyl- las genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Utredningen föreslår en skyddsåtgärd som innebär att personuppgifter inte ska få behandlas för forskningsändamål om den registrerade motsätter sig sådan behandling. Om det visar sig vara omöjligt eller medföra en oproportionerlig ansträngning att tillhandahålla den registrerade möjlig- heten att motsätta sig behandlingen, eller om forskningsändamålen annars inte kan uppfyllas, ska dock personuppgiftsbehandling ändå få utföras. En- ligt utredningen ska denna skyddsåtgärd i huvudsak fylla samma funktion som den rätt att invända mot behandling som den registrerade har enligt artikel 21, men omfatta all personuppgiftsbehandling oavsett rättslig grund. Denna skyddsåtgärd ska dock inte vara tillämplig om den rättsliga grunden är samtycke, då det finns möjlighet i dataskyddsförordningen att dra tillbaka sitt samtycke (artikel 7). I det remitterade utkastet till lagråds- remiss görs bedömningen att förslaget inte bör genomföras. och framhåller i sina remissvar över ut- kastet att rätten att invända mot behandling enligt artikel 21 skiljer sig åt beroende på rättslig grund för behandling. och universitet förordar en i nationell rätt fastställd möjlighet att mot- sätta sig behandling. Som framgår av avsnitt 7 är det främst tre rättsliga grunder som är rele- vanta vid forskning: samtycke, uppgift av allmänt intresse eller intresse- avvägning. Artikel 21.6 innebär att om den registrerade invänder mot be- handling av dennes personuppgifter för forskningsändamål måste den per- sonuppgiftsansvarige beakta om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Om behandlingen är nödvändig för att ut- föra en uppgift av allmänt intresse har den registrerade inte rätt att invända. Om forskningen däremot baseras på den rättsliga grunden intresseavväg- ning blir artikel 21.1 tillämplig. Om den registrerade av skäl som hänför sig till hans eller hennes specifika situation gör invändningar mot att per- sonuppgifter avseende honom eller henne behandlas i forskningsprojektet får den personuppgiftsansvarige inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter. Som nämnts ovan var syftet med den föreslagna skyddsåtgärden enligt utredningen att i huvudsak fylla samma funktion som den rätt att invända mot behandling som den registrerade har enligt artikel 21, men omfatta all personuppgiftsbehandling oavsett rättslig grund. Artikel 21 omfattar enligt regeringens bedömning de rättsliga grunder som personuppgiftsbehand- ling för forskningsändamål i praktiken främst kommer att grundas på, för- utom samtycke som enligt artikel 7.2 alltid kan återkallas. Det har vidare tydliggjorts att anser att behandling av personuppgifter vid kliniska läkemedelsprövningar i vissa delar kommer att ske med stöd av den rättsliga grunden rättslig förpliktelse (se vidare avsnitt 10.4). Vid sådan behandling gäller inte rätten att invända enligt ar- tikel 21 i dataskyddsförordningen. Regeringen anser således, till skillnad från , och , att en sådan skyddsåtgärd inte bör fastställas i lag, utan att de möjligheter att invända mot behandling som framgår av dataskyddsförordningen är tillräckliga för såväl integritetsskyddet som förtroendet för forskningen. insti- tutet föreslår vidare ett förtydligande i etikprövningslagen om att Etikpröv- ningsmyndigheten kan uppställa krav på att den enskilde ska ges möjlighet att motsätta sig att dennes personuppgifter behandlas för forskningsända- mål. Enligt 6 § etikprövningslagen får ett godkännande förenas med vill- kor. Det framgår inte närmare av lagen vilka slags villkor som får förenas med ett etikgodkännande. Det är regeringens uppfattning att detta inte hel- ler bör regleras i lag på sådan detaljnivå, utan att det bör vara upp till etik- prövningsnämnderna att bedöma i samband med etikprövningen. Medlemsstaterna har enligt artikel 89.2 rätt att i nationell rätt föreskriva undantag från de rättigheter som avses i bl.a. artikel 21 med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1, i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål. Frågan om det finns något behov av att begränsa rättigheten enligt artikel 21 behandlas i avsnitt 13.6.2. 9.6All personuppgiftsbehandling för forsknings- ändamål ska inte etikprövas 9.6.1Etikprövning är en skyddsåtgärd vid behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser Som regeringen återkommer till i avsnitt 10 innehåller dataskyddsförord- ningen, i likhet med det upphävda dataskyddsdirektivet, ett principiellt för- bud mot behandling av särskilda kategorier av uppgifter samt flera undan- tag från detta förbud (artikel 9 i dataskyddsförordningen respektive 8 i dataskyddsdirektivet). I PUL användes benämningen känsliga personupp- gifter för de uppgifter som omfattas av denna särskilda reglering (13 §). Dessa var enligt dataskyddsdirektivet och PUL personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I dataskyddsförordningen utvidgas de särskilda kategorierna av uppgifter till att också omfatta behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller upp- gifter om en fysisk persons sexualliv eller sexuella läggning. I 3 kap. 1 § dataskyddslagen används benämningen känsliga personuppgifter för nu aktuella kategorier av uppgifter. Som regeringen återkommer till i avsnitt 11 finns det vidare i artikel 10 i dataskyddsförordningen en särskild reglering för personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder. En motsvarande special- reglering för sådana uppgifter fanns i dataskyddsdirektivet och PUL. Enligt PUL fick känsliga personuppgifter behandlas för forskningsända- mål om behandlingen godkänts enligt etikprövningslagen (19 § första stycket PUL). Uppgifter om lagöverträdelser fick behandlas för forsk- ningsändamål av andra än myndigheter om behandlingen hade godkänts enligt etikprövningslagen (21 § andra stycket PUL). Enligt 3 § etikpröv- ningslagen är den lagen tillämplig bl.a. när forskning som ska utföras i innefattar behandling av känsliga personuppgifter enligt 13 § PUL eller personuppgifter om lagöverträdelser enligt 21 § PUL. Sådan forsk- ning får enbart utföras om den har godkänts vid en etikprövning (6 § etik- prövningslagen). Etikprövning utgör således den centrala skyddsåtgärden vid behandling av känsliga personuppgifter eller personuppgifter om lagöver- trädelser för forskningsändamål. Utgångspunkterna för vad som ska beak- tas vid etikprövningen framgår av 7–11 §§ etikprövningslagen. 1.forskning bara får godkännas om den kan utföras med respekt för män- niskovärdet, 2.mänskliga rättigheter och grundläggande friheter alltid ska beaktas vid etikprövningen, som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning, 3.människors välfärd ska ges företräde framför samhällets och vetenska- pens behov, 4.forskning bara får godkännas om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde, 5.forskning inte får godkännas om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet,