prop · H503298 · 2018-09-14 00:00:00 — Stiftelsen skulle bli huvudman för den förändrade högskolan och ytterst ansvarig för dess verksamhet. Med respektive stiftelse som ensam ägare skulle dessutom inrättas dels ett högskolebolag i vilket verksamheten vid högskolan skulle bedrivas, dels ett fastighetsbolag för förvaltning av högskolans fastigheter. I stiftelseförordnandet skulle ändamålet med stif- telsen anges och ett led i det var därvid att stiftelsen såsom ensam ägare till det särskilda högskolebolaget skulle verka för att det vid högskolan i fråga bedrivs utbildning och forskning på en hög internationell nivå. godkände förslaget och godkände därvid också principer som angavs i propositionen för ett ramavtal som skulle träffas mellan staten och 2017/18:298 respektive stiftelse och högskolebolag för att reglera de långsiktiga rela- tionerna mellan parterna (prop. 1992/93:231, bet. 1992/93:UbU18, rskr. 1992/93:405). beslutade regeringen därefter att överföra och till stiftelseform. När stiftelser och högskolebolag bildats träffades sådana ramavtal om ombildning avseende och . Som bilaga till dessa avtal finns ett långsiktigt ramavtal mellan parterna om utbildning och forskning med en underbilaga där statens utbildnings- och forskningsuppdrag till respektive högskola närmare preciseras. I underavtalet anges den ersättning staten ska betala högskolan för den utbildning och forskning som högskolan ska bedriva. Underavtalen om utbildnings- och forskningsuppdrag sluts för de plane- ringsperioder som gäller för de statliga universiteten och högskolorna. Det förnyas efter godkännande av regeringen. De två stiftelsehög- skolorna ska också genom en reglering i offentlighets- och sekretesslagen (2009:400), förkortad OSL, tillämpa vad som föreskrivs i tryck- frihetsförordningen om rätt att ta del av handlingar hos myndighet och stiftelserna ska också vid tillämpningen av OSL jämställas med myn- digheter (2 kap. 4 § OSL och bilagan till lagen). I propositionen Ny dataskyddslag framhåller regeringen att gemensamt för de privata organ som enligt OSL omfattas av offentlighetsprincipen är att de antingen anförtrotts förvaltningsuppgifter som rör myndighetsutövning eller att or- ganets verksamhet helt eller delvis finansieras med allmänna medel och att detta enligt regeringens mening innebär att t.ex. Stiftelsen och andra organ, vars handlingar omfattas av handlingsof- fentlighet, i motsvarande utsträckning måste anses utföra uppgifter av all- mänt intresse i den mening som avses i dataskyddsförordningen (prop. 2017/18:105 s. 59). Detta gäller enligt regeringens uppfattning även för och . De beslut om godkännande av avtalen varigenom statens utbildnings- och forsknings- uppdrag till och pre- ciseras har fattats av regeringen efter bemyndigande av med stöd i regeringsformen. Enligt regeringens uppfattning utgör därmed Tekniska Högskolas och Högskolans i forskningsverksamhet en uppgift av allmänt intresse som är fastställd i enlighet med nationell rätt. Regeringens bedömning: Offentliga forskningsutförare kan inte till- lämpa den rättsliga grunden intresseavvägning i artikel 6.1 f i data- skyddsförordningen som grund för sin personuppgiftsbehandling. Privaträttsliga forskningsutförare kan tillämpa intresseavvägning som grund för nödvändig personuppgiftsbehandling i forskningen. Det ska i varje enskilt fall göras en avvägning mellan den personuppgifts- ansvariges eller en tredje mans berättigade intresse av att utföra person- uppgiftsbehandlingen och den registrerades intressen och grundläg- gande rättigheter och friheter. Utredningens bedömning överensstämmer i sak med regeringens be- Prop. 2017/18:298 dömning. Utredningen redogjorde i text för sina bedömningar när det gäller offentligrättsliga respektive privaträttsliga forskningsutförares möjlighet att åberopa den rättsliga grunden intresseavvägning men formulerade inte detta i en särskild bedömningsruta. Remissinstanserna: Ingen remissinstans yttrar sig särskilt om den rätts- liga grunden intresseavvägning. Bedömningen i utkastet till lagrådsremiss överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt om den rättsliga grunden intresseavvägning. Skälen för regeringens bedömning Som nämnts gäller enligt artikel 6.1 andra stycket i dataskyddsförord- ningen inte den rättsliga grunden intresseavvägning för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta moti- veras i skäl 47 med att då det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas be- handling av personuppgifter bör denna rättsliga grund inte gälla för den behandling som de utför som ett led i fullgörandet av dessa uppgifter. När det i bestämmelsen talas om att den inte ska gälla när offentliga myndig- heter fullgör sina uppgifter gäller det enligt regeringens uppfattning vid fullgörandet av alla uppgifter en myndighet har, såväl sådana som innefat- tar myndighetsutövning som övriga uppgifter av t.ex. mer förvaltningska- raktär. Den rättsliga grunden intresseavvägning är alltså inte tillämplig när offentligrättsliga forskningsutförare fullgör en uppgift att bedriva forsk- ning. Till skillnad från vad som gäller för de offentligrättsliga forskningsutfö- rarna är det möjligt för privaträttsliga forskningsutförare att stödja sin per- sonuppgiftsbehandling på den rättsliga grunden intresseavvägning. Som nämnts har Artikel 29-gruppen, när det gäller dataskyddsdirekti- vet, uttalat att intresset måste vara tillräckligt tydligt angett för att kunna vägas mot den registrerades intressen och grundläggande rättigheter. Intressets art kan variera. Vissa intressen kan vara tvingande och gynna samhället i stort, t.ex. intresset av att genomföra vetenskaplig forskning. Bland de vanligaste sammanhang där frågan om berättigat intresse i den mening som avses i artikel 7 i dataskyddsdirektivet kan uppstå nämner Artikel 29-gruppen behandling för historiska, vetenskapliga eller statis- tiska ändamål och behandling för forskningsändamål (Yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv /46/EG). Eftersom artikel 6.1 f i dataskyddsförordningen motsvarar ar- tikel 7 f i dataskyddsdirektivet bör vägledning kunna sökas i detta yttrande även när det gäller tillämpningen av artikel 6.1 f. Som nämnts i föregående avsnitt bedömer också regeringen att presumtionen är att forskning är en uppgift av allmänt intresse och att presumtionen därmed är att det är fråga om ett berättigat intresse. 2017/18:298 I föregående avsnitt gör regeringen bedömningen att en privaträttslig forskningsutförares forskningsuppgift är fastställd i enlighet med nationell rätt, om det krävs tillstånd för forskningsprojektet av en eller flera myn- digheter och forskningsutföraren har fått de tillstånd som krävs, och att den rättsliga grunden uppgift av allmänt intresse är tillämplig i ett sådant fall. Det är således bara när det är fråga om forskningsprojekt som inte involverar känsliga personuppgifter eller personuppgifter som avser lag- överträdelser m.m. som en privat forskningsutförare behöver åberopa andra rättsliga grunder, t.ex. samtycke eller intresseavvägning. Då presumtionen är att forskning är ett berättigat intresse bedömer rege- ringen att det finns stora möjligheter att behandla personuppgifter för forskningsändamål efter en intresseavvägning, särskilt då en sådan avväg- ning normalt bara blir aktuell för mindre känsliga uppgifter. En presumtion kan dock brytas och omständigheterna i ett enskilt fall kan vara sådana att en intresseavvägning enligt 6.1 f inte utfaller till den planerade forsk- ningens förmån. 7.3Det behövs inte någon upplysningsbestäm- melse i nationell rätt om artikel 6.1 Regeringens bedömning: Det behövs inte någon bestämmelse i natio- nell rätt som upplyser om att personuppgifter bara får behandlas om minst ett av de villkor som anges i artikel 6.1 är uppfyllt. Utredningens bedömning överensstämmer inte med regeringens be- dömning. Utredningen har föreslagit att en ny lag, forskningsdatalagen, ska innehålla en bestämmelse som upplyser om att det av dataskydds- förordningen framgår att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i dataskyddsförordningen är upp- fyllt. Remissinstanserna: Majoriteten av remissinstanserna har tillstyrkt eller inte haft något att invända mot förslaget. anför att hän- visningen till artikel 6.1, där villkoren för att personuppgiftsbehandling ska vara laglig anges, ger intrycket av att det finns annan personuppgifts- behandling för forskningsändamål än de som omfattas av artikel 6.1. Av- sikten förefaller dock enligt inte vara att avgränsa personupp- giftbehandlingen för forskningsändamål enligt 6.1 i förhållande till annan behandling, på en annan rättslig grund, utan avgränsningen synes istället ligga i begreppet ”för forskningsändamål”, sådan behandling som omfattas av undantagen i artikel 89 dataskyddsförordningen. Hänvisningen till arti- kel 6.1 verkar därför enligt vara överflödig och bör utgå. Bedömningen i utkastet till lagrådsremiss överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt om be- dömningen. Skälen för regeringens bedömning: Utredningen har föreslagit att en ny lag, forskningsdatalagen, bl.a. ska innehålla en bestämmelse som upp- lyser om att det av dataskyddsförordningen framgår att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i för- Prop. 2017/18:298 ordningen är uppfyllt. Utredningen har ansett att en sådan inledande upp- lysningsbestämmelse behövs för förståelsen av den av utredningen före- slagna bestämmelsen om att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare (6 § förslaget till forskningsdatalag). Som närmare har utvecklats i avsnitt 7.2.2 anser regeringen att den av utredningen föreslagna 6 § inte bör genomföras. Något behov av en upp- lysningsbestämmelse för förståelse av en sådan bestämmelse om faststäl- lande av den rättsliga grunden finns då inte heller. En sådan bestämmelse bör därför inte införas. 8Principer som måste följas vid behandling av personuppgifter för forskningsändamål 8.1Grundläggande principer för personuppgiftsbehandling Förutom att minst en rättslig grund måste vara tillämplig för att en behand- ling av personuppgifter ska vara laglig, finns det ett antal principer som ska tillämpas vid all behandling av personuppgifter. Dessa principer är i stort sett desamma enligt dataskyddsförordningen som enligt dataskydds- direktivet. Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna efterlevs. Principerna framgår av artikel 5 i data- skyddsförordningen. Dessa principer innebär för det första att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglig- het, korrekthet och öppenhet, artikel 5.1 a). Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska emellertid inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning, artikel 5.1 b). Uppgifterna ska också vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering, artikel 5.1 c). Uppgifterna ska dessutom vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet, artikel 5.1 d). Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för ar- 2017/18:298 kivändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1, under förut- sättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registre- rades rättigheter och friheter (lagringsminimering, artikel 5.1 e). Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otil- låten behandling och mot förlust, förstöring eller skada genom olyckshän- delse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet, artikel 5.1 f). När det gäller behandling som avser särskilda kategorier av personupp- gifter (känsliga personuppgifter) eller personuppgifter som rör lagöverträ- delser anges ytterligare villkor i artiklarna 9 och 10. Detta utvecklas när- mare avsnitt 10 och 11. 8.2När och hur kan redan insamlade uppgifter behandlas ytterligare för forskningsändamål? Det är vanligt att personuppgifter som behandlas för forskningsändamål ursprungligen har samlats in för ett annat ändamål än forskning. Huvudregeln är som nämnts att personuppgifter ska samlas in för sär- skilda, uttryckligt angivna och berättigade ändamål och inte senare be- handlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare be- handling för bl.a. vetenskapliga eller historiska forskningsändamål i enlig- het med artikel 89.1 ska dock inte anses vara oförenlig med de ursprung- liga ändamålen (artikel 5.1 b i dataskyddsförordningen, forskningsundan- taget). I artikel 89.1 anges att behandling för bl.a. vetenskapliga eller historiska forskningsändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminime- ring iakttas. Dessa åtgärder får inbegripa pseudonymisering (se vidare avsnitt 9), under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidarebehandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Bestämmelserna i artikel 5.1 b och artikel 89.1 hade en motsvarighet i artikel 6.1 b och c i dataskyddsdi- rektivet och 9 § första stycket c–f och andra stycket PUL, även om bestäm- melserna i artikel 89.1 är lite mer detaljerade. I dataskyddsförordningen används begreppet ”ytterligare behandling”, i stället för begreppet ”vida- rebehandling” som ofta använts i sammanhanget. Ytterligare behandling av personuppgifter för forskningsändamål är alltså särskilt gynnad såväl i dataskyddsförordningen som enligt dataskyddsdirektivet och PUL. gällde emellertid att även om det nya ändamålet var förenligt med det ursprungliga måste den nya behandlingen alltid vara tillåten enligt någon av de rättsliga grunderna i 10 § PUL. Av dataskyddsförordningen framgår däremot att det inte krävs någon ny rättslig grund för tillåten ytter- ligare behandling av personuppgifter av samma personuppgiftsansvarig. I skäl 50 till förordningen förtydligas detta på så sätt att det anges att behandling av personuppgifter för andra ändamål än de för vilka de Prop. 2017/18:298 ursprungligen samlades in endast bör vara tillåten när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in samt att det i dessa fall inte krävs någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om be- handlingen är nödvändig för att fullgöra bl.a. en uppgift av allmänt intresse kan unionsrätten eller medlemsstaternas nationella rätt fastställa och när- mare ange för vilka uppgifter och syften ytterligare behandling bör betrak- tas som förenlig och laglig. Ytterligare behandling för bl.a. vetenskapliga eller historiska forskningsändamål bör betraktas som förenlig och laglig behandling av uppgifter. Dataskyddsförordningens bestämmelser innebär alltså att en personupp- giftsansvarig får utföra ytterligare behandling av personuppgifter för forskningsändamål utan att någon ny rättslig grund måste åberopas. Det räcker att den ursprungliga insamlingen utfördes med åberopande av en rättslig grund enligt artikel 6.1. Detta innebär att en forskningsutförare får behandla personuppgifter som denne redan samlat in och för ett visst ändamål för ytterligare forskningsändamål utan krav på ny rättslig grund. När uppgifter samlats in för forskningsändamål med stöd av den rättsliga grunden samtycke har dock även omfattningen av det sam- tycke den registrerade har lämnat betydelse för att avgöra vilken ytterligare behandling som kan vara möjlig. Även i samband med utlämnande av personuppgifter till annan person- uppgiftsansvarig för behandling för forskningsändamål är den nya behand- lingen, dvs. utlämnandet, att anse som förenlig med ändamålet för den ursprungliga behandlingen. Att ta emot personuppgifter utgör däremot inte en ytterligare behandling utan en insamling av personuppgifter. Den per- sonuppgiftsansvarige som tar emot uppgifterna måste således, för att in- samlingen av personuppgifter ska vara laglig, ha en rättslig grund för sin behandling för forskningsändamål. Detta innebär att forskningsutförare som samlar in personuppgifter för forskningsändamål alltid, oavsett för vilka ändamål uppgifterna har behandlats av andra personuppgift- sansvariga, måste kunna åberopa en rättslig grund enligt artikel 6.1 för sin behandling. och anser att möjligheten att ytterligare behandla person- uppgifter som inhämtats med samtycke bör regleras. Dataskyddsförord- ningen är direkt tillämplig i medlemsstaterna. Förordningen ger inte något utrymme för att i nationell rätt reglera ytterligare behandling av per- sonuppgifter som samlats in med samtycke. Det är därför inte möjligt att särskilt reglera denna fråga. Vid ytterligare behandling av personuppgifter för forskningsändamål måste de allmänna principerna enligt artikel 5.1 också alltid följas för att behandlingen ska vara tillåten. Om det är aktuellt att behandla känsliga personuppgifter eller personuppgifter om lagöverträdelser måste de sär- skilda krav som förordningen ställer avseende sådan behandling alltid vara uppfyllda (se avsnitt 10 och 11). Vid all behandling av personuppgifter för forskningsändamål aktualiseras också artikel 89, där villkoren avseende lämpliga skyddsåtgärder för behandlingen i artikel 89.1 är särskilt centrala i sammanhanget. Detta behandlas i avsnitt 9. 2017/18:298 9 Det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av 9.1Vilka krav på skyddsåtgärder ställs i data- skyddsförordningen? Bestämmelser som uttryckligen föreskriver vissa åtgärder till skydd för den registrerade i samband med personuppgiftsbehandling för forsknings- ändamål har tidigare införts i svensk rätt med stöd av dataskyddsdirektivet. Vid en jämförelse ställer dataskyddsförordningen mer detaljerade krav på vilka åtgärder som ska beaktas och hur riskbedömningen ska göras. Utöver detta ställer dataskyddsförordningen specifika krav på skyddsåtgärder för all personuppgiftsbehandling för forskningsändamål. Dessa krav har inte haft någon direkt motsvarighet i dataskyddsdirektivet eller PUL. En av dataskyddsförordningens grundläggande principer för personupp- giftsbehandling, principen om integritet och konfidentialitet, anger att den personuppgiftsansvarige ansvarar för att personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med använd- ning av lämpliga tekniska eller organisatoriska åtgärder (artikel 5.1 f). Till den allmänna regleringen hör även skyldigheter för den personuppgifts- ansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att kunna säkerställa och visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24). Artikel 25 (inbyggt dataskydd och dataskydd som standard) ålägger den personuppgiftsansvarige bl.a. att in- tegrera nödvändiga skyddsåtgärder i behandlingen. Av artikel 32, som in- nehåller krav på den personuppgiftsansvarige och personuppgiftsbiträdet, framgår att dessa ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen. Artikeln anger särskilt ett an- tal åtgärder och utgångspunkter för bedömningen av lämplig säkerhets- nivå. Godkända uppförandekoder eller godkända certifieringsmekanismer kan enligt artiklarna 24 och 32 användas för att visa att den personupp- giftsansvarige fullgör sina skyldigheter. På motsvarande sätt kan enligt ar- tikel 25 godkända certifieringsmekanismer användas för att visa att den personuppgiftsansvarige fullgör sina skyldigheter. På en mer specifik nivå ställer dataskyddsförordningen krav på att all personuppgiftsbehandling för forskningsändamål ska omfattas av lämp- liga skyddsåtgärder. Dessa åtgärder ska skydda den registrerades rättig- heter och friheter, särskilt principen om uppgiftsminimering (artikel 89.1). Dataskyddsförordningen anger i sammanhanget även att medlemsstaterna bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för forskningsändamål (skäl 156). Begreppen skyddsåtgärder respektive tekniska och organisatoriska åt- gärder är vanligt förekommande i dataskyddsförordningen, såväl bland skälen som bland artiklarna. Varianter, såsom ”åtgärder för att säker- ställa”, ”tekniska och organisatoriska skyddsåtgärder” eller ”tekniska och organisatoriska säkerhetsåtgärder” förekommer också, men mer sällan. Varken ”skyddsåtgärder” eller ”tekniska och organisatoriska åtgärder” de- finieras närmare i dataskyddsförordningen. Vad ska skyddas? Ofta anges vad själva skyddsintresset är, dvs vad åtgärderna är avsedda att skydda, i anslutning till kravet på skyddsåtgärd. Exempelvis anger arti- kel 10 i dataskyddsförordningen att skyddsåtgärderna ska vara ägnade att bevaka de registrerades rättigheter och friheter, medan artikel 35 talar om skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av själva personuppgifterna. I skäl 42 nämns, i samband med inhämtande av samtycke, skyddsåtgärder som säkerställer att de registrerade förstår att samtycke ges. Det vanligaste skyddsintresset torde dock vara just den registrerades rättigheter och friheter så som de framgår av dataskydds- förordningen. Av artikel 89.1, som är central vid all personuppgiftsbehandling för forskningsändamål, framgår att lämpliga skyddsåtgärder ska skydda den registrerades rättigheter och friheter, särskilt avseende principen om upp- giftsminimering (artikel 5.1 c). Vilka exempel på skyddsåtgärder anges i dataskyddsförordningen? Dataskyddsförordningen anger sällan att vissa specifika skyddsåtgärder ska vidtas. I några sammanhang används termerna ”skyddsåtgärder”, ”tek- niska och organisatoriska åtgärder” eller liknande tillsammans med en exemplifierande uppräkning. För behandling av känsliga personuppgifter för bl.a. hälso- och sjukvårdsändamål anges tystnadsplikt uttryckligen som en skyddsåtgärd (artikel 9.2 h och 9.3). I samband med fastställande av om behandling för andra ändamål är förenlig med ursprungsändamålet anges att förekomster av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering, ska beaktas (artikel 6.4 e). Förordningen lyfter i flera fall särskilt fram pseudonymisering som en skyddsåtgärd.