prop · H503298 · 2018-09-14 00:00:00 — Remissinstanserna: Det stora flertalet remissinstanser som yttrat sig är generellt positiva utredningens förslag eller har ingen erinran mot eller synpunkter på dessa men kommenterar inte förslagen eller bedömningarna beträffande lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa särskilt. Bland andra Justitiekanslern har inga synpunkter på förslagen och bedömningarna beträffande lagen. , Statens väg- och transportforsknings- institut, geologiska undersökningar och Verket för innovations- system () tillstyrker förslagen till anpassningar av lagen. läns landsting, Västra , och Kommuner och Landsting (SKL) stöder eller välkomnar 2017/18:298 utredningens bedömning att lagen är en tillåten nationell kompletterande reglering till dataskyddsförordningen. Datainspektionen ifrågasätter, med hänvisning till de invändningar myndigheten framförde mot det ursprungliga lagförslaget och till att myn- digheten anser att ändamålsbestämmelserna i lagen inte är förenliga med dataskyddsförordningens krav, om lagen är förenlig med dataskydds- Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Flertalet remissinstanser tillstyrker, har inga syn- punkter på eller erinran mot bedömningarna som görs och förslagen som lämnas i utkastet till lagrådsremiss men kommenterar inte förslagen eller bedömningarna beträffande lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa särskilt. Bland de som särskilt uttalar sig om lagen om rättspsykiatriskt forskningsregister och tillstyrker ändringarna finns , läns lands- Datainspektionen vidhåller sin ståndpunkt att ändamålsbestämmelserna inte är tillräckligt särskilt och uttryckligt an- givna för att uppfylla kraven enligt tillämpliga dataskyddsbestämmelser. Skälen för regeringens bedömning: Dataskyddsförordningen är som nämnts direkt tillämplig i medlemsstaterna men dessa tillåts, enligt artikel 6.2 och 6.3, att behålla eller införa mer specifika nationella bestämmelser för att närmare fastställa hur förordningens bestämmelser ska tillämpas när det gäller behandling som sker med stöd av de rättsliga grunderna fullgö- rande av rättslig förpliktelse, utförande av uppgift av allmänt intresse eller myndighetsutövning i artikel 6.1 c och e. Av motiven till lagen framgår explicit att det är regeringens bedömning att ett uppbyggande på frivillig grund av databaser hos statliga universitet och högskolor med basmaterial som kan lämnas ut till specifika forsk- ningsprojekt som har godkänts vid etikprövning är ett sådant viktigt all- mänt intresse som avsågs i artikel 8.4 i dataskyddsdirektivet. gav medlemsstaterna rätt att nationellt lagstifta om undantag från förbudet att behandla känsliga personuppgifter (artikel 8.1) under förutsättning av lämpliga skyddsåtgärder och med hänsyn till ett viktigt allmänt intresse. Det är således regeringens och redan gjorda bedömning att än- damålen med lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa utgör ett viktigt allmänt intresse i enlighet Regeringen delar utredningens bedömning att det inte torde föreligga någon skillnad i sak avseende innebörden i begrep- pet allmänt intresse i dataskyddsdirektivet och dataskyddsförordningen. Personuppgiftsbehandlingen enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa är alltså enligt rege- ringens bedömning laglig enligt artikel 6.1 e då den bedömts vara nödvän- dig för ett utföra en uppgift av allmänt intresse. Lagen innehåller ett antal bestämmelser som anger bl.a. ändamålet, vilka uppgifter som får finnas i registret och andra villkor som gäller för behandling av uppgifter i regist- Sådana bestämmelser är möjliga att ha i nationell rätt när grunden för behandlingen är att den är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.2 och 6.3. Regeringen anser också att regleringen är proportionell i förhållande till ändamålet. Regeringen delar därför ut- redningens bedömning att lagen utgör en sådan tillåten specifik nationell reglering för att närmare fastställa hur förordningens bestämmelser ska tillämpas när det gäller utförande av uppgift av allmänt intresse enligt ar- tikel 6.2 och 6.3 i dataskyddsförordningen. Datainspektionen ifrågasätter med hänvisning till de invändningar myn- digheten framförde mot det ursprungliga lagförslaget och till att myndig- heten anser att ändamålsbestämmelserna i lagen inte är förenliga med data- skyddsförordningens krav, om lagen är förenlig med dataskyddsförord- ningen. Regeringen anser till skillnad från Datainspektionen att ändamåls- bestämmelserna är förenliga såväl med dataskyddsdirektivet som med dataskyddsförordningen. Datainspektionens invändningar har bemötts i tre lagstiftningsärenden, dels i den ursprungliga propositionen, dels vid de två tillfällen då lagen har förlängts (prop. 2012/13:163 s. 23 f., prop. 2014/15:121 s. 11 f. och prop. 2016/17:204 s. 10 f.). Behandling av personuppgifter ska enligt 2 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ske med den enskildes uttryckliga samtycke. Samtycket utgör därmed en förutsättning för att behandla personuppgifter för lagens ändamål och är ett krav som stärker skyddet för den registrerades integritet. Utgångspunkten för lagen har varit att det ska vara en samtyckesbaserad reglering. Av dataskyddsförordningens skäl 33 framgår att samtycke ska kunna lämnas relativt brett när det är fråga om insamling av personuppgif- ter för forskningsändamål. I sammanhanget bör även skäl 43 i dataskydds- förordningen beaktas. Av skäl 43 framgår som nämnts att samtycke inte bör vara en giltig rättslig grund för behandling av personuppgifter i ett sär- skilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskild om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har läm- nats frivilligt. Möjligheten att använda samtycke som rättslig grund har behandlats närmare i avsnitt 7.1.1 och 7.2.1. När det gäller offentliga forskningsutförare kan det, som framgår av sistnämnda avsnitt, enligt re- geringens bedömning förhålla sig så att den som lämnar samtycke inte be- finner sig i någon beroendeställning i förhållande till den personuppgifts- ansvarige. För offentliga forskningsutförare med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid ett sådant organ. En myndighet kan således inte anses utöva påtryckning gentemot en individ enbart därför att det är fråga om en myndighet, om den inte har några verktyg för att direkt eller indirekt utöva påtryckningar. De universitet och högskolor som omfattas av lagen om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa är i och för sig myndigheter men med hänsyn till hur starkt frivilligheten framhålls i lagen är det regeringens bedömning att det inte kan anses föreligga betydande ojämlikhet mellan den enskilde och den personuppgiftsansvarige i de fall lagen omfattar. Den personuppgiftsbehandling som lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa omfattar måste vidare uppfylla dataskyddsförordningens övriga krav för att kunna behål- las. I det följande kommer regeringen att gå igenom lagens förenlighet med dataskyddsförordningen bestämmelse för bestämmelse. 2017/18:298 16.2.3 Bestämmelsen om lagens syfte bör behållas Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om lagens syfte kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: I 1 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges att syftet med lagen är att ge universitet och högskolor möjlighet att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för upp- komsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt och att skydda den enskildes personliga integritet i sådan verksamhet. Bestämmelsen om lagens syfte innehåller inte någon materiell reglering utan kan sägas ange en grund för bestämmelserna om för vilka ändamål behandling av personuppgifter enligt lagen får ske. Att i nationell lag fastställa syftet med en behandling som grundas på att den är nödvän- dig för att utföra en uppgift av allmänt intresse är tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Enligt regeringens bedömning kan och bör därför bestämmelsen behållas. 16.2.4Bestämmelsen om lagens tillämpningsområde bör behållas Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om lagens tillämpningsområde kan och bör behållas. Utredningens förslag överensstämmer delvis med regeringens bedöm- ning. Utredningen har föreslagit att andra stycket i bestämmelsen ska tas bort men bedömt att bestämmelsen i övrigt kan behållas. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: I 2 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges lagens tillämpningsområde. Lagen gäller enligt 2 § första stycket behandling av personuppgifter som utförs av sådana statliga universitet och högskolor som omfattas av högskolelagen (1992:1434) och som med den enskildes uttryckliga samtycke sker i sådant syfte som anges i 1 §, dvs. att ge uni- versitet och högskolor möjlighet att skapa underlag för olika forsknings- projekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, och skydda den enskildes personliga integritet i sådan verksamhet. Vidare är lagen en- ligt 2 § andra stycket tillämplig bara om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning el- ler sammanställning enligt särskilda kriterier. I 2 § tredje stycket anges att regeringen meddelar föreskrifter om vilka statliga universitet och högsko- lor som får behandla personuppgifter enligt lagen, och vilka register enligt lagen som får föras. I 3 § anges att PUL gäller vid behandling av personuppgifter, om inte annat följer av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Som regeringen återkommer till i nästa av- snitt ska hänvisningarna till PUL tas bort och ersättas av en upplysning om att lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa kompletterar dataskyddsförordningen. Regeringen delar utredningens uppfattning att bestämmelser i nationell kompletterande lagstiftning som anger på vilken verksamhet, vilka typer av behandlingar och vilka personuppgifter lagen ska tillämpas inte i sig påverkas av dataskyddsförordningen. Formuleringen i 2 § andra stycket motsvarar innehållsmässigt artikel 2.1i dataskyddsförordningen, vilken är direkt tillämplig. Av artikel 2.1 framgår att förordningen ska tillämpas på sådan behandling av personupp- gifter som helt eller delvis företas på automatisk väg samt på annan be- handling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 4.6 definieras register som en strukturerad sam- ling av personuppgifter som är tillgängliga enligt särskilda kriterier, oav- sett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Av skäl 8 i dataskydds- förordningen framgår att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för sam- stämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt. Skäl 8 i dataskyddsförordningen ger därmed utrymme för att införliva artikel 2.1 i dataskyddsförordningen i nationell rätt. Andra stycket i den aktuella bestämmelsen förtydligar att helt behandling av person- uppgifter som inte ingår i någon samling som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier faller utanför lagens til- lämpningsområde. Regeringen anser till skillnad från utredningen att andra stycket i bestämmelsen bör behållas för att göra de nationella bestämmelserna begripliga för tillämparna och de registrerade. Sammanfattningsvis är det därför regeringens bedömning att bestäm- melsen i sin helhet kan och bör behållas. 2017/18:298 16.2.5 Hänvisningarna till personuppgiftslagen ska tas bort Regeringens förslag: Hänvisningarna till personuppgiftslagen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska tas bort och, där det bedöms lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskydds- förordningen och dataskyddslagen. Utredningens förslag överensstämmer med regeringens förslag förutom att utredningen föreslagit att hänvisningen till 26 § PUL i 14 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska ersättas med en hänvisning till artikel 15 i dataskyddsförordningen. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Förslaget i utkastet till lagrådsremiss överensstämmer med reger- ingens förslag förutom att det i utkastet till lagrådsremiss föreslagits att hänvisningen till 26 § PUL i 14 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska ersättas med en hänvisning till artikel 15 i dataskyddsförordningen. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: I 3 § lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa anges att PUL gäller vid all behandling av personuppgifter, om inte annat följer av den förstnämnda lagen. Då PUL har upphävts ska alla hänvisningar till den lagen utgå. Detta innebär att den allmänna hänvisningen till PUL i 3 § ska tas bort. Vidare innehåller vissa bestämmelser i registerlagen hänvisningar till specifika bestämmelser i . Detta gäller hänvisningen till 28 § PUL i fråga om rättelse (13 §), 26 § PUL om information efter ansökan (14 § andra stycket p. 7) och 48 § PUL om skadestånd (17 §). Ovan nämnda hänvisningar ska tas bort och, där det bedöms lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskyddsförordningen respektive dataskyddslagen (2018:218), se respektive avsnitt nedan. Det ska tas in hänvisningar till dataskyddsförord- Regeringens förslag: Det ska införas en upplysningsbestämmelse i la- gen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, som tydliggör att den lagen kompletterar dataskydds- I lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska det också införas en upplysningsbestämmelse som anger att vid behandling av personuppgifter enligt lagen gäller dataskyddslagen och föreskrifter som har meddelats med stöd av den lagen, om inte annat följer av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa eller föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag överensstämmer i sak med regeringens förslag. Utredningens förslag till lagtext har formulerats på ett annat sätt än rege- ringens förslag. Remissinstanserna: Kammarrätten i anser att det bör över- vägas om det ska anges hur lagen förhåller sig till den brottsdatalag som föreslås i betänkandet Brottsdatalag (SOU 2017:29). Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag Förhållandet till dataskyddsförordningen och dataskyddslagen Dataskyddsförordningen är direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Dataskyddsförordningen gäller oavsett om det i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa införs en bestämmelse som hänvisar till förordningen eller inte. Regeringen anser dock, i likhet med utredningen, att det bör in- föras en bestämmelse i lagen som tydliggör att den innehåller komplette- rande bestämmelser till dataskyddsförordningen. Hänvisningen till data- skyddsförordningen bör vara dynamisk, det vill säga avse förordningen i den gällande lydelsen. En sådan bestämmelse tydliggör lagens förhållande till dataskyddsförordningen och det blir tydligt att lagen inte utgör en uttömmande reglering. Bestämmelsen syftar alltså till att göra relationen mellan de olika regelverken begriplig både för dem som tilläm- par lagen och de registrerade. Genom dataskyddslagen har det som tidigare nämnts införts en lag som på generell nivå kompletterar dataskyddsförordningen i . Liksom PUL tillämpats om inte annat följer av lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa bör bestämmel- serna i dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gälla vid behandling av personuppgifter om inte annat följer av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa eller föreskrifter som har meddelats i anslutning till den lagen. Utöver de direkt tillämpliga bestämmelserna i dataskyddsförord- ningen finns det i dataskyddslagen generella bestämmelser som utgör til- låtna specificeringar och undantag till dataskyddsförordningen. I 1 kap. 6 §dataskyddslagen anges det att om en annan lag eller en förordning inne- håller någon bestämmelse som avviker från den lagen, tillämpas den be- stämmelsen. Det krävs således i och för sig inte någon hänvisningsbestäm- melse till dataskyddslagen. Att införa en upplysande bestämmelse som tydliggör att lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa inte utgör en uttömmande nationell reglering under dataskyddsförordningen underlättar dock för den som ska tillämpa regelverket och för andra att hitta relevanta lagrum. Regeringen anser där- för att det ska införas en upplysningsbestämmelse i den lagen som anger att vid behandling av personuppgifter enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa gäller data- skyddslagen och föreskrifter som har meddelats med stöd av den lagen, 2017/18:298 om inte annat följer av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa eller föreskrifter som har medde- lats i anslutning till lagen. I propositionen Brottsdatalag (prop. 2017/18:232) lämnade regeringen förslag till en brottsdatalag, som ska genomföra och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av person- uppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana upp- gifter och om upphävande av rådets rambeslut /977/RIF (dataskydds- direktivet på det brottsbekämpande området) i svensk rätt. Brottsdatalagen (2018:1177) beslutades av och trädde i kraft (prop. 2017/18:232, bet. 2017/18:JuU37, rskr. 2017/18:392). Kammarrätten i anser att det bör övervägas om det ska anges hur lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa förhåller sig till brottsdatalagen. Brottsdatalagen gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också för behandling av per- sonuppgifter som en behörig myndighet utför i syfte att upprätthålla all- män ordning och säkerhet (1 kap. 2 §). Behörig myndighet definieras som 1.en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga på- följder, eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte, eller 2. en annan aktör som anförtrotts myndighetsutövning för ett syfte som anges i 1, när den behandlar person- uppgifter för ett sådant syfte (1 kap. 6 §). Lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa gäller behandling av personuppgifter som utförs av sådana statliga universitet och högskolor som omfattas av högskolelagen i syfte att skapa underlag för olika forsk- ningsprojekt om vad arv och miljö betyder för uppkomsten och utveck- lingen av olika sjukdomar och människors hälsa i övrigt och för att lämna ut uppgifter för sådan forskning. och högskolor kan inte sägas ha någon sådan brottsbekämpande eller brottsutredande uppgift som anges i brottsdatalagen och är därmed inte någon sådan behörig myn- dighet på vars verksamhet brottsdatalagen är tillämplig. Mot denna bak- grund anser regeringen inte att det finns ett behov av att i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa införa någon bestämmelse som reglerar lagens förhållande till brottsdata- lagen. 16.2.7 Bestämmelsen om vilka som är personuppgifts- Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om vilka som är personuppgiftsansvariga kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: I 4 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges att de universitet och högskolor som utför behandlingen av personuppgifter är personuppgiftsansvariga. I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamå- len och medlen för behandlingen av personuppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed en- ligt huvudregeln göras utifrån dataskyddförordningen och med utgångs- punkt i de faktiska omständigheterna i varje enskilt fall. I de situationer ändamålen och medlen för behandlingen bestäms av medlemsstaternas nationella rätt finns dock en möjlighet enligt andra ledet i artikel 4.7 i data- skyddsförordningen att ange vem som är personuppgiftsansvarig i den nationella rätten. I 5–8 §§ lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges för vilka ändamål person- uppgifter får behandlas enligt lagen. Genom lagens tillämpningsområde och ändamålsbestämmelserna ges en yttersta ram för vilka behandlingar som är tillåtna enligt lagen. I 4 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges vilka som är person- uppgiftsansvariga. Det är den personuppgiftsansvarige som i varje enskild situation ska ta ställning till vilken behandling av uppgifter som ska och kan ske.