prop · H503298 · 2018-09-14 00:00:00 — Behandling av personuppgifter för forskningsändamål Regeringens proposition 2017/18:298 Behandling av personuppgifter för Regeringen överlämnar denna proposition till . I propositionen föreslås vissa ändringar i svensk rätt med anledning av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upphä- vande av direktiv /46/EG (allmän dataskyddsförordning). Det föreslås ändringar i –lagen (1999:353) om rättspsykiatriskt forskningsregister, –lagen (2003:460) om etikprövning av forskning som avser människor, –offentlighets- och sekretesslagen (2009:400), –lagen (2013:794) om vissa register för forskning om vad arv och miljö –betyder för människors hälsa, och –lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning. Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behand- ling av personuppgifter för forskningsändamål som är ändamålsenlig sam- tidigt som den enskildes fri- och rättigheter skyddas, oavsett om behand- lingen utförs av offentliga eller privata forskningsutförare. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (1999:353) om 2.2Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor.............. 2.3Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) ................................................ 2.4Förslag till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa............................................ 2.5Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s Ärendet och dess beredning ............................................................ Ändringar i medför behov av ändringar i den svenska regleringen av behandling av personuppgifter .................. Dataskyddsdirektivet har ersatts av en 4.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt ....................................... 4.3Dataskyddsförordningen kompletteras av en ny svensk övergripande lag och förordning om 4.4Dataskyddsförordningen behöver även kompletteras med svenska bestämmelser på forskningsområdet ........... 4.5Vad har gällt enligt dataskyddsdirektivet och Likheter och skillnader mellan dataskyddsförordningen och dataskyddsdirektivet........... 4.7Regeringsformen avgör om en kompletterande svensk reglering ska införas på lag- eller Vilka är forskningsutförare? I dataskyddsförordningen används begreppet De rättsliga grunderna för behandling av personuppgifter för Tre rättsliga grunder är främst aktuella ............................ Uppgift av allmänt intresse.............................. 7.2Möjligheterna för olika forskningsutförare att åberopa olika rättsliga grunder ......................................... Uppgift av allmänt intresse............................. 7.3Det behövs inte någon upplysningsbestämmelse i nationell rätt om artikel 6.1 ............................................. Principer som måste följas vid behandling av personuppgifter När och hur kan redan insamlade uppgifter behandlas ytterligare för forskningsändamål? 9Det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av personuppgifter för forskningsändamål.......................................... 9.1Vilka krav på skyddsåtgärder ställs i Skyddsåtgärder bör föreskrivas i svensk rätt ................... 9.3Uppgifter ska inte få användas för att vidta åtgärder i fråga om den registrerade ................................................ 9.4Det följer direkt av dataskyddsförordningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder ................................... 9.5Det följer direkt av dataskyddsförordningen att den registrerade kan invända mot behandling ........................ 9.6All personuppgiftsbehandling för forskningsändamål ska inte etikprövas ........................................................... Etikprövning är en skyddsåtgärd vid behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ....... Tillämpningsområdet för kravet på etikprövning bör inte utvidgas ........................ 10 Det behövs kompletterande nationella bestämmelser för behandling av känsliga personuppgifter......................................... Förbudet mot behandling av känsliga 10.2Dataskyddsförordningen möjliggör behandling av känsliga personuppgifter för forskningsändamål............. Etikprövning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter för 10.4Etisk granskning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter vid forskning inom ramen för kliniska 11 Det behövs kompletterande nationella bestämmelser om skyddsåtgärder för behandling av personuppgifter om kompletterande nationell reglering för personuppgifter om lagöverträdelser ............................... Etikprövning ska vara en skyddsåtgärd vid behandling av personuppgifter om lagöverträdelser 12 Det krävs följdändringar i bestämmelserna om 13 Bör det föreskrivas undantag från vissa av de rättigheter som den registrerade har? Dataskyddsförordningen möjliggör undantag från Undantaget från informationsskyldigheten när personuppgifter lämnas ut för forskningsändamål följer direkt av dataskyddsförordningen och svensk Bör det föreskrivas undantag från rätten till tillgång? Om innehållet i rättigheten ............................ Det bör inte föreskrivas undantag från rätten till tillgång ........................................... 13.4Bör det föreskrivas undantag från rätten till rättelse?.....119 Om innehållet i rättigheten ............................ 13.4.2Det bör inte föreskrivas undantag från rätten till rättelse............................................ 13.5Bör det föreskrivas undantag från rätten till begränsning av behandling? Om innehållet i rättigheten ............................ 13.5.2Det bör inte föreskrivas undantag från rätten till begränsning av behandling............. 13.6Bör det föreskrivas undantag från rätten att göra Om innehållet i rättigheten ............................ 13.6.2Det bör inte föreskrivas undantag från rätten att göra invändningar........................... 14Behöver ytterligare anpassningar göras i etikprövningslagen? .....131 14.1 Inga ytterligare anpassningar behöver göras i 14.2Rättsligt stöd för personuppgiftsbehandling i 15 Vilka behov finns det av sektorslagstiftning på Det behövs inte någon 15.2Sekretess ska gälla för uppgifter som behandlas i strid med personuppgiftsregleringen .............................. 16 Anpassningar av vissa registerförfattningar.................................. 16.1Lagen om rättspsykiatriskt forskningsregister ska anpassas till dataskyddsförordningen ............................. Innehållet i lagen och Lagen är en tillåten nationell 16.1.3Lagens inledande bestämmelser bör 16.1.4Hänvisningar till personuppgiftslagen ska 16.1.5Det ska tas in hänvisningar till Ändamålsbestämmelserna bör behållas........ 16.1.7Det bör även fortsättningsvis anges vilka personuppgifter som får finnas i registret ..... 16.1.9Bestämmelsen om direktåtkomst bör 16.1.10Bestämmelsen om vilken information som ska lämnas ska anpassas ............................... Bestämmelsen om utlämnande av uppgifter bör behållas ................................... Upplysningen om sekretess bör behållas ...... 16.1.13Bestämmelsen om rättelse och skadestånd 16.1.14Bestämmelsen om överklagande ska 16.2Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas Innehållet i lagen .......................................... 16.2.2Lagen är en tillåten nationell kompletterande reglering till 16.2.3Bestämmelsen om lagens syfte bör tillämpningsområde bör behållas.................. ska tas bort.................................................... 16.2.6Det ska tas in hänvisningar till 16.2.7Bestämmelsen om vilka som är personuppgiftsansvariga bör behållas........... Ändamålsbestämmelserna bör behållas........ 16.2.9Det bör även fortsättningsvis anges vilka personuppgifter som får finnas i registret ..... 16.2.10 Begränsningen av intern elektronisk åtkomst bör behållas ..................................... Förbudet mot direktåtkomst bör behållas ..... Bestämmelsen om gallring ska anpassas ...... 16.2.13 Bestämmelsen om rättelse ska upphävas....... 16.2.14 Bestämmelsen om samtycke och information ska anpassas............................... 16.2.15 Bestämmelsen om information om utlämnande till forskning bör behållas .......... 16.2.16 Bestämmelsen om utplåning ska upphävas ... 16.2.17 Bestämmelsen om skadestånd ska Ikraftträdande- och övergångsbestämmelser................................. Lagändringarna ska träda i kraft ...... Övergångsbestämmelser behövs inte ............................. Konsekvenser för den personliga integriteten ................ Ekonomiska konsekvenser och konsekvenser i övrigt ... 19.1Förslaget till lag om ändring i lagen (1999:353) om 19.2Förslaget till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor............ 19.3Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) .............................................. 19.4Förslaget till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa.......................................... 19.5Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän Rättelse till och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning)....................................... (SOU 2017:50) ............................................................... Förteckning över remissinstanserna ............................... Lagförslagen i utkastet till lagrådsremiss Behandling av personuppgifter för forskningsändamål ..................... Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde 2017/18:298 1 Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i lagen (1999:353) om rättspsykiatriskt forsknings- register, 2.lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor, 3.lag om ändring i offentlighets- och sekretesslagen (2009:400), 4.lag om ändring i lagen (2013:794 om vissa register för forskning om vad arv och miljö betyder för människors hälsa, 5.lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister Härigenom föreskrivs i fråga om lagen (1999:353) om rättspsykiatriskt forskningsregister dels att 15 och 16 §§ ska upphöra att gälla, dels att rubrikerna närmast före 15 och 16 §§ ska utgå, dels att 2 och 12 §§ och rubriken närmast före 2 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 2 a §, av följande lydelse. Förhållandet till person- uppgiftslagen Om inget annat följer av denna lag tillämpas personuppgiftslagen (1998:204) vid behandling av personuppgifter för det rättspsy- kiatriska forskningsregistret. Förhållandet till annan data- skyddsreglering Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Vid behandling av personupp- gifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. När personuppgifter i ett mål När personuppgifter i ett mål första gången registreras i det första gången registreras i det na den registrerade information om Utöver vad som framgår av ar- tikel 14 i EU:s dataskyddsförord- 2. ändamålen med behandlingen, 3. vilken typ av uppgifter behand- 4. mottagarna av uppgifterna, 1. de sekretess- bestämmelser som gäller för be- bestämmelser som gäller för be- 6. bestämmelserna i personupp- 2. bestämmelserna i data- giftslagen (1998:204) om informa- tion som skall lämnas efter ansökan samt om rättelse och skadestånd, bestämmelser till EU:s data- skyddsförordning om den registre- rades rätt till skadestånd, och 7. de begränsningar i fråga om 3. de begränsningar i fråga om till uppgifter, utlämnande av uppgifter på medium för auto- av uppgifter på medium för auto- matiserad behandling och bevaran- matiserad behandling och bevaran- de av uppgifter som gäller för be- de av uppgifter som gäller för be- Denna lag träder i kraft . 2.2 Förslag till lag om ändring i lagen (2003:460) Prop. 2017/18:298 om etikprövning av forskning som avser män- Härigenom föreskrivs i fråga om lagen (2003:460) om etikprövning av forskning som avser människor dels att 12 § ska upphöra att gälla, dels att rubriken närmast före 12 § ska utgå, dels att 2 och 3 §§ ska ha följande lydelse. I denna lag avses med forskning: vetenskapligt experimentellt eller teoretiskt arbete för att in- hämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå, forskningshuvudman: en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs, forskningsperson: en levande människa som forskningen avser, och behandling av personuppgifter: sådan behandling som anges i 3 § personuppgiftslagen (1998:204). behandling av personuppgifter: sådan behandling som anges i ar- tikel 4.2 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Denna lag ska tillämpas på forskning som innefattar behandling av 1.känsliga personuppgifter en- ligt 13 § personuppgiftslagen (1998:204), eller 1.personuppgifter som avses i artikel 9.1 i EU:s dataskyddsför- ordning (känsliga personuppgif- ter), eller Senaste lydelse 2008:192. Senaste lydelse 2008:192. 2017/18:298 2. personuppgifter om lagöver- trädelser som innefattar brott, do- mar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § per- sonuppgiftslagen. 2.personuppgifter om lagöver- trädelser som innefattar brott, do- mar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Denna lag träder i kraft . Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Sekretess gäller för personupp- gift, om det kan antas att uppgiften efter ett utlämnande kommer att be- handlas i strid med Europaparla- mentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med av- seende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upphä- vande av direktiv /46/EG (all- män dataskyddsförordning), i den ursprungliga lydelsen, eller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning. Sekretess gäller för personupp- gift, om det kan antas att uppgiften efter ett utlämnande kommer att be- handlas i strid med 1.Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsför- ordning), i den ursprungliga lydel- sen, 2.lagen (2018:218) med komp- letterande bestämmelser till EU:s dataskyddsförordning, eller 3.6 § lagen (2003:460) om etik- prövning av forskning som avser människor. Denna lag träder i kraft . 1 Senaste lydelse 2018:220. 2017/18:298 2.4 Förslag till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Härigenom föreskrivs i fråga om lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa dels att 13, 16 och 17 §§ ska upphöra att gälla, dels att rubrikerna närmast före 13, 16 och 17 §§ ska utgå, dels att 3, 12 och 14 §§ och rubriken närmast före 3 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 3 a §, av följande lydelse. Förhållandet till annan data- Personuppgiftslagen (1998:204) gäller vid behandling av perso- nuppgifter, om inte annat följer av denna lag. Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Termer och uttryck i denna lag har samma betydelse som i EU:s dataskyddsförordning. Vid behandling av personupp- gifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Personuppgifter som inte längre Personuppgifter som inte längre behövs för de ändamål som avses i behövs för de ändamål som avses i 5 § 1 och 2 ska gallras, om inte 5 § 1 och 2 ska gallras, om inte meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Personuppgifter som avses i 9 § får inte samlas in i syfte att de ska re- gistreras i ett register som förs enligt denna lag utan att den som uppgif- terna avser uttryckligen har samtyckt till att personuppgifter behandlas en- ligt denna lag. Innan en person lämnar sitt Utöver vad som framgår av ar- samtycke enligt första stycket ska tiklarna 13 och 14 i EU:s data- han eller hon ha informerats om skyddsförordning ska en person, innan han eller hon lämnar sitt samtycke enligt första stycket, ha 1.att det är frivilligt att lämna uppgifter, medverka till upptagningar eller genomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt deltagande helt eller delvis, 2. för vilka ändamål behandling 2. vilka uppgifter som får re- kan ske enligt 5–7 §§ och vilka gistreras enligt 9 §, uppgifter som får registreras enligt 3.de sekretess- och säkerhetsbestämmelser som gäller för registret, 4.vem som är personuppgifts- 5.hur länge uppgifterna sparas, 6.rätten till rättelse av uppgif- terna, 7. rätten till information enligt 4. rätten till information enligt 15 § denna lag och 26 § person- 15 § denna lag, uppgiftslagen (1998:204), 5. vilken myndighet som har 8. vilken myndighet som har tillsyn över att denna lag följs, tillsyn över att denna lag följs, och 9. rätten till skadestånd, och 6. rätten till skadestånd. 10.rätten att få uppgifter utplå- Denna lag träder i kraft . 2017/18:298 2.5 Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s Härigenom föreskrivs att det i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska införas en ny paragraf, 4 kap. 3 §, och närmast före 4 kap. 3 § en ny rubrik av följande lydelse. Personuppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Denna lag träder i kraft . 3 Ärendet och dess beredningProp. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphä- vande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad Dataskyddsförordningen, som har börjat tilläm- pas , finns i svensk lydelse i bilaga 1 med beslutade rät- telser i bilaga 2. Regeringen beslutade att tillkalla en särskild utredare, som bl.a. fick i uppdrag att analysera vilken reglering av personuppgifts- behandling för forskningsändamål som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som den redan tillsatta (Ju 2016:04) hade i upp- drag att föreslå med anledning av dataskyddsförordningen. I den nya ut- redningens uppdrag ingick också att föreslå nödvändiga anpassningar till dataskyddsförordningen av vissa registerspecifika författningar på forsk- ningsområdet (dir. 2016:65). Utredningen, som antog namnet Forsknings- datautredningen, presenterade delbetänkandet Personuppgifts- behandling för forskningsändamål (SOU 2017:50). betänkandet finns i bilaga 3. Utredningens lagförslag finns i bilaga 4. redningens betänkande har remissbehandlats. En förteckning över remiss- instanserna finns i bilaga 5. Remissvaren och en sammanställning av dessa finns tillgängliga i (dnr U2017/02644/F). () tog därefter fram en pro- memoria som kompletterar delbetänkandet. I promemorian lämnas förslag avseende tillämpningsområdet för den forskningsdatalag som Forsknings- datautredningen har föreslagit. Promemorian har remitterats. rian och remissvaren finns tillgängliga i (dnr U2017/04494/F). Ett utkast till lagrådsremiss togs därefter fram inom I utkastet gjordes bedömningen att den av föreslagna forskningsdatalagen inte ska ge- nomföras utan att endast nödvändiga anpassningar av befintliga lagar till dataskyddsförordningen ska genomföras . som föreslogs i utkastet baserades med ett undantag och med små juste- ringar på förslag i delbetänkandet. till ändring i offentlighets- och sekretesslagen (2009:400) fanns inte med i Detta förslag är en nödvändig följdändring för att ingen ändring i sak ska uppstå till följd av att personuppgiftslagen (1998:204) upphört att gälla i samband med att dataskyddsförordningen börjat Utkastet till lagrådsremiss remitterades till Utkastets lagförslag finns i bilaga 6 och en förteckning över remiss- instanserna finns i bilaga 7. Remissvaren finns tillgängliga i Utbildnings- departementet (dnr U2018/01639/F). De förslag som regeringen lagt fram i lagrådsremissen överensstämmer i sak med utkastet till lagrådsremiss. Regeringens avsikt är alltjämt att föreslå nödvändiga anpassningar till dataskyddsförordningen. arbete med de aktuella författningarna kommer bl.a. att ske i samband med beredningen av förslagen i betänkandet Etikprövning – en översyn av 2017/18:298 reglerna om forskning och hälso- och sjukvård (SOU 2017:104) och slutbetänkande Rätt att forska – Långsiktig reglering av forskningsdatabaser (2018:36). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 8. Lagrådets yttrande finns i bilaga 9. Lagrådet har lämnat förslagen utan erinran. I förhållande till lagråds- remissens lagförslag har en hänvisning i 14 § lagen (2013:794) om vissa register om vad arv och miljö betyder för människors hälsa till dataskydds- förordningen tagits bort.