prop · H503298 · 2018-09-14 00:00:00 — Mot bakgrund av detta är det regeringens bedömning att förslagen i propositionen inte får några övergripande konsekvenser varken för det allmänna eller för enskilda forskningsutförare. Som framgått i avsnitt 17 har lagändringarna inte kunnat träda i kraft då dataskyddsförordningen började tillämpas utan lagändringarna föreslås träda i kraft . Konsekvenserna av detta har behandlats i avsnitt 17.1. 2017/18:298 18.2 Konsekvenser för den personliga integriteten Dataskyddsförordningens bestämmelser innebär i sig en förstärkning av den registrerades rätt till information och tillgång till personuppgifter jäm- fört med motsvarande reglering i den nu upphävda PUL. Vid personuppgiftsbehandling för forskningsändamål möjliggör data- skyddsförordningen att undantag från vissa av den registrerades rättigheter kan föreskrivas i nationell rätt. Regeringen har bedömt att några sådana undantag inte ska införas i svensk rätt, utan att den registrerades rättigheter ska lämnas intakta enligt förordningen. När det gäller den generella skyddsåtgärd i form av en användnings- begränsning som regeringen föreslår ska införas i dataskyddslagen utgör det ett visst utökat skydd för den registrerade att undantaget för myndig- heters användning av personuppgifter i allmänna handlingar, som framgått av motsvarande skyddsåtgärd i PUL, inte föreslås införas i dataskyddsla- gen. Det är regeringens uppfattning i övrigt att det befintliga skyddet i nuva- rande reglering för den personliga integriteten bibehålls i och med de fö- reslagna ändringarna i etikprövningslagen och offentlighets- och sekre- tesslagen och anpassningarna av de övriga författningarna. 18.3Ekonomiska konsekvenser och konsekvenser i övrigt Regeringen bedömer att de ekonomiska konsekvenserna av förslagen i denna proposition blir ytterst begränsade. Initialt kan förslagen innebära ökade kostnader för bland annat utbildning av personal i det nya data- skyddsregelverket. Dessa bedöms dock vara av den omfattningen att de ryms inom befintliga ekonomiska ramar. Förslagen bedöms inte få några andra ekonomiska konsekvenser eller några konsekvenser för företag eller konkurrensförhållanden, den kommu- nala självstyrelsen, jämställdheten mellan män och kvinnor, de integra- tionspolitiska målen, miljön eller medlemskap i unionen. 19.1Förslaget till lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Paragrafen anger lagens förhållande till den numera upphävda personuppgiftslagen (1998:204), förkortad PUL. Med anledning av att PUL har upphävts i samband med att och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), benämnd dataskyddsförordningen, har börjat tillämpas ändras paragrafen så att den anger att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Detta innebär att lagen inte kan tillämpas fri- stående, utan endast tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Detta gäller bl.a. vid be- handling av personuppgifter för forskningsändamål. Lagen innehåller vid sidan av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, benämnd dataskyddslagen, kompletterande be- stämmelser för behandling av personuppgifter i det rättspsykiatriska forsk- ningsregistret. Hänvisningarna till dataskyddsförordningen i denna lag är dynamiska, dvs. avser förordningen i dess gällande lydelse . Bestämmelsen behandlas i avsnitt 16.1.5. 2 a § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. I paragrafen, som är ny, anges att vid behandling av personuppgifter enligt lagen gäller dataskyddslagen, om inte annat följer av denna lag. Bestämmelsen klargör att de generella nationella bestämmelserna om behandling av personuppgifter i dataskyddslagen, som kompletterar och preciserar dataskyddsförordningen på ett generellt plan, även gäller vid behandling av personuppgifter i det rättspsykiatriska forskningsregistret. Dataskyddslagen är subsidiär i förhållande till lagen om rättspsykiatriskt forskningsregister. Det innebär att om lagen om rättspsykiatriskt forsk- ningsregister innehåller bestämmelser som avviker från vad som anges i dataskyddslagen ska de bestämmelserna ha företräde framför dataskydds- lagen. 2017/18:298 Bestämmelsen behandlas i avsnitt 16.1.5. 12 § När personuppgifter i ett mål första gången registreras i det rättspsykiatriska forskningsregistret ska lämna information om behandlingen till den registrerade. Utöver vad som framgår av artikel 14 i dataskyddsförordningen ska informa- tionen innehålla upplysningar om 1.de sekretess- och säkerhetsbestämmelser som gäller för behandlingen, 2.bestämmelserna i dataskyddsförordning och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning om den registrera- des rätt till skadestånd, och 3.de begränsningar i fråga om tillgång till uppgifter, utlämnande av uppgifter på medium för automatiserad behandling och bevarande av uppgifter som gäller för behandlingen. Paragrafen reglerar vilken information som ska lämnas till den registre- rade. Bestämmelsen anpassas till dataskyddsförordningen på så sätt att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och att det i bestämmelsen enbart anges vilken information som ska lämnas utöver vad som framgår av artikel 14 i dataskyddsförordningen, vilken är direkt tillämplig. Hänvisningen till PUL ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Bestämmelsen behandlas i avsnitt 16.1.10. 19.2Förslaget till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser män- niskor 2 § I denna lag avses med forskning: vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå, forskningshuvudman: en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs, forskningsperson: en levande människa som forskningen avser, och behandling av personuppgifter: sådan behandling som anges i artikel 4.2 i Euro- paparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. I paragrafen definieras vissa grundläggande begrepp som används i lagen. Paragrafen ändras på sätt att i definitionen av behandling av personupp- gifter ersätts hänvisningen till definitionen i den upphävda person- uppgiftslagen (1998:204), förkortad PUL, med en hänvisning till den definition av begreppet som finns i artikel 4.2 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), benämnd dataskyddsförord- Prop. 2017/18:298 ningen. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. förordningen i dess gällande lydelse . Bestämmelsen behandlas i avsnitt 14.1.1. 3 § Denna lag ska tillämpas på forskning som innefattar behandling av 1.personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter), eller 2.personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. I denna paragraf och i 4 och 5 §§ anges lagens tillämpningsområde. Första punkten, som hänvisar till känsliga personuppgifter enligt 13 § PUL, ändras så att en hänvisning till sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) görs. Detta innebär att all behandling för forsknings- ändamål av sådana personuppgifter som anges i artikel 9.1 i dataskydds- förordningen ska etikprövas enligt denna lag, oavsett rättslig grund enligt artikel 6.1 i dataskyddsförordningen. Andra punkten, som hänvisar till personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § PUL ändras på så sätt att hänvisningen till den paragrafen tas bort. Detta innebär att kravet på etik- prövning enligt etikprövningslagen omfattar all personuppgiftsbehandling för forskningsändamål av de angivna kategorierna av personuppgifter, både sådan personuppgiftsbehandling som utförs av myndigheter och sådan som utförs av enskilda forskningsutförare. I artikel 10 i dataskydds- förordningen anges något färre kategorier av personuppgifter om lag- överträdelser än i 21 § PUL. Någon ändring i sak när det gäller de kate- gorier av personuppgifter om lagöverträdelser som ska vara föremål för etikprövning görs inte i förevarande paragraf. Kravet på etikprövning kommer således även fortsättningsvis att gälla samma kategorier av personuppgifter om lagöverträdelser som . Detta innebär att tillämpningsområdet är mer omfattande än vad som framgår av artikel 10 i dataskyddsförordningen och även omfattar friande domar i brottmål och administrativa frihetsberövanden. Bestämmelsen behandlas i avsnitt 12. 19.3Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) 7 § Sekretess gäller för personuppgift, om det kan antas att uppgiften efter ett ut- lämnande kommer att behandlas i strid med 1.Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personupp- gifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen, 2.lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- 2017/18:298 3. 6 § lagen (2003:460) om etikprövning av forskning som avser människor. Paragrafen reglerar sekretess i fall där det kan antas att utlämnade uppgif- ter kommer att behandlas i strid med dataskyddsregleringen. Efter förslag i propositionen Ny dataskyddslag (prop. 2017/18:105) har en ändring gjorts i paragrafen som innebär dels ett förtydligande av att prövningen gäller den behandling som kommer att ske efter ett eventuellt utlämnande, dels att hänvisningen till den numera upphävda person- uppgiftslagen (1998:204), förkortad PUL, ersatts med en hänvisning till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), benämnd dataskyddsförordningen, och lagen (2018:218) med kompletterande be- stämmelser till EU:s dataskyddsförordning, benämnd dataskyddslagen. Den nu aktuella ändringen innebär att en hänvisning även görs till kravet på godkännande enligt lagen (2003:460) om etikprövning av forskning som avser människor, benämnd etikprövningslagen, när det är fråga om forskning som innefattar känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. (se 6 § etikprövningslagen och hänvisningen i det lagrummet till 3 § samma lag). PUL innehöll bestämmelser som särskilt reglerade möjligheten att be- handla känsliga personuppgifter och personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel el- ler administrativa frihetsberövanden för forskningsändamål. Som särskild skyddsåtgärd gällde att behandling av sådana uppgifter fick ske om be- handlingen hade godkänts enligt etikprövningslagen (se 19 och 21 §§ PUL). Genom hänvisningen till PUL i förevarande paragraf gällde sekre- tess för uppgifter om det kunde antas att uppgiften efter utlämnandet skulle komma att behandlas i strid med kravet på godkännande i etikprövnings- lagen. PUL har upphävts i samband med att dataskyddsförordningen bör- jade tillämpas. Det förs därför in en hänvisning till 6 § etikprövningslagen i förevarande paragraf, vilket innebär att sekretess även framöver kommer att gälla för uppgifter om det kan antas att känsliga personuppgifter eller uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden ef- ter ett utlämnande kommer att behandlas i strid med kravet på etikpröv- ning. Bestämmelsen behandlas i avsnitt 15.2. 19.4Förslaget till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa 3 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Termer och uttryck i denna lag har samma betydelse som i EU:s dataskydds- Prop. 2017/18:298 förordning. Paragrafen anger lagens förhållande till den numera upphävda personuppgiftslagen (1998:204), förkortad PUL. Med anledning av att PUL har upphävts i samband med att Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), benämnd data- skyddsförordningen, har börjat tillämpas ändras paragrafen så att den an- ger att lagen innehåller kompletterande bestämmelser till dataskyddsför- ordningen. Detta innebär att lagen inte kan tillämpas fristående, utan en- dast tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Detta gäller bl.a. vid be- handling av personuppgifter för forskningsändamål. Lagen innehåller vid sidan av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, benämnd dataskyddslagen, kompletterande be- stämmelser för behandling av personuppgifter i vissa register för forskning om vad arv och miljö betyder för människors hälsa. Hänvisningarna till dataskyddsförordningen i denna lag är dynamiska, dvs. avser förordningen i dess gällande lydelse . Av andra stycket framgår att de termer och uttryck som används i lagen ska förstås på samma sätt som i dataskyddsförordningen. Bestämmelsen behandlas i avsnitt 16.2.6. 3 a § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, anger hur lagen förhåller sig till dataskyddslagen. Bestämmelsen klargör att de generella nationella bestämmelserna om behandling av personuppgifter i dataskyddslagen, som kompletterar och preciserar dataskyddsförordningen på ett generellt plan, även gäller vid behandling av personuppgifter enligt förevarande lag. Dataskyddslagen är subsidiär i förhållande till denna lag. Det innebär att om denna lag eller föreskrifter som har meddelats i anslutning till lagen innehåller be- stämmelser som avviker från vad som anges i dataskyddslagen ska de bestämmelserna ha företräde framför dataskyddslagen. Bestämmelsen behandlas i avsnitt 16.2.6. 12 § Personuppgifter som inte längre behövs för de ändamål som avses i 5 § 1 och 2 ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsän- damål eller statistiska ändamål. Paragrafen innehåller bestämmelser om gallring. 2017/18:298 Terminologin i paragrafen anpassas till dataskyddsförordningen genom att ”historiska, statistiska eller vetenskapliga ändamål” byts ut mot ”arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forskningsän- damål eller statistiska ändamål”. Bestämmelsen behandlas i avsnitt 16.2.12. 14 § Personuppgifter som avses i 9 § får inte samlas in i syfte att de ska registreras i ett register som förs enligt denna lag utan att den som uppgifterna avser uttryck- ligen har samtyckt till att personuppgifter behandlas enligt denna lag. Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförordning ska en person, innan han eller hon lämnar sitt samtycke enligt första stycket, ha informerats om 1.att det är frivilligt att lämna uppgifter, medverka till upptagningar eller ge- nomgå undersökningar i syfte att uppgifter om detta förs in i registret samt att den registrerade när som helst kan avbryta sitt uppgiftslämnande, sin medverkan eller sitt deltagande helt eller delvis, 2.vilka uppgifter som får registreras enligt 9 §, 3.de sekretess- och säkerhetsbestämmelser som gäller för registret, 4. rätten till information enligt 15 § denna lag, 5. vilken myndighet som har tillsyn över att denna lag följs, och 6. rätten till skadestånd. Av bestämmelsens första stycke framgår att personuppgifter inte får sam- las in i syfte att de ska registreras i ett register som förs enligt denna lag utan att den som uppgifterna avser uttryckligen har samtyckt till att per- sonuppgifter behandlas enligt lagen. I andra stycket regleras vilken in- formation som ska ha lämnats till en person innan denne lämnar sitt sam- tycke. Bestämmelsens andra stycke anpassas så att de punkter som har sin mot- svarighet i dataskyddsförordningen tas bort och att det i bestämmelsen en- bart anges vilken information som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen. Bestämmelsen behandlas i avsnitt 16.2.14. 19.5Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning 3 § Personuppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Paragrafen, som är ny, fastställer begränsningar för hur personuppgifter som behandlas för forskningsändamål får användas. Paragrafen motsvarar delvis 9 § fjärde stycket i den upphävda personuppgiftslagen (1998:204), förkortad PUL. Bestämmelsen, som har sin grund i artiklarna 6.2, 9.2 j och 89.1 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), benämnd dataskyddsförordningen, förhindrar som huvudregel att personuppgifter som behandlas av den personuppgiftsansvarige enbart för forsknings- ändamål används för att vidta åtgärder rörande den registrerade. Sådana åtgärder får bara vidtas om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av person- uppgifter och inte bara känsliga sådana. Med vitala intressen avses intres- sen som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas för forskningsändamål behöver användas för att varna de registrerade. Det kan förekomma t.ex. när en forskare, som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling. Det är den personuppgiftsansvarige som har att visa att det finns sådana omständig- heter som utgör synnerliga skäl. För att det ska vara tillåtet att använda uppgifterna för att vidta åtgärder i fråga om den registrerade krävs också att användningen inte är oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in (se artikel 5.1 b i dataskyddsförordningen). Undantaget från användningsbegränsningen kan alltså inte tillämpas till stöd för en vidarebehandling som i sig är otillåten enligt dataskydds- förordningen. I förhållande till den motsvarande bestämmelsen som fanns i PUL har bestämmelsen utformats så att det tydligare framgår att användnings- begränsningen gäller personuppgifter som enbart behandlas för forsk- ningsändamål. Det är så bestämmelsen i PUL var avsedd att tillämpas en- ligt förarbetena (se prop. 1997/98:44 s. 120). Vidare har undantaget att åtgärder i fråga om den registrerade får vidtas om den registrerade lämnat sitt samtycke tagits bort. Om samtycke inhämtas för att en uppgift ska an- vändas för nya ändamål kan behandlingen nämligen jämställas med att personuppgiften samlas in på nytt och undantaget är därför överflödigt. Till skillnad från vad som tidigare gällde enligt PUL (se 8 § andra stycket PUL) innebär bestämmelsen en begränsning även av myndigheters möjligheter att använda personuppgifter i allmänna handlingar för att vidta åtgärder i fråga om den registrerade. I övrigt bör bestämmelsen tolkas och tillämpas på ett likartat sätt som bestämmelsen i 9 § fjärde stycket PUL. Praxis kring tillämpningen av den bestämmelsen bör således vara vägledande. Bestämmelsen behandlas i avsnitt 9.3. Europeiska unionens officiella tidning L 119/1 OCH RÅDETS FÖRORDNING (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (Text av betydelse för EES) OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av yttrande (2), i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande.