prop · H503298 · 2018-09-14 00:00:00 — Dessutom bestäms medlen för behandlingen i registerlagen och dess förordning, dvs. i lagen fastställs att en viss typ av behandling av per- sonuppgifter som görs av en viss myndighet för vissa ändamål på angivet sätt är tillåten. Därmed bestäms såväl ändamål som medel för behand- lingen i registerlagen, vilket gör det tillåtet att ange vem som är person- uppgiftsansvarig. Slutligen är det i linje med principerna om laglighet, kor- rekthet och öppenhet (artikel 5.1 a) att peka ut personuppgiftsansvarig di- rekt i registerlagen, vilket tydliggör vem som ska hållas ansvarig för den behandling av personuppgifter som görs enligt lagen. Sammanfattningsvis är det regeringens bedömning att bestämmelsen kan och bör behållas. 2017/18:298 16.2.8 Ändamålsbestämmelserna bör behållas Regeringens bedömning: Ändamålsbestämmelserna i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Datainspektionen ifrågasätter, med hänvisning till de invändningar myndigheten framförde mot det ursprungliga lagförslaget och till att myndigheten anser att ändamålsbestämmelserna i lagen inte är förenliga med dataskyddsförordningens krav, om lagen är förenlig med dataskyddsförordningen. Ingen annan remissinstans kommenterar bedöm- ningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Datainspektionen vidhåller sin ståndpunkt att än- damålsbestämmelserna inte är tillräckligt särskilt och uttryckligt angivna för att uppfylla kraven enligt tillämpliga dataskyddsbestämmelser. Ingen annan remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning Ändamålsbestämmelserna är en tillåten nationell precisering Enligt dataskyddsförordningen gäller bl.a. att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b). Motsvarande gäller enligt PUL (9 §), som baseras på dataskyddsdirek- tivet. De primära ändamål som personuppgifter får behandlas för enligt lagen om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa, anges i 5 §. De är att skapa underlag för olika forskningspro- jekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, samt att lämna ut uppgifter för sådan forskning. För utlämnande av uppgifter ur registret uppställs vissa villkor enligt 6 §. Det krävs att forskningen bedrivs vid en myndighet och att forskningen och personuppgiftsbehandlingen är god- kända enligt etikprövningslagen. Dessutom får de personuppgifter som lämnas ut inte vara direkt hänförliga till den enskilde, men de får vara för- sedda med en beteckning som hos den personuppgiftsansvarige kan kopp- las till den registrerades personnummer eller motsvarande identitetsbe- teckning. Regeringen anser att dessa ändamålsbestämmelser är tillräckligt preciserade för att uppfylla kraven i dataskyddsförordningen. Regeringen delar också utredningens bedömning att ändamålsbestämmelserna i 5 och 6 §§ även i övrigt är utformade på ett sådant sätt som stämmer överens med dataskyddsförordningens krav och utgör tillåten nationell lagstiftning i enlighet med artikel 6.2 och 6.3. Ändamålsbestämmelserna i 5 och 6 §§ kan och bör därför behållas. Datainspektionen ifrågasätter med hänvisning till de invändningar myn- digheten framförde mot det ursprungliga lagförslaget och till att myndig- heten anser att ändamålsbestämmelserna i lagen inte är förenliga med data- skyddsförordningens krav, om lagen är förenlig med dataskyddsförord- ningen. Som regeringen redan har anfört i avsnitt 16.2.2 anser regeringen till skillnad från Datainspektionen att ändamålsbestämmelserna är fören- liga såväl med dataskyddsdirektivet som med dataskyddsförordningen. Datainspektionens invändningar har bemötts i tre lagstiftningsärenden, dels i den ursprungliga propositionen, dels vid de två tillfällen då lagen har förlängts (prop. 2012/13:163 s. 23 f., prop. 2014/15:121 s. 11 f. och prop. 2016/17:204 s. 10 f.). Det har inte tillkommit någon praxis från som ger anledning till någon annan bedömning . Mot denna bakgrund delar inte regeringen uppfattning. Sekundära ändamål och finalitetsprincipen Termen sekundära ändamål avser myndigheters utlämnande av person- uppgifter för att tillgodose andras behov. Ett sekundärt ändamål enligt la- gen om vissa register för forskning om vad arv och miljö betyder för män- niskors hälsa är enligt 7 § första stycket utlämnande av personuppgifter till en utredning av oredlighet i sådan forskning som avses i 6 § första stycket, eller för att ett yttrande ska kunna lämnas i samband med sådan utredning. Enbart kodade uppgifter får då lämnas ut. Personuppgifter som registre- rats enligt lagen får vidare alltid lämnas ut till den registrerade själv, vilket upplyses om i 7 § tredje stycket. Det är regeringens bedömning att bestäm- melsen i 7 § utgör en tillåten nationell bestämmelse enligt artikel 6.2 och 6.3 och kan kvarstå oförändrad. Personuppgifter som behandlas för det primära ändamålet att ingå i ett register enligt lagen eller för att lämnas ut för sådan forskning som lagen avser får enligt 8 § första stycket i registerlagen, utöver vad som anges i 6 och 7 §§, bara lämnas ut om det finns en skyldighet enligt lag att göra det. Denna bestämmelse har förts in i lagen för att undvika konflikt med andra lagar som innebär en uppgiftsskyldighet. Det kan bl.a. finnas en skyldighet att lämna uppgifter till tillsynsmyndigheten, dvs. Bestämmelsen är enligt regeringens uppfattning en tillåten nationell bestämmelse enligt artikel 6.2 och 6.3 som kan kvarstå oförändrad. De uppräknade ändamålen och tillåtna behandlingarna i lagen är enligt 8 § andra stycket uttömmande. Det innebär en begränsning av finalitets- principen enligt dataskyddsförordningen. Den principen innebär att upp- gifter ska samlas in för särskilda, uttryckligt angivna och berättigade än- damål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, ve- tenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5 1 b). Mot bakgrund av att ändamålen med behandlingen i registerlagen är nödvändiga för att utföra en uppgift av allmänt intresse är det tillåtet enligt artikel 6.2 och 6.3 att i nationell rätt behålla särskilda bestämmelser som till exempel specificerar ändamåls- begränsningar. Det är regeringens bedömning att bestämmelsen i 8 § andra stycket är förenlig med dataskyddsförordningen och kan och bör behållas. 2017/18:298 16.2.9 Det bör även fortsättningsvis anges vilka person- uppgifter som får finnas i registret Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om vilka personuppgifter som får finnas i registret kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: I 9 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges vilka uppgifter som får finnas i ett register som förs med stöd av lagen. Uppräk- ningen är uttömmande. Även om det inte uttrycks direkt i lagens uppräk- ning råder det enligt regeringens uppfattning inget tvivel om att uppgif- terna som samlas in med stöd av lagen utgörs av huvudsakligen känsliga personuppgifter, enligt definitionen i 13 § PUL där bland annat person- uppgifter om hälsa ingick. Utöver uppräkningen anges även i 9 § andra stycket att regeringen eller den myndighet regeringen bestämmer medde- lar föreskrifter om i vilken utsträckning uppgifter avseende genetiska undersökningar får registreras. Dataskyddsförordningen förbjuder i artikel 9.1 behandling av person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning (särskilda kategorier av uppgifter). Gene- tiska uppgifter, biometriska uppgifter och uppgifter om sexuell läggning är nya kategorier uppgifter som omfattas av det principiella förbudet mot behandling, jämfört med motsvarande reglering i dataskyddsdirektivet och PUL. I 3 kap. 1 § dataskyddslagen anges att med känsliga uppgifter avses i den lagen sådana uppgifter som avses i artikel 9.1. I artikel 9.2 i dataskyddsförordningen preciseras vissa uttryckliga un- dantag från förbudet i artikel 9.1, till exempel om den registrerade har läm- nat sitt samtycke (artikel 9.2 a) eller om behandlingen är nödvändig på grund av hänsyn till ett viktigt allmänt intresse (artikel ). Det finns också ett undantag för behandling som är nödvändig för bland annat forsk- ningsändamål (artikel 9.2 j). Förordningen uppställer krav på fastställda lämpliga och särskilda skyddsåtgärder vid tillämpning av undantagen i ar- tikel och artikel 9.2 j. Av artikel 9.4 framgår att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Av skäl 10 i dataskyddsförordningen framgår att förordningen ger med- lemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter, och att förordningen inte utesluter att det i medlemsstaternas nationella rätt fast- Prop. 2017/18:298 ställs närmare omständigheter för specifika situationer där uppgifter be- I skäl 52 anges bland annat att undantag från förbudet att behandla särskilda kategorier av personuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämp- liga skyddsåtgärder för att skydda personuppgifter och övriga grundläg- gande rättigheter. En förutsättning för sådana undantag är att allmänintres- set motiverar det. Motsvarande förbud mot behandling av känsliga personuppgifter fanns i dataskyddsdirektivets artikel 8.1, vilken införlivades i svensk rätt genom 13 § PUL. Undantag från förbudet var bland annat möjligt om den registrerade lämnat sitt uttryckliga samtycke (artikel 8.2 a i data- skyddsdirektivet) eller av hänsyn till ett viktigt allmänt intresse, under förutsättning av lämpliga skyddsåtgärder (artikel 8.4 i dataskyddsdirekti- vet). I förarbetena till registerlagen har regeringen motiverat ett undantag från förbudet att behandla känsliga personuppgifter med att det dels föreligger krav på uttryckligt samtycke, dels att syftet och ändamålet med registerla- gen utgör ett sådant viktigt allmänt intresse som avses i dataskyddsdirek- tivet. De bestämmelser som finns i registerlagen bl.a. ifråga om informa- tion, samtycke och utplåning av uppgifter ansågs utgöra sådana lämpliga skyddsåtgärder som avses i dataskyddsdirektivet. Regeringen fann således att dataskyddsdirektivet inte hindrade att känsliga personuppgifter får be- handlas enligt registerlagen. Eftersom motsvarande möjligheter till undantag finns i dataskydds- förordningen, och kraven i övrigt i förordningen avseende bland annat skyddsåtgärder får anses vara uppfyllda, är det utredningens uppfattning att redan gjorda bedömningar i det här avseendet kan och bör kvarstå även med hänsyn taget till dataskyddsförordningens bestämmelser. Stödet för att behandla känsliga personuppgifter enligt registerlagen finns således i artikel 9.2 a i dataskyddsförordningen. Regeringens bemyndigande att meddela föreskrifter om i vilken utsträckning uppgifter avseende gene- tiska undersökningar får registreras kan vidare anses vara ett tillåtet villkor enligt dataskyddsförordningen. 16.2.10Begränsningen av intern elektronisk åtkomst bör behållas Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om begränsning av intern elektronisk åtkomst kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Ingen remissinstans kommenterar bedömningen Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Ingen remissinstans kommenterar bedömningen 2017/18:298 Skälen för regeringens bedömning: I 10 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa anges att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Denna bestäm- melse är en skyddsåtgärd enligt dataskyddsförordningens terminologi. Det är regeringens bedömning att bestämmelsen i sak är förenlig med dataskyddsförordningen och utgör en sådan specifik eller särskild bestäm- melse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att reglera i nationell rätt för att närmare fastställa villkoren för den per- sonuppgiftsansvariges behandling som grundar sig på bl.a. en arbetsupp- gift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Som konstaterats är också de uppgifter som registreras i registret till stor del sådana som räknas som känsliga personuppgifter enligt artikel 9.1 i data- skyddsförordningen. För att undantaget i artikel när en behandling är nödvändig av hänsyn till ett viktigt allmänt intresse eller undantaget i arti- kel 9.2 j när en behandling är nödvändig för vetenskapliga eller historiska forskningsändamål ska kunna tillämpas och behandlingen ska vara tillåten krävs det bl.a. att den nationella rätten innehåller bestämmelser om lämp- liga och särskilda åtgärder för att säkerställa den registrerades grundläg- gande rättigheter och intressen. aktuell bestämmelse är en sådan bestämmelse. Bestämmelsen kan och bör därför behållas. 16.2.11 Förbudet mot direktåtkomst bör behållas Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om förbud mot utlämnande genom direktåtkomst kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: Enligt 11 § i registerlagen får ut- lämnande genom direktåtkomst till personuppgifter i registret inte före- komma. Denna bestämmelse är en skyddsåtgärd enligt dataskyddsförord- ningens terminologi. Det är regeringens bedömning att bestämmelsen i sak är förenlig med dataskyddsförordningen och utgör en sådan specifik eller särskild bestäm- melse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att närmare fastställa villkoren för den personupp- giftsansvariges behandling som grundar sig på bland annat en arbetsupp- gift av allmänt intresse enligt artikel 6.1 e dataskyddsförordningen. Som konstaterats är också de uppgifter som registreras i registret till stor del sådana som räknas som känsliga personuppgifter enligt artikel 9.1 i data- skyddsförordningen. För att undantaget i artikel då behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse eller undantaget i arti- Prop. 2017/18:298 kel 9.2 j då behandlingen är nödvändig för vetenskapliga eller historiska forskningsändamål ska kunna tillämpas och behandlingen enligt lagen vara tillåten krävs det bl.a. att den nationella rätten innehåller bestämmel- ser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestämmelsen är en sådan bestämmelse. Mot den angivna bakgrunden kan och bör bestämmelsen be- hållas. I ett beslut i ett tillsynsärende gällande personuppgiftsbehandlingen i det s.k. har Datainspektionen konstaterat att , som är personuppgiftsansvarigt, medger deltagare i projektet att via en personlig hemsida på egen hand söka efter uppgifter om sig själva som finns i registret. Enligt Datainspektionen är det fråga om att institutet ger deltagarna direktåtkomst till uppgifter i registret utan lagligt stöd (beslut av Datainspektionen , dnr 708-2014). Frågan om förbudet mot direktåtkomst enligt bestämmelsen även fortsättningsvis bör gälla mot den enskilde själv övervägdes av i samband med utredningens slutbetänkande (SOU 2018:36). 16.2.12 Bestämmelsen om gallring ska anpassas Regeringens förslag: Terminologin i bestämmelsen om gallring i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas till dataskyddsförordningens termino- logi. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: Enligt 12 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska person- uppgifter gallras när de inte längre behövs för de ändamål som avses i 5 § 1 och 2, dvs. att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdo- mar och för människors hälsa i övrigt, och att lämna ut uppgifter för sådan forskning i den utsträckning och på det sätt som anges i 6 §. Detta gäller om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får be- varas för historiska, statistiska eller vetenskapliga ändamål. Lagring av personuppgifter är enligt dataskyddsförordningens definition i artikel 4.2 en behandling av personuppgifter. Enligt artikel 5.1 e i data- skyddsförordningen får personuppgifter inte förvaras i en form som möj- liggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Person- uppgifter får lagras i den mån personuppgifterna en- bart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller 2017/18:298 historiska forskningsändamål eller statistiska ändamål i enlighet med arti- kel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Motsvarande bestämmelse finns i artikel 6.1 e i dataskyddsdirektivet, vilket innebär att huvudregeln inte har förändrats genom dataskyddsförordningen. Rege- ringen anser att bestämmelserna i 12 § lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa, dvs. att person- uppgifter ska gallras så snart de inte längre behövs, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål, utgör en sådan nationell bestäm- melse om lagringstid som är tillåten enligt artikel 6.2 och 6.3 i dataskydds- förordningen när behandlingen grundas på en uppgift av allmänt intresse. bedömningar och avvägningar mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offent- lighet och insyn i myndigheternas verksamhet, som motiverade införandet av den särskilda gallringsbestämmelsen i registerlagen, är fortfarande re- levanta och balanserade. Det är därför regeringens bedömning att bestäm- melsen om gallring inte behöver ändras i sak. I dataskyddsförordningen används formuleringen ”arkivändamål av all- mänt intresse, vetenskapliga eller historiska forskningsändamål eller stat- istiska ändamål”, vilket i viss mån skiljer sig från dataskyddsdirektivet, där formuleringen ”historiska, statistiska eller vetenskapliga ändamål” an- vänds. Formuleringen i 12 § registerlagen bör anpassas till dataskydds- förordningen. 16.2.13 Bestämmelsen om rättelse ska upphävas Regeringens förslag: Bestämmelsen om rättelse i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska upphävas. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: I 13 § lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa anges att bestäm- melserna om rättelse i 28 § PUL ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den förstnämnda lagen. Bestämmelsen i 28 § PUL gällde endast om behandling skett i strid med PUL eller föreskrifter som har utfärdats med stöd av den lagen. För att bestämmelserna om rättelse skulle vara tillämpliga även vid behandling i strid med lagen om vissa register för forskning om vad arv och miljö be- tyder för människors hälsa krävdes det därför att det i den lagen särskilt angavs att bestämmelserna i 28 § PUL gäller om behandling av person- Prop. 2017/18:298 uppgifter sker i strid med lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Bestämmelser som hänvisar till PUL kan inte finnas kvar när PUL nu har upphävts. I dataskyddsförordningen behandlas den registrerades rätt till rättelse i artikel 16. Till skillnad från vad som gäller enligt PUL är dataskyddsförordningen direkt tillämplig även på sådan behandling av personuppgifter som omfattas av registerlagens tillämpningsområde och det finns därför inte skäl att införa motsvarande hänvisning till dataskydds- förordningen. Vid införandet av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa har bedömningen gjorts att en rätt till rättelse ska finnas vid behandling av personuppgifter enligt lagen. Enligt dataskyddsförordningen gäller en rätt till rättelse direkt till följd av förord- ningen såvida inte något undantag införs i svensk rätt. Något undantag från rätten till rättelse har inte införts i dataskyddslagen. I avsnitt 13.4.2 har regeringen gjort bedömningen att något undantag från rätten till rättelse vid personuppgiftsbehandling för forskningsändamål i enlighet med den möjlighet till nationell reglering som finns i artikel 89.2 i dataskyddsför- ordningen inte heller ska införas i svensk rätt. Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om rätt till rättelse ska därför upphävas och motsvarande rätt till rättelse vid behandling av personuppgifter i strid med lagen kommer att följa direkt av dataskyddsförordningen. 16.2.14 Bestämmelsen om samtycke och information ska anpassas Regeringens förslag: Bestämmelsen om samtycke och information i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och det i bestämmelsen enbart anges vilken information som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen. Den hänvisning till personuppgiftslagen som finns ska tas bort. Utredningens förslag överensstämmer med regeringens förslag förutom att utredningen föreslagit att hänvisningen till 26 § PUL i andra