prop · H503298 · 2018-09-14 00:00:00 — Det kan, enligt nämndens uppfattning, skapas praktiska tillämpningsproblem och förvir- ring i forskarsamhället om det inte råder förenlighet mellan vad som krävs enligt forskningsdatalagen och vilka uppgifter som omfattas av etikpröv- Förslaget i utkastet till lagrådsremiss överensstämmer med regering- Remissinstanserna: Ingen av de remissinstanser som har yttrat sig har kommenterat förslaget specifikt. Skälen för regeringens förslag: Etikprövningslagen ska enligt 3 § til- lämpas på forskning som innefattar behandling av känsliga personuppgif- ter enligt 13 § PUL eller personuppgifter om lagöverträdelser som innefat- tar brott, domar i brottmål, straffprocessuella tvångsmedel eller administ- rativa frihetsberövanden enligt 21 § PUL. Med behandling av personupp- gifter avses enligt 2 § etikprövningslagen sådan behandling som anges i 3 Den sistnämnda hänvisningen bör tas bort och ersättas med en hän- visning till definitionen av behandling enligt artikel 4.2 i dataskydds- Som framgått av avsnitt 9.7 och 10 är dataskyddsförordningens defin- ition av särskilda kategorier av personuppgifter (i 3 kap. 1 § dataskyddsla- gen benämnda känsliga personuppgifter), vidare än dataskyddsdirektivets och PUL:s definitioner. I dataskyddsförordningen utvidgas de särskilda kategorierna av uppgifter till att också omfatta behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Om godkänd etikprövning ska vara ett krav för att få behandla känsliga personuppgifter för forskningsändamål i enlighet med dataskyddsförord- ningens definition innebär det således ett visst utökat tillämpningsområde för etikprövningslagen till följd av den EU-rättsliga utvecklingen. Som framgått av avsnitt 11 skiljer sig vidare de kategorier av person- uppgifter som omfattas av artikel 10 i dataskyddsförordningen något från de kategorier av personuppgifter om lagöverträdelser som omfattats av kravet på etikprövning enligt etikprövningslagen och den upphävda PUL. Som nämnts i avsnitt 11 är det regeringens bedömning att det som i prak- tiken skiljer definitionen i dataskyddsförordningen från den i PUL är att personuppgifter om lagöverträdelser som innefattar friande domar i brott- mål och administrativa frihetsberövanden omfattas av den upphävda PUL, men inte av artikel 10. I avsnitt 10.3 har regeringen tagit ställning för att etikprövning enligt etikprövningslagen ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter enligt dataskyddsförordningens vidare definition, vid be- Prop. 2017/18:298 handling för forskningsändamål. I avsnitt 11.2 har regeringen gjort mot- svarande ställningstagande i fråga om sådana uppgifter om lagöverträdel- ser som motsvarar PUL:s definition. Med anledning härav föreslår rege- ringen att 3 § etikprövningslagen ändras i enlighet härmed och att hänvis- ningarna i den paragrafen till PUL tas bort. Som påpekats i avsnitt 3 är regeringens avsikt med denna proposition att föreslå nödvändiga anpassningar till dataskyddsförordningen. De ställ- ningstaganden som gjorts i avsnitt 10.3 och 11.2 i fråga om att etik- prövning enligt etikprövningslagen ska vara en skyddsåtgärd vid behand- ling av känsliga personuppgifter och uppgifter om lagöverträdelser vid be- handling för forskningsändamål överensstämmer med utredningens be- dömning. Utredningen bedömer att det föreligger ett behov av att analysera möjligheterna till en mer ändamålsenlig och differentierad etikprövning av personuppgiftsbehandling som typiskt sett kan anses innebära en lägre risk för integritetsintrång. Den frågan behandlas inte i denna proposition. Fortsatt arbete med de aktuella författningarna kommer däremot att ske bl.a. i samband med beredningen av förslagen i betänkandet Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård (SOU 2017:104). 13Bör det föreskrivas undantag från vissa av de rättigheter som den registrerade har? 13.1Dataskyddsförordningen möjliggör undantag från vissa rättigheter Som har nämnts i avsnitt 4.6 har den registrerades rättigheter förstärkts i dataskyddsförordningen i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Det är bl.a. fråga om ökad rätt till information, rätt till tillgång, rätt till rättelse, rätt till radering, rätt till begränsning av be- handling, rätt till dataportabilitet och rätt att göra invändningar (artiklarna 12–22). Det finns direkt tillämpliga undantag från vissa av dessa rättig- heter och möjlighet att i nationell rätt göra undantag från vissa rättigheter i dataskyddsförordningen, enligt vad som beskrivs nedan. När det gäller vissa av den registrerades rättigheter framgår undantag direkt av dataskyddsförordningen Vilken information som ska lämnas till den registrerade när personuppgif- terna inte har inhämtats från den registrerade regleras i artikel 14.1–4. Enligt artikel 14.5 b ska bestämmelserna i artikeln inte tillämpas i den mån tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för bl.a. forskningsändamål i enlighet med artikel 89.1, eller i den mån skyldig- heten att lämna information sannolikt kommer att göra det omöjligt eller 2017/18:298 avsevärt försvåra uppfyllandet av målen med den aktuella behandlingen. I sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet att göra uppgifterna tillgängliga för allmänheten. Den rätt till radering som regleras i artikel 17.1 och 17.2 ska enligt artikel 17.3 d inte gälla i den utsträckning som behandlingen är nödvändig för bl.a. forskningsändamål enligt artikel 89.1, i den utsträckning som rätten sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med behandlingen. Rätten att göra invändning mot behandling av personuppgifter enligt ar- tikel 21 gäller om behandlingen grundar sig på artikel 6.1 e eller f. Om personuppgifter behandlas för bl.a. forskningsändamål ska den registre- rade enligt artikel 21.6 ha rätt att göra invändningar mot behandlingen av- seende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Dataskyddsförordningen möjliggör även att det föreskrivs undantag från vissa av den registrerades rättigheter i nationell rätt Det är möjligt att i nationell rätt göra undantag från den personuppgifts- ansvariges skyldighet att lämna information till den registrerade när per- sonuppgifterna inte har inhämtats från den registrerade. I artikel 14.5 c anges att punkterna i 14.1–4 inte ska tillämpas om erhållande eller utläm- nande av uppgifter uttryckligen föreskrivs genom unionsrätten eller ge- nom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berätti- gade intressen. Om personuppgifter behandlas för forskningsändamål får det enligt ar- tikel 89.2 i unionslagstiftningen eller medlemsstaternas nationella lagstift- ning föreskrivas om undantag från de rättigheter som framgår av artikel 15 (rätten till tillgång), artikel 16 (rätten till rättelse), artikel 18 (rätten till begränsning av behandling) och artikel 21 (rätten att göra invändningar), med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1. Undantag från dessa rättigheter får endast föreskrivas i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen med behandlingen och sådana undantag krävs för att uppnå dessa ändamål. Vissa rättigheter gäller inte om den registrerade inte är möjlig att identi- fiera En viktig och direkt tillämplig reglering i dataskyddsförordningen är att den personuppgiftsansvarige inte ska behöva bevara, förvärva eller be- handla ytterligare information för att identifiera den registrerade endast i syfte att följa förordningen. Det är vanligt att det saknas direkt identifie- rande uppgifter i sådana personuppgifter som behandlas för forskningsän- damål, exempelvis när uppgifterna kodats eller pseudonymiserats. Detta medför att den personuppgiftsansvarige i dessa fall saknar sådana uppgif- ter som gör det möjligt att exempelvis göra registerutdrag eller ens avgöra om uppgifter om en viss person behandlas. Om den personuppgiftsansva- rige kan visa att denne inte kan identifiera den registrerade ska artik- larna 15–20 inte gälla, förutom när den registrerade tillhandahåller ytterli- Prop. 2017/18:298 gare information som gör identifieringen möjlig (artikel 11, jfr även skäl 57). Det är viktigt att upprätthålla integritetsskyddet i forskningen Det är av stor vikt att bestämmelserna som reglerar personuppgiftsbehand- ling för forskningsändamål ger goda förutsättningar för forskningen, sam- tidigt som den registrerades fri- och rättigheter skyddas. Det är viktigt att upprätthålla integritetsskyddet i samband med forskning, inte minst för dem som deltar i forskningsprojekt. Nedan behandlas frågorna om undantag bör göras i nationell rätt från den personuppgiftsansvariges skyldighet enligt artikel 14 att tillhandahålla information till den registrerade när uppgifterna inte har erhållits från ho- nom eller henne (avsnitt 13.2), från rätten till tillgång enligt artikel 15 (av- snitt 13.3), från rätten till rättelse enligt artikel 16 (avsnitt 13.4), från rätten enligt artikel 18 till begränsning av behandling (avsnitt 13.5) och från rät- ten enligt artikel 21 att göra invändningar (avsnitt 13.6). 13.2Undantaget från informationsskyldigheten när personuppgifter lämnas ut för forskningsändamål följer direkt av dataskyddsförordningen och svensk rätt Regeringens förslag: Bestämmelsen om utlämnande av personuppgif- ter i etikprövningslagen ska upphävas. Regeringens bedömning: Rätten att ta del av allmänna handlingar och myndigheters skyldighet att lämna ut allmänna handlingar i enlig- het med offentlighetsprincipen gäller oavsett för vilket ändamål utläm- Rätten respektive skyldigheten gäller dock inte i den utsträckning handlingarna innehåller sekretessbelagda uppgifter. Myndigheters skyldighet enligt offentlighets- och sekretesslagen att dels på begäran av en enskild lämna ut uppgifter ur en allmän handling, dels på begäran av en annan myndighet lämna ut uppgifter som myndigheten förfogar över, gäller också oavsett för vilket ändamål ut- lämnandet sker, under förutsättning att uppgifterna inte är sekretess- belagda eller det skulle hindra arbetets behöriga gång. nebär att ett erhållande eller utlämnande av uppgifter uttryckligen är föreskrivet i svensk rätt i enlighet med artikel 14.5 c i EU:s dataskydds- förordning och att artikel 14.1–4 om den personuppgiftsansvariges in- formationsskyldighet inte behöver tillämpas i dessa fall. föreskrift behöver inte införas för att detta ska gälla vid myndigheters utlämnande av uppgifter för forskningsändamål. bestämmelse bör inte införas. För andra personuppgiftsansvariga än myndigheter och sådana en- skilda som jämställs med myndigheter vid tillämpningen av bestämmel- serna om rätt att ta del av allmänna handlingar och offentlighets- och sekretesslagen, kan undantaget från informationsskyldigheten enligt artikel 14.5 b i dataskyddsförordningen vara tillämpligt. 2017/18:298 Sådana villkor som kan uppställas i samband med godkännande en- ligt etikprövningslagen kan även fortsättningsvis avse information som ska lämnas till den registrerade vid personuppgiftsbehandling för forsk- ningsändamål. Utredningens förslag överensstämmer inte med regeringens förslag och bedömning. Utredningen har föreslagit att bestämmelsen i 12 § etik- prövningslagen om att personuppgifter får lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnads- plikt, överförs till forskningsdatalagen och omformuleras, så att det fram- går att personuppgifter får lämnas ut för att behandlas för forskningsända- mål om inte något annat följer av regler om sekretess och tystnadsplikt samt att det anges att vid sådan personuppgiftsbehandling behöver artikel 14.1–4 i EU:s dataskyddsförordning, inte iakttas. Detta undantag hindrar enligt förslaget inte att villkor som meddelas enligt etikprövningslagen får avse information som ska lämnas till den registrerade. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. ställer sig tveksamt till bestämmelsens utformning med anledning av att offentlighets- och sekretesslagen på ett heltäckande sätt reglerar frågor som berör utlämnande av uppgifter, således även upp- gifter som är avsedda för forskningsändamål. föreslår därför att paragrafens första mening formuleras om som en hänvisning till vad som stadgas i offentlighets- och sekretesslagen, men att bestämmelsen i övrigt behålls oförändrad. anser att bestämmelsen innebär ett generellt undantag från informationsplikten enligt artikel 14 som saknar stöd i förordningen. i ifrågasätter den svepande for- muleringen, vilken går längre än artikel 14.5 b och inte räddas av de före- slagna skyddsåtgärderna i forskningsdatalagen eller en hänvisning till etik- prövningen. Datainspektionen avstyrker förslaget i sin nuvarande utform- ning. Inspektionen anser dels att bestämmelsen brister i tydlighet på ett sådant sätt att den inte är förenlig med förordningen, dels att utredningen inte har visat att de skyddsåtgärder som föreslås uppfyller det krav på lämpliga skyddsåtgärder som följer av artikel 14.5 c. Förslaget och bedömningen i utkastet till lagrådsremiss överens- stämmer med regeringens förslag och bedömning. Remissinstanserna: En majoritet av de som yttrat sig instämmer i för- slaget och bedömningen eller har inga synpunkter. Detta gäller bl.a. Kam- marrätten i , Förvaltningsrätten i , Justitiekanslern (), i , Regionala etikpröv- ningsnämnden i , , , , , , , , Försvarsmakten, Total- , , , för hälsa, arbetsliv och välfärd, Tandvårds- och läkeme- delsförmånsverket, Inspektionen för socialförsäkringen, Arbetsgivarver- ket, Kungl. i instämmer såväl i att bestäm- melserna i OSL om rätten att ta del av allmänna handlingar och skyldig- heten att lämna ut sådana får betraktas som sådana nationella bestämmel- ser som avses i artikel 14.5 c, som i att OSL:s och andra lagars be- stämmelser om sekretess och tystnadsplikt får anses vara fastställda lämp- liga åtgärder för att skydda den registrerades intressen. nämnden anser dock att det borde finnas en hänvisning till OSL i den forskningsdatalag nämnden förordar ska införas och OSL:s betydelse för tillämpningen av artikel 14. ställer sig tveksam till att undantagsbestämmelsen i artikel 14.5 c ska ges en så extensiv tolkning. terar i sammanhanget att informationsskyldigheten enligt artikel 14 åligger den personuppgiftsansvarige som samlar in personuppgifter, det vill säga mottagaren av uppgifterna och inte utlämnande myndighet. kommun anser att regeringen bör beakta Datainspektionens kritik gällande lämpliga skyddsåtgärder noggrannare. ringen gör i dessa delar är enligt kommuns uppfattning inte tillräck- Därtill bör tilläggas att offentlighetsprincipen får, även med beak- tande av andra länders regleringar, i ett internationellt och europeiskt per- spektiv anses vara en unik reglering. Detta medför att det skydd som följer av sekretess och tystnadsplikt, för att minska det integritetsintrång som offentlighetsprincipen kan leda till, inte kan anses uppfylla de krav på lämpliga skyddsåtgärder som följer av artikel 14.5 c dataskyddsförord- Det får snarare anses vara en del av att följa den grundläggande dataskyddsstandard som följer av dataskyddsförordningen. framför att eftersom TF och OSL uppfyller andra syften än dataskyddsförordningen (se exempelvis HFD 2015 ref. 57 och HFD 2015 ref. 71) är det svårt att överblicka i vad mån syftet med artikel 14 kan uppnås genom allmänhetens tillgång till allmänna handlingar. kastet till lagrådsremissen förs inget resonemang om huruvida rätten till tillgång till allmänna handlingar i varje situation täcker in den rätt till in- formation som den enskilde har rätt till enligt 14.1–4. av relevans huruvida de informationsbärande handlingarna vid varje till- fälle är upprättade eller inkomna till myndigheten. ställer sig frågande till möjligheten att stödja ett undantag från artikel 14.1–4 dataskyddsförordningen på en reglering som inte fullt ut täcker de rättigheter som artikeln avser att skydda. Skälen för regeringens förslag och bedömning Bestämmelsen i etikprövningslagen har sin grund i personuppgiftslagen Det finns en bestämmelse i etikprövningslagen som reglerar utlämnande I den anges att personuppgifter får lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt (12 §). Enligt förarbetena till bestämmelsen ska den läsas mot bakgrund av 24 § i den numera upphävda PUL. Av den paragrafens första stycke framgick att om personuppgifter hade samlats in från någon annan källa än den registrerade, skulle den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när Om uppgifterna var avsedda att lämnas ut till tredje man, behövde informationen dock inte ges förrän uppgifterna lämnades ut för 2017/18:298 första gången. Enligt andra stycket behövde emellertid sådan information inte lämnas, om det fanns bestämmelser om registrerandet eller utläm- nandet av personuppgifterna i en lag eller någon annan författning. Bestämmelsen i 24 § andra stycket PUL baserades på artikel 11.2 i data- skyddsdirektivet. Av första punkten i artikel 11 framgick i huvudsak att om uppgifterna inte hade samlats in från den registrerade skulle med- lemsstaterna föreskriva att den registeransvarige vid tiden för registre- randet eller senast när uppgifterna först lämnades ut skulle ge den registrerade information om bland annat den registeransvariges identitet, ändamålet med behandlingen, mottagare av uppgifterna och den registrerades rättigheter. I artikel 11.2 angavs att bestämmelserna i punkt 1 inte skulle gälla när det, särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål, visade sig omöjligt eller innebar en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrevs i författning. I sådana fall skulle medlemsstaterna föreskriva lämpliga skyddsåtgärder. Artikel 11.2 i dataskyddsdirektivet införlivades således i svensk rätt ge- nom 24 § PUL. För att en personuppgiftsansvarig inte skulle behöva be- akta kravet på information till den registrerade enligt 24 § första stycket krävdes alltså att det fanns bestämmelser om registrering eller utlämnande av personuppgifter i en lag eller någon annan författning. Ursprungligen fanns det i 19 § tredje stycket PUL en bestämmelse om utlämnande av uppgifter för forsknings- och statistikändamål som syftade till att uppfylla kravet i 24 § andra stycket PUL. I samband med att etikprövningslagen infördes överfördes den del av bestämmelsen som avsåg utlämnande av personuppgifter för forskning till etikprövningslagen. Det finns möjligheter till nationell reglering i dataskyddsförordningen I artikel 14 i dataskyddsförordningen regleras information som ska tillhan- dahållas om personuppgifterna inte har erhållits från den registrerade. Av artikel 14.1 framgår bl.a. vilken slags information som den person- uppgiftsansvarige ska förse den registrerade med samt att den registrerade ska informeras om ändamålen med behandlingen, vilken rättslig grund be- handlingen har och vilka mottagare som eventuellt ska ta del av uppgif- terna. Av artikel 14.2 framgår bland annat vilken information, utöver den som avses i artikel 14.1, som den personuppgiftsansvarige ska lämna till den registrerade för att säkerställa en rättvis och transparent behandling. Artikel 14.3 anger vissa tidsangivelser för när informationen enligt de föregående punkterna ska lämnas och artikel 14.4 rör information vid ytterligare behandling av personuppgifterna för ett annat syfte än det för vilket uppgifterna samlades in. Artikel 14.5 anger slutligen under vilka förutsättningar artikel 14.1–4 inte behöver tillämpas. Enligt artikel 14.5 c gäller detta om erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades be- rättigade intressen. Det behöver tydliggöras hur undantaget från informationsskyldigheten blir tillämpligt Under utarbetandet av etikprövningslagen yttrade sig Lagrådet över rege- ringens lagförslag. När det gäller den bestämmelse som sedan blev 12 § etikprövningslagen var Lagrådets uppfattning att det var svårt att se att bestämmelsen hade den innebörden att den forskare som i enlighet med bestämmelsen hämtar in personuppgifter från något annat håll än den registrerade inte självklart skulle behöva informera den registrerade om sin behandling. Enligt Lagrådets uppfattning gav bestämmelsen snarare intryck av att vara en upplysning riktad till den som avses lämna ut per- sonuppgifter till en forskare om att detta är möjligt såvida inte sekretess eller tystnadsplikt lägger hinder i vägen. Lagrådet ansåg därför att om bestämmelsen skulle vara en sådan lagreglering, som enligt 24 § andra stycket PUL medförde att information enligt 24 § första stycket PUL inte behövde lämnas ut, borde bestämmelsen utformas så att detta klart fram- gick. Lagrådets förslag var att en sådan bestämmelse placerades som inle- dande paragraf under rubriken ”Information och samtycke” enligt följande lydelse: ”Vid forskning som avses i 3 § behöver 24 § PUL (1998:204) inte iakttas. Detta hindrar inte att villkor enligt 7 § får avse den information som skall lämnas till den registrerade.” Regeringen följde dock inte Lagrå- dets förslag med motiveringen att det enligt EG-direktivet krävdes att utlämnande föreskrevs uttryckligen i författning, varför regeringen före- slog en bestämmelse som föreskrev att personuppgifter får lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt. Enligt regeringens uppfattning fick risken för miss- förstånd bedömas som liten. Lagrådets föreslagna alternativa skrivning ansåg regeringen vara mindre väl förenlig med EG-direktivet, eftersom något utlämnande då inte skulle föreskrivas i författning utan det bara skulle vara fråga om ett undantag från informationsskyldigheten (prop. 2002/03:50 s.175 f.). har föreslagit att bestämmelsen om utläm- nande av personuppgifter i 12 § etikprövningslagen överförs till den före- slagna forskningsdatalagen och omformuleras, så att det framgår att per- sonuppgifter får lämnas ut för att behandlas för forskningsändamål om inte något annat följer av regler om sekretess och tystnadsplikt samt att det anges att vid sådan personuppgiftsbehandling behöver artikel 14.1–4 i EU:s dataskyddsförordning, inte iakttas. Detta undantag hindrar enligt förslaget inte att villkor som meddelas enligt etikprövningslagen får avse information som ska lämnas till den registrerade. Datainspektionen anser att den föreslagna bestämmelsen brister i tydlighet på ett sådant sätt att den inte är förenlig med förordningen. Datainspektionen anser bl.a. att bestäm- melsen inte innehåller något uttryckligt förordnande och inte uppfyller kraven på tydlighet, precisering och förutsägbarhet samt proportionalitet. anser att bestämmelsen innebär ett generellt undantag från informationsplikten enligt artikel 14 som saknar stöd i förordningen och i ifrågasätter den svepande formuleringen, vilken enligt etikprövningsnämnden går längre än artikel 14.5b och inte räddas av de föreslagna 8–10 §§ forskningsdatalagen eller en hänvisning till etikprövningen.