prop · H503298 · 2018-09-14 00:00:00 — stycket punkt 7 ska ersättas med en hänvisning till artikel 15 i Remissinstanserna: Ingen remissinstans kommenterar förslagen sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag förutom att det i utkastet till lagrådsremiss föreslagits att hänvisningen till 26 § PUL i andra stycket punkt 7 ska ersättas med en hänvisning till artikel 15 i dataskyddsförordningen. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Skälen för regeringens förslag: I 14 § första stycket lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa 2017/18:298 anges att personuppgifter inte får samlas in i syfte att de ska registreras i ett register som förs enligt lagen utan att den som uppgifterna avser uttryckligen har samtyckt till att personuppgifter behandlas enligt lagen. Av andra stycket i paragrafen framgår vilken information som ska lämnas till en person innan han eller hon lämnar sitt samtycke. vilken information som ska lämnas till den enskilde finns en hänvisning till bl.a. 26 § PUL. I den paragrafen fanns bestämmelser om vilken infor- mation som ska lämnas till den registrerade efter ansökan. Det följer av 9 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa att kravet på samtycke till behandling i 14 § gäller såväl personuppgifter som inhämtas från den registrerade som personuppgifter som inhämtas från annan än den registrerade. Det är regeringens bedömning att bestämmelsen i 14 § första stycket om att samtycke krävs för behandling av personuppgifter enligt lagen är en sådan specifik eller särskild bestämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att närmare fastställa villkoren för den personuppgiftsansvariges behandling som grundar sig på bl.a. en arbetsuppgift av allmänt intresse enligt artikel 6.1 e I artikel 13 i dataskyddsförordningen anges vilken information som den personuppgiftsansvarige är skyldig att tillhandahålla om personuppgifter samlas in från den registrerade. om information är mer utförlig än motsvarande bestämmelse som fanns i artikel 10 i dataskyddsdirektivet. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har samlats in från någon annan än den registrerade. bestämmelse om information i en sådan situation är mer utförlig än mot- svarande som fanns i artikel 11 i dataskyddsdirektivet. har således i båda fallen rätt att få mer information än vad som gällde enligt Dessutom finns det en bestämmelse i artikel 12.1 i dataskyddsförordningen om i vilken form informationen ska lämnas, som helt saknar motsvarighet i dataskyddsdirektivet, vilket innebär att den registrerades rättigheter har stärkts i detta avseende. Uppräkningen av vilken information som ska lämnas enligt 14 § lagen om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa skiljer sig i viss mån åt från den uppräkning som finns i artik- larna 13 och 14 i dataskyddsförordningen. Viss information som ska läm- nas enligt 14 § registerlagen motsvaras av information enligt de direkt til- lämpliga bestämmelserna i artiklarna 13 och 14 i dataskyddsförordningen medan vissa punkter i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa inte har någon motsvarighet i data- Bestämmelser i nationell rätt som anger vilken information som själv- mant ska lämnas till den registrerade får enligt regeringens bedömning be- hållas med stöd av artikel 6.2 och 6.3 dataskyddsförordningen, om den ursprungliga behandlingen grundas på att den är nödvändig för att utföra en uppgift av allmänt intresse. För att undvika dubbelreglering bör dock bestämmelsen anpassas så att de punkter som har sin motsvarighet i data- skyddsförordningen tas bort och det i bestämmelsen anges vilken infor- mation som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i Enligt regeringens bedömning innebär detta att 14 § andra stycket punkt 2 om för vilka ändamål behandling kan ske och Prop. 2017/18:298 vilka uppgifter som får registreras och punkt 7 om rätten till information bör anpassas till dataskyddsförordningen genom att den del i punkt 2 som avser för vilka ändamål behandling kan ske stryks och att hänvisningen till 26 § PUL i punkt 7 stryks. Vidare bör punkt 4 om vem som är person- uppgiftsansvarig, punkt 5 om hur länge uppgifterna sparas, punkt 6 om rätten till rättelse och punkt 10 om rätten att få uppgifter utplånade utgå. Vidare skiljer sig bestämmelsen i 14 § i registerlagen från artiklarna 13 och 14 i dataskyddsförordningen på så sätt att den anger att informationen ska ha lämnats innan den registrerade ger sitt samtycke till behandlingen av personuppgifter. I artikel 13 i dataskyddsförordningen anges det att in- formationen ska lämnas när personuppgifterna erhålls när det är fråga om uppgifter som samlas in från den registrerade och i artikel 14 anges det att informationen ska lämnas inom en rimlig period, dock senast inom en må- nad, när uppgifterna inte har samlats in från den registrerade. Bestämmel- sen i registerlagen begränsar inte den registrerades rätt till information. Liksom att samtycke är en förutsättning för att personuppgifter ska få be- handlas enligt lagen är ett krav som stärker den registrerades integritet är även kravet på att informationen lämnas innan den registrerade lämnar sitt samtycke ett krav som stärker den registrerades rättigheter. Denna del av bestämmelsen är därmed enligt regeringens uppfattning en tillåten preci- sering för att anpassa tillämpningen i nationell rätt enligt artikel 6.2 och 6.3och den kan och bör behållas. 16.2.15Bestämmelsen om information om utlämnande till forskning bör behållas Regeringens bedömning: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om att den registrerade ska få information om till vilka forskningsprojekt som uppgifter om honom eller henne har lämnats ut kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Ingen remissinstans kommenterar bedömningen Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Ingen remissinstans kommenterar bedömningen Skälen för regeringens bedömning: Den registrerade har enligt 15 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa rätt att på begäran få information om till vilka forsk- ningsprojekt uppgifter om honom eller henne har lämnats ut. Bestämmelsen kan sägas vara en specificering av den rättighet som anges i artikel 15.1 c i dataskyddsförordningen, dvs. ska ha rätt att få information om de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut. till bestämmelsen i registerlagen är bedömningen att den registrerade kan behöva få tillgång till information om till vilka forskningsprojekt uppgifter 2017/18:298 om honom eller henne har lämnats ut i samband med en begäran om utplåning av uppgifter. Bestämmelsen är, enligt regeringens bedömning, en sådan nationell specificering som är tillåten enligt skäl 8 samt artikel 6.2och 6.3 i dataskyddsförordningen. Bestämmelsen kan och bör därför behållas. 16.2.16 Bestämmelsen om utplåning ska upphävas Regeringens förslag: Bestämmelsen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa om den registrerades rätt till utplåning av uppgifter ska upphävas. Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen har föreslagit att bestämmelsen om den registrerades rätt till utplåning av uppgifter ska ändras på så sätt att första meningen i paragra- fen ersätts med en inledande upplysning om artikeln i dataskyddsförord- ningen som reglerar rätten till radering men att bestämmelsen i övrigt be- hålls och att begreppet utplåna genomgående ersättas med begreppet ra- dera i enlighet med terminologin i dataskyddsförordningen. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: Av 16 § lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa framgår att den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. I bestämmelsen ställs vidare vissa for- mella krav på hur en begäran om utplåning ska vara utformad. Det ställs också krav på att den personuppgiftsansvarige utplånar uppgifterna i en- lighet med begäran om från det att begäran gjordes och sänder en bekräftelse till den registrerade på att utplåning har skett. Dess- utom ställs det vissa krav på innehållet i bekräftelsen som ska sändas till den registrerade. Rätten till radering återfinns i artikel 17 i dataskyddsförordningen. Bestämmelsen i 16 § registerlagen är mer långtgående än artikel 17 i data- skyddsförordningen såtillvida att den registrerade har en ovillkorlig rätt att få sina uppgifter utplånade. Enligt artikel 17 i dataskyddsförordningen har den registrerade rätt att få sina personuppgifter raderade om någon av ett antal uppräknade situationer föreligger. Rätten till radering gäller inte hel- ler enligt artikel 17.3 i den utsträckning som behandlingen är nödvändig för något av ett antal uppräknade skäl, bl.a. om den är nödvändig för ve- tenskapliga eller historiska forskningsändamål i den utsträckning som rät- ten sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med behandlingen. Den registrerades rätt till utplåning enligt registerlagen avviker alltså från vad som anges i den direkt tillämpliga artikel 17 i dataskyddsförord- ningen. Denna del av paragrafen är därför enligt regeringens bedömning inte förenlig med dataskyddsförordningen. Resterande del av paragrafen innehåller bestämmelser som närmare reglerar förfarandet vid en begäran Prop. 2017/18:298 om utplåning. Det ställs krav på den registrerade som går utöver vad som framgår av dataskyddsförordningen genom kraven på att begäran ska gö- ras skriftligen och vara undertecknad av den registrerade. I artikel 17 i dataskyddsförordningen anges dessutom att den registrerade har rätt att få sina personuppgifter raderade utan onödigt dröjsmål när någon av de upp- räknade situationerna föreligger medan det i bestämmelsen i registerlagen anges att ett utplånande ska ske från det att begäran gjordes. Enligt regeringens bedömning finns det inte någon grund i data- skyddsförordningen för att i nationell rätt ställa sådana ytterligare krav på den registrerade eller begränsa rättigheten på sådant sätt. Bestämmelsen kan därför inte behållas utan ska upphävas. Den motsvarande rätten till radering kommer därmed att följa direkt av dataskyddsförordningen. 16.2.17 Bestämmelsen om skadestånd ska upphävas Regeringens förslag: Bestämmelsen om skadestånd i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska upphävas. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: I 17 § lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa anges att bestäm- melserna i 48 § PUL om skadestånd ska tillämpas på motsvarande sätt i fråga om behandling av personuppgifter som har skett i strid med lagen om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa. Bestämmelsen i 48 § PUL gällde endast om behandling skett i strid med den lagen. För att bestämmelsen om skadestånd skulle vara tillämplig även vid behandling i strid med lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa krävdes det därför att det sär- skilt angavs att bestämmelserna i gäller om behandling av person- uppgifter sker i strid med lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Bestämmelser som hänvisar till PUL kan inte finnas kvar nu när PUL har upphävts. I dataskyddsförordningen finns skadeståndsbestämmelsen i artikel 82. Det är inte möjligt att begränsa tillämpningen av artikel 82, så det är inte av det skälet motiverat att särskilt reglera vad som gäller ifråga om skade- stånd. Dessutom har det i dataskyddslagen införts en bestämmelse i data- skyddslagen som förtydligar att rätten till ersättning enligt artikel 82 i data- skyddsförordningen gäller även vid överträdelser av bestämmelser i data- 2017/18:298 skyddslagen och andra författningar som kompletterar dataskyddsförord- ningen (7 kap. 1 § dataskyddslagen). Det behövs därför inte heller någon hänvisning till bestämmelsen i dataskyddsförordningen i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Bestämmelsen om skadestånd i 17 § i registerlagen bör därmed upphävas och inte ersättas med någon hänvisning till dataskyddsförordningen. Lagändringarna ska träda i kraft Regeringens förslag: Ändringarna i lagen om rättspsykiatriskt forsk- ningsregister, etikprövningslagen, offentlighets- och sekretesslagen, la- gen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska träda i kraft . Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen föreslår att forskningsdatalagen och lagändringarna ska träda Remissinstanserna: Remissinstanserna har inte några synpunkter på ut- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig instämmer i förslaget eller har inget att invända. att det har implikationer för forskningen att förändringarna i etikpröv- ningslagen (liksom de övriga förslagen) föreslås träda i kraft 2019, eftersom därmed kommer att sakna kompletterande bestäm- melser till dataskyddsförordningen från det att dataskyddsförordningens bestämmelser börjar tillämpas . matiskt på flera sätt. Ett av problemen är att etikprövningslagen inte kom- mer att ha anpassats till förordningens utökade lista på ”känsliga En än mer grundläggande fråga är enligt om det alls är möjligt att erhålla etiskt tillstånd så länge etikprövningslagen hänvisar till den upphävda personuppgiftslagen. Universitet anser att man bör undersöka om det finns möjlighet att låta förändringarna träda i kraft tidigare än vad som föreslagits. Skulle detta inte vara möjligt behöver svenska universitet och högskolor vägledning för den period då förslagen inte hunnit träda i kraft. påpekar att det senare ikraftträdandet av ändringarna i etikprövningslagen innebär att nationell rätt inte kommer att innehålla någon reglerad skyddsåtgärd för behandling av de kategorier av känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen som inte omfattas av 13 § PUL. Även dessa remissinstanserna efterlyser vägledning för dem som har att tillämpa regleringen . Regionala etikpröv- ningsnämnden i konstaterar att fram till dess att lagändringarna träder i kraft är en etikgranskning enligt 3 § etikprövningslagen på sin höjd är möjlig till den del projektet behandlar känsliga personuppgifter enligt PUL-uppräkningen. Om ett projekt även innefattar behandling av t.ex. genetiska uppgifter kommer den delen att bli föremål för etikpröv- ningsnämndens prövning endast som en del i den allmänna avvägningen av risk mot värde i 9 § etikprövningslagen. Nämnden anför att det får bli den personuppgiftsansvariges eget ansvar att se till att det finns rättslig grund och erforderligt samtycke m.m. Skälen för regeringens förslag: Enligt artikel 99.1 i dataskyddsförord- ningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Av artikel 99.2 följer att förordningen ska tillämpas . I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan från och med och att hänvis- ningar till det upphävda direktivet ska anses som hänvisningar till förord- ningen. I samband med att dataskyddslagen trädde i kraft upphävdes PUL. Av p 5 i övergångsbestämmelserna framgår dock att PUL fortsatt ska gälla efter i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvis- ningar till PUL. Som framgått av avsnitt 12 och 16 finns sådana hänvis- ningar i etikprövningslagen, lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Detta innebär att etikprövning enligt etikprövningslagen ska hanteras i enlighet med dessa lagars nuvarande lydelse till dess försla- gen om ändrade lydelser i dessa lagar träder i kraft. Förslagen bör träda i kraft . Med hänsyn till den tid som lagstiftningsprocessen tar föreslås att ändringarna ska träda i kraft . Det är regeringens bedömning att det inte är möjligt med ett tidigare ikraftträdande. Som några remissinstanser har påpekat innefat- tar uppräkningen i artikel 9.1 i dataskyddsförordningen några fler katego- rier uppgifter än 13 § PUL, nämligen behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en fysisk persons sexuella läggning. Fram till dess att änd- ringen i etikprövningslagen träder i kraft kommer nationell rätt inte att in- nehålla någon reglerad skyddsåtgärd i form av etikprövning för behandling av de kategorier av känsliga personuppgifter som anges i artikel 9.1 men som inte omfattas av 13 § PUL. Det är dock regeringens uppfattning att tilläggen i artikel 9.1 jämfört med 13 § PUL inte innebär några stora skill- nader i praktiken. Personuppgifter om sexuell läggning har i svensk rätt ansetts ingå i kategorin sexualliv (prop. 2017/18:115 s. 19). Genetiska uppgifter avslöjar ofta uppgifter om hälsa och/eller etniskt ursprung och utgör i dessa fall känsliga uppgifter inom även PUL:s tillämpningsområde. Biometriska uppgifter för att entydigt identifiera en fysisk person är en ny kategori i sammanhanget och definieras i dataskyddsförordningen som personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 2017/18:298 4.14). Regeringen har ingen uppfattning om i vilken utsträckning sådana personuppgifter behandlas för forskningsändamål. Det kan dock inte uteslutas att det kan förekomma behandling av känsliga personuppgifter för forskningsändamål som faller utanför etikprövningslagens nuvarande tillämpningsområde. I sådana situationer måste den personuppgifts- ansvarige bedöma om övriga befintliga skyddsåtgärder, t.ex. sekretess- reglering, kan anses tillräckliga i sammanhanget. Som Regionala etikpröv- ningsnämnden i påpekar är det ett ansvar för varje forskningsutfö- rare som är personuppgiftsansvarig att se till att behandlingen sker i enlig- het med dataskyddsförordningen. Om den personuppgiftsansvarige vid en bedömning av den enskilda situationen kommer fram till att befintliga skyddsåtgärder inte kan anses tillräckliga för att kunna grunda behand- lingen på artikel 9.2 j, så kan den personuppgiftsansvarige behöva inhämta den registrerades samtycke för att behandlingen ska vara tillåten enligt dataskyddsförordningen. När det gäller den generella skyddsåtgärden att uppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen kommer regleringen i PUL av denna skydds- åtgärd att gälla vid behandling som omfattas av lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa genom hänvisningen till PUL i dessa lagar. Vid behandling av personuppgifter för forskningsändamål i övriga fall blir konsekvensen att fram till att ändringen i dataskyddslagen träder i kraft kommer någon bestämmelse med en sådan skyddsåtgärd inte att gälla. Det kan i detta sammanhang på- minnas om det generella kravet i artikel 89.1 i dataskyddsförordningen på att behandling av personuppgifter för forskningsändamål ska omfattas av skyddsåtgärder. Regeringens bedömning: Övergångsbestämmelser behövs inte. Utredningens bedömning överensstämmer delvis med regeringens be- Utredningen har angivit att dataskyddsförordningen inte ger ut- rymme för några övergångsbestämmelser. Remissinstanserna: Remissinstanserna har inte några synpunkter på ut- Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig instämmer i bedömningen eller har inget att invända. Skälen för regeringens bedömning: Av dataskyddsförordningen fram- går att hänvisningar till dataskyddsdirektivet ska anses som hänvisningar till dataskyddsförordningen i samband med att denna börjar tillämpas och direktivet därmed upphävs. Av skäl 171 i dataskyddsförordningen framgår vidare att nationella anpassningar i medlemsstaterna bör finnas på plats när förordningen börjar tillämpas. mycket begränsat utrymme för övergångsbestämmelser Det är regeringens bedömning att några övergångsbestämmelser inte Prop. 2017/18:298 behövs i de lagar som föreslås anpassas till dataskyddsförordningen. Inledningsvis kan regeringen konstatera att dataskyddsförordningen i sig kommer att leda till stora konsekvenser för både det allmänna och en- skilda. Dessa behandlas dock inte i detta lagstiftningsärende. Dataskyddsförordningen är direkt tillämplig men lämnar vissa möjlig- heter till nationella kompletterande och specificerande bestämmelser. När det gäller personuppgiftsbehandling för just forskningsändamål ger data- skyddsförordningen i flera fall utrymme för kompletterande nationell lag- stiftning. Om dessa möjligheter inte tas till vara kommer förutsättningarna för att behandla personuppgifter för forskningsändamål att kraftigt försäm- ras jämfört med . Det är därför inte är ett rimligt alternativ att någon nationell reglering inte kommer till stånd. De förslag till ändringar i etik- prövningslagen, offentlighets- och sekretesslagen och dataskyddslagen som regeringen lämnar i denna proposition utgör de nödvändiga komp- letterande nationella bestämmelser som krävs för att den samlade data- skyddsregleringen ska möjliggöra en ändamålsenlig behandling av person- uppgifter för forskningsändamål som den skyddar den enskildes fri och rättigheter. Regeringen föreslår även vissa anpassningar av regis- terförfattningar till dataskyddsförordningen. Majoriteten av bestämmel- serna i registerförfattningarna kvarstår oförändrade. Förslagen i övrigt är nödvändiga följder av eller anpassningar till dataskyddsförordningen och till att PUL upphävts. Någon ändring i sak i förhållande till vad som gäller är inte avsedd. En allmän utgångspunkt för regeringen har varit att bibehålla de rättig- heter och skyldigheter i samband med personuppgiftsbehandling för forsk- ningsändamål som finns , inom ramen för dataskyddsförordningens utrymme för nationell kompletterande reglering. Varken möjligheterna till sådan personuppgiftsbehandling, eller den enskildes integritetsskydd ska försämras jämfört med dagens situation. De ändringar som regeringen föreslår i de aktuella författningarna motsvarar därför i stort sett de tidigare bestämmelserna i och de andra aktuella författningarna.