prop · H503298 · 2018-09-14 00:00:00 — Dessutom har vi haft i uppdrag att överväga och eventuellt föreslå anpassningar i viss närliggande lagstiftning. Bakgrund, rättsliga utgångspunkter och begrepp Dataskyddsförordningen trädde i kraft , men ska enligt artikel 99.2 tillämpas . Förordningen är di- rekt tillämplig i alla medlemsstater och gäller i stället för motsvarande nat- ionell reglering. Dataskyddsförordningen ersätter därmed bl.a. det nu- varande dataskyddsdirektivet (95/46/EG) och dess svenska implemente- ring genom personuppgiftslagen (1998:204). Förordningen kommer enligt artikel 2 att utgöra rättslig utgångspunkt för den forskning som använder sig av personuppgifter och som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i Europeiska unionen, oavsett om själva behandlingen sker inom unionen eller inte (artikel 3). Forskning som inte omfattar behandling av personuppgifter faller, genom den avgränsning som görs i artikel 2, utanför förordningens tillämpningsom- råde. Förordningens återkommande uttryck ”vetenskapliga eller historiska forskningsändamål” innefattar enligt utredningens bedömning forskning utan att någon särskild betydelseåtskillnad bör göras mellan dessa två delar med avseende på personuppgiftsbehandling. Begreppen forskning och forskningsändamål kan enligt utredningens bedömning likställas. Personuppgiftsbehandling för forskningsändamål bör vidare kunna om- fatta hela eller delar av forskningsprocessen. Iordningställande av person- uppgifter i databaser för forskningsändamål bör kunna innefattas i vad som avses med forskning i bred bemärkelse. Utredningens bedömning är såle- des att de enskilda delarna av denna process ska kunna betecknas som be- handling för forskningsändamål utan att alla delar måste ingå. Detta är sär- skilt viktigt i s.k. longitudinella studier där förlopp studeras över tidspe- rioder som ibland omfattar . Utredningen har identifierat ett behov av att införa en forskningsdatalag med syfte att möjliggöra personuppgiftsbehandling för forskningsändamål som den enskildes fri- och rättigheter skyddas. Den föreslagna forskningsdatalagen ska vara tillämplig för all personuppgiftsbehandling för forskningsändamål oavsett rättslig grund. Den föreslagna forskningsdatalagen ska gälla utöver vad som framgår av dataskyddsförordningen. Den generella kompletterande dataskyddslag som föreslår ska vara subsidiär i förhållande till andra lagar och förordningar. Av tydlighetsskäl föreslår utredningen att det av forskningsdatalagen ska framgå att dataskyddslagen gäller om inte annat följer av forskningsdatalagen. En registerförfattning, eller en bestämmelse i en registerförfattning, som specifikt är tillämplig på person- uppgiftsbehandling för ändamålet forskning ska ha företräde framför av- vikande bestämmelser i forskningsdatalagen. Fastställande av allmänt intresse som rättslig grund Artikel 6 i dataskyddsförordningen anger vilka villkor som måste vara uppfyllda för att personuppgiftsbehandling ska vara laglig. De rättsliga grunder som framförallt kan komma ifråga för forskningsändamål är, en- ligt utredningens bedömning, samtycke enligt artikel 6.1 a, nödvändig be- handling för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e och (för privata aktörer) intresseavvägning enligt artikel 6.1 f. Beträffande den rättsliga grunden enligt artikel 6.1 ställer dock förord- ningen krav på ytterligare nationell reglering avseende bl.a. artikel 6.1 e (nödvändig behandling för att bl.a. utföra en uppgift av allmänt intresse). Med tanke på att artikel 6.1 e är central i forskningssammanhang, eftersom forskning generellt sett är att anse som en uppgift av allmänt intresse, har utredningen i uppdrag att särskilt analysera dessa krav och vid behov komp- lettera dataskyddsförordningen. Dessa krav anges i artikel 6.2 och 6.3, vilka möjliggör och kräver nationell reglering som fastställer och specificerar tillämpningen av den rättsliga grunden i artikel 6.1 e. Den rättsliga grunden kan som ett inslag i fastställandet t.ex. innehålla allmänna villkor för den särskilda behand- lingen. Det är således möjligt enligt dataskyddsförordningen att införa sär- skilda bestämmelser i nationell rätt som specificerar när och hur person- uppgiftsbehandling för forskningsändamål får ske. Kravet enligt artikel 6.3 på att grunden för behandlingen enligt arti- kel 6.1 e ska vara fastställd i enlighet med nationell rätt medför en påtaglig skillnad mellan olika kategorier av forskningsaktörer vad gäller de legala förutsättningarna för personuppgiftsbehandling. För privata aktörer är forskningsuppgiften sällan eller aldrig fastställd på det sätt som förordningen föreskriver. Det är dock en allmänt vederta- gen uppfattning att även privat bedriven forskning kan anses utgöra en uppgift av allmänt intresse. För att privata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs införande av författningsstöd att basera tillämp- ningen på. I skäl 45 till dataskyddsförordningen anges att medlemsstaterna bör ange vilka aktörer, även privata, som kan utföra en uppgift av allmänt intresse, vilket visar att det är möjligt för såväl offentliga som privata aktörer att ut- föra uppgifter av allmänt intresse i dataskyddsförordningens mening. Om inga nationella lagstiftningsåtgärder vidtas innebär förordningens bestämmelser att offentliga forskningsaktörer framförallt har att tillämpa den rättsliga grunden uppgift av allmänt intresse, enligt artikel 6.1 e, vid behandling av personuppgifter för forskningsändamål. Privata forsknings- aktörer har framförallt att tillämpa de rättsliga grunderna samtycke, enligt artikel 6.1 a, eller intresseavvägning, enligt artikel 6.1 f, vid sin behand- ling av personuppgifter för samma ändamål. Att dataskyddsförordningen medför så betydande skillnader i möjligheterna att åberopa de olika rätts- liga grunderna i artikel 6.1 vid behandling av personuppgifter för likvär- diga forskningsändamål, i praktiken beroende på vilken organisationsform aktören har, är enligt utredningens bedömning rimligen inte avsiktligt. Det är angeläget med ett sammanhållet grundläggande regelverk för per- sonuppgiftsbehandling för forskningsändamål, inte minst för att uppnå ett rättssäkert och i övrigt adekvat skydd för den enskildes integritet. Olika forskningsaktörers möjligheter till samverkan och att bedriva forskning som kan komma att få nytta för allmänheten bör likställas i så stor utsträck- ning som möjligt. Skyddet för den personliga integriteten ska alltid hålla lika hög nivå oberoende av kategori av forskningsaktör. Detta bör åstad- kommas genom skyddsåtgärder. Utredningen föreslår därför att det införs en bestämmelse i forskningsdatalagen som möjliggör för såväl offentliga som privata forskningsaktörer att tillämpa den rättsliga grunden uppgift av all- mänt intresse enligt artikel 6.1 e i dataskyddsförordningen för behandling av personuppgifter för forskningsändamål. Dataskyddsförordningens bestämmelser innebär att ytterligare behandling av personuppgifter för forskningsändamål av samma personuppgifts- ansvarig får ske utan att någon ny rättslig grund måste åberopas, om den ursprungliga insamlingen utfördes med tillämpning av en rättslig grund enligt artikel 6.1. Detta skiljer sig mot tillämpningen av personuppgiftsla- gen där all behandling kräver stöd i 10 §. När personuppgifterna ursprung- ligen samlats in med stöd av samtycke är dock ytterligare behandling utan ny rättslig grund inte lika självklar. I samband med utlämnande av personuppgifter till annan personuppgifts- ansvarig för behandling för forskningsändamål är den nya behandlingen alltjämt att anse som förenlig med den ursprungliga så länge det nya ända- målet är forskning. Den nya personuppgiftsansvarige måste dock ha en egen rättslig grund för sin behandling för forskningsändamål sedan person- uppgifterna utlämnats till denne. Detta innebär att forskningsaktörer som samlar in personuppgifter för forskningsändamål som tidigare insamlats för annat ändamål, till exempel av en annan myndighet, måste åberopa en rättslig grund enligt artikel 6.1 för den nya behandlingen. En sådan rättslig grund kan vara forskning av allmänt intresse enligt artikel 6.1 e. Definitionen av samtycke i dataskyddsförordningen överensstämmer i vä- sentliga delar med personuppgiftslagens bestämmelser. Dataskydds- förordningens införande innebär därmed inga betydande förändringar av samtyckets innebörd. Samtycke ska vara frivilligt, specifikt, informerat och för känsliga personuppgifter uttryckligt, samt ska lämnas genom ett uttalande eller en entydig bekräftande handling. Den senare formuleringen av vilken slags aktivitet som godkänns som samtycke har lagts till i defi- nitionen jämfört med i personuppgiftslagen. Utredningen bedömer att det med utgångspunkt i artikel 9.2 a i data- skyddsförordningen är möjligt att behandla känsliga personuppgifter för forskningsändamål med samtycke som rättslig grund när samtycke förelig- ger tillsammans med godkännande efter etikprövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikpröv- ningslagen). Skäl 33 i dataskyddsförordningen innebär en utvidgning av det möjliga utrymmet för samtycke när ändamålet med den aktuella forskningen inte exakt kan beskrivas vid insamlingstillfället. Skäl 43 i dataskyddsförord- ningen innebär begränsningar, för myndigheter, när det gäller möjligheten att använda samtycke som rättslig grund för personuppgifts- behandling. Av särskild vikt är här om den rättsliga grunden allmänt intresse förekommer som samtycke inhämtats. Dataskyddsförordningen erbjuder ingen slutlig lösning på de hybridförhål- landen, dvs. när flera rättsliga grunder föreligger för samma person- uppgiftsbehandling, som redan uppmärksammats av artikel 29-gruppen och som innebär att samtyckets giltighet kan ifrågasättas. Ytterligare behandling av personuppgifter för forskningsändamål insam- lade med samtycke bör normalt omfattas av inhämtande av nytt samtycke, oavsett om det sker hos samma eller hos en ny personuppgiftsansvarig, om det är praktiskt möjligt och inte olämpligt ur etisk synpunkt. Av artikel 9.1 i dataskyddsförordningen framgår att det är förbjudet att be- handla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. ningens definition av den här kategorin av personuppgifter är något utökad jämfört med det nuvarande dataskyddsdirektivets. ningen används vidare benämningen särskilda kategorier av personuppgif- ter i artikel 9. I enlighet med bedömning väljer vi dock att även fortsatt benämna dessa slags personuppgifter som känsliga För att behandling av känsliga personuppgifter ska vara tillåten under vissa förutsättningar krävs stöd i nationell rätt som fastställer lämpliga och Utredningen föreslår därför en bestämmelse i forskningsdatalagen som tillåter sådan personuppgiftsbehandling när denna är nödvändig för att uppnå forskningsändamålet. skyddsåtgärd föreslår utredningen att kravet på etikprövning enligt etik- prövningslagen ska kvarstå. Personuppgifter om lagöverträdelser m.m. Behandling av personuppgifter om lagöverträdelser m.m. regleras i arti- kel 10 i dataskyddsförordningen. Enligt dataskyddsförordningen behövs kompletterande reglering i nationell rätt för att behandling av uppgifter om lagöverträdelser m.m. för forskningsändamål för andra än myndigheter ska vara möjlig. Utredningen föreslår därför en bestämmelse i forsknings- datalagen som tillåter sådan personuppgiftsbehandling när denna är nöd- vändig för att uppnå forskningsändamålet. Sådan reglering ska vidare innehålla bestämmelser om lämpliga skydds- åtgärder för att säkerställa den registrerades rättigheter och friheter. Utred- ningen föreslår att etikprövning enligt etikprövningslagen fortsatt ska vara den huvudsakliga skyddsåtgärden. Den reglering som föreslår för behandling av per- sonnummer eller samordningsnummer innehåller samma direkt tillämp- liga villkor som återfinns i nuvarande lagstiftning. Dessa villkor torde vara uppfyllda i vissa forskningssammanhang. Utredningen gör bedömningen att rättsläget för användningen av per- sonnummer för forskningsändamål inte ändras i och med Dataskyddsut- redningens föreslagna bestämmelser. Jämfört med är det samma vill- kor som ska uppfyllas för att behandling av personnummer ska vara tillå- ten och regeringen samt tillsynsmyndigheten har samma möjligheter som tidigare att meddela specialreglering i form av registerförfattningar för vissa typer av behandlingar. Något behov av ytterligare kompletterande nationell reglering finns därmed inte. Begränsningar av registrerades rättigheter I dataskyddsförordningens tredje kapitel (artiklarna 12–23) anges den re- gistrerades rättigheter i samband med att dennes personuppgifter behand- las. Dessa rättigheter kan under vissa förutsättningar begränsas. Data- skyddsutredningen har föreslagit vissa generella begränsningar i dessa rät- tigheter. Om personuppgifter behandlas för bl.a. forskningsändamål får det, en- ligt artikel 89.2 i dataskyddsförordningen, i unionsrätten eller i medlems- staternas nationella rätt föreskrivas undantag från den registrerades rättig- heter i artiklarna 15, 16, 18 och 21 med förbehåll för de villkor och skydds- åtgärder som avses i första punkten i artikel 89. Vi har därför analyserat dessa rättigheters effekt på forskningen, och föreslår vissa begränsningar genom bestämmelser i forskningsdatalagen. Rätten till rättelse (artikel 16) ska inte gälla för sådana personuppgifter som behandlats för forskningsändamål om de enbart bevaras i arkiverings- syfte. Rätten till rättelse ska i övrigt gälla utan undantag. Rätt till begränsning av behandling (artikel 18) ska inte gälla när den registrerade bestrider uppgifternas korrekthet som krävs för att kontrollera om personuppgifterna är korrekta, om detta med- för att forskningen inte kan utföras eller på ett avgörande sätt försenas eller Detsamma ska gälla när den registrerade invänder mot behand- lingen, i väntan på kontroll av huruvida den personuppgiftsansvariges be- rättigade skäl väger tyngre än den registrerades berättigade skäl. Det saknas behov av ytterligare undantag från rätten till tillgång (arti- kel 15) samt rätten att göra invändningar (artikel 21) när personuppgifter behandlas för forskningsändamål, utöver vad har Utredningen har översiktligt behandlat frågor om tillsyn och sanktioner i relation till personuppgiftsbehandling för forskningsändamål. föreslår att Datainspektionen ska utses till till- synsmyndighet, och ha befogenheter enligt dataskyddsförordningen, över den nationella dataskyddslagen som kompletterar dataskyddsförordningen på generell nivå samt de andra nationella författningar som kompletterar dataskyddsförordningen. Eftersom den föreslagna forskningsdatalagen kompletterar dataskydds- förordningen är det utredningens bedömning att den av Dataskyddsutred- ningen föreslagna bestämmelsen därmed täcker även forskningsdatalagen vad avser tillsynsmyndighetens befogenheter. Någon särskild bestäm- melse om tillsyn behöver därför inte införas i forskningsdatalagen. föreslår en bestämmelse i dataskyddslagen som stadgar att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestämmelser i denna lag, dvs. dataskyddslagen, och andra författningar som kompletterar dataskydds- förordningen. Det är utredningens bedömning att den av Dataskyddsutred- ningen föreslagna bestämmelsen därmed täcker även rätten till ersättning vid överträdelser av forskningsdatalagen. Någon särskild skadeståndsbestämmelse behöver därför inte införas i forskningsdatala- gen. Vårt uppdrag har varit att göra en analys av vilka skyddsåtgärder som bör gälla vid all behandling av personuppgifter för forskningsändamål och hur åtgärderna bör vara utformade. För känsliga personuppgifter samt person- uppgifter om lagöverträdelser m.m. har vårt uppdrag varit att analysera behovet av kompletterande bestämmelser för att behandling alls ska vara möjlig, samt vilka lämpliga och särskilda åtgärder en sådan reglering bör innehålla. Vi har därför analyserat centrala begrepp, som exempelvis personuppgift, pseudonymisering och anonymisering, för att därefter gå igenom data- skyddsförordningens krav på skyddsåtgärder. Vi har vidare analyserat ett urval av organisatoriska, tekniska och rättsliga åtgärder för att säkerställa den registrerades grundläggande rättigheter, särskilt mot bakgrund på data- skyddsförordningens säkerhetskrav. Med beaktande av befintliga möjligheter att reglera skyddsåtgärder när personuppgifter behandlas för forskningsändamål gör vi bedömningen att det är möjligt och lämpligt att införa sådan reglering i författningsform. Jämfört med villkor meddelade vid etikgodkännande samt uppförandeko- der kan en författningsreglering ge större tydlighet vid tillämpningen och säkerställa att lämpliga åtgärder vidtas även för behandling som inte omfat- tar känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. Utredningen föreslår att personuppgiftslagens befintliga bestämmelse som anger att uppgifter som samlats in för forskningsändamål normalt inte får användas för att vidta åtgärder i fråga om den registrerade förs över till forskningsdatalagen. Vidare föreslår vi att en bestämmelse införs i forskningsdatalagen som anger att personuppgifter ska pseudonymiseras eller skyddas på likvärdigt sätt när de behandlas för forskningsändamål, förutsatt att ändamålet kan uppnås på sådant vis. Slutligen är vårt förslag att den enskilde ska ges möjlighet att motsätta sig att dennes personuppgifter behandlas för forskningsändamål. Om det visar sig vara omöjligt eller medföra en oproportionerlig ansträngning att tillhandahålla den enskilde möjligheten att motsätta sig behandlingen, eller om forskningsändamålen annars inte kan uppfyllas, får dock personupp- giftsbehandling ändå utföras. Utredningen har analyserat de föreslagna bestämmelserna i forskningsda- talagen utifrån de krav på framförallt proportionalitet som ställs upp i data- skyddsförordningen, regeringsformen samt övriga relevanta rättsliga instrument. Analysen har gjorts utifrån förutsättningen att den föreslagna lagen är en form av ramlag som inte kan reglera personuppgiftsbehand- lingen på detaljnivå, och att den faktiska personuppgiftsbehandling som görs i forskningsprojekt måste prövas utifrån samma proportionalitets- krav. De föreskrivna skyddsåtgärderna utgör här ett stöd för att tillse att det intrång som personuppgiftsbehandlingen i fråga medför är proportionellt mot den förväntade nyttan av forskningen. Den föreslagna regleringen måste uppfylla krav på proportionalitet som ställs i flera olika rättsliga sammanhang. Utredningens bedömning, utifrån den integritetskartläggning som gjorts, de skyddsåtgärder som föreslås och värdet av den personuppgiftsbehandling som regleringen möjliggör, är att forskningsdatalagen är proportionell utifrån samtliga dessa proportiona- litetskrav. Utredningen har analyserat vilka anpassningar av lagen (2003:460) om etikprövning av forskning som avser människor som behöver göras inför att dataskyddsförordningen börjar tillämpas. vis behandlat frågan om etikprövning som en skyddsåtgärd i enlighet med dataskyddsförordningens krav och kommit till slutsatsen att etikprövning utgör en sådan lämplig och särskild skyddsåtgärd som dataskyddsförord- ningen kräver för personuppgiftsbehandling för forskningsändamål av käns- liga personuppgifter eller personuppgifter om lagöverträdelser m.m. Utredningen har därpå analyserat om etikprövningslagens tillämpningsom- råde bör utvidgas till att gälla all personuppgiftsbehandling för forsknings- ändamål och kommit till slutsatsen att detta vore en alltför ingripande åt- gärd som inte är proportionerlig i förhållande till syftet. slår därför att kravet på etikprövning även fortsättningsvis ska omfatta per- sonuppgiftsbehandling för forskningsändamål av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. enligt de definitioner som framgår av artiklarna 9.1 och 10 i dataskyddsförordningen, samt att kravet på etikprövning avseende de ytterligare uppgifter som framgår av 21 § personuppgiftslagen även fortsättningsvis bör omfattas av etik- Utredningen har vidare konstaterat att det finns anledning att närmare utreda behovet av förändringar i etikprövningsförfarandet. rat etikprövningsförfarande framstår som mer ändamålsenligt inom fram- för allt viss samhällsvetenskaplig och rättsvetenskaplig forskning. nar flera exempel på sådana behov i samband med att personuppgiftsbe- handling för forskningsändamål baserar sig på redan offentliggjorda upp- gifter och där den efterföljande behandlingen endast innebär en mindre Mot bakgrund av begränsningar i vårt uppdrag och ramar i övrigt föreslår vi att detta utreds vidare i särskild form. Slutligen har utredningen analyserat vilka ändringar av etikprövningsla- gen som i övrigt behöver göras med anledning av att dataskyddsförord- ningen börjar tillämpas och lämnar behövliga författningsförslag i dessa Anpassningar av vissa registerförfattningar Vi har i uppdrag att i utredningens nästa skede bereda Registerforsknings- utredningens (U 2013:01) förslag i betänkandet Unik kunskap genom re- gisterforskning (SOU 2014:45) vidare. Eftersom det är tills data- skyddsförordningen ska börja tillämpas, , kommer någon generell reglering av forskningsdatabaser inte att kunna vara på plats tills dess. Därför behöver det i ett första skede analyseras vilka anpassningar till dataskyddsförordningen, och den generella reglering Dataskyddsutred- ningen föreslår, som behöver göras i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen (1999:353) om rättspsykiatriskt forskningsregister tills dess att dataskydds- förordningen ska börja tillämpas. Eftersom utredningen har i uppdrag att i ett andra skede utreda och fö- reslå en långsiktig reglering av forskningsdatabaser har denna första del av uppdraget fokuserat uteslutande på lagtekniska anpassningar av regis- terlagarna i relation till dataskyddsförordningens bestämmelser. Detta in- nebär att utredningen i det nuvarande skedet har utgått ifrån att redan gjorda avvägningar och bedömningar i sak bör godtas, i den mån dessa inte är oförenliga med dataskyddsförordningen. Analysen är således inrik- tad på sådana ändringar som är nödvändiga med anledning av dataskydds- förordningen. Syftet med uppdraget i denna del är sammantaget att regis- terlagarna ska kunna tillämpas även efter att dataskyddsförordningen bör- jar tillämpas och att de befintliga förutsättningarna för att behandla person- uppgifter i enlighet med registerlagarna i vart fall inte ska försämras. Enligt artikel 99 i dataskyddsförordningen ska förordningen tillämpas . föreslår att dataskydd- slagen, vilken utgör kompletterande nationell lagstiftning på generell nivå, ska träda i kraft och att personuppgiftslagen ska upp- höra att gälla. Eftersom forskningsdatalagen utgör kompletterande nationell lagstiftning till dataskyddsförordningen inom forskningssektorn föreslår vi att även den ska träda i kraft . Av dataskyddsförordningen framgår att hänvisningar till dataskyddsdi- rektivet ska anses som hänvisningar till dataskyddsförordningen i sam- band med att denna börjar tillämpas och direktivet därmed upphävs. Av skäl 171 i dataskyddsförordningen framgår vidare att nationella anpass- ningar i medlemsstaterna bör finnas på plats när förordningen börjar til- lämpas. Det är utredningens uppfattning att det därmed inte finns utrymme för några övergångsbestämmelser i forskningsdatalagen.