prop · H503298 · 2018-09-14 00:00:00 — Kodnyckeln kan förvaras såväl hos den personuppgiftsansvarige som hos någon annan. Oavsett detta för- ändras inte statusen avseende uppgifterna och uppgifterna utgör fortsatt personuppgifter. Forskningsaktören kan alltid, i de fall som kodnyckeln är förvarad hos annan offentlig forskningsaktör, begära tillgång till specifik kodnyckel med hänvisning till offentlighetsprincipen. Om det efter sekre- tessprövning skulle visa sig att det saknas stöd för ett nekande i utlämnan- defrågan ska kodnyckeln skyndsamt lämnas ut i enlighet med gängse reg- ler. Det finns således långtgående rättsliga möjligheter för forskningsaktö- ren att ges tillgång till kodnyckeln. Detta lämnar utrymme för frågor i vad mån den registrerade vid en förfrågan om rätt till tillgång (registerutdrag) kan ställa krav på att forskningsaktören ska vidta de beskrivna åtgärderna för att tillmötesgå den registrerade i fråga om rätt till tillgång. I de fall som kodnyckeln är förvarad av forskningsaktören själv, finner , att det i realiteten inte finns något hinder för identifiering av den registrerade i fråga om rätt till tillgång. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig delar bedömningen eller har inget att invända. re- kommenderar att de resonemang som förs kring rätten till tillgång avse- ende pseudonymiserade uppgifter i de fall kodnyckel finns bevarad hos den personuppgiftsansvarige förtydligas då avsnittet är svårtolkat. () håller med om att det kan tänkas inverka negativt på klinisk forskning eller den registrerade, om den re- gistrerade kan få tillgång till de uppgifter som behandlas. LIF anser dock att lagstiftaren borde tydliggöra att all utlämning av information till den registrerade bör vara undantagen från informationsrätten vid klinisk forsk- ning eftersom sådan utlämning alltid riskerar integriteten i studien (och därmed dess vetenskapliga värde). En personuppgiftsansvarig kan visser- ligen motsätta sig utlämning med hänvisning till att denne inte känner till vilka personuppgifter som härrör till den registrerade eftersom uppgifterna i en klinisk läkemedelsprövning alltid är kodade (se artikel 11.2 i GDPR), men vad händer om den registrerade först vänder sig till behandlande lä- kare och begär att få ut kodnyckeln och sedan till läkemedelsföretaget med tillhandahållande av kodnyckeln och begär att få ut sina uppgifter, undrar LIF. Skälen för regeringens bedömning: Rätten till tillgång gäller inte om den personuppgiftsansvarige kan visa att denne inte kan identifiera den registrerade, vilket torde vara vanligt när personuppgiftsbehandling sker med pseudonymiserade, eller på annat sätt kodade, uppgifter. misering är, som framgår av avsnitt 9, en central skyddsåtgärd vid person- uppgiftsbehandling för forskningsändamål. I många fall när den person- uppgiftsansvarige behandlar personuppgifter för forskningsändamål och inte kan identifiera den registrerade för att kunna lämna ett registerutdrag kommer denne således inte heller att vara skyldig att göra det, i enlighet med den direkt tillämpliga artikel 11. versitet har som skäl för ett undantag från rätten till tillgång anfört att den personuppgiftsansvarige har långtgående möjligheter att identifiera den registrerade även om uppgifterna är pseudonymiserade eftersom kod- nyckeln finns kvar. Kodnyckeln kan förvaras såväl hos forskningshuvud- mannen som hos annan aktör, t.ex. en registerhållande myndighet. fallen krävs dock att kodnyckeln förvaras separerat från de pseudonymi- Av artikel 11 i förordningen framgår att om de personuppgifter som be- handlas av den personuppgiftsansvarige inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den re- gistrerade om ändamålet endast är att följa någon av bestämmelserna i Den personuppgiftsansvarige ska därmed inte vara skyl- dig att inhämta ytterligare uppgifter för att identifiera den registrerade utöver de pseudonymiserade uppgifter som behandlas. I de fall kodnyckeln finns hos den personuppgiftsansvarige blir det dock inte fråga om ett be- hov av att inhämta ytterligare information, även om uppgifterna hålls se- I ett sådant fall har den personuppgiftsansvarige den information som behövs för att kunna identifiera den registrerade och kan tillgodose den registrerades rätt till tillgång. Det är regeringens uppfattning att det i dessa fall inte finns något behov av att göra undantag från rätten till till- I andra situationer, där den personuppgiftsansvarige kan identifiera den enskilde vars uppgifter behandlas, eller när en sådan identifiering kan ske med hjälp av kompletterande uppgifter som den enskilde tillhandahåller i samband med att denne utövar sin rättighet, gör regeringen, till skillnad från , bedömningen att denna rättighet kan och bör respek- Ett utövande av rättigheten kan i dessa situationer inte anses göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet och där- med motivera ett undantag enligt kraven i artikel 89.2. Det är också rege- ringens uppfattning att rätten till tillgång är en viktig central rättighet som ger den registrerade kontroll över sina uppgifter och att den därför bör I samband med t.ex. klinisk forskning kan det dock tänkas att det kan inverka negativt på antingen forskningen eller den registrerade om denne kan få tillgång till de uppgifter som behandlas, vilket också framhålls av Så kan exempelvis vara fallet i samband med etablerade eller misstänkta medicinska diagnoser eller värden på pro- ver som den registrerade är omedveten om med anledning av pågående behandling eller den registrerades allmänna välbefinnande. gifter omfattas som regel av sekretess med stöd av 25 kap. OSL. enskilde har t.ex. i motsvarande situation i samband med sjukvård inte all- Prop. 2017/18:298 tid en ovillkorlig rätt att få tillgång till sina egna uppgifter om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas ut till denne (25 kap. 6 § OSL). Får en myndighet i sin forskningsverksamhet en sekretessreglerad uppgift från en annan myndighet blir sekretessbestämmelsen tillämplig på uppgiften även hos forskningsutföraren (11 kap. 3 § OSL). Att det enligt 18 kap. 9 § OSL kan gälla sekretess för t.ex. en kodnyckel om den används för att pseudonymi- sera sekretessbelagda uppgifter har vidare redovisats i avsnitt 9.4. I dataskyddslagen finns ett undantag från rätten till tillgång enligt arti- kel 15 som är tillämpligt i dessa fall. Enligt 5 kap. 1 § dataskyddslagen ska artiklarna 13–15 inte gälla sådana uppgifter som den personupp- giftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Undantaget ska även gälla för personuppgiftsansvariga som inte är myndigheter vad gäller sådana uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. Dataskyddslagens bestämmelser är tillämpliga även vid personuppgifts- behandling för forskningsändamål om inget annat framgår av annan för- fattning. Detta innebär att i de fall sekretess gäller kommer undan- tagsbestämmelsen enligt dataskyddslagen att vara tillämplig även vid be- handling för forskningsändamål och skyldigheten att ge den registrerade tillgång till information begränsas därmed. Något särskilt undantag för personuppgiftsbehandling för forskningsändamål behövs därför inte i detta sammanhang. Till skillnad från anser rege- ringen att detta gäller även vid klinisk forskning. Regeringen anser sammanfattningsvis att något undantag från rätten till tillgång vid personuppgiftsbehandling för forskningsändamål inte ska in- föras i svensk rätt utan att det generella undantag som finns i 5 kap. 1 § dataskyddslagen är tillräckligt. 13.4Bör det föreskrivas undantag från rätten till rättelse? 13.4.1Om innehållet i rättigheten Vid all behandling av personuppgifter ska uppgifterna vara riktiga och, om nödvändigt, uppdaterade (artikel 5.1 d i dataskyddsförordningen). Enligt artikel 16 har den registrerade rätt att få felaktiga personuppgifter som rör denne rättade utan onödigt dröjsmål samt att, med beaktande av ändamålet med behandlingen, få ofullständiga personuppgifter kompletterade, bl.a. genom att tillhandahålla ett kompletterande utlåtande (rätten till rättelse). Även enligt dataskyddsdirektivet (artikel 6.1 d) och PUL (9 § g) krävdes att de personuppgifter som behandlades var riktiga och, om det var nöd- vändigt, aktuella. Det fanns även en rätt till rättelse i artikel 12 b i data- skyddsdirektivet, vilken genomfördes i PUL. Enligt denna reglering var den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte be- handlats i enlighet med PUL eller föreskrifter som utfärdats med stöd av 2017/18:298 PUL (28 §). Den nämnda rätten enligt dataskyddsförordningen för den re- gistrerade att komplettera ofullständiga uppgifter genom exempelvis ett kompletterande yttrande är således ny i förhållande till tidigare reglering. Den tidigare rätten i 28 § PUL att utplåna uppgifter motsvaras i data- skyddsförordningen av rätten till radering av uppgifter (rätten att bli bort- glömd) i artikel 17 dataskyddsförordningen. Den tidigare rätten i 28 § PUL att blockera uppgifter motsvaras i dataskyddsförordningen av rätten till begränsning av behandling i artikel 18 dataskyddsförordningen. Frågan om sistnämnda rätt ska begränsas behandlas i avsnitt 13.5. 13.4.2Det bör inte föreskrivas undantag från rätten till rättelse Regeringens bedömning: Något undantag från den registrerades rätt till rättelse enligt EU:s dataskyddsförordning vid behandling av person- uppgifter för forskningsändamål bör inte föreskrivas i svensk rätt. Utredningens förslag överensstämmer inte med regeringens bedöm- ning. Utredningen har föreslagit att den registrerades rätt till rättelse inte ska gälla för sådana personuppgifter som behandlats för forskningsända- mål när personuppgifterna endast bevaras i syfte att dokumentera utförd forskning. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. Bland dessa åter- finns , Kungl. och Kommuner och Landsting. ser positivt på förslaget om undantag från rätten till rättelse för personuppgifter som behandlats för forskningsändamål när personupp- gifterna endast bevaras i syfte att dokumentera utförd forskning. För att tydliggöra skillnaden mellan regleringen i dataskyddsförordningen och den arkivrättsliga regleringen föreslår att termen bevaras i förslaget till forskningsdatalag ersätts med behandlas. instämmer i utredningens förslag, men noterar att det kommer att kräva en infrastruktur för lagring av data som möjliggör verifiering som flertalet lärosäten inte äger . anser att kostnaden för anskaffning av sådan infrastruktur bör beaktas i analysen av de ekonomiska konsekvenserna av utredarens förslag. noterar vidare att motsvarande diskussion av rätten att bli raderad saknas i betänkandet. Det framstår dock som uppenbart att även rätten att bli raderad måste sättas i relation till be- hovet av att kunna verifiera forskningsresultat och att bevara material i syfte att uppnå nya, framtida forskningsresultat. föreslår där- för att sådana behov tydligt ska framhållas av lagstiftaren i förarbetena till och innehållet i den nationella lagstiftningen. har inte funnit anledning att avstyrka utred- ningens förslag men anser att följande kan beaktas under den fortsatta be- redningen. När det gäller rätten till rättelse noterar att det följer redan av artikel 5 i förordningen att den personuppgiftsansva- rige ska se till att personuppgifter som behandlas är korrekta och, om nöd- vändigt, uppdaterade. Förordningen lämnar inte något utrymme för nat- ionella undantag från principen om korrekthet, varför ett undantag från artikel 16 inte fråntar den personuppgiftsansvarige ansvaret för att vidta åtgärder för att se till att felaktiga uppgifter rättas eller raderas. Pensions- myndigheten anser således att det föreslagna undantaget i praktiken kan antas få liten eller ingen betydelse för de personuppgiftsansvariga. konstaterar att den aktuella lagstiftningen är sub- sidiär till arkivlagstiftningen vilket innebär att en sådan regel måste anses vara överflödig. Tekniska högskolan (KTH) anser att formuleringen ”… dokumentera utförd forskning” är något missvisande. Även om inten- tionen är att inte göra någon åtskillnad mellan privat- och offentlig sektor, bör ett förtydligande göras att detta inte gäller för myndigheter. De typfall som utredningen beskriver avser när ett forskningsprojekt är avslutad. För en forskningsaktör inom den offentliga sektorn kan handlingarna bli arki- verade. i ställer sig tveksam till för- slaget om att den registrerades rätt till rättelse av personuppgifter begrän- sas i den föreslagna forskningsdatalagen. Den registrerades intressen i nämnda avseenden bör kunna tillvaratas utan att detta påverkar syftet med forskningen i någon mer beaktansvärd utsträckning. Datainspektionen avstyrker de förslag som rör undantag från de registrerades rättigheter. Ut- redningen brister då den endast beskriver de behov som de som bedriver forskning har, utan att analysera eventuella nackdelar eller risker som förslaget innebär. Om lagstiftaren begränsar de registrerades rättigheter så ska lagstiftaren även specificera lämpliga skyddsåtgärder för de registre- rade. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig delar bedömningen eller har inget att invända. noterar att effekten av regeringens bedömning att det inte bör föreskrivas något undantag från den registrerades rätt till rättelse vid behandling av person- uppgifter för forskningsändamål är att det kommer att krävas att forsk- ningsutföraren inför en rutin som säkerställer arkivering av data så snart en forskningsstudie används som underlag för en publikation. noterar vidare, i likhet med , att det kom- mer att behövas en infrastruktur för arkivering av data som möjliggör ver- sionskontrollhantering och spårning av ändringar. Detta är något som fler- talet lärosäten inte äger . Regeringen bör överväga om ett upp- drag ska ges till någon myndighet i syfte att underlätta övergång till data- hantering i en sådan infrastruktur, t.ex. genom instruktioner till de myn- digheter som berörs. framhåller att i förslaget saknas regler som fast- ställer undantag från artikel 16 om registrerades rätt till rättelse. En sådan regel är obehövlig enligt regeringen, eftersom de registrerade ändå inte har rätt till rättelse vad gäller arkiverade forskningsdata, till följd av undanta- get för arkiv (s. 107). Möjligheten till undantag från artikel 16 i förord- ningen är dock vidare än så och omfattar även undantag från den enskildes rätt till rättelse under pågående forskning. Framställningar om rättelser av personuppgifter som ligger till grund för forskning kan inverka menligt på 2017/18:298 förutsättningarna att bedriva forskning och forskarnas möjlighet att för- foga över sitt material. Frågan aktualiseras såväl vid kvantitativ forskning med stora datamängder som vid kvalitativ forskning, där förändringar i enskilda uppgifter kan spela stor roll. I synnerhet gäller detta om begäran om rättelse inkommer i ett skede då delar av analysen redan utförts. universitet anser inte att rätten till rättelse i dessa sammanhang är av så stor vikt för individen att det motiverar att avstå från att utnyttja de möjligheter till inskränkning som föreskrivs. Skälen för regeringens bedömning: Om personuppgifter behandlas för forskningsändamål får det, som framgått, enligt artikel 89.2 i dataskydds- förordningen föreskrivas undantag från rätten till rättelse. Detta får emel- lertid bara göras i den utsträckning som en sådan rättighet sannolikt kom- mer att göra det omöjligt eller mycket svårare att uppfylla forskningsän- damålet och sådana undantag krävs för att uppnå forskningsändamålet. Utredningens argument för det föreslagna undantaget är att uppgifter som har behandlats för forskningsändamål och endast bevaras i syfte att dokumentera utförd forskning ska undantas från rätten till rättelse för att möjliggöra verifiering av forskningsresultat i arkiverat forskningsmaterial. Personuppgifter som löpande lagras och behandlas för forskningsändamål ska enligt utredningen inte omfattas av undantaget. Det är regeringens uppfattning att granskning av utförd forskning och bevarande av arkiverat forskningsmaterial inte innefattas i personuppgiftsbehandling för forsk- ningsändamål så som avsetts i dataskyddsförordningen. Regeringen anser, i likhet med och , att den behandling av person- uppgifter som åsyftas i utredningens förslag snarare är för arkivändamål. Behandling av personuppgifter för arkivändamål av allmänt intresse och de krav som finns i svensk rätt på bevarande för att tillgodose bl.a. forsk- ningens behov, samt regeringens bedömningar och förslag i detta samman- hang, behandlas närmare i propositionen Ny dataskyddslag (prop. 2017/18:105). När det gäller universitets synpunkt att motsvarande diskus- sion kring begränsning av rätten att bli raderad saknas i betänkandet kan regeringen konstatera att det följer av artikel 89.2 att det inte föreligger någon möjlighet att begränsa den registrerades rätt att blir raderad vid be- handling av personuppgifter för forskningsändamål i nationell rätt, utöver vad som redan framgår av det direkt tillämpliga undantaget i artikel 17.3 d, dvs. rätten att bli raderad ska inte gälla i den utsträckning som behand- lingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöj- liggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen. När det gäller den bedömning som har gjorts i det remitterade utkastet till lagrådsremiss påpekar att rätten till rättelse om- fattar även undantag från den enskildes rätt till rättelse under pågående forskning. Framställningar om rättelser av personuppgifter som ligger till grund för forskning kan enligt inverka menligt på förutsättningarna att bedriva forskning och forskarnas möjlighet att för- foga över sitt material. anser inte att rätten till rät- telse i dessa sammanhang är av så stor vikt för individen att det motiverar att avstå från att utnyttja de möjligheter till inskränkning som föreskrivs. Som påpekar gäller enligt artikel 5 i dataskydds- Prop. 2017/18:298 förordningen som en grundläggande princip för behandling av personupp- gifter att uppgifterna ska vara riktiga och om nödvändigt uppdaterade. Den personuppgiftsansvarige har ett ansvar enligt artikeln att vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhål- lande till de ändamål för vilka de behandlas raderas eller rättas utan dröjs- mål. Denna princip måste följas även av forskningsutförare och under på- gående forskning. Den gäller alltså uppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas. Det ligger i forskningens intresse att den baseras på uppgifter som är riktiga för att de resultat som den re- sulterar i ska bli rättvisande och rätt slutsatser kunna dras. I vissa fall är t.ex. avsikten med en behandling att registrera uppgifter som kommit in. De behandlade uppgifterna kan då anses riktiga, i dataskyddsförord- ningens mening, om de stämmer överens med de inkomna uppgifterna oavsett hur dessa lämnade uppgifter förhåller sig till verkliga förhållanden. Det är i sådana situationer positivt även för forskningen att den registre- rade kan begära rättelse av uppgifter som har förvanskats under den be- handling som utförts inom ramen för forskningsprojektet. Rätten till rät- telse enligt artikel 16 gäller uppgifter som är felaktiga. Som Forsknings- datautredningen konstaterar kan det föreligga olika uppfattningar mellan den personuppgiftsansvarige och den registrerade om vad som är en riktig uppgift. Om den personuppgiftsansvarige är en myndighet kan ett beslut där myndigheten tagit ställning till en begäran om rättelse överklagas till allmän förvaltningsdomstol (7 kap. 2 § dataskyddslagen). Är det en privat forskningsutförare kan den registrerade ge in ett klagomål till tillsynsmyndigheten som bl.a. har befogenheten att förelägga om rättelse (artikel dataskyddsförordningen). Att den registrerade har en rätt till rättelse och utnyttjar den kan påverka bedrivandet av forskning. Förutsättningen för att ett undantag från rättigheten ska kunna föreskrivas i nationell rätt är dock enligt artikel 89.2 i dataskyddsförordningen att rät- tigheten sannolikt skulle göra det omöjligt eller mycket svårare att uppfylla ändamålen med behandlingen av personuppgifter, dvs. forskningsändamå- let, och undantag krävs för att uppnå ändamålet. Även om rättigheten som påpekar kan påverka bedrivandet av forskning är det regeringens bedömning att forskningen inte påverkas i sådan grad att förutsättningarna för att införa ett undantag är uppfyllda. Regeringen an- ser vidare att rätten till rättelse är av vikt för att den registrerade ska kunna ta till vara sina intressen. Regeringen anser därför att något undantag från rätten till rättelse vid personuppgiftsbehandling för forskningsändamål inte ska införas i svensk rätt. 13.5Bör det föreskrivas undantag från rätten till begränsning av behandling? 13.5.1Om innehållet i rättigheten Den registrerade har enligt artikel 18.1 rätt att av den personuppgiftsansva- rige kräva att behandlingen begränsas om en av följande fyra förutsätt- 2017/18:298 ningar är uppfyllda: a) den registrerade bestrider personuppgifternas rik- tighet, som ger den personuppgiftsansvarige möjligheten att kontrollera om personuppgifterna är riktiga, b) behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning, c) den personuppgiftsansva- rige behöver inte längre personuppgifterna för ändamålen med behand- lingen men den registrerade behöver dem för att kunna fastställa, göra gäl- lande eller försvara rättsliga anspråk eller d) den registrerade har invänt mot behandling i enlighet med artikel 21.1, i väntan på kontroll av huru- vida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl. Med begränsning av behandling avses enligt artikel 4.3 markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Rätten till begränsning av behandling syftar till att skydda den registre- rades rättigheter eller övriga intressen vid felaktig eller misstänkt felaktig behandling. Genom att få personuppgiftsbehandlingen begränsad kan även den registrerade begränsa skadan av sådan behandling. Punkterna a och d i artikel 18.1 har det gemensamt att den registrerade vill utöva en annan rättighet (rätt till rättelse respektive rätt att göra invändningar), vilken krä- ver av den personuppgiftsansvarige att denne ska kontrollera om en sådan rätt föreligger i det konkreta fallet. Punkterna b och c i samma artikel ger i stället den registrerade vissa möjligheter att hindra den personuppgifts- ansvarige från att radera uppgifterna. Av artikel 18.2 framgår att om behandlingen har begränsats enligt arti- kel 18.1 får sådana personuppgifter, med undantag för lagring, endast be- handlas med den registrerades samtycke eller för att fastställa, göra gäl- lande eller försvara rättsliga anspråk eller för att skydda någon annan fy- sisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt all- mänintresse för unionen eller för en medlemsstat.