prop · H503298 · 2018-09-14 00:00:00 — Rätten enligt artikel 18 till begränsning av behandling har ersatt den åt- gärd som enligt artikel 12 b i dataskyddsdirektivet benämndes som blockering och som genomfördes genom 28 § PUL (samt definierades i 3 § samma lag). I förhållande till dataskyddsdirektivet innebär artikel 18 en utvidgad rättighet för den registrerade. Det bör inte föreskrivas undantag från rätten till Regeringens bedömning: Något undantag från den registrerades rätt till begränsning av behandling enligt EU:s dataskyddsförordning vid behandling av personuppgifter för forskningsändamål bör inte föreskri- vas i svensk rätt. Utredningens förslag överensstämmer inte med regeringens bedöm- Utredningen har föreslagit att när personuppgifter behandlas för forskningsändamål ska den registrerade inte ha rätt till begränsning av be- handling när denne bestrider uppgifternas korrekthet under den utred- ningstid som krävs för att kontrollera om personuppgifterna är korrekta. Den registrerade ska inte heller ha rätt till begränsning av behandling när denne invänder mot behandlingen i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrera- des berättigade skäl. Dessa begränsningar ska enbart gälla under förutsätt- ning att utövande av denna rätt medför att forskningen inte kan utföras, eller på ett avgörande sätt försenas eller försvåras. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot förslaget. ser posi- tivt på det föreslagna undantaget från rätten till begränsning av behandling. Dock är angelägen om att det föreslagna undantaget inte är ett generellt undantag utan ska prövas av personuppgiftsansvarig i varje en- skilt fall för att säkerställa att kraven för nyttjande av undantaget är upp- fyllda enligt utredningens intention. har inte funnit anledning att avstyrka utred- ningens förslag men anser att följande kan beaktas under den fortsatta be- redningen. Rätten till begränsning av behandling bör för den personupp- giftsansvarige i praktiken innebära ett incitament att se till att den person- uppgiftsbehandling som utförs lever upp till förordningens krav. Pensions- myndigheten anser att rätten till begränsning fyller en viktig funktion i skyddet av enskildas rättigheter och friheter vid behandling av personupp- gifter, som rättigheten har en väldigt liten påverkan på sådan be- handling av personuppgifter som utförs i enlighet med förordningens krav. i ställer sig tveksam till för- slaget. Den registrerades intressen i nämnda avseende bör kunna tillvaratas utan att detta påverkar syftet med forskningen i någon mer beaktansvärd utsträckning. Kommuner och Landsting (SKL) anser att det kan finnas vissa tolkningssvårigheter beträffande vad som ska förstås med att forskningen försenas eller försvåras när det gäller inskränkningar i den re- gistrerades rätt under själva behandlingen och kontroll av personuppgifter i forskningen. Förbundet anser därför att denna fråga bör klarläggas ytter- ligare. anser att det föreslås en begränsning av den registrera- des rätt med hänvisning till artikel 89.2 i förordningen men utan att ta hän- syn till kraven i artikel 89.1. Datainspektionen avstyrker förslagen i forsk- ningsdatalagen som rör undantag från de registrerades rättigheter. Utred- ningen brister då den endast beskriver de behov som de som bedriver forskning har, utan att analysera eventuella nackdelar eller risker som förslaget innebär. Om lagstiftaren begränsar de registrerades rättigheter så ska lagstiftaren även specificera lämpliga skyddsåtgärder för de registre- rade. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen av de remissinstanser som yttrat sig har kommenterat bedömningen specifikt. Skälen för regeringens bedömning Det saknas rättsliga förutsättningar för att föreskriva undantag från rätten till begränsning av behandling enligt artikel 18.1 b och c Enligt artikel 18 b har den registrerade rätt att kräva av den personupp- giftsansvarige att behandlingen begränsas om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället 2017/18:298 begär en begränsning av deras användning. Enligt punkt c i samma artikel har den registrerade rätt att kräva att behandlingen begränsas om den per- sonuppgiftsansvarige inte längre behöver personuppgifterna för ändamå- len med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Att hindra den per- sonuppgiftsansvarige från att radera uppgifterna, när denne annars skulle ha gjort det, torde inte göra det omöjligt eller mycket svårare att uppnå ändamålet med behandlingen, vilket utgör en förutsättning för att få göra undantag från rättigheten (artikel 89.2). Regeringen bedömer därför att det saknas rättsliga förutsättningar för att införa ett undantag från rätten till begränsning av behandling i fall som avses i artikel 18.1 b och c. Det finns inget behov av att föreskriva undantag från rätten till begränsning av behandling enligt artikel 18.1 a och d Enligt artikel 18.1 a har den registrerade rätt att kräva av den personupp- giftsansvarige att behandlingen begränsas om den registrerade bestrider personuppgifternas riktighet, som ger den personuppgifts- ansvarige möjligheten att kontrollera om personuppgifterna är riktiga. Den registrerades rätt till rättelse är mycket långtgående enligt dataskydds- förordningen och innebär bland annat en grundläggande skyldighet att utan dröjsmål rätta felaktiga uppgifter, varför den period som den person- uppgiftsansvarige behöver för att kontrollera om uppgifterna är riktiga torde vara högst begränsad. Ett utövande av rättigheten kommer därför sannolikt inte att omöjliggöra eller kraftigt försvåra ett uppfyllande av forskningsändamålet som sådant. Något behov av att föreskriva ett undan- tag från rätten att begränsa behandling för forskningsändamål enligt artikel 18.1 a finns därmed inte. Enligt artikel 18.1 d har den registrerade rätt att kräva att behandlingen begränsas om den registrerade har invänt mot behandling i enlighet med artikel 21.1, i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl. Enligt sistnämnda artikel har den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grun- dar sig på artikel 6.1 e (uppgift av allmänt intresse eller led i myndighets- utövning) eller f (intresseavvägning), inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får i så fall inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Av artikel 21.6 framgår dock att om personuppgifterna behandlas för bl.a. vetenskapliga eller historiska forskningsändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av all- mänt intresse. Som regeringen närmare utvecklar i avsnitt 13.6.2 bedömer regeringen att det inte finns något behov av att begränsa den registrerades rätt att in- vända mot behandling enligt artikel 21.1 då det redan av artikel 21.6 fram- Prop. 2017/18:298 går att den registrerades rätt att invända mot behandling för forskningsän- damål inte gäller om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Som framgår av avsnitt 7.2.2 är forskning som utförs av statliga universitet och högskolor och andra myndigheter normalt reglerad på ett sådant sätt att det är fråga om en uppgift av allmänt intresse i den mening som avses i artikel 6.1 e. Vidare görs i det avsnittet bedöm- ningen att forskning som utförs med stöd av ett godkännande enligt etik- prövningslagen och/eller tillstånd som krävs enligt annan lag också är att anse som en uppgift av allmänt intresse enligt artikel 6.1 e. Forskning som inte anses utgöra uppgift av allmänt intresse enligt nämnda artikel och som inte avser känsliga personuppgifter eller uppgifter om lagöverträdelser, och som därmed inte kräver tillstånd enligt lag, kan även utföras med sam- tycke som rättslig grund (artikel 6.1 a). Enligt regeringens bedömning är det därför ett begränsat antal personuppgiftsbehandlingar som kommer att komma ifråga för en sådan avvägning mellan den personuppgiftsansvari- ges tvingande berättigade skäl för behandlingen och den registrerades intressen enligt artikel 21.1. Den personuppgiftsansvariges kontroll av om dennes tvingande berättigade intressen väger tyngre än den registrerades bör kunna utföras relativt omgående. Mot denna bakgrund är det rege- ringens uppfattning att det är osannolikt att ett utövande av rätten att begränsa behandling den personuppgiftsansvarige kontrollerar om den dennes tvingande berättigade skäl väger tyngre än den registrera- des intressen, rättigheter och friheter enligt artikel 21.1 kommer att göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet. Det är i stället intresseavvägningen som kommer att avgöra om behandlingen ska få fortsätta i syfte att uppfylla forskningsändamålet. Av artikel 18.2 framgår vidare att om en behandling har begränsats en- ligt punkt 1 i samma artikel får personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk, för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt all- mänintresse för unionen eller för en medlemsstat. Det åligger den person- uppgiftsansvarige att kunna påvisa att skäl som rör ett viktigt allmän- intresse föreligger. Regeringen anser således sammanfattningsvis att något undantag från den registrerades rätt att begränsa behandling för forskningsändamål inte ska införas i svensk rätt. 13.6Bör det föreskrivas undantag från rätten att göra invändningar? 13.6.1Om innehållet i rättigheten I artikel 21 i dataskyddsförordningen föreskrivs att den registrerade i vissa fall ska ha rätt att invända mot behandling av personuppgifter. En motsva- rande rättighet föreskrevs även i dataskyddsdirektivet, men genomfördes i 2017/18:298 PUL endast beträffande direkt marknadsföring (11 § PUL). Dataskydds- förordningen innebär därmed att rätten att göra invändningar utvidgas jäm- fört med vad som följer av gällande svensk rätt. Rätten att göra invändningar enligt artikel 21.1 i dataskyddsförord- ningen avser behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning eller efter en intresseavvägning. Följden av att en invändning görs enligt artikel 21.1 är att den personuppgiftsansvarige inte längre får behandla personuppgifterna, såvida inte denne kan påvisa avgö- rande berättigade skäl för behandlingen som väger tyngre än den registre- rades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. När personuppgifter behandlas för bl.a. forskningsändamål ska enligt ar- tikel 21.6 den registrerade ha rätt att göra sådana invändningar om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Det är inte uppenbart hur artikel 21.6 förhåller sig till artikel 21.1. Enligt artikel 21.1 ska den registrerade ha rätt att invända mot behandling som grundar sig på artikel 6.1 e eller f. Av artikel 21.6 framgår istället att om behandling sker för forskningsändamål ska den registrerade ha rätt att in- vända mot behandling om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Regeringen bedömer att artikel 21.6 innebär att om den registrerade in- vänder mot behandling för forskningsändamål så måste den personupp- giftsansvarige göra en prövning av om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Om resultatet av denna bedömning blir att behandlingen inte är nödvändig så har den registrerade en rätt att invända mot behandlingen. Om så är fallet ska invändningen i nästa steg prövas enligt artikel 21.1 och den personuppgiftsansvarige måste visa av- görande berättigade skäl för att få fortsätta behandlingen. Om behand- lingen däremot bedöms nödvändig för att utföra en uppgift av allmänt intresse har den registrerade inte rätt att invända och någon prövning enligt artikel 21.1 kommer inte ifråga. Vad som avses med begreppet ”nödvän- dig” har behandlats i avsnitt 7.1.2. 13.6.2 Det bör inte föreskrivas undantag från rätten att göra invändningar Regeringens bedömning: Något undantag från den registrerades rätt att göra invändningar enligt EU:s dataskyddsförordning vid behandling av personuppgifter för forskningsändamål bör inte föreskrivas i svensk rätt. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: De remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot utredningens bedömning. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig delar bedömningen eller har inget att invända. att om en behandling av personuppgifter baseras på allmänt intresse som rättslig grund kan den registrerade inte invända mot behandlingen och forskningen kan därmed genomföras på ett förutsägbart sätt. Om behand- lingen grundar sig på intresseavvägning har emellertid den registrerade en möjlighet att invända mot behandlingen. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter. I enlighet med nuvarande synsätt kan en personuppgiftsansvarigs intresse endast i undantagsfall an- ses väga över den registrerades intressen om den registrerade uttryckligen motsätter sig att dennes personuppgifter behandlas och denna invändning är sakligt motiverad (se Datainspektionens informationsskrift om intresse- avvägning). I utkastet till lagrådsremiss (s. 113) gör regeringen bedöm- ningen att det finns stora möjligheter att behandla personuppgifter för forskningsändamål efter en intresseavvägning om erforderliga säkerhets- åtgärder vidtas. Om denna bedömning från regeringen innebär en ändring i hur intresseavvägningen ska göras har svårt att uttala sig om men vill likaväl understryka att intresseavvägning som rättslig grund kan innebära att förutsättningarna för forskningssamarbeten inte blir lika förutsägbara. Skälen för regeringens bedömning: Enligt artikel 89.2 är det, som framgått, möjligt att i nationell rätt fastställa undantag från den registrera- des rätt att invända mot personuppgiftsbehandling för forskningsändamål i den utsträckning som rättigheten sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet och sådant undantag krävs för att uppnå forskningsändamålet. Som redovisats ovan finns det en begränsning av den registrerades rätt att invända mot personuppgiftsbehandling för forskningsändamål som föl- jer direkt av artikel 21.6. Om sådan behandling är nödvändig för att utföra forskning av allmänt intresse har den registrerade inte rätt att invända mot behandling. För sådan personuppgiftsbehandling som inte är nödvändig för att utföra en uppgift av allmänt intresse har den registrerade en rätt att invända. Den personuppgiftsansvarige måste då, enligt artikel 21.1, kunna påvisa avgö- rande berättigade skäl för behandlingen som väger tyngre än den registre- rades intressen, rättigheter och friheter. I annat fall får den personuppgifts- ansvarige inte längre behandla personuppgifterna. Som framgår av avsnitt 7.2.2 är det regeringens bedömning att offentliga forskningsutförare som huvudregel kan använda sig av den rättsliga grun- den allmänt intresse vid personuppgiftsbehandling för forskningsändamål. I sådana fall har den registrerade inte rätt att invända mot sådan behandling enligt 21.6 och någon avvägning enligt artikel 21.1 blir inte aktuell. För privaträttsliga forskningsutförare som har fått de tillstånd som krävs för ett forskningsprojekt, enligt t.ex. etikprövningslagen för behandling för forsk- ningsändamål av känsliga personuppgifter eller personuppgifter om lag- överträdelser, anser regeringen att grunden för behandlingen är fastställd i enlighet med svensk rätt på ett sådant sätt att de kan tillämpa den rättsliga grunden allmänt intresse. Detta innebär att den registrerade inte heller då har en rätt att invända mot behandling enligt artikel 21.6. Något behov av undantag från artikel 21 finns därmed inte för dessa situationer. 2017/18:298 Vad som återstår är då de behandlingar av personuppgifter som avser andra slags uppgifter än känsliga personuppgifter eller personuppgifter om lagöverträdelser och som utförs av privata forskningsutförare med stöd av den rättsliga grunden intresseavvägning. Den registrerade kan i ett sådant fall invända mot behandling av personuppgifter för forskningsändamål ef- tersom denna situation inte omfattas av artikel 21.6, och ska en avväg- ning enligt artikel 21.1 göras. Forskningsutföraren ska då kunna påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter. Som framgår av avsnitt 7.2.3är det regeringens uppfattning att presumtionen är att forskning är en uppgift av allmänt intresse och att det därmed är fråga om ett berättigat intresse. Det finns därmed stora möjligheter att behandla personuppgifter efter en intresseavvägning under förutsättning att erforderliga säkerhetsåt- gärder vidtas. Forskningsutföraren har enligt artikel 21.1 att bedöma om det berättigade intresset som denne grundar sin behandling på från början är avgörande och väger tyngre i det enskilda fallet. I de fall det inte väger tyngre än den registrerades intressen, rättigheter och friheter ska forsk- ningen inte få utföras. ifrågasätter om bedömningen i utkastet till lagrådsre- miss, avseende möjligheterna att i detta sammanhang behandla personupp- gifter efter en intresseavvägning, innebär en ändring i hur intresseavväg- ningen ska göras och hänvisar till Datainspektionens informationsskrift om intresseavvägning där det framgår att en personuppgiftsansvarigs intresse endast i undantagsfall anses väga över den registrerades intressen om den registrerade uttryckligen motsätter sig att dennes personuppgifter behandlas och denna invändning är sakligt motiverad. Datainspektionens informationsskrift rör intresseavvägning generellt och behandlar inte spe- cifikt forskningsändamål. Som framgår av avsnitt 7.1.3 har Artikel 29- gruppen uttalat beträffande intresseavvägning att vissa intressen kan vara tvingande och gynna samhället i stort, t.ex. intresset av att genomföra ve- tenskaplig forskning. Bland de vanligaste sammanhang där frågan om be- rättigat intresse kan uppstå nämner Artikel 29-gruppen behandling för bl.a. forskningsändamål. Det är sammanfattningsvis regeringens bedömning att rätten att göra in- vändningar enligt artikel 21 inte kan anses göra det omöjligt eller mycket svårare att uppfylla forskningsändamålet, mot bakgrund av de begränsade situationer då rätten att invända är tillämplig. Det är vidare regeringens bedömning att rätten att invända mot behandling är en viktig rättighet för den registrerade och därför bör finnas i de fall den är tillämplig vid be- handling av personuppgifter för forskningsändamål. Regeringen anser således att något undantag från rätten att invända mot personuppgiftsbehandling för forskningsändamål inte ska införas i svensk rätt. Behöver ytterligare anpassningar göras i Prop. 14.1Inga ytterligare anpassningar behöver göras i etikprövningslagen Regeringens bedömning: Resterande bestämmelser i lagen om etik- prövning av forskning som avser människor behöver inte anpassas med anledning av EU:s dataskyddsförordning. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Majoriteten av de remissinstanser som har yttrat sig tillstyrker eller har inga invändningar mot bedömningen. Enligt universitet skulle en direkt hänvisning till dataskyddsförordningen i 6 § etikprövningslagen kunna underlätta förståelsen för att reglerna i data- skyddsförordningen alltid måste tillämpas även i de fall där ett forsknings- etiskt godkännande har inhämtats för ett forskningsprojekt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Majoriteten av de remissinstanser som yttrat sig delar bedömningen, bland annat i , eller har inget att invända. anför att för att etikpröv- ning enligt etikprövningslagen ska kunna fylla sin funktion, som en sådan i svensk rätt fastställd lämplig och särskild åtgärd som krävs för behand- ling av känsliga personuppgifter och personuppgifter om lagöverträdelser för andra forskningsändamål än klinisk läkemedelsprövning enligt data- skyddsförordningen, är det viktigt att etikprövningslagens definition av forskning inte leder till ett snävare forskningsbegrepp än det som följer av dataskyddsförordningen. Det måste med andra ord säkerställas att allt som räknas som forskning enligt dataskyddsförordningen också räknas som forskning enligt definitionen i etikprövningslagen. Annars kan viss per- sonuppgiftsbehandling för forskningsändamål som enligt dataskydds- förordningen måste omfattas av sådan skyddsåtgärd för att få utföras falla utanför etikprövningslagens tillämpningsområde. Detta skulle innebära att dessa behandlingar inte skulle få utföras enligt dataskyddsförordningen (såvida de inte skulle omfattas av andra skyddsåtgärder som uppfyller förordningens krav). Enligt bör forsknings- begreppet (inom den kompletterande nationella dataskyddslagstiftningens tillämpningsområde) avgränsas på följande vis: ”Vetenskapligt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som endast utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå” (s. 97). För att uppnå den nivå av har- moni som krävs för att regleringen ska fungera som avsett föreslår universitet att etikprövningslagen anpassas efter dataskyddsförord- ningen, genom att lydelsen i 2 § etikprövningslagen ändras i enlighet med denna avgränsning. 2017/18:298 i påpekar att Forsknings- begreppet inte har definierats i förordningen men att det av skäl 159 fram- går att man har tänkt sig en mycket vid tolkning som även omfattar exem- pelvis teknisk utveckling och demonstration och studier av allmänt intresse inom folkhälsoområdet. Som kontrast till detta kan man ställa etik- prövningslagens definition som är tämligen snäv och utesluter till exempel kvalitetssäkring, resultatuppföljning och studentarbeten. Om man inte gör något åt detta anser etikprövningsnämnden att det kommer att bli oklart hur man ska tillämpa bestämmelserna om ändamålsbegränsning (art. 5.1 b), rättslig grund (art. 6.1 e), behandling av känsliga personuppgifter (art. 9.2 g-j) och undantag (art. 89). konstaterar att i utkastet till lagrådsremiss utvecklar inte regeringen sin syn på definition av ”forskningsändamål” utan hänvisar till dataskyddsförordningens definition. Regeringen föreslår vidare etik- prövning som skyddsåtgärd vid behandling av känsliga personuppgifter. I etikprövningslagen finns en definition av ”forskning”. Högskolan önskar framföra vikten av ett sammanhållet förändringsarbete avseende lagar och förordningar med anledning av att dataskyddsförordningen träder i kraft.