sou · H6B336 · 2018-06-05 00:00:00 — Detta framgår av 2 § förordningen (2009:975) med instruktion för . Vi föreslår således att det av instruktion ska framgå att det också är en uppgift för myndigheten att initiera och stödja arbetet med att ta fram en gemensam uppförandekod enligt dataskyddsförordningen. 8.12Avvecklingen av en forskningsdatabas 8.12.1Behov av reglering i detta steg av livscykeln En forskningsdatabas kan av olika anledningar behöva avvecklas. Behovet kan vara täckt av andra databaser, forskningsproblemet kan ha upphört att vara intressant, eller ny teknik kan ha utvecklats så att uppgifterna kan nås på annat sätt. Till detta steg i en forskningsdatabas livscykel, avvecklingen, hör frågan om uppgifterna ska gallras eller bevaras genom arkivering. Förslag till reglering av forskningsdatabaser Vår bedömning: Arkivlagstiftningens principer om bevarande bör vara utgångspunkten för uppgifter i en forskningsdatabas. Enligt vår bedömning är detta förenligt med dataskyddsförordningen. Någon särskild gallringsbestämmelse föreslås därför inte. Vårt föreslag till reglering av forskningsdatabaser innebär att statliga och kommunala myndigheter ska få behandla personuppgifter i forskningsdatabaser liksom även juridiska personer och enskilda näringsidkare, som bedriver högre utbildning och som enligt 2 kap. 4 § OSL ska jämställas med myndigheter samt har examensrätt enligt lagen om tillstånd att utfärda vissa examina (se avsnitt 8.8.2). Som konstaterat i avsnitt 5.6 har myndigheter och andra jämställda organ på grund av offentlighetsprincipen en grundläggande skyldighet att bevara sina allmänna handlingar i arkiv. Sådana forskningshuvudmän som behandlar personuppgifter i en forskningsdatabas ska enligt vårt förslag vara personuppgiftsansvarig för behandlingen. Arkivlagstiftningen gäller för dessa myndigheter och organ enligt arkivlagen (se avsnitt 5.6). För organ som avses i 2 kap. 4 § första meningen OSL gäller arkivlagen till den del arkivet härrör från den verksamhet som avses i bilagan till offentlighets- och sekretesslagen. Detta innebär att de aktuella forskningshuvudmännen har en grundläggande skyldighet att arkivera allmänna handlingar. Varje myndighet69 är ansvarig för arkivvården av den egna myndig- hetens handlingar. Enligt arkivlagen är huvudprincipen bevarande. Allmänna handlingar ska alltså som huvudregel bevaras i myndig- heternas arkiv. En myndighets arkiv består av de allmänna hand- lingarna från myndighetens verksamhet och vissa andra handlingar som myndigheten beslutar ska tas om hand för arkivering. Arkivvård innefattar även gallring. Enligt 10 § tredje stycket arkiv- lagen är denna lag subsidiär till avvikande bestämmelser om gallring av vissa allmänna handlingar i lag eller förordning. Vid gallring ska det alltid beaktas att arkiven utgör en del av kulturarvet och att det 69När det fortsättningsvis står myndighet eller statlig myndighet innefattas som ovan angetts även de organ som enligt 2 kap. 4 § OSL ska jämställas med myndigheter. Förslag till reglering av forskningsdatabaser arkivmaterial som återstår ska kunna tillgodose rätten att ta del av allmänna handlingar, forskningens behov m.m. Allmänna handlingar hos en statlig myndighet får endast gallras i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. Bestämmelser om att uppgifter ska gallras ur register med känsliga uppgifter finns i olika registerförfattningar, se avsnitt 5.6.4. Vi har i avsnitt 5.6.2 gått igenom dataskyddsförordningens bestämmelser om arkivering och arkivändamålens särställning. Den behandling av personuppgifter som myndigheter och andra utför när de arkiverar sina handlingar i enlighet med bestämmelser om arkiv utgör en sådan ytterligare behandling, vidarebehandling, som görs för arkivändamål av allmänt intresse och som enligt förordningen inte ska anses oförenlig med de ursprungliga ändamålen. Det krävs inte någon annan rättslig grund än den med stöd av vilken insamlingen av person- uppgifter medgavs. Den personuppgiftsansvarige ska se till att behandlingen omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgifts- minimering iakttas. Den personuppgiftsansvarige ges alltså i dessa fall ansvaret för att i det enskilda fallet se till att lämpliga skyddsåtgärder tillämpas. Enligt 3 kap. 6 och 8 §§ dataskyddslagen får känsliga personupp- gifter och personuppgifter som rör lagöverträdelse behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. När det gäller allmänna handlingar konstaterar regeringen att det finns sådana lämpliga och särskilda åtgärder som skyddar enskildas integritet och som krävs enligt dataskyddsförordningen t.ex. i form av sekretess, rätt till partsinsyn och föreskrifter om informationssäkerhet. Bevarande eller gallring som huvudregel? Frågan är vilken reglering som är lämplig i lagen om forskningsdata- baser, dvs. om arkivlagens princip om bevarande bör vara huvudregeln eller om utgångspunkten bör vara den motsatta, alltså att uppgifterna som huvudregel bör gallras. I kapitel 5 redogör vi för dessa principer. Förslag till reglering av forskningsdatabaser Vid besvarande av frågan bör hänsyn tas till integritetsaspekter, möjligheterna till insyn samt till forskningens behov. De databaser som kommer att möjliggöras genom den föreslagna lagen kommer att kunna innehålla en stor mängd personuppgifter, även känsliga sådana. Uppgifterna kan både vara insamlade efter sam- tycke av enskilda individer och inhämtade från myndighetsregister eller andra källor. För de forskningshuvudmän som omfattas av våra förslag är de aktuella uppgifterna allmänna handlingar. Bevarande är den principen som gäller för allmänna handlingar, på grund av bland annat offentlighetsprincipen. Eftersom forskningshuvudmannen är bunden av arkivlagen är därför bevarande en utgångspunkt. Kravet på med- borgerlig insyn och kontroll av myndigheternas verksamhet är dock inte lika starkt som i vissa andra fall eftersom uppgifterna i en forsk- ningsdatabas inte ska användas vid myndighetsutövning mot enskilda individer. Det finns dock andra skäl för bevarande när det gäller uppgifter i en forskningsdatabas. Databaserna kommer att kunna existera . Det kan förutsättas att forskningsprojekt som kommer att hämta uppgifter från sådana forskningsdatabaser som möjliggörs enligt den föreslagna lagen kommer att kräva tillgång till uppgifter som ligger långt tillbaka i tiden, t.ex. för longitudinella studier. Syftet med lagen om forsk- ningsdatabaser är att möjliggöra insamling av personuppgifter som ska kunna användas i olika, även framtida, forskningsprojekt. Det är därför tänkt att forskningsdatabaserna ska kunna bidra med uppgifter till flera olika forskningsprojekt. För tidig gallring skulle motverka detta syfte. Eftersom de forskningsdatabaser som möjliggörs enligt lagen ska kunna användas för olika forskningsprojekt och även möjliggöra tillgång till uppgifter som ligger långt tillbaka i tiden, kommer det att vara svårt att fastställa när uppgifterna inte längre behövs i en forskningsdatabas. Vidare är möjligheten att granska tidigare utförd forskning viktig. Det finns en risk att granskning försvåras om personuppgifter gallras alltför snabbt. Med hänsyn till det anförda är det i vart fall så länge en databas består en utgångspunkt att uppgifterna i den bör bevaras. Det finns annars risk för stora informations- och kunskapsförluster. Förslag till reglering av forskningsdatabaser Integritetshänsyn kan tala för en specialreglering för forsknings- databaser med gallring som utgångspunkt. Den handlar ju om att behandla en stor mängd uppgifter, och i många fall även integritets- känsliga personuppgifter. Särskilda gallringsföreskrifter om att uppgifter ur register med känsliga personuppgifter ska gallras finns ofta i s.k. registerförfattningar. I sådana som reglerar register med integritetskänsliga personuppgifter är det vanligt att det föreskrivs att personuppgifter ska gallras när uppgiften inte längre behövs för sitt ändamål. Det rör sig då om bestämmelser som på grund av integritets- hänsyn avviker från arkivlagstiftningens huvudregel om bevarande. Då gäller normalt en omvänd princip i förhållande till den som gäller enligt arkivlagen. Sådana uppgifter ska ofta gallras senast , om inte undantag har föreskrivits i registerförfattningen eller i andra bestämmelser som meddelats med stöd av denna. I avsnitt 5.6.4 redogör vi för gallringsföreskrifter i särskilda registerförfattningar. Det finns anledning att även i detta avsnitt nämna gallringsbestäm- melserna i lagen (2012:741) om behandling av personuppgifter vid utvärdering (IFAU-lagen) samt i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen). Bestämmelserna i de lagarna innebär att huvudregeln är att gallring ska göras när uppgifterna inte längre behövs för de ändamål de behandlas för. Motivet har varit att integritetsskyddsintresset har ansetts väga över intresset av att bevara handlingarna. När det gäller IFAU-lagen vägdes även in att merparten av de uppgifter som IFAU behandlar ursprungligen har hämtats från andra myndigheter och att intresset av att uppgifterna bevaras anses tillgodosett genom att de myndigheter uppgifterna hämtats ifrån i stor utsträckning arkiverar och bevarar och arkiverar uppgifterna i enlighet med arkivlagens bestämmelser. Till skillnad från den ovan nämnda IFAU-lagen ska behandling av uppgifterna i göras med stöd av den registrerades uttryckliga samtycke till behandling för vissa bestämda ändamål. I förarbetena till LifeGene-lagen angavs att det är troligt att upp- gifterna i registret kommer att behöva lagras för de primära ändamålen . Gallringsbestämmelsen föreslogs ändå med motiveringen att det inte kan uteslutas att det kan komma att visa sig att vissa uppgifter inte längre behövs och därför kan gallras. I remissbehandlingen av den promemoria som föregick pro- positionen till LifeGene-lagen framfördes kritik mot den föreslagna Förslag till reglering av forskningsdatabaser läns landsting och Statens medicinsk- etiska råd ställde sig frågande till den i promemorian föreslagna bestämmelsen om att personuppgifter som bedöms inte längre behövas för de primära ändamålen ska utplånas eller avidentifieras. Med hänsyn till ändamålet med registret ifrågasatte myndigheterna när och om utplåning eller avidentifiering av uppgifter skulle bli aktuell. påpekade att det finns en potentiell risk att en granskning vid eventuella metodologiska frågetecken eller forsk- ningsfusk i tidigare studier försvåras om personuppgifter utplånas alltför snabbt. föreslog att man kan överväga säker arkivering av material med åtkomst endast i de fall då det finns metodologiska frågetecken eller när man misstänker forskningsfusk, åtminstone för större eller kontroversiella projekt, av efter det att projektet har avslutats. framförde att det enligt myndighetens uppfattning saknas motiv för att meddela från arkivlagen avvikande bestämmelser om gallring av personuppgifter.70 I förslag till lag om forsknings- databaser fanns en gallringsbestämmelse som överensstämmer med den som finns i LifeGene-lagen. Utredaren gjorde en avvägning av de olika intressen som ställdes mot varandra. Enligt utredningen talade integritetsaspekterna och att uppgifterna inte skulle användas vid myndighetsutövning för en specialreglering med gallring som utgångspunkt. Kravet på medborgerlig rätt till insyn och kontroll av myndigheternas verksamhet bedömdes relativt sett inte vara lika starkt. Åandra sidan poängterades att forskningsdata skulle sparas i databasen för att göra det möjligt att efter utlämnande genomföra longitudinella studier eller undersöka till exempel vad olika förhållanden i ungdomen har för betydelse för sjukdom senare i livet. Det var alltså troligt att uppgifterna i registret skulle komma att behöva lagras för de primära ändamålen . Det anfördes att många projekt förutsätter att man har tillgång till uppgifter som ligger långt tillbaka i tiden. De insamlade person- uppgifterna skulle kunna användas i olika ännu inte specificerade forskningsprojekt, vilket enligt utredaren gjorde att det skulle komma 2012/13:163. Förslag till reglering av forskningsdatabaser att bli svårt att fastställa en tidpunkt när uppgifterna inte längre behövdes i databasen. Detta, jämte möjligheten att granska tidigare utförd forskning, talade enligt utredaren för bevarande i stället för gallring. Utredaren drog dock slutsatsen att skälen för gallring vägde tyngre och konsta- terade att även om det krävs att uppgifterna bevaras så är det viktigt att sådana uppgifter som inte längre behövs för de primära ändamålen ska gallras. Det kan dock enligt uppstå situa- tioner där det finns anledning att bevara uppgifterna. När det gäller formuleringen av bestämmelsen hänvisar utredaren till hur bestäm- melserna brukar se ut i de särskilda registerförfattningarna. Reger- ingen eller den myndighet regeringen bestämmer skulle enligt registerforskningsutredningen ges möjlighet att meddela föreskrifter eller i ett enskilt fall besluta att uppgifterna skulle bevaras för historiska, statistiska eller vetenskapliga ändamål. I remissbehandlingen av förslag tillbakavisade gallringsbestämmelsen och anförde att arkivlagens regler borde gälla. angav som skäl för denna ståndpunkt att andra föreslagna bestämmelser i den nya lagen skyddar den personliga integriteten, som exempelvis att samtycke fordras för behandlingen av personuppgifter som lämnas direkt från den enskilde och kan återkallas av den enskilde, att uppgifter som hämtas från andra myndighetsregister enligt huvudregeln får behandlas under förut- sättningen att uppgifterna inte direkt kan hänföras till en person, att kodnyckelförfarande ska tillämpas och att personuppgifter som inte direkt kan hänföras till en person inte ska få behandlas i syfte att röja en persons identitet. ansåg vidare att den föreslagna ändamålsanknutna gallringsbestämmelsen skulle bli svår att tillämpa eftersom ändamålen var brett formulerade. ansåg slutligen att införandet av en gallringsbestäm- melse är direkt missvisande, eftersom uppgifter som kan behövas för olika forskningsprojekt i bl.a. longitudinella studier måste bevaras . tillade även att arkivlagens bestäm- melser inte utesluter gallring. Det anfördes att om uppgifter i en forskningsdatabas inte är nödvändiga för att tillgodose arkivlagens ändamål, i detta fall forskningens behov eller för att tillgodose det nationella kulturarvet, kan föreskrifter om gallring meddelas av . Även var negativ till bestämmelsen och Förslag till reglering av forskningsdatabaser menade att den var otydligt formulerat och skulle riskera att öppna upp för godtyckliga resonemang. Vi instämmer i att en gallringsbestämmelse som stadgar att gallring ska göras om uppgifterna inte behövs för ändamålet kan vara svår att tillämpa eftersom det sannolikt sällan kan konstateras att uppgifter inte längre behövs. Dessutom instämmer vi i att en sådan bestämmelse kan vara missvisande av den anledningen att den stadgar gallring som huvudregel, trots att gallring i praktiken skulle bli en mycket ovanlig åtgärd. Vanligen innehåller en bestämmelse om gallring också ett undantag med möjlighet att meddela föreskrifter eller i ett enskilt fall besluta om arkivering. Detta leder till att det i praktiken inte skulle bli någon större skillnad, men att en reglering som innebär arkivering som huvudregel tydligare återspeglar det som faktiskt görs med upp- gifterna. Arkivlagens bestämmelser om bevarande gäller för uppgifts- samlingar som inte räknas som forskningsdatabaser, som t.ex. samlats in för enstaka forskningsprojekt. Det är därför rimligt att uppgifter bevaras på samma sätt oavsett om en uppgiftssamling uppfyller kriterierna för en forskningsdatabas i lagens mening eller inte. Intresset av insyn och av ytterligare behandling av uppgifterna torde vara det samma i båda fallen. Starka skäl för att ha olika reglering avseende arkivering beroende på om uppgifterna finns i en forsk- ningsdatabas eller i ett forskningsprojekt har enligt vår mening inte framkommit. Skyddet för den personliga integriteten, vilket är det skäl som tyngst talar för gallring som huvudregel, är enligt vår mening tillgodosett genom de skyddsåtgärder som vårt lagförslag innefattar. Övervägande skäl talar således för bevarande av uppgifterna i forskningsdatabas och mot en särskild gallringsbestämmelse i forsk- ningsdatabaslagen. Vi instämmer i regeringens bedömning i propositionen Ny data- skyddslag att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som görs för arkivändamål av Förslag till reglering av forskningsdatabaser Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen.71 Behandling av personuppgifter i en forskningsdatabas för arkive- ring kan röra känsliga personuppgifter och personuppgifter om lagöverträdelser. För att det inte ska råda något tvivel om att även sådana uppgifter ska få behandlas för arkivändamål även efter det att dataskyddsförordningen börjar tillämpas finns bestämmelser i data- skyddslagen. Enligt 3 kap. 6 § dataskyddslagen får känsliga person- uppgifter behandlas för arkivändamål av allmänt intresse om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Detta är således en undantagsbestämmelse som grundar sig på artikel 9.2 j i dataskyddsförordningen. När det gäller personuppgifter som rör lagöverträdelser stadgas i 3 kap. 8 § dataskyddslagen att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter och att även andra än myndigheter får behandla sådana personuppgifter, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. För att nödvändig behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse ska vara tillåten krävs att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda åtgärder. Den nödvändiga behandlingen av personuppgifter som görs vid arkiv som omfattar allmänna handlingar har rättslig grund i arkivlagen och anslutande föreskrifter. Vi anser i likhet med regeringen72 att svensk rätt innehåller lämpliga och särskilda åtgärder som skyddar enskildas integritet vid hanteringen av allmänna handlingar, t.ex. i form av sekretess, rätt till insyn och föreskrifter om informationssäkerhet. Att principen om bevarande ska vara gällande för uppgifter som behandlas i en forskningsdatabas enligt vår föreslagna lag är alltså förenligt med dataskyddsförordningen. 71Se angående regeringens resonemang i denna fråga och avvikande uppfattning i prop. 2017/18:105 s. 110. 72Regeringens proposition Ny dataskyddslag (prop. 2017/18:105), s. 86 f och 116 f. Förslag till reglering av forskningsdatabaser Vi finner att arkivlagstiftningens princip om bevarande bör vara utgångspunkten för uppgifter i en forskningsdatabas. Enligt vår bedömning är detta förenligt med dataskyddsförordningen. Någon särskild gallringsbestämmelse föreslås därför inte. Behov av ytterligare föreskrifter Med hänsyn till kravet i 2 kap. 20 § RF på reglering i lag för begräns- ningar i skyddet av den personliga integriteten anser vi att forsknings- databaser ska regleras i lag. Forskningsdatabaslagen innebär en generell reglering av forskningsdatabaser. Som ovan angetts (avsnitt 8.5) hindrar denna reglering inte att vissa forskningsdatabaser kan ha en specialreglering och vi anser att det är upp till lagstiftaren att bedöma om en forskningsdatabas är av en sådan karaktär att det av olika skäl vore lämpligare att reglera den i en egen lag. Vid sidan av den föreslagna forskningsdatabaslagen kommer det att behövas bestämmelser som meddelas av regeringen i förordning eller av myndighet i föreskrifter. Vi har, som ovan angetts i respektive avsnitt, identifierat ett antal frågor som kan behöva mer detaljerad reglering, förtydliganden eller preciseringar, som lämpligen kan regleras i förordning eller föreskrift. Vi bedömer att det i första hand kommer att vara eller Datainspektionen som kommer att bli bemyndigade att meddela sådana föreskrifter som vårt förslag om bemyndigande avser. I de följande redovisar vi kortfattat för de föreslagna bemyndigan- dena. Våra förslag till bemyndiganden redovisas också i anslutning till de förslag som ska preciseras genom ytterligare föreskrifter. Finansieringen av en forskningsdatabas. Innan personuppgifter får börja behandlas i en forskningsdatabas ska forskningshuvudmannen ha säkerställt finansieringen av forsknings- databasen. Vi föreslår att regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om finansieringen av en Förslag till reglering av forskningsdatabaser Det kan t.ex. handla om föreskrifter om finansieringen ska vara tryggad. Begränsningar av uppgifter och ändamål m.m. Vi har föreslagit en generell ändamålsbestämmelse (avsnitt 8.8.3) som innebär att personuppgifter får behandlas i en forskningsdatabas för att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt. Vidare har vi föreslagit att varje forsknings- huvudman själv ska besluta om vilka uppgifter som ska få behandlas i forskningsdatabasen och formulera mer precisa ändamål för varje forsk- ningsdatabas som finns i huvudmannens verksamhet (avsnitt 8.8.4). Det kan dock finnas skäl att föreskriva om begränsningar av de ända- mål för vilka uppgifter får behandlas i en databas och begränsningar av de uppgifter som en forskningsdatabas får innehålla. Vi föreslår därför ett bemyndigande som ger möjlighet att meddela ytterligare före- skrifter om detta. Vi har föreslagit att det hos forskningshuvudmannen ska finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen (8.10.3). Vidare har vi föreslagit att forskningshuvudmannen ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet samt tilldela till- räckliga resurser för informationssäkerhetsarbetet (avsnitt 8.10.4). Vi föreslår att regeringen eller den myndighet som regeringen bestäm- mer ska få meddela ytterligare föreskrifter om informationssäkerhets- arbetet. Sådana föreskrifter kan t.ex. innefatta specificerade krav på vilka standarder som ska beaktas i detta arbete. I likhet med vad som föreskrivs i MSB:s föreskrifter skulle ett krav på att beakta standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 kunna föreskrivas. Förslag till reglering av forskningsdatabaser Vi har föreslagit att en forskningshuvudman ska få medge en registrerad direktåtkomst (8.11.6) till direkt identifierbara uppgifter om den enskilde själv som behandlas i en forskningsdatabas. Vi bedömer att det krävs säkerhetsåtgärder för att forskningshuvudmän ska kunna medge de registrerade direktåtkomst till sina uppgifter, såsom tillräckligt säkra tekniska lösningar för att säkerställa identi- fieringen av den som efterfrågar uppgifter. Vi föreslår därför att regeringen, eller den myndighet som regeringen bestämmer, efter samråd med Datainspektionen får meddela sådana preciserade före- skrifter om de krav på säkerhetsåtgärder som ska gälla vid direkt- åtkomst för forskningspersoner. Vi har föreslagit att ska få i uppdrag att regelbundet följa upp och utvärdera verksamheten i en forskningsdatabas och redovisa resultatet till regeringen (avsnitt 8.11.7). På vilket sätt och hur ofta uppföljning och utvärdering ska utföras bör regleras, men detta behöver dock inte göras i lag.