sou · H6B316d2 · 2018-03-07 00:00:00 — Den rättsliga grunden i fråga om behandling enligt punkt 1 c är en rättslig förpliktelse som är fastställd i enlighet med unionsrätten eller den nationella rätten. Vad gäller behandling som är nödvändig för att uppfylla en sådan rättslig förpliktelse ska alltså syftet med behandlingen vara bestämd av den författning som anger eller ger stöd för förpliktelsen. En rättslig förpliktelse utgör därmed inte en rättslig grund för behandling av personuppgifter om förpliktelsen är alltför svepande och ger den personuppgifts- ansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas. De rättsliga förpliktelser som kräver personuppgiftsbehandling, utan att någon annan rättslig grund är tillämplig, framgår redan av eller meddelas med stöd av gällande rätt. Det behövs därmed inte någon ytterligare nationell reglering på generell nivå för att sådan behandling av personuppgifter som är nödvändig för att uppfylla en rättslig förpliktelse ska kunna ske med stöd av den rättsliga grun- den i artikel 6.1 c i dataskyddsförordningen. Detta gäller oavsett om den personuppgiftsansvarige är en myndighet eller ett privat- rättsligt organ. Om en fordonstillverkare eller annan behöver behandla person- uppgifter från en EDR för att fullgöra en rättslig förpliktelse, så utgör det således en rättslig grund för laglig personuppgiftsbehand- ling. Det är också möjligt att genom en författningsreglering ge fordonstillverkare den nödvändiga ”rättsliga förpliktelsen” som ger laglig grund för att kunna behandla personuppgifter (om behand- lingen inte är tillåten enligt någon annan rättslig grund). Behandling för att utföra uppgifter av allmänt intresse Enligt artikel 6.1 e i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Av skäl 45 till dataskyddsförordningen framgår att det på unionsnivå eller nationellt bör regleras om en person- uppgiftsansvarig som utför en uppgift av allmänt intresse ska vara en myndighet eller någon annan som omfattas av offentligrättslig lagstiftning eller om denne kan vara en fysisk eller juridisk person som lyder under civilrättslig lagstiftning, t.ex. en yrkesorganisation. Begreppet ”allmänt intresse” är ett unionsrättsligt begrepp som inte med enkelhet låter sig avgränsas. Begreppet definieras varken i det nu gällande dataskyddsdirektivet eller i dataskyddsförord- ningen och dess innebörd har ännu inte heller utvecklats av EU- domstolen. Av skäl 45 till förordningen följer att allmänintresset inbegriper hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. Fysiska personer, ideella och ekonomiska föreningar, stiftelser och företag kan förstås också ägna sig åt annan verksamhet som i princip skulle kunna anses vara av allmänt intresse, t.ex. idrott och kultur, värme- och livsmedelsproduktion och tillhandahållande av finansiella tjänster, kreditupplysning eller transporter. Det är dock mycket vanskligt att bedöma i vilken mån privaträttsligt bedriven verk- samhet är av allmänt intresse i dataskyddsförordningens mening.27 Vilka uppgifter som ska anses vara av allmänt intresse i data- skyddsförordningens mening är alltså inte helt uppenbart. Den osäkerhet som råder avseende begreppets innebörd är dock ingen nyhet. Däremot innebär dataskyddsförordningen en väsentlig förändring i förhållande till det nu gällande dataskyddsdirektivet, på så sätt att det är självklart att en personuppgifts- ansvarig som utför en uppgift av allmänt intresse kan utföra nöd- vändig behandling av personuppgifter på den grunden. Genom kravet på att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller den nationella rätten begränsas nämligen tillämpningsområdet för artikel 6.1 e. Det räcker således inte att en behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande rätt. Artikel 6.2 möjliggör för medlemsstaterna att uppfylla kravet på fastställande av den rättsliga grunden för artikel 6.1 c och e som gäller enligt artikel 6.3. Artikel 6.2 är således grundläggande för möjligheterna att komplettera förordningen med nationella be- stämmelser avseende laglighet för behandling av personuppgifter för forskningsändamål. Enligt skäl 45 i dataskyddsförordningen medför inte bestämmelsen i artikel 6.3 något krav på en särskild lag för varje enskild behandling, utan det kan räcka med en lag som grund för nödvändig behandling för att utföra en viss slags uppgift av allmänt intresse. Det är dock viktigt att den fastställda rättsliga grunden är tydlig och precis och att tillämpningen av den bör vara förutsägbar för personer som omfattas av den, i enlighet med skäl 41 i förordningen. Dataskyddsförordningens krav och villkor enligt artikel 6.3 för tillämpningen av artikel 6.1 e har varit föremål för analys av Data- 27 Jfr SOU 2017:55 s. 251. Utredningens tolkning av kravet på faststäl- lande av den rättsliga grunden är att det inte krävs någon ytterligare kompletterande reglering på nationell generell nivå. Detta eftersom det redan framgår av direkt tillämpliga bestämmelser i förord- ningen att uppgiften måste utgöra ett allmänt intresse, att uppgif- ten måste vara fastställd i enlighet med unionsrätt eller nationell rätt och att behandlingen måste ske för ett ändamål som är nöd- vändigt för uppgiften.28 Mot bakgrund av denna tolkning föreslås upplysande, och i viss mån förtydligande, bestämmelser föras in i den nya dataskyddslag som föreslår och som kommer att kom- plettera dataskyddsförordningen på generell nivå. Detta innebär i praktiken att för att åberopa rättslig grund enligt artikel 6.1 e för behandling av personuppgifter för utförande av en uppgift av allmänt intresse kommer det att krävas att uppgiften följer av lag eller annan författning eller av beslut som meddelats med stöd av lag eller annan författning. Grunden måste således vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt, för att uppfylla förordningens krav. Särskilda bestämmelser som anpassar tillämpningen av dataskyddsförordningen Artikel 6.3 andra stycket i dataskyddsförordningen ger, i likhet med artikel 6.2, ett visst utrymme för medlemsstaterna att speci- ficera villkoren för när behandling av personuppgifter får ske och hur det ska gå till. I artikel 6.3 andra stycket i dataskyddsförord- ningen anges att den rättsliga grund som fastställer en rättslig för- pliktelse, myndighetsutövning eller en uppgift av allmänt intresse kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Som exempel nämns de all- männa villkor som ska gälla för den personuppgiftsansvariges be- handling, vilken typ av uppgifter som ska behandlas, vilka regist- rerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagrings- tid samt typer av behandling och förfaranden för behandling, 28 Se SOU 2017:50 s. 131. inbegripet åtgärder för att tillförsäkra en laglig och rättvis behand- ling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Av skäl 10 framgår att förordningen inte utesluter att det i medlemsstaternas nationella rätt fastställs närmare omstän- digheter för specifika situationer där uppgifter behandlas, inbe- gripet mer exakta villkor för laglig behandling av personuppgifter. Bestämmelsen i artikel 6.3 andra stycket innebär ingen skyl- dighet för medlemsstaterna att införa sådana särskilda nationella bestämmelser. I svensk rätt finns det dock redan åtskilliga sådana särskilda dataskyddsbestämmelser i sektorspecifika registerförfatt- ningar. Om medlemsstaten väljer att behålla eller införa sådana, måste bestämmelser som specificerar villkoren för laglig behandling uppfylla ett mål av allmänt intresse och vara proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i dataskyddsförordningen). Lagstiftaren måste alltså göra en avvägning mellan å ena sidan behovet av att uppgiften kan utföras på ett effektivt och rättssäkert sätt och, å andra sidan, den enskildes rätt till skydd för sina personuppgifter. uttalade i sitt betänkande att sådana, nu nämnda, särskilda bestämmelser som avses i artikel 6.3 andra stycket kräver att lagstiftaren gör avvägningar från fall till fall. Sådana bestämmelser kunde enligt utredningens bedömning inte föras in på generell nivå. Utredningen lämnade därför inget sådant förslag.29 I sitt delbetänkande föreslog att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen skulle få behandlas för forskningsändamål om behandlingen var nödvändig och proportionerlig för att utföra forskning av allmänt intresse. Forskning av allmänt intresse ska enligt utredningen få utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare.30 Regleringen är all- mänt utformad och innebär att det är forskningsaktören som har att bedöma att den forskning som utförs är av allmänt intresse, och att personuppgiftsbehandlingen är nödvändig för att utföra forsk- ningen, och därmed kan stödja sig på att den rättsliga grunden för 29SOU 2017:39 s. 135. 30SOU 2017:50 s. 150. detta är fastställd i den övergripande lagen som forskningsaktören omfattas av. Närmare om personuppgiftsbehandling för forskningsändamål I sitt delbetänkande gör bedömningen att de rättsliga grunder som framför allt kan komma ifråga för forskningsändamål är samtycke enligt artikel 6.1 a, nödvändig be- handling för att utföra en uppgift av allmänt intresse enligt arti- kel 6.1 e och (för privata aktörer) intresseavvägning enligt arti- kel 6.1 f. Utredningen konstaterar att förordningen beträffande den rättsliga grunden enligt artikel 6.1 ställer krav på ytterligare nationell reglering avseende bl.a. artikel 6.1 e avseende nödvändig behandling för att bl.a. utföra en uppgift av allmänt intresse. Kravet enligt artikel 6.3 på att grunden för behandlingen enligt artikel 6.1 e ska vara fastställd i enlighet med nationell rätt medför nämligen en påtaglig skillnad mellan olika kategorier av forskningsaktörer vad gäller de legala förutsättningarna för personuppgiftsbehandling. Utredningen konstaterar att forskningsuppgiften för privata aktörer sällan eller aldrig är fastställd på det sätt som förordningen föreskriver. För att privata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs därför införande av författningsstöd att basera tillämpningen på.31 Med tanke på att artikel 6.1 e är central i forskningssamman- hang, eftersom forskning generellt sett är att anse som en uppgift av allmänt intresse, analyserar utredningen dessa krav närmare. Utredningen konstaterar att dessa krav anges i artikel 6.2 och 6.3, vilka möjliggör och kräver nationell reglering som fastställer och specificerar tillämpningen av den rättsliga grunden i artikel 6.1 e. Den rättsliga grunden kan som ett inslag i fastställandet t.ex. inne- hålla allmänna villkor för den särskilda behandlingen. Det är således möjligt enligt dataskyddsförordningen att införa särskilda bestäm- melser i nationell rätt som specificerar när och hur personupp- giftsbehandling för forskningsändamål får ske. 31 A.a. s. 17. I samband med fastställande av rättslig grund enligt data- skyddsförordningen framgår av skäl 41 att en sådan rättslig grund bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den. Av skäl 33 framgår vidare att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Av skäl 159 framgår dessutom att behandling av personuppgifter för vetenskapliga forskningsändamål bör ges en vid tolkning. Mot denna bakgrund gör Forsknings- datautredningen bedömningen att det är förenligt med dataskydds- förordningens vidsträckta syn på personuppgiftsbehandling för forskningsändamål att fastställa den rättsliga grunden forskning som en uppgift av allmänt intresse. Utredningen föreslår mot den bakgrunden att det införs en bestämmelse i en särskild forsknings- datalag som möjliggör för såväl offentliga som privata forsknings- aktörer att tillämpa den rättsliga grunden uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen för behand- ling av personuppgifter för forskningsändamål.32 Utredningen konstaterar dock att även om forskning som är av allmänt intresse kan bedrivas av såväl offentliga som privata forsk- ningsaktörer, det inte är självklart att all forskning som bedrivs är av allmänt intresse. Denna gränsdragning får enligt utredningen bedömas av rättstillämparen i varje enskilt fall.33 Undantag från bestämmelser som avser att skydda fysiska personer För forskningsändamål finns i dataskyddsförordningen möjlighet till undantag från flera bestämmelser som avser att skydda fysiska personer. Enligt är det därför väsent- ligt att forskningsändamål ges en innebörd som möjliggör nu- varande och framtida forskning, men inte omfattar mer än vad som behövs och är tillåtligt enligt dataskyddsförordningen. Detta moti- veras också genom de grundläggande friheter och rättigheter som fastställs i regeringsformens andra kapitel och i de internationella 32Se a.a. s. 18. överenskommelser om mänskliga rättigheter som har anslutit sig till.34 I skäl 159 ges en allmän vägledning till vad forskning ska anses innefatta. Skälet inleds med att fastställa att personuppgiftsbehand- ling för forskningsändamål omfattas av förordningen. Därefter anges att denna typ av personuppgiftsbehandling bör ges en vid tolkning som innefattar: Teknisk utveckling och demonstration, grundforskning, tillämpad forskning, privatfinansierad forskning och studier som utförs av ett allmänt intresse inom folkhälsoom- rådet. Mot den bakgrunden föreslår utredningen att begreppet forskning vid personuppgiftsbehandling för forskningsändamål bör avgränsas till ”vetenskapligt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som endast utförs inom ramen för högskoleutbildning på grund- nivå eller på avancerad nivå”.35 Dataskyddsförordningens bestämmelser innebär att ytterligare be- handling av personuppgifter för forskningsändamål av samma personuppgiftsansvarig får ske utan att någon ny rättslig grund måste åberopas, om den ursprungliga insamlingen utfördes med tillämpning av en rättslig grund enligt artikel 6.1. I samband med utlämnande av personuppgifter till annan personuppgiftsansvarig för behandling för forskningsändamål är den nya behandlingen alltjämt att anse som förenlig med den ursprungliga så länge det nya ändamålet är forskning. Den nya personuppgiftsansvarige måste dock ha en egen rättslig grund för sin behandling för forsk- ningsändamål sedan personuppgifterna utlämnats till denne. Detta innebär att forskningsaktörer som samlar in personuppgifter för forskningsändamål som tidigare insamlats för annat ändamål, till exempel av en annan myndighet, måste åberopa en rättslig grund enligt artikel 6.1 för den nya behandlingen. En sådan rättslig grund kan vara forskning av allmänt intresse enligt artikel 6.1 e. Privata aktörer har, till skillnad från offentliga myndigheter, möj- lighet att basera personuppgiftsbehandling på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Bestämmelsen av- seende nödvändig behandling efter intresseavvägning innebär att om intresset för en behandling av personuppgifter väger tyngre än intresset av integritetsskyddet är behandlingen tillåten. Eftersom det inte framgår tydligare än så av bestämmelsen vilka situationer som kan bli aktuella finns vägledning kring dagens reglering fram- för allt att få i rättspraxis. Behandling av personuppgifter efter en intresseavvägning har med dagens lagstiftning framför allt aktualiserats i samband med marknadsföring och inom arbetslivet. Att denna tillämpning fort- farande får anses vara aktuell framöver framgår av skäl 47 i data- skyddsförordningen, som anger kundrelation och arbetstagarrela- tion till den personuppgiftsansvarige som ett sådant förhållande som skulle kunna komma ifråga för behandling av personuppgifter efter intresseavvägning. Samma exempel återfinns i skäl 48, medan förordningen i skäl 49 framhåller säkerställande av nät- och infor- mationssäkerhet som ett annat exempel på när en intresseavvägning skulle kunna resultera i laglig behandling av personuppgifter. Även om förordningens exempel inte på något sätt kan anses uttöm- mande ger dessa en tydlig indikation på vilken typ av relation mellan den personuppgiftsansvarige och den registrerade som avses. Redan föreliggande tolkning bör kunna tillämpas framöver beträffande intresseavvägning som rättslig grund för behandling av person- uppgifter. Det finns inte anledning att anta att artikel 6.1 f ska tolkas på annat sätt än det nu gällande dataskyddsdirektivets artikel 7 f, som införlivats i svensk rätt genom 10 § f personuppgiftslagen. Bestäm- melsen är ett slags generalklausul som innebär att behandling som inte nämnts i tidigare punkter i 10 § kan genomföras om den är befogad enligt vad som anges i 10 § f. Detta betyder i praktiken att intresseavvägning ska tillämpas i sista hand, om behandlingen inte är laglig enligt någon av de andra punkterna. Samma resonemang bör kunna föras vid tillämpning av artikel 6.1 i dataskyddsför- ordningen. Artikel 6.1 f och 6.1 andra stycket är direkt tillämpliga och förordningen tillåter inte nationell lagstiftning avseende tillämp- ningsområdet i detta avseende. Det finns därför ingen möjlighet att genom nationell lagstiftning tillåta myndigheter att tillämpa 6.1 f eller att begränsa privata aktörers tillämpning. Det är alltid den personuppgiftsansvariges ansvar att visa på aktuell rättslig grund enligt artikel 6.1 för sin behandling av personuppgifter. Bedömning angående rättslig grund I artikel 6.1 i dataskyddsförordningen finns en uppräkning av på vilka rättsliga grunder som en personuppgiftsbehandling kan vara laglig. De rättsliga grunder som torde bli aktuella för behandling av personuppgifter med anledning av EDRs – för fordonstillverkare och forskare – är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (led c), att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning (led e), eller att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter (led f). Både den rättsliga grunden ”rättslig förpliktelse” och grunden ”uppgift av allmänt intresse” förutsätter att grunden för behand- lingen ska fastställas i enlighet med unionsrätten eller den natio- nella rätten. Grunden ”intresseavvägning” förutsätter inte sådant stöd. ska grunden intresseavvägning tillämpas i sista hand och det är inte säkert att den medger tillräcklig stabilitet för den som önskar bedriva forskning på basis av en sådan avvägning. Viss säkerhet ges i stället via de två andra grunderna, särskilt den som avser uppgift av allmänt intresse – i linje med de överväganden som har presenterat i sitt betänkande. Personuppgifter som rör lagöverträdelser Behandling av personuppgifter om lagöverträdelser m.m. regleras i artikel 10 i dataskyddsförordningen. I artikel 10 i dataskyddsför- ordningen regleras ”personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säker- hetsåtgärder”. Motsvarande term i det nu gällande dataskydds- direktivet (95/46/EG) finns i artikel 8.5 och lyder ”uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder”. Det fram- går inte om någon saklig skillnad är avsedd i förordningen jämfört med direktivet.36 En viktig begränsning av dataskyddsförordningens definition, jämfört med det nuvarande dataskyddsdirektivet, tycks vara att endast fällande domar i brottmål omfattas. Friande domar i brott- mål faller därmed utanför definitionen. I praktiken synes det dock vanskligt att dra en sådan gräns. Uppgifter som förekommer i en friande brottmålsdom kan ofta fortfarande utgöra uppgifter om överträdelser, exempelvis i de fallen där den friande domen bygger på att preskription inträtt. I svensk rätt har faktiska iakttagelser av en persons handlande inte ansetts utgöra uppgifter om lagöverträdelser, men däremot uppgifter om misstankar i de fall som ligger nära faktiska iakt- tagelser.37 I vilken utsträckning misstankar om brott omfattas av begreppet överträdelser i förordningen framgår inte av artikeltext eller skäl. bedömer att det, i avvaktan på klargörande EU-rättslig praxis, är rimligt att utgå från att redan misstankar om brott bör omfattas i samma utsträckning som de gör enligt personuppgiftslagen.38 I betänkandet En ny kamerabevak- ningslag görs dock bedömningen att artikeln får förstås så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kameraövervakning.39 Enligt artikel 10 i dataskyddsförordningen behövs komplet- terande reglering i unionsrätten eller nationell rätt för att behand- 36Jfr a.a. s. 201. 37Se a.a. s. 205. 38Se SOU 2017:39 s. 193. 39Se SOU 2017:55 s. 121. ling av uppgifter om lagöverträdelser m.m. för forskningsändamål för andra än myndigheter ska vara möjlig. I sitt delbetänkande föreslår därför en bestämmelse i forskningsdata- lagen som tillåter sådan personuppgiftsbehandling när denna är nödvändig för att uppnå forskningsändamålet. Sådan reglering ska vidare innehålla bestämmelser om lämpliga skyddsåtgärder för att säkerställa den registrerades rättigheter och friheter. Utredningen föreslår att etikprövning enligt etikprövningslagen fortsatt ska vara den huvudsakliga skyddsåtgärden.40 Behandling av personuppgifter i syfte att förebygga, utreda eller lagföra brott m.m. Av artikel 2.1 d i dataskyddsförordningen framgår att förordningen inte ska tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dessa bestämmelser mynnar ut i att Utredningen om 2016 års dataskyddsdirektiv föreslår en upplysande bestämmelse i 2 kap. 21 § brottsdatalagen med följande lydelse: ”21 § Av artikel 2.1 d i och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen, framgår att dataskyddsförordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför denna lags tillämpningsområde.” Detta innebär sammanfattningsvis att personuppgiftsbehandling för vetenskapliga ändamål i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder eller i syfte att upprätthålla allmän ordning och säkerhet faller inom dataskyddsdirektivets, och den föreslagna brottsdatalagens, tillämpningsområde. En ytterligare för- utsättning är att behandlingen också utförs av en behörig myndighet 40 Se SOU 2017:50 s. 208. All annan personuppgiftsbehandling för veten- skapliga forskningsändamål ska tillämpa dataskyddsförordningen och kompletterande nationell rätt.