sou · H6B336 · 2018-06-05 00:00:00 — En myndighets allmänna handlingar ska hållas ordnade och vårdas bland annat för att tillgodose allmänhetens rätt att ta del av allmänna handlingar i ett långsiktigt perspektiv. Arkivsystemets anknytning till handlingsoffentligheten tydliggörs i 2 kap. 18 § TF. Där stadgas att grundläggande bestämmelser om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar med- delas i lag. Varje myndighet är ansvarig för arkivvården av den egna myndighetens handlingar. Arkivvården innefattar även gallring. 87Se 2 kap. OSL. Rättsliga förutsättningar för forskningsdatabaser I arkivlagen finns bestämmelser om myndigheternas och vissa andra organs, t.ex. kommunala bolag och vissa andra utpekade en- skilda organ, arkiv samt om arkivmyndigheterna. Enligt 1 § arkivlagen finns i lagen bestämmelser om myndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna. Reglerna för statliga och kom- munala kommun skiljer sig något åt. I 2 § anges att det som gäller för statliga myndigheters arkiv ska gälla även för arkiv hos sådana organ som avses i 2 kap. 4 § första meningen OSL till den del arkivet härrör från den verksamhet som avses i bilagan till offentlighets- och sekre- tesslagen (se avsnitt 5.5.1). Arkivlagens koppling till bilagan till offentlighets- och sekre- tesslagen innebär att tillämpningsområdet för arkivlagen är beroende av vilka organ som är upptagna i bilagan till OSL och kan förändras utan att det krävs ändringar i arkivlagen. När organ läggs till i eller tas bort från bilagan till OSL ändras vilka som har att tillämpa arkivlagen. I arkivlagen finns grundläggande bestämmelser om bevarande och gallring av allmänna handlingar. Härtill kommer arkivförordningen (1991:446) och de myndighetsspecifika beslut eller generella före- skrifter som arkivmyndigheterna, såsom , utfärdar. Riks- arkivet är statlig arkivmyndighet, kommunstyrelsen är arkivmyndig- het i en kommun och i ett landsting, om inte kom- munfullmäktige eller har utsett någon annan nämnd eller styrelse till arkivmyndighet. Enligt 3 § arkivlagen bildas en myndighets arkiv av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar, vissa minnesanteckningar, utkast och koncept, som avses i 2 kap. 9 § TF och som myndigheten beslutar ska tas om hand för arkivering. Enligt samma paragraf är myndigheternas arkiv en del av det nationella kulturarvet och de ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Huvudprincipen enligt arkivlagen är bevarande, alltså att allmänna handlingar ska bevaras i myndigheternas arkiv. Från denna princip finns dock undantag. Ett undantag är bestämmelser om gallring. Allmänna handlingar får enligt 10 § arkivlagen gallras. Därvid ska alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår, alltså inte gallras, ska kunna tillgodose Rättsliga förutsättningar för forskningsdatabaser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Det kan konstateras att arkivlagen inte föreskriver att bevarande- och gallringsfrågor ska beaktas också utifrån intresset av skydd för den personliga integriteten. Gallring enligt arkivlagen ska göras av praktiska och ekonomiska skäl och syftar till att arkiven inte ska tyngas av handlingar som saknar påtagligt informationsvärde eller som har ett informationsvärde som är markant begränsat . Gallringen ska göra att arkiven blir mer överskådliga och effektiva som informationskällor.88 Värt att notera är att begreppet gallring bara avser allmänna handlingar. Förstöring av handlingar som inte är allmänna kallas rensning. Allmänna handlingar hos en statlig myndighet får endast gallras i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. Regeln gäller även för sådana organ som finns i bilagan till OSL. Särskilda gallringsföre- skrifter finns ofta i s.k. registerförfattningar. Enligt 10 § tredje stycket arkivlagen är denna lag subsidiär till avvikande bestämmelser om gallring av vissa allmänna handlingar i lag eller förordning. Om det finns avvikande bestämmelser om gallring av vissa allmänna hand- lingar i annan lag eller förordning gäller alltså dessa bestämmelser. Bestämmelser om att uppgifter ska gallras ur register med känsliga uppgifter finns i olika registerförfattningar (se vidare avsnitt 5.6.4). På det kommunala området gäller att beslut om gallring kan meddelas av kommunfullmäktige respektive . 5.6.2Dataskyddsförordningens bestämmelser om arkivering När det gäller frågor om arkivering och gallring som rör personupp- gifter finns bestämmelser i dataskyddsregleringen. Lagring av person- uppgifter är enligt dataskyddsförordningens definition i artikel 4.2 en behandling av personuppgifter. I dataskyddsförordningen finns ett antal artiklar som särskilt rör personuppgiftsbehandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål. 88Regeringens proposition om arkiv m.m. (prop. 1989/90:72), s. 40 f. Rättsliga förutsättningar för forskningsdatabaser Enligt artikel 5.1 b gäller att ytterligare behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses oförenliga med de ursprungliga ändamålen (ändamålsbegränsning). Den behandling av personuppgifter som myndigheter och andra utför när de arkiverar sina handlingar i enlighet med bestämmelser om arkiv utgör en sådan ytterligare behandling, vidarebehandling, som görs för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt 5.1b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta förtydligas i skäl 50. Det är inte fråga om sådan vidarebehandling när en arkivmyndig- het, t.ex. , övertar arkivmaterial från en annan myndighet. Då övergår enligt 9 § tredje stycket arkivlagen hela ansvaret för det övertagna materialet till arkivmyndigheten. bär personuppgiftsansvaret för de behandlingar som görs därefter. Den rättsliga grunden för dessa behandlingar är i enlighet med artikel 6.1 e i dataskyddsförordningen att de görs för att utföra en i arkivlag- stiftningen fastställd uppgift av allmänt intresse. I artikel 5.1 e stadgas om lagringsminimering. Här framgår arkiv- ändamålens särställning. Det föreskrivs att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter får lagras i den mån personuppgifterna enbart behandlas för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål i enlighet med artikel 89.1, under förut- sättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Av artikel 9.2 j framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syfte, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter Rättsliga förutsättningar för forskningsdatabaser Enligt 3 kap. 6 § dataskyddslagen får känsliga person- uppgifter behandlas för arkivändamål av allmänt intresse om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. I artikel 10 stadgas om behandling av personuppgifter om lagöver- trädelser och även enligt denna bestämmelse ställs krav på skydds- åtgärder. I 3 kap. 8 § dataskyddslagen stadgas att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndig- heter och att även andra än myndigheter får behandla sådana person- uppgifter, om behandlingen är nödvändig för att den personuppgifts- ansvarige ska kunna följa föreskrifter om arkiv. I 89.1 stadgas om skyddsåtgärder och undantag för behandling för bl.a. arkivändamål av allmänt intresse. Av denna artikel framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder. Skyddsåtgärderna ska säkerställa att tek- niska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får in- begripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dess ändamål uppfyllas på det sättet. Regeringen har inte föreslagit några generella undantag från den registrerades rättigheter vid behandling av personuppgifter för arkivändamål av allmänt intresse.89 I dataskyddslagen finns kompletterande bestämmelser till data- skyddsförordningen. Av propositionen till lagen framgår att reger- ingen har gjort bedömningen att myndigheter och andra som om- fattas av föreskrifter om arkiv, såsom arkivlagen och anslutande före- skrifter, har rättslig grund i enlighet med 5.1 e för behandling av personuppgifter för arkivändamål av allmänt intresse. Vidare har regeringen gjort bedömningen att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som 2017/18:105 s. 120 f. Rättsliga förutsättningar för forskningsdatabaser görs för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen.90 I 2 kap. 3 § dataskyddslagen stadgas att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Vidare får den myndighet regeringen bestämmer även i enskilda fall tillåta sådan behandling och ett beslut får förenas med villkor. Skälen för regleringen är att även de som inte omfattas av arkivlagstiftningen i vissa fall kan behandla personuppgifter för arkivändamål av allmänt intresse och att det därför bör finnas en möjlighet att meddela före- skrifter som tillåter detta. Som exempel nämns i propositionen att en föreskrift kan tillåta en förening att behandla personuppgifter för arkivändamål av allmänt intresse och att detta innebär att föreningen erkänns ha befogenhet att driva arkivverksamhet av allmänt intresse. Detta innebär enligt regeringen att en uppgift av allmänt intresse är fastställd på det sätt som krävs enligt 6.3 första stycket i data- skyddsförordningen.91 Enligt 3 kap. 6 och 8 §§ dataskyddslagen får känsliga person- uppgifter och personuppgifter som rör lagöverträdelser behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. När det gäller känsliga personuppgifter stadgas i 3 kap. 6 § första stycket dataskyddslagen att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i data- skyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Likt vad som gällt enligt personuppgiftslagen, tydliggörs i denna bestäm- melse att dataskyddslagstiftningen inte hindrar att en myndighet arkiverar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I propositionen konstateras att ett undantag från förbudet i artikel 9.1 mot behandling av känsliga uppgifter regleras i 9.2 j, det vill säga vid behandling som är nödvändig för arkivändamål av allmänt intresse. Vidare anges att de lämpliga och särskilda åtgärder som krävs enligt artikel och j motsvarar det krav på skyddsåtgärder som 2017/18:105 s. 109 ff. 2017/18:105 s. 112 f. Rättsliga förutsättningar för forskningsdatabaser ställs enligt dataskyddsdirektivet och att det därmed inte innebär någon ny begränsning av möjligheten att behandla känsliga person- uppgifter för arkivändamål av allmänt intresse. I propositionen kon- stateras också att den nödvändiga behandlingen av personuppgifter som görs vid arkiv som omfattar allmänna handlingar har rättslig grund i arkivlagen och anslutande föreskrifter samt att svensk rätt innehåller lämpliga och särskilda åtgärder som skyddar enskildas integritet vid hantering av allmänna handlingar, i synnerhet i form av sekretess eftersom dessa har utformats noggrant efter en avvägning mellan behovet av skydd och intresset av insyn, men även genom rätt till partsinsyn och föreskrifter om informationssäkerhet och gallring.92 Enligt 3 kap. 6 § andra stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter som tillåter att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Regeringen har för avsikt att delegera föreskriftsrätten till . I propositionen anges att även hos personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv kan det finnas ett allmänt intresse av att känsliga personuppgifter bevaras och att sådant bevarande under vissa förutsättningar bör tillåtas. Enligt 3 kap. 6 § tredje stycket får den myndighet som regeringen bestämmer även i enskilda fall besluta att personuppgiftsansvariga får behandla sådana personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. I propositionen anges att sådana föreskrifter och förvaltningsbeslut lämpligen bör meddelas i samband med att den rättsliga grunden fastställs för den personuppgifts- ansvariges behandling av personuppgifter för arkivändamål av allmänt intresse.93 I propositionen anges också att det bör ankomma på att, efter samråd med Datainspektionen, bedöma om beslut som tillåter ett enskilt organ att behandla känsliga personuppgifter ska villkoras av att den personuppgiftsansvarige vidtar särskilda åtgärder och i så fall vilka. Enligt regeringen kan det röra sig om åtkomst- begränsningar, krav på särskilda tekniska säkerhetsåtgärder eller 2017/18:105 s. 116. 2017/18:105 s. 117 f. Rättsliga förutsättningar för forskningsdatabaser någon annan åtgärd som bedöms lämplig och proportionerlig i det aktuella fallet.94 I 3 kap. 8 § andra stycket dataskyddslagen stadgas, på motsvarande sätt som avseende känsliga personuppgifter, att även andra än myndigheter får behandla personuppgifter som rör lagöverträdelser, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Avseende uppgifter om lag- överträdelser konstaterar regeringen följande i propositionen. Arkiv- lagen och andra föreskrifter om arkiv omfattar inte bara myndigheter utan även t.ex. kommunala bolag och vissa andra utpekade enskilda organ. För dessa skulle det i enstaka fall kunna uppstå en norm- konflikt mellan arkivlagstiftningen och regleringen i artikel 10 i data- skyddsförordningen avseende behandlingen av personuppgifter som rör lagöverträdelser. När det gäller arkivmaterial som överlämnas från enskilda organ till kommunala arkivmyndigheter konstaterar regeringen i proposi- tionen att det i det enskilda fallet kan vara så att arkiven överlämnas till arkivmyndigheten som deposition, dvs. utan att äganderätten övergår och att parterna i sådana fall kan avtala om att arkivmyndig- heten ska ges ett privaträttsligt uppdrag att i egenskap av person- uppgiftsbiträde förvara och vårda materialet för deponentens räkning. I registerförfattningar som reglerar register med integritetskänsliga personuppgifter är det vanligt att det föreskrivs att personuppgifter ska gallras när uppgiften inte längre behövs för sitt ändamål. Det rör sig då om bestämmelser som på grund av integritetshänsyn avviker från arkivlagstiftningens huvudregel om bevarande. I sådana författ- ningar gäller normalt en omvänd princip i förhållande till den som gäller enligt arkivlagen. Gallring ska således göras på visst sätt, om inte något annat uttryckligen föreskrivs. Det förekommer, på grund av bland annat insynsaspekter och rättssäkerhetsaspekter, undantag från gallringsskyldigheten. Det är vanligt att det i förordningar som utfärdats i anslutning till register- lagen överlåtits till att meddela närmare föreskrifter om undantag för gallring. 2017/18:105 s. 118. Rättsliga förutsättningar för forskningsdatabaser Som exempel på registerförfattningar med bestämmelser om gallring kan nämnas lagen (2012:741) om behandling av person- uppgifter vid utvärdering (IFAU-lagen) och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa (LifeGene-lagen). I 14 § IFAU-lagen stadgas att personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska göras senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Gallring när upp- gifterna inte längre behövs är alltså huvudregeln enligt den lagen men det finns möjlighet till föreskrifter eller beslut om bevarande. Det anförs i förarbetena att IFAU genom lagen kommer att bygga upp och administrera varaktiga och förhållandevis omfattande sam- lingar av personuppgifter, som även kommer att innehålla känsliga personuppgifter. Merparten av de uppgifter som IFAU behandlar har ursprungligen hämtats från andra myndigheter. Intresset av att uppgifterna bevaras får anses tillgodosett genom att de myndigheter uppgifterna hämtats ifrån i stor utsträckning bevarar och arkiverar uppgifterna i enlighet med arkivlagens bestämmelser. När det gällde IFAU-lagen ansågs integritetsskyddsintresset väga över intresset att av bevara handlingarna. I LifeGene-lagen stadgas i 12 § att personuppgifter som inte längre behövs för ändamålet att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till sådan forskning gallras, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål. I propositionen konsta- terades att register som kommer att föras med stöd av lagen kommer att innehålla särskilt känsliga personuppgifter, bland annat uppgifter om genetiska undersökningsresultat.95 Behandling av uppgifterna i registren ska göras med stöd av den registrerades uttryckliga samtycke till behandling för vissa bestämda ändamål. De primära ändamålen för behandlingen är att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt samt att lämna ut 95Regeringens proposition Vissa register för forskning om vad arv och miljö betyder för människors hälsa (prop. 2012/13:163), s. 49. Rättsliga förutsättningar för forskningsdatabaser uppgifter till sådan forskning under de förutsättningar som anges i lagen. Avsikten med lagen är att personuppgifter ska kunna sparas i registret för att göra det möjligt att efter utlämnande genomföra longitudinella studier som exempelvis kan innebära att undersöka vad olika förhållanden i ungdomen har för betydelse för sjukdom senare i livet. Trots att det alltså är troligt att uppgifterna i registret kommer att behöva lagras för de primära ändamålen finns en särskild gallringsbestämmelse i lagen. Grunden för den bestämmelsen är att det inte ansetts kunna uteslutas att det kan komma att visa sig att vissa uppgifter inte behövs längre och därför kan gallras. Som ovan angetts finns i lagen ett bemyndigande som möjliggör att uppgifter får bevaras för ”historiska, statistiska eller vetenskapliga ändamål”. Vi föreslog i delbetänkandet att terminologin i denna bestämmelse ska anpassas till dataskyddsförordningen på så sätt att ”historiska, statistiska eller vetenskapliga ändamål” ska ändras. I enlig- het med formuleringen i 5.1 e i dataskyddsförordningen bör uppgifter få bevaras för ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Vi konsta- terade dock att omformuleringen inte torde innebära någon skillnad i sak.96 I likhet med vår bedömning när det gäller LifeGene-lagen har reger- ingen i propositionen Dataskydd inom verksam- hetsområde – en anpassning till EU:s dataskyddsförordning gjort bedömningen att bestämmelser i registerförfattningar inom Social- departementetens verksamhetsområde om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande inte behöver ändras i sak. Detta gäller under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning (artikel 6.1 e) i dataskyddsförordningen. Regeringen före- slår att formuleringarna i registerförfattningarna om bevarande av personuppgifter för historiska, statistiska eller vetenskapliga ändamål bör ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.97 96SOU 2017:50 s. 395. 97Regeringens proposition Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171) s. 142 ff. Rättsliga förutsättningar för forskningsdatabaser Avslutningsvis kan nämnas att en utredning tillsatts med upp- draget att se över arkivlagstiftningen och närliggande lagstiftning och vid behov lämna förslag på hur lagstiftningen kan anpassas till den utvecklingen inom området. Utredaren ska bl.a. analysera om regler- ingen för enskilda arkiv bör förändras för att tillgodose behov inom rättsskipning, förvaltning, forskning och skydd för kulturarvet. Utredaren ska även utreda om de enskilda arkivens hantering av personuppgifter kräver ytterligare författningsstöd samt analysera och övriga arkivmyndigheters roll och uppgifter i relation till de enskilda arkiven och vid behov lämna förslag på hur dessa kan förändras. Uppdraget ska redovisas senast den 18 november 2019.98 I detta kapitel har vi redovisat mycket av den lagstiftning som har betydelse för förutsättningarna att behandla personuppgifter i forsk- ningsdatabaser. För att sådan behandling ska vara laglig måste den uppfylla de grundläggande reglerna för dataskydd som regleras i dataskydds- förordningen och den föreslagna dataskyddslagen. Det är främst inom detta rättsområde som många av de svårigheter identifierats, som det ingår i vårt uppdrag att lösa. Det handlar t.ex. om att det kan vara svårt att fullt ut specificera syftet med behandlingen av personuppgifterna i samband med att uppgifterna samlas in. Personuppgifterna måste också hanteras i enligt med de krav som gäller enligt offentlighets- och sekretesslagen och andra bestämmelser som kan finnas om tystnadsplikt. Dessa regler har också betydelse för möjligheten att samla in uppgifter till en forskningsdatabas. Endast om de registerförandemyndigheterna anser att det är förenligt med sekretesskyddet att lämna ut uppgifterna, kan en forskningshuvud- man få del av dessa. Det finns därför anledning att stärka sekre- tesskyddet för uppgifter som hanteras i forskningen.