sou · H6B352 · 2018-06-28 00:00:00 — 4 § Sådana särskilda kategorier av personuppgifter som avses i arti- kel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får be- handlas i ett projekt bara 1.med de registrerades uttryckliga samtycken, med stöd av arti- kel 9.2 a i samma förordning, eller 2.såvitt avser uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung, om projektet har prövats och godkänts enligt 8 §, med stöd av artikel , h eller j i samma förordning. Trots första stycket behöver projekt som innefattar behandling av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung om färre än 100 personer inte prövas och godkännas enligt 8 §. Paragrafen reglerar uttömmande under vilka förutsättningar Myn- digheten för vård- och omsorgsanalys får behandla känsliga person- uppgifter i ett projekt. Övervägandena finns i kapitel 11. Med känsliga personuppgifter avses detsamma som med uttrycket särskilda kategorier av personuppgifter i artikel 9.1 i dataskydds- förordningen, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Utgångspunkten enligt dataskyddsförord- ningen är att behandling av känsliga personuppgifter är förbjuden. Vad som avses med projekt framgår av författningskommentaren till 3 §. Punkten 1 i första stycket upplyser om att Myndigheten för vård- och omsorgsanalys får behandla samtliga kategorier av känsliga per- sonuppgifter om den registrerade uttryckligen har samtyckt till behandlingen. Detta följer direkt av artikel 9.2 a i dataskyddsförord- ningen. Samtycket måste uppfylla kraven enligt dataskyddsförord- ningens definition av samtycke i artikel 4 punkt 11. Även kraven enligt artikel 7 i dataskyddsförordningen måste beaktas. Det innebär bl.a. att samtycket måste vara frivilligt. Som utredningen konstaterat i avsnitt 6.2.2 kan samtycke i de allra flesta fall lämnas frivilligt och därmed utgöra grund för behandling av personuppgifter i myndig- hetens verksamhet. En bedömning av om kravet på frivillighet är uppfyllt måste dock göras i varje enskilt fall. Myndigheten kan, till följd av bestämmelsen, exempelvis vända sig till en slumpvis utvald del av befolkningen och fråga om personerna vill medverka i en studie och samtycka till nödvändig behandling av personuppgifter. Sådan behandling av personuppgifter som sker i syfte att ta fram kontaktuppgifter till personer med t.ex. en viss hälsoegenskap kan dock inte ske med samtycke, eftersom samtycke kan lämnas först efter att kontakt har tagits. Enligt punkten 2 i första stycket krävs en prövning och ett god- kännande enligt 8 § för att myndigheten ska få behandla känsliga personuppgifter i ett projekt utan den registrerades uttryckliga sam- tycke. Det är endast uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung som får behandlas med stöd av bestäm- melsen. Övriga kategorier av känsliga personuppgifter får alltså, i den mån det är nödvändigt, endast behandlas med stöd av ett ut- tryckligt samtycke och i det fall som anges i andra stycket. Myndigheten för vård- och omsorgsanalys har möjlighet att be- handla personuppgifter med stöd av artikel , h eller j i data- skyddsförordningen. För behandling med stöd av artikel eller j krävs dock att de krav på skyddsåtgärder, nödvändighet och propor- tionalitet som uppställs i dataskyddsförordningen för sådan behand- ling av personuppgifter är uppfyllda. Bestämmelsen i punkten 2 utgör således ett förtydligande av vilka bestämmelser i artikel 9 i för- ordningen som kan utgöra grund för behandling av känsliga person- uppgifter hos Myndigheten för vård- och omsorgsanalys. Det är tillräckligt att en av de nämnda bestämmelserna i dataskyddsför- ordningen är tillämplig för att behandlingen ska vara tillåten. Arti- kel i dataskyddsförordningen, som avser behandling av känsliga personuppgifter som är nödvändig för ett viktigt allmänt intresse, har det vidaste tillämpningsområdet och är troligtvis den bestäm- melse som kommer att vara tillämplig i de flesta fall myndigheten behöver behandla uppgifter om hälsa eller personuppgifter som av- slöjar etniskt ursprung. Någon analys av vilken av de angivna grund- erna som är tillämplig i ett visst fall är emellertid inte nödvändig. Det är tillräckligt att det finns stöd för behandlingen av personupp- gifterna i lagbestämmelsen, som i sin tur har stöd i förordningen. Enligt andra stycket behöver, trots första stycket punkten 2, pro- jekt som innefattar behandling av uppgifter om hälsa eller person- uppgifter som avslöjar etniskt ursprung om färre än 100 personer inte prövas och godkännas enligt 8 §. Genom bestämmelsen ges myndigheten således möjlighet, men inte skyldighet, att avstå från att ansöka om etisk prövning, om det aktuella projektet avser behand- ling av sådana personuppgifter om färre än 100 personer. Behand- lingen får i sådant fall stödjas direkt på dataskyddslagen och arti- kel 9.2 h eller j i dataskyddsförordningen och får inte innebära ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. 5 § Personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden (uppgifter om lagöverträdelser) får behandlas i ett projekt bara 1.med de registrerades samtycken, eller 2.om projektet har prövats och godkänts enligt 8 §. Trots första stycket behöver projekt som innefattar behandling av uppgifter om lagöverträdelser om färre än 100 personer inte prövas och godkännas enligt 8 §. Paragrafen anger uttömmande under vilka förutsättningar Myn- digheten för vård- och omsorgsanalys får behandla uppgifter om lagöverträdelser i ett projekt. Övervägandena finns i avsnitt 12.2. Definitionen av vad som utgör uppgifter om lagöverträdelser är något mer omfattande än den som framgår av artikel 10 i data- skyddsförordningen. I stället motsvarar definitionen den som anges i 3 § 2 etikprövningslagen. Vad som avses med projekt framgår av författningskommentaren till 3 §. Paragrafen upplyser i punkten 1 i första stycket om att uppgifter om lagöverträdelser får behandlas av myndigheten med stöd av den registrerades samtycke. Detta följer direkt av dataskyddsförord- ningens bestämmelser. Samtycket måste uppfylla dataskyddsförord- ningens krav på samtycke, se författningskommentaren till 4 §. För att uppgifter om lagöverträdelser ska få behandlas i ett pro- jekt utan den registrerades samtycke gäller enligt punkten 2 i första stycket, på samma sätt som för känsliga personuppgifter enligt 4 § första stycket 2, ett krav på prövning och godkännande enligt 8 §. Bestämmelsen inskränker alltså myndighetens möjligheter att be- handla uppgifter om lagöverträdelser i förhållande till vad som gäller enligt dataskyddsförordningen och dataskyddslagen. Enligt andra stycket behöver, trots första stycket punkten 2, pro- jekt som innefattar behandling av uppgifter om lagöverträdelser om färre än 100 personer inte prövas och godkännas enligt 8 §. bestämmelsen ges myndigheten således möjlighet, men inte skyldig- het, att avstå från att ansöka om etisk prövning, om det aktuella projektet avser behandling av sådana personuppgifter om färre än 100 personer. Behandlingen får i sådant fall stödjas direkt på arti- kel 6.1 e i dataskyddsförordningen (se också 3 kap. 8 § första stycket dataskyddslagen). Bestämmelsen i andra stycket är inte ett sådant lagstöd som ger möjlighet till sådana betydande intrång i den per- sonliga integriteten som avses i 2 kap. 6 § andra stycket regerings- formen. Övriga personuppgifter i godkända projekt 6 § När sådana personuppgifter som avses i 4 och 5 §§, efter prövning och godkännande enligt 8 § får behandlas i ett projekt, får också andra personuppgifter behandlas utan de registrerades samtycken i projektet. Paragrafen anger vad som gäller för behandling av andra personupp- gifter än känsliga personuppgifter och uppgifter om lagöverträdelser i ett projekt som har godkänts av eller ett annat särskilt organ för prövning av etiska frågor enligt bestämmelserna i 4 och 5 §§. Övervägandena finns i avsnitt 13.2. Vad som avses med projekt framgår av författningskommentaren till 3 §. Har bara ett delprojekt inom ett större projekt etikgodkänts, gäller bestämmelsen bara för behandlingen av personuppgifter i det delprojektet, inte i hela projektet. De projekt för vård- och omsorgsanalys bedriver innefattar ofta, förutom känsliga personuppgifter och uppgifter om lagöverträdelser, även andra personuppgifter. Bestämmelsen innebär att även sådana andra personuppgifter får behandlas i projektet utan den registrerades samtycke om projektet har godkänts av Etikpröv- ningsmyndigheten eller ett annat särskilt organ för prövning av etiska frågor. Om myndigheten planerar att även behandla andra personuppgifter än känsliga personuppgifter eller uppgifter om lagöverträdelser, ska information om det naturligtvis lämnas till det organ som gör den etiska prövningen. Om det, efter att godkännande lämnats, uppstår ett behov av att behandla ytterligare sådana personuppgifter får myndigheten, liksom vid andra förändringar av förutsättningarna för ett projekt, överväga om en ny prövning behöver göras. Prövning av projekt som inte innefattar känsliga personuppgifter eller uppgifter om lagöverträdelser 7 § Om myndigheten bedömer att ett projekt, som endast innefattar behandling av andra personuppgifter än sådana som avses i 4 och 5 §§, inte kan genomföras på grund av 2 kap. 6 § andra stycket regerings- formen, får personuppgifterna behandlas om projektet har prövats och godkänts enligt 8 §. Paragrafen anger vad som gäller för projekt, som endast innefattar behandling utan samtycke av andra personuppgifter än känsliga per- sonuppgifter och uppgifter om lagöverträdelser, där behandlingen är av sådan omfattning att den innebär en kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den per- sonliga integriteten som avses i 2 kap. 6 § andra stycket regerings- formen. Övervägandena finns i avsnitt 13.3. Vad som avses med projekt framgår av författningskommentaren till 3 §. Även om merparten av myndighetens projekt som medför be- handling av personuppgifter innefattar behandling av känsliga per- sonuppgifter, förekommer det att myndigheten i ett projekt endast behöver behandla personuppgifter som varken är känsliga eller utgör uppgifter om lagöverträdelser. Det skulle t.ex. kunna röra sig om en undersökning som kartlägger privatekonomi och andra levnads- omständigheter för personer som beviljats ekonomiskt bistånd. Myndigheten har, som framgår av avsnitt 7.1.4, i många fall möj- lighet att behandla sådana personuppgifter med stöd av regleringen i dataskyddsförordningen. Även om myndigheten har stöd i data- skyddsförordningen för en behandling av personuppgifter, måste dock myndigheten se till att behandlingen inte strider mot 2 kap. 6 § andra stycket regeringsformen. Analysarbetet i ett enskilt projekt kan medföra en så omfattande behandling av personuppgifter att det med hänsyn till den stora mängden personuppgifter, uppgifternas integritetskänsliga karaktär och ett behov av att koppla samman per- sonuppgifterna, får anses innebära en sådan kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den per- sonliga integriteten som avses i 2 kap. 6 § andra stycket regerings- formen. Sådan behandling är tillåten endast med stöd av samtycke eller med lagstöd enligt 20 § i samma kapitel. Den föreslagna paragrafen utgör ett sådant lagstöd som avses i 2 kap. 20 § regeringsformen. Genom bestämmelsen ges myndig- heten möjlighet att ansöka om prövning av Etikprövningsmyndig- heten alternativt ett annat särskilt organ för prövning av etiska frågor för projekt som i och för sig endast innefattar behandling av andra personuppgifter än känsliga personuppgifter eller uppgifter om lag- överträdelser, men som annars enligt myndighetens bedömning inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsfor- men. Om projektet godkänns vid prövningen, är behandlingen tillåten trots 2 kap. 6 § andra stycket regeringsformen. Om ett projekt endast innefattar behandling av andra person- uppgifter än känsliga personuppgifter och uppgifter om lagöver- trädelser som inte är så omfattande att den innebär en kartläggning av enskildas personliga förhållanden och ett betydande intrång i den personliga integriteten krävs däremot inte någon prövning av Etik- prövningsmyndigheten eller ning alternativt ett annat särskilt organ för prövning av etiska frågor. För sådan behandling får myndigheten själv göra en bedömning av om den är tillåten enligt dataskyddsförordningen. Övriga bestäm- melser i lagen måste dock iakttas även vid sådan behandling. eller prövning eller ett annat särskilt organ för prövning av etiska frågor kan inte överpröva myndighetens bedömning att projektet inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsformen. Prövningen av etiska frågor 8 § Prövningen enligt 4 § 2, 5 § 2 och 7 § ska göras av Etikprövnings- myndigheten eller . Vid pröv- ning och godkännande ska bestämmelserna om forskning i 6–11 §§ i lagen (2003:460) om etikprövning av forskning som avser människor tillämpas på motsvarande sätt. I fråga om handläggningsordningen för prövning och godkännande samt om överklagande tillämpas bestäm- melserna i 24–33 samt 36 och 37 §§ samma lag. Paragrafen anger hur etikprövning enligt den föreslagna lagen ska gå till. Övervägandena finns i kapitel 10.3.2 och 10.4.1. eller prövnings prövning och godkännande av myndighetens projekt enligt 4, 5 och 7 §§ i den föreslagna lagen ska göras på motsvarande sätt och enligt samma kriterier som vid bedömning av forsknings- projekt. Ett etikgodkännande ska enligt 6 § etikprövningslagen, avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd analys eller uppföljning. Det är alltså inte aktuellt med ett generellt godkännande att under oöverskådlig framtid få utföra vissa analyser. Även om eller för etikprövning har godkänt ett projekt måste myn- digheten, vid behandling av personuppgifter i projektet, följa regler- ingen i dataskyddsförordningen, dataskyddslagen och den föreslagna lagen om behandling av personuppgifter i myndighetens verksam- het. Behandling i etikgodkända projekt får dock med stöd av regleringen i den föreslagna lagen genomföras trots 2 kap. 6 § andra stycket regeringsformen. Myndigheten ska också följa eventuella villkor som anges i beslutet om godkännande. Om ett projekt innefattar flera klart avgränsade delprojekt, varav bara något innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, behöver bara det delprojektet god- kännas för att behandlingen av personuppgifter ska vara tillåten. Detta förutsätter att själva delprojektet uppfyller de krav som följer av 7–11 §§ etikprövningslagen. får godkännas bara om integritetsriskerna för de personer som omfattas av behandlingen uppvägs av det samhälleliga intresset av den kunskap som redan del- projektet kan förväntas leda till. Om inte delprojektet i sig uppfyller de grav som följer av 7–11 §§ etikprövningslagen, kan hela projektet behöva prövas i ett sammanhang. Bestämmelserna i 7–11 §§ etikprövningslagen reglerar utgångs- punkterna för vad som ska beaktas vid etikprövning av forsknings- projekt. Att bestämmelserna ska tillämpas på motsvarande sätt vid den etiska prövningen av myndighetens analysprojekt innebär att myndighetens projekt bara får godkännas om det kan utföras med respekt för människovärdet. Vid prövningen ska mänskliga rättig- heter och grundläggande friheter beaktas. ska hänsyn tas till intresset av att utveckla ny kunskap genom den aktuella studien. Människors välfärd ska ges företräde framför samhällsbehovet av att analysen genomförs. Integritetsriskerna för de personer som med- verkar i studien måste vägas upp av studiens värde för samhället. I stället för att väga riskerna mot det vetenskapliga värdet, som görs när det är fråga om forskning, får alltså, på motsvarande sätt som gäller enligt den avvägningsnorm som tillämpas vid behandling för statistikändamål enligt 3 kap. 7 § dataskyddslagen, riskerna vägas mot det samhälleliga intresset av den kunskap som projektet kan förväntas resultera i. Om det förväntade resultatet kan uppnås på ett annat sätt som medför mindre integritetsrisker för de personer som ingår i studien, får projektet inte godkännas. Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser får godkännas bara om den är nödvändig för att analysen ska kunna utföras. Det krävs också att projektet utförs av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs för det aktuella projektet och de etiska frågeställningar som kan aktuali- seras. Det ska, på samma sätt som vid prövningen av forsknings- projekt, göras en helhetsbedömning. Vid bedömningen bör beaktas bl.a. hur pass viktig den kunskap som projektet kan ge är och om den kunskapen kan erhållas utan att personuppgifter behandlas eller om integritetsintrånget kan begränsas på något sätt. Även säker- heten vid behandlingen och omständigheter vid ett eventuellt sam- tycke kan få betydelse. Vid intresseavvägningen bör också beaktas om information i någon form lämnas till de berörda och i vilken utsträckning den som begär det ska ha rätt att bli struken. I viss mån bör också kunna beaktas hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer. I paragrafen anges också att bestämmelserna i 24–33 samt 36 och 37 §§ etikprövningslagen ska gälla vid handläggning hos Etikpröv- ningsmyndigheten eller vid överklagande av beslut. 8 § Prövningen enligt 4 § 2, 5 § 2 och 7 § ska göras av ett särskilt organ för prövning av etiska frågor som har företrädare för såväl det allmänna som forskningen och som är en statlig myndighet eller är knu- tet till en annan statlig myndighet än Myndigheten för vård- och om- sorgsanalys. Ett projekt får godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integ- ritet som behandlingen kan innebära. Ett godkännande får förenas med villkor. Regeringen meddelar föreskrifter om organ som avses i första stycket. Paragrafen anger vad som ska gälla i fråga om den etiska prövningen. Övervägandena finns i avsnitt 10.3.3 och 10.4.2. Av första stycket framgår att prövningen av projekt som bedrivs av Myndigheten för vård- och omsorgsanalys ska göras av ett särskilt organ för prövning av etiska frågor. Organet ska ha företrädare för såväl det allmänna som forskningen och vara en statlig myndighet eller knuten till en annan statlig myndighet än Myndigheten för vård- och omsorgsanalys. Vilket detta organ ska vara regleras i enlig- het med tredje stycket i förordning. I andra stycket anges den avvägningsnorm som ska tillämpas vid prövningen av projekten. Ett projekt får godkännas bara om behand- lingen av personuppgifter i projektet är nödvändig och om samhälls- intresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Avvägningsnormen motsvarar den som gäller vid behandling för statistikändamål enligt 3 kap. 7 § dataskyddslagen. Avvägningsnormen ger uttryck för en restriktiv tillämpning och betonar att behand- lingen måste vara nödvändig som en intresseavvägning ska göras. Prövningen och godkännandet ska avse ett visst projekt. Om ett projekt innefattar flera klart avgränsade delprojekt, varav bara något innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, behöver emellertid bara det delprojektet prövas och godkännas för att behandlingen av personuppgifter ska vara tillåten. Detta förutsätter att samhällsintresset av redan delprojektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Om inte delprojektet i sig uppfyller detta, kan hela projektet behöva prövas i ett sammanhang. Kravet på nödvändighet är avsett att ha samma innebörd som kravet på nödvändighet i dataskyddsförordningen. Kravet innebär inte att det måste vara omöjligt att utföra det aktuella uppdraget om inte känsliga personuppgifter eller uppgifter om lagöverträdelser behandlas. Behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser kan anses nödvändig om den medför effektivi- tetsvinster, även om arbetsuppgiften skulle kunna utföras utan att personuppgifter behandlas på visst sätt. Om personuppgifter inte behövs i det aktuella projektet eller om en analys kan utföras nästan lika enkelt och till nästan samma kostnad utan att personuppgifter behandlas, är nödvändighetskravet däremot inte uppfyllt och behand- ling av känsliga personuppgifter och uppgifter om lagöverträdelser inte tillåten. Den avvägningsnorm som regleras i paragrafen innebär att en helhetsbedömning ska göras där hänsyn ska tas till bl.a. vikten av den kunskap det aktuella projektet kan förväntas ge och behovet av per- sonuppgifter. Vidare ska hänsyn tas till omständigheter som säker- heten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vad mån den enskilde skulle kun- na skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna störa undersökningsresultatet. Vid intresse- avvägningen bör också beaktas om information i någon form lämnas till de berörda. Även frågan om i vilken utsträckning den som begär det ska ha rätt att bli struken kan övervägas. Ett godkännande av myndighetens projekt kan förenas med vill- kor som ska uppfyllas för att behandlingen av personuppgifter ska vara tillåten. Sådana villkor kan gälla t.ex. formerna för urvalet av deltagare i en studie, inhämtande av samtycke eller lämnande av information. 9 § De personuppgifter som behandlas i ett projekt ska pseudonymi- seras. Myndighetschefen får för ett särskilt fall besluta om undantag från första stycket, i den utsträckning ändamålet med behandlingen inte kan uppnås med pseudonymiserade personuppgifter. Myndighetschefen ska besluta om riktlinjer och villkor för när och hur pseudonymiserade personuppgifter får göras identifierbara och för- bud mot att i andra fall sammanföra sådana personuppgifter med personuppgifter som är direkt hänförliga till individer. Paragrafen reglerar vad som gäller i fråga om pseudonymisering. Övervägandena finns i avsnitt 14.5. Enligt huvudregeln i första stycket ska personuppgifter som be- handlas i ett projekt pseudonymiseras. Med pseudonymisering avses enligt definitionen i artikel 4 punkt 5 i dataskyddsförordningen be- handling av personuppgifter på ett sätt som innebär att person- uppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. Detta gäller under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att per- sonuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Pseudonymiserade uppgifter är alltså uppgifter som inte direkt kan hänföras till en person. Det rör sig dock fortfarande om personuppgifter, eftersom man behåller möjligheten att återidenti- fiera uppgifterna med hjälp av kompletterande uppgifter som förvaras separat. De kompletterande uppgifterna utgörs ofta av en kodnyckel som beskriver relationen mellan de pseudonymiserade uppgifterna, som exempelvis är kopplade till löpnummer, och direkt identifierbara personuppgifter som namn och personnummer. Pseudonymiseringen ska ske i anslutning till att personuppgifterna kommer in till myn- digheten.