sou · H6B336 · 2018-06-05 00:00:00 — Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsföre- byggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Vi möjliggör för kommunerna att driva forskningsdatabaser under de villkor som lagen ställer. Det innebär inte någon inskränkning av det kommunala självstyret jämfört med gällande rätt. Vårt förslag syftar till att förbättra förutsättningarna för sam- hällsnyttig forskning. Förslaget kan på så sätt i nästa steg generera förbättringar inom områden som t.ex. det brottsförebyggande arbetet, arbetet för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensför- måga eller villkor i övrigt, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. 13.2.8Konsekvenser för den personliga integriteten Av våra direktiv framgår att utredningen, utöver vad som följer av 14–15 a §§ kommittéförordningen, ska redovisa förslagens kon- sekvenser för den personliga integriteten. För en generell bakgrund till de rättsliga förutsättningarna hänvisar vi till utredningens delbetänkande.4 4Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50), s. 296 ff. Ändamål och rättslig grund Den föreslagna lagstiftningen syftar till att möjliggöra personupp- giftsbehandling för forskningsändamål i forskningsdatabaser. Den huvudsakliga rättsliga grunden för behandlingen är att den är nöd- vändig för att utföra en uppgift av allmänt intresse (se vidare av- snitt 8.2.3) i enlighet med artikel 6.1 e i dataskyddsförordningen. Forskningshuvudmannen är personuppgiftsansvarig enligt data- skyddsförordningen. Vilka personuppgifter och om hur många som kommer att samlas in och behandlas beror på forskningsdatabasens inriktning och spe- cifika ändamål. Enligt den föreslagna definitionen av forsknings- databas kan uppgifterna samlas in såväl från den enskilda som från andra källor. Uppgifterna kommer vara tillgängliga för anställda hos forsknings- huvudmannen i den utsträckning det är nödvändigt för dessa att utföra sina arbetsuppgifter, och kommer efter etik- och sekretess- prövning att få lämnas ut i pseudonymiserad form till forsk- ningsprojekt. Uppgifterna kommer att skyddas av den föreslagna forskningssekretessen i forskningsdatabasen. När uppgifterna läm- nas ut till ett forskningsprojekt som omfattas av svensk sekretess- lagstiftning kommer uppgifterna att skyddas av samma sekretess där. Med tanke på forskningsdatabasernas syfte är det inte lämpligt att i generell lagstiftning ställa upp regler om sök- och sammanställ- ningsbegränsningar.5 Det övergripande syftet med forskningsdata- baserna kräver att personuppgifterna bevaras under forsknings- databasens hela livslängd (se vidare om avveckling avsnitt 8.12). Den enskildes personliga integritet i samband med behandlingen skyddas såväl av de föreslagna etikprövningsförfarandena, som av 5Jfr generellt om sökbegränsningar och forskning SOU 2017:50 s. 267 ff. regler om pseudonymisering vid utlämnande samt av tekniska och organisatoriska skyddsåtgärder (se avsnitt 8.9, 8.10 samt 8.11.3). Vår reglering kompletterar och specificerar det skydd som stadgas enligt dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Den registrerades rätt att motsätta sig behandling framgår av data- skyddsförordningen. Vi föreslår inget undantag från denna rätt i den generella lagstiftningen (jfr avsnitt 8.8.4). Även den registrerades rätt till information om behandlingen, oavsett om de behandlade uppgifterna har samlats in direkt från denne eller från någon annan källa, framgår direkt av dataskyddsförordningen. Den föreslagna lagstiftningen möjliggör en långtgående och omfattande personuppgiftsbehandling om ett stort antal människor, som huvudregel baserad på annan rättslig grund än den registrerades samtycke. De föreslagna skyddsåtgärderna, inte minst möjligheten för den enskilde att motsätta sig behandlingen, minskar dock enligt vår mening avsevärt den integritetsförlust som den enskilde lider på grund av förslaget. Även det föreslagna etikprövningsförfarandet garanterar en oberoende bedömning av behandlingens proportiona- litet, avvägt mot dess vetenskapliga värde. Såväl regeringsformen som dataskyddsförordningen kräver att en proportionalitetsbedömning görs i samband med förslag till bestäm- melser som inskränker den enskildes fri- och rättigheter vad gäller personlig integritet. Vid denna bedömning ska det ändamål för vilket personuppgiftsbehandlingen ska få utföras ställas mot det integritets- intrång som behandlingen medför, och som vi beskrivit i föregående avsnitt.6 Ändamålet med vårt förslag är att möjliggöra en effektivare forsk- ning av högre kvalité med hjälp av forskningsdatabaser. Såväl forsk- ning i allmänhet som databasers betydelse för denna, är ett legitimt 6Se vidare generellt om dessa proportionalitetskrav i olika rättsliga instrument SOU 2017:50 s. 308 ff. intresse enligt dataskyddsförordningen (se särskilt skäl 157). Det till- hör dessutom unionens mål att åstadkomma ett europeiskt forskningsområde (artikel 179.1 i EUF-fördraget). Även den svens- ka grundlagen framhåller skyddet för forskningens frihet (2 kap. 18 § andra stycket RF). Det är alltså fråga om två prioriterade och legitima intressen som ställs mot varandra. Vår bedömning är att den förbättrade möjligheten till forskning är ett sådant viktigt allmänt intresse som uppväger de risker för den personliga integriteten som personuppgiftsbehandling i forsknings- databaser kan medföra. Vår bedömning är vidare att förslagen i och för sig kan medföra betydande intrång i de registrerades personliga integritet som kan innebära kartläggning av dennes personliga förhållanden (jfr 2 kap. 6 § andra stycket RF). Inskränkningarna i de registrerades fri- och rättigheter görs dock för att tillgodose forskningsändamål. Detta är ett ändamål som inte bara är godtagbart i ett demokratiskt samhälle, utan som ovan nämnt dessutom är grundlagsskyddat. Den begräns- ning av den enskildes fri- och rättigheter som det är fråga om sträcker sig enligt utredningens bedömning inte så långt att den utgör ett hot mot den fria åsiktsbildningen, och den görs inte heller enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Möjligheterna att behandla personuppgifter i forsknings- databaser ska därtill omgärdas av ett flertal obligatoriska skydds- åtgärder, som t.ex. krav på etikprövning och nya bestämmelser om sekretess. Kraven i 2 kap. 21 § RF är därför uppfyllda. Utredningen föreslår att registret läggs ned och den särskilda regis- terförfattningen avskaffas. De kostnadsmässiga konsekvenserna av detta har redan bedömts av RMV i en tidigare rapport. RMV kommer fram till att detta medför en kostnadsbesparing, men att denna besparing inte låter sig beräknas . Vi hänvisar därför till konsekvensutredningen i den rapporten.7 Vad gäller konsekvenserna för den personliga integriteten medför utredningens förslag att personuppgiftsbehandling kan 7 Ett nytt författningsstöd för behandling av personuppgifter, m.m. (Ju2013/08833/Å), s. 95 f. göras med stöd av den särskilda registerförfattningen. Vid behov kan dock en motsvarande forskningsdatabas inrättas under förutsättning att kraven i den föreslagna forskningsdatabaslagen är uppfyllda. Konsekvenserna för den personliga integriteten torde därmed i vart fall inte försämras. Vi ansluter oss i huvudsak till Utredningen om reglering av bio- bankers förslag. Vi hänvisar därför till konsekvensutredningen i den utredningen.8 13.5Utlämnande av uppgifter till europeiska forskningsdatabaser Utredningen föreslår en förändring av offentlighets- och sekre- tesslagen (2009:400), förkortad OSL. Förändringen möjliggör ut- lämnande av uppgifter som omfattas av statistiksekretess enligt 24 kap 8 § OSL till europeiska forskningsdatabaser. Förslaget skulle möjliggöra för SCB att återuppta sitt utlämnande av uppgifter till forskningsdatabasen (). De löpande kostnadsmässiga konsekvenserna för det ökade arbetet för SCB torde inte bli alltför stora. I sammanhanget bör uppmärksammas att SCB tidigare regelmässigt har levererat uppgifter till från det att den skapades 1983 . 13.6Skydd för uppgifter om avlidna Utredningen föreslår inte något nytt skydd för uppgifter om avlidna inom forskning. Det blir därmed inte någon förändring av rättsläget, och därför inte heller några konsekvenser att bedöma. 8Utredningens om reglering av biobanker slutbetänkande Framtidens biobanker (SOU 2018:4), s. 455 ff. 14.1Förslaget till lag om forskningsdatabaser 1 § Denna lag innehåller bestämmelser om behandling av personupp- gifter i en forskningsdatabas. I 4 kap. 5 § finns en bestämmelse om tystnadsplikt hos enskilda (privata) forskningshuvudmän. Paragrafen innehåller en beskrivning av vilken typ av bestämmelser som finns i lagen om forskningsdatabaser (forskningsdatabaslagen). I första stycket anges att lagen innehåller bestämmelser om be- handling av personuppgifter i en forskningsdatabas. Andra stycket innehåller en upplysning om att det i 5 kap. 5 § finns en generell bestämmelse om tystnadsplikt hos enskilda (privata) forskningshuvudmän. Bestämmelsen behandlas i avsnitt 8.4. 2 § Syftet med denna lag är att möjliggöra behandling av personupp- gifter i en forskningsdatabas. Syftet är också att säkerställa att de registre- rades personliga integritet skyddas vid denna behandling. Paragrafen anger syftet med lagen. Enligt paragrafen är syftet att möjliggöra behandling av personuppgifter i en forskningsdatabas som det ska säkerställas att de registrerades personliga integritet skyddas vid denna behandling. Bestämmelsen behandlas i avsnitt 8.4. Förhållandet till annan lagstiftning 3 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Bestämmelsen reglerar lagens förhållande till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), nedan kallad data- skyddsförordningen. I paragrafen anges att lagen kompletterar data- skyddsförordningen. Bestämmelsen tydliggör att lagen inte kan till- lämpas fristående, utan endast tillsammans med dataskyddsförord- ningen. Bestämmelsen behandlas i avsnitt 8.5. 4 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till lagen. Om det i en annan lag eller i en förordning finns bestämmelser om behandling av personuppgifter i en forskningsdatabas som avviker från denna lag ska de bestämmelserna gälla. Paragrafen reglerar lagens förhållande till annan nationell lagstift- ning. I första stycket anges forskningsdatabaslagens relation till data- skyddslagen (2018:218) och föreskrifter som har meddelats i anslut- ning till lagen. Forskningsdatabaslagen har företräde framför data- skyddslagen. Om inte annat följer av denna lag eller föreskrifter som meddelats i anslutning till lagen gäller alltså dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen. I andra stycket finns en subsidiaritetsbestämmelse med innebör- den att lagen är subsidiär gentemot andra lagar eller förordningar som reglerar personuppgiftsbehandling i en forskningsdatabas. Bestämmelser i andra lagar som reglerar enskilda forskningsdata- baser gäller alltså före forskningsdatabaslagen. Bestämmelsen behandlas i avsnitt 8.5. 5 § Med forskningshuvudman avses i denna lag detsamma som i 2 § lagen (2003:460) om etikprövning av forskning som avser människor. Paragrafen innehåller en definition av begreppet forskningshuvud- man. Det anges att forskningshuvudman definieras på samma sätt som i 2 § lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Med forskningshuvudman avses alltså en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs. Bestämmelsen behandlas i avsnitten 3.3.6. och 8.7.2. 6 § Med forskningsdatabas avses i denna lag en databas (uppgifts- samling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhanda- hålla uppgifter till flera olika forskningsprojekt. Paragrafen innehåller en definition av begreppet forskningsdatabas. Med forskningsdatabas avses i lagen en databas (uppgiftssamling) med personuppgifter som samlas in från enskilda individer eller från andra källor och som är en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Utanför lagens definition faller således forskningsregister som skapas för ett visst projekt, en del av ett projekt eller på ett på liknande sätt bestämd forskning. Bestämmelsen behandlas i avsnitten 3.3.3 och 8.7.1. 7 § Denna lag tillämpas vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Paragrafen anger lagens territoriella tillämpningsområde. Av bestäm- melsen framgår att lagen ska tillämpas vid behandling av personupp- gifter som utförs inom ramen för verksamhet som bedrivs vid person- uppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Det saknar betydelse var den faktiska personuppgifts- behandlingen utförs. Bestämmelsen behandlas i avsnitt 8.6.2. Grundläggande villkor för skapandet av en forskningsdatabas 1 § En forskningshuvudman får vara personuppgiftsansvarig för behandling av personuppgifter i en forskningsdatabas under förutsätt- ning att forskningshuvudmannen är en 2.kommunal myndighet, eller 3.juridisk person eller enskild näringsidkare som bedriver högre utbildning och har examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina och som enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) jämställs med myndighet. Av denna paragraf framgår personuppgiftsansvaret vid behandling av personuppgifter i en forskningsdatabas. I paragrafen anges vilka forskningshuvudmän som får vara personuppgiftsansvariga. De forskningshuvudmän som räknas upp är dels statliga och kom- munala myndigheter, dels juridiska personer och enskilda närings- idkare. När det gäller juridiska personer och enskilda näringsidkare anges som förutsättningar att dessa ska bedriva högre utbildning och ha examensrätt enligt lagen (1993:792) om tillstånd att utfärda vissa examina samt att de enligt 2 kap. 4 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, jämställs med myndigheter. För dessa organ gäller alltså att de ska ha examensrätt och vara upptagna i bilagan till OSL. Bestämmelsen behandlas i avsnitt 8.8.2. 2 § Personuppgifter får behandlas i en forskningsdatabas för att 1.skapa underlag för olika forskningsprojekt, och 2.lämna ut uppgifter till flera olika forskningsprojekt inom ett angivet forskningsområde. I paragrafen anges de övergripande ändamålen för vilka behandling av personuppgifter i en databas ska vara tillåten. Det första ändamålet som anges är att skapa underlag för olika forskningsprojekt. Syftet med behandlingen är således inte att skapa underlag för ett visst, redan definierat projekt utan att samla in uppgifter som kan utgöra underlag för olika forskningsprojekt. Det andra ändamålet som anges är att lämna ut uppgifter till forsknings- projekt inom ett angivet forskningsområde. Av 5 kap. 1 § framgår att utlämnande till forskning bara får göras under förutsättning att projektet godkänts enligt etikprövnings- lagen. Utöver de övergripande ändamål som anges i denna paragraf ska enligt 2 kap. 4 § för varje enskild forskningsdatabas de särskilda ändamålen fastställas. Bestämmelsen behandlas i avsnitt 8.8.3. 3 § Personuppgifter får behandlas i en forskningsdatabas under förut- sättning att 1.den har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, och 2.forskningshuvudmannen har säkerställt finansieringen av forsk- ningsdatabasen. Paragrafen anger villkoren för att personuppgifter ska få behandlas i en forskningsdatabas. Detta får enligt bestämmelsen bara förekomma under förutsättning att forskningsdatabasen har godkänts enligt etikprövningslagen och att forskningshuvudmannen har säkerställt finansiering av forskningsdatabasen. Etikgodkännande av forskningsdatabasen krävs enligt bestäm- melsen oavsett vilken typ av personuppgifter som ska behandlas i forskningsdatabasen, alltså även om behandlingen inte ska omfatta känsliga personuppgifter eller personuppgifter om lagöverträdelser. Enligt 7 kap. 1 § första punkten ska regeringen eller den myndig- het som regeringen bestämmer få meddela föreskrifter om finan- sieringen av en forskningsdatabas. Det kan t.ex. handla om att bestämma för hur finansieringen av en forskningsdatabas måste vara säkerställd. Bestämmelsen behandlas i avsnitten 8.8.4 och 8.8.5. 4 § En forskningshuvudman ska i ett beslut om att skapa en forsk- ningsdatabas fastställa 1.vilka uppgifter som ska behandlas i forskningsdatabasen, och 2.för vilka särskilda ändamål dessa uppgifter är nödvändiga att behandla. Paragrafen innehåller ett krav på att en forskningshuvudman ska fatta ett beslut om en forskningsdatabas uppgifter och ändamål. Paragrafen anger att forskningshuvudmannen i ett beslut om att skapa en forskningsdatabas ska fastställa vilka uppgifter som ska behandlas i databasen och för vilka ändamål dessa uppgifter är nödvändiga att behandla. Forskningshuvudmannen ska således enligt bestämmelsen fatta ett uttryckligt beslut om att en viss forskningsdatabas ska inrättas samt om vilka uppgifter som får behandlas och för vilka ändamål. Det kan t.ex. handla om att precisera vilka typer av forskningsprojekt som forskningsdatabasen ska kunna utgöra underlag till, vilka forsk- ningsfrågor som ska besvaras, inom vilka forskningsområden projekten ska genomföras och vilken typ av uppgifter som ska samlas in till en viss närmare angiven typ av forskning. Bestämmelsen är ett uttryck för den i dataskyddsförordningen fastslagna principen om ansvarsskyldighet. Av 7 kap. 1 § andra, tredje och fjärde punkterna framgår att före- skrifter får meddelas om begränsningar av de ändamål för vilka uppgifter får behandlas i en databas, av de uppgifter som en forsk- ningsdatabas får innehålla och av behandling av uppgifter i en forsk- ningsdatabas. Bestämmelsen behandlas i avsnitt 8.8.4. 1 § Forskningshuvudmannen ska utse en verksamhetschef för forsk- ningsdatabasen. Verksamhetschefen ska minst en gång sammanställa och lämna skriftlig information om behandlingen av personuppgifter i fors- kningsdatabasen till forskningshuvudmannen. Paragrafen reglerar ett krav på att en verksamhetschef utses samt vissa uppgifter för verksamhetschefen. I första stycket anges att forsk- ningshuvudmannen ska utse en verksamhetschef för forsknings- databasen. Verksamhetschefen ska inför forskningshuvudmannen ansvara för att forskningsdatabasen fungerar på ett rättsenligt och säkert sätt. I andra stycket anges att verksamhetschefen minst en gång ska sammanställa och lämna information om behandlingen av per- sonuppgifter i forskningsdatabasen till forskningshuvudmannen. Bestämmelsen behandlas i avsnitt 8.10.2. 2 § Det ska hos forskningshuvudmannen finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den per- sonliga integriteten i forskningsdatabasen. Den ska ha till uppgift att genom tekniska och organisatoriska åtgärder skydda enskildas per- sonliga integritet och upprätthålla en tillräcklig säkerhetsnivå för de per- sonuppgifter som behandlas i forskningsdatabasen. Paragrafen reglerar en organisatorisk enhet för informationssäker- het och skydd för personlig integritet i en forskningsdatabas. Det stadgas att det hos forskningshuvudmannen ska finnas en organisa- torisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen. Vidare stadgas att enheten ska ha till uppgift att genom tekniska och orga- nisatoriska åtgärder skydda enskildas personliga integritet och upp- rätthålla en tillräcklig säkerhetsnivå för de personuppgifter som behandlas i forskningsdatabasen. Bestämmelsen behandlas i 8.10.3. 3 § En forskningshuvudman som behandlar personuppgifter i en forskningsdatabas ska bedriva ett systematiskt och riskbaserat infor- mationssäkerhetsarbete med stöd av ett ledningssystem för informa- tionssäkerhet. Forskningshuvudmannen ska tilldela tillräckliga resurser för infor- mationssäkerhetsarbetet. Den som utför detta arbete ska hålla forsk- ningshuvudmannen informerad. Paragrafen reglerar informationssäkerhetsarbete. I första stycket anges att en forskningshuvudman som behandlar personuppgifter i en forskningsdatabas ska bedriva ett systematiskt och riskbaserat infor- mationssäkerhetsarbete med stöd av ett ledningssystem för infor- mationssäkerhet. Paragrafen tar sikte på forskningshuvudmannens ansvar för att säkerställa de grundläggande informationssäkerhets- aspekterna vid behandlingen av personuppgifter i forskningsdata- basen. Bestämmelsen innebär ett generellt krav på ett sådant informa- tionssäkerhetsarbete som motsvarar det som gäller för statliga myndigheter enligt 5 § Myndighetens för samhällsskydd och bered- skap föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1). Kravet gäller oavsett vilken typ av forsknings- huvudman det är som ansvarar för en forskningsdatabas, alltså ut- över statliga myndigheter även kommunala myndigheter som är forskningshuvudmän och privata lärosäten. I andra stycket anges att forskningshuvudmannen ska tilldela tillräckliga resurser för informationssäkerhetsarbetet. Vidare anges att den som utför detta arbete ska hålla forskningshuvudmannen informerad. Det kan t.ex. handla om information om de riskanalyser som har gjorts av informationssäkerheten, incidenter som har påverkat informationssäkerheten och som medfört eller hade kunnat medföra integritetsskador, uppföljningar som har gjorts samt förbättringsåtgärder som har vidtagits. I 7 kap. 1 § femte punkten anges att föreskrifter får meddelas om informationssäkerhetsarbetet. Bestämmelsen behandlas i avsnitt 8.10.4. 4 kap. En säker och ändamålsenlig behandling av personuppgifter 1 § Personuppgifter i en forskningsdatabas får vara direkt identifier- bara, om det är nödvändigt för att uppfylla ändamålet med forsk- ningsdatabasen. Forskningshuvudmannen ska besluta om en forskningsdatabas ska bestå av direkt identifierbara uppgifter eller om det är tillräckligt för ända- målet att uppgifterna är pseudonymiserade eller skyddade på annat sätt. Paragrafen rör personuppgifterna i en forskningsdatabas. Enligt första stycket får personuppgifter i en forskningsdatabas vara direkt identifierbara, om det är nödvändigt för att uppfylla ändamålet med forskningsdatabasen. Enligt andra stycket ska forskningshuvudmannen besluta om en forskningsdatabas ska bestå av direkt identifierbara uppgifter eller om det är tillräckligt för ändamålet att uppgifterna är pseudo- nymiserade eller skyddade på annat sätt. I 5 kap. 2 § stadgas att personuppgifter som lämnas ut från en forskningsdatabas enligt huvudregeln ska vara pseudonymiserade eller skyddade på likvärdigt sätt.