sou · H6B336 · 2018-06-05 00:00:00 — Det är vår bedömning att en liknande struktur är lämplig även i forskningssammanhang. Som ett led i prövningen av vad som kan anses omfattas av tystnadsplikten (vara ett obehörigt röjande) kan en privat forskningshuvudman hämta ledning från den skade- och Förslag till reglering av forskningsdatabaser menprövning som offentliga forskningshuvudmän följer enligt regel- verket i offentlighets- och sekretesslagen.51 Vi anser att det behövs ett enhetligt skydd för uppgifterna även när de har lämnats ut från en forskningsdatabas till en privat forsknings- huvudman. Därför behövs en generell regel om tystnadsplikt för privata forskningshuvudmän. Endast på så sätt kan tystnadsplikten för uppgifter som hanteras i forskningen bli heltäckande. En enhetlig tystnadsplikt gör det också enklare för utlämnande myndigheter att göra sin menprövning i samband med utlämnande av utgifter till en forskningsdatabas. Vi föreslår därför en bestämmelse som anger att den som arbetar hos en privat forskningshuvudman har tystnadsplikt gällande det som han eller hon i sitt arbete har fått veta om en enskilds personliga eller ekonomiska förhållanden. Tystnadsplikten ska inte gälla i de fall någon fullgör sådan uppgiftsskyldighet som följer av lag eller förord- ning. I bestämmelsen ska det finnas en upplysning om att det är offentlighets- och sekretesslagen som gäller för det allmännas verk- samhet. Offentliga forskningshuvudmän och de forskningshuvudmän som enligt 2 kap. 4 § OSL ska jämställas med myndigheter, ska tillämpa de bestämmelser om forskningssekretess som vi föreslår i avsnitt 8.9.5. 8.10Förvaltningen av en forskningsdatabas 8.10.1Behov av reglering i detta steg av livscykeln Förvaltningen av en forskningsdatabas innefattar alla åtgärder som krävs för att sköta databasen så att den ska kunna användas på ett ändamålsenligt och korrekt sätt. En reglering av forskningshuvud- mannens organisatoriska åtgärder hör till nödvändiga bestämmelser i detta steg av databasens livscykel. Till förvaltningen av forsknings- databasen hör också en säker och ändamålsenlig behandling av person- uppgifter hos forskningshuvudmannen. Bearbetning av uppgifterna innefattar till att börja med korrigering och rättelse av grunduppgifter som särskilt äger rum i samband med den inledande insamlingen av uppgifter, inklusive tillförandet av nya uppgifter efter hand. Därefter vidtar anpassning av uppgifterna för det 51Regeringens proposition m.m. (prop. 2007/08:126), s. 132 ff. Förslag till reglering av forskningsdatabaser ändamål som databasen är avsedd för. Detta inbegriper tolkning och omkodning av uppgifter samt organisering av observationer (registre- rade personer eller händelser) på ett för forskningen ändamålsenligt sätt. I vissa fall har ett omfattande arbete lagts ner på detta vid original- källan. Ett exempel på detta kan vara de beräkningar av disponibel inkomst som görs av SCB för den officiella statistiken som är direkt användbara för forskare i många sammanhang. I andra fall krävs ett grundläggande originalarbete hos forskargruppen, exempelvis om man behöver klassificera textsträngar som ingår som värden på varia- bler från originalkällan. Tillförandet av nya registrerade samt nya mätningar eller nya uppgifter för befintliga registrerade utgör också en löpande uppgift för databasens förvaltare. En stor del av arbetet består således av förädling av det material som insamlades vid forskningsdata- basens inrättande. Gränsen mellan dataförvaltning, begreppsutveck- ling och analys av data blir i många fall inte tydlig utan uppgifterna integreras med varandra. Bearbetningen försiggår under hela forsk- ningsdatabasens livscykel. Förvaltningen av forskningsdatabasen innebär också teknisk hante- ring av information, behörigheter, säkerhet, utlämnande och admi- nistrativa rutiner i samband med skötseln av forskningsdatabasen. Det finns här anledning att följa hur lagregleringen av forsknings- databaser kommer att fungera i praktiken. bör enligt vår mening få i uppgift att regelbundet följa upp hur verksamheten bedrivs i olika forskningsdatabaser (se avsnitt 8.10.7). Till förvaltningsfasen hör också en uppgift för forskningshuvud- mannen att regelbundet ta ställning till om forskningsdatabasen fungerar på avsett sätt. Bör ändamålen för behandlingen av uppgiften revideras eller kan det finnas anledning att avveckla databasen? Vårt förslag: Forskningshuvudmannen ska utse en verksamhets- chef för forskningsdatabasen. Verksamhetschefen ska minst en gång sammanställa och lämna information om behandlingen av personuppgifter i forsk- ningsdatabasen till forskningshuvudmannen. Förslag till reglering av forskningsdatabaser För att forskningshuvudmannen ska kunna utöva sitt ansvar över verksamheten som bedrivs i forskningsdatabasen genom hela dess livscykel, måste verksamheten vara organiserad på sådant sätt att den tillgodoser säkerhet och kvalitet. Denna verksamhet måste vara organiserad så att forskningshuvudmannen kan utöva kontroll över verksamhetens olika delar. Ett sätt att utöva kontroll är att utse en verksamhetschef som inför forskningshuvudmannen ansvarar för att forskningsdatabasen funge- rar på ett rättsenligt och säkert sätt. På så sätt finns en utpekad person med ett verkställande ansvar och som tillsynsmyndigheter, utläm- nande myndigheter och enskilda kan vända sig till. För att verksamheten i en forskningsdatabas ska kunna kontrolle- ras på ett effektivt sätt krävs det att ledningsfunktionen inom verk- samheten är tydlig. En verksamhetschef ska därför bl.a. ansvara för den löpande verksamheten och upprätthålla och bevaka att behand- lingen av personuppgifter uppfyller säker och god kvalitet och att verksamheten bedrivs kostnadseffektivt. Verksamhetschefen ska alltid ha det samlade ansvaret för forskningsdatabasens verksamhet, men kan och bör när det så krävs uppdra åt någon annan att sköta vissa uppgifter. Det kan bli nödvändigt om verksamhetschefen själv inte har den kompetens som krävs för att forskningsdatabasen ska bli godkänd vid etikprövningen. Forskning får enligt 11 § etikprövnings- lagen bara godkännas om den skall utföras av eller under överinseende av en forskare som har den vetenskapliga kompetens som behövs. Verksamhetschefen ska arbeta tillsammans med den organisa- toriska enhet som ska ha i uppgift att säkerställa informations- säkerheten och skyddet för den personliga integriteten integritets- skyddet i forskningsdatabasen (avsnitt 8.10.3). Verksamhetschefen har ett helt annat uppdrag än det dataskydds- ombud som regleras i dataskyddsförordningen. Ett dataskyddsombud ska enligt förordningen ha till uppgift att informera de personupp- giftsansvariga, biträden och anställda om skyldigheterna enligt förord- ningen och andra unions- eller medlemsstatsreglerade dataskydds- bestämmelser. Ombudet ska också bland annat övervaka efter- levnaden av förordningen och samarbeta med tillsynsmyndigheten (artikel 39). Verksamhetschefen för en forskningsdatabas har ett konkret verkställande ledningsansvar för en forskningsdatabas, Förslag till reglering av forskningsdatabaser medan dataskyddsombudet ska övervaka efterlevnaden av data- skyddsförordningen i hela forskningshuvudmannens verksamhet. Verksamhetschefen ansvarar för att forskningshuvudmannen löpande får information om hur verksamheten i forskningsdatabasen bedrivs. Forskningshuvudmannen är beroende av denna insyn i verk- samheten för att kunna utöva sitt yttersta ansvar. Vi anser att verk- samhetschefen utöver den löpande informationen som forsknings- huvudmannen behöver, minst en gång ska sammanställa och lämna skriftlig information om verksamheten. Vi förslår således att forskningshuvudmannen ska utse en verksam- hetschef som ska ansvara för den löpande hanteringen av forsknings- databasen. Verksamhetschefen ska minst en gång sammanställa och lämna en redovisning med information om behandlingen av personuppgifter i forskningsdatabasen till forskningshuvudmannen. 8.10.3En organisatorisk enhet med ansvar för informationssäkerhet och personlig integritet Vårt förslag: Det ska hos forskningshuvudmannen finnas en organisatorisk enhet som säkerställer informationssäkerheten och skyddet för den personliga integriteten i forskningsdatabasen. Enheten ska ha till uppgift att genom tekniska och organisatoriska åtgärder skydda enskildas personliga integritet och upprätthålla en tillräcklig säkerhetsnivå för de personuppgifter som behandlas i en forskningsdatabas. Forskningshuvudmannen ska i denna organisatoriska enhet samla sådan kompetens som krävs för att förvalta och använda forskningsdatabasen på ett rättsenligt, effektivt och säkert sätt. En forskningsdatabas kan komma att innehålla en stor mängd uppgifter om ett stort antal individer. Det kan också vara fråga om att behandla känsliga personuppgifter. För att minska de integritetsrisker som är förknippade med att behandla personuppgifter måste behand- lingen vara omgärdad av olika typer av skyddsåtgärder. Det krävs också för att behandlingen är tillåten enligt dataskyddsförordningen. Den personuppgiftsansvarige ska enligt artikel 25 genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje Förslag till reglering av forskningsdatabaser specifikt ändamål med behandlingen behandlas. Framför allt ska säkerställas att personuppgifter inte görs tillgängliga för obehöriga. Dataskyddsförordningen innehåller uttryckliga krav på s.k. in- byggt dataskydd52 och dataskydd som standard.53 Enligt artikel 25 ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder. De nödvändiga skyddsåtgärderna ska integ- reras i behandlingen, så att kraven i dataskyddsförordningen uppfylls och den registrerades rättigheter skyddas. Åtgärderna ska väljas med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter. Detta kan också uttryckas som att den personuppgiftsansvarige ska låta integritetsfrågor påverka ett it-systems hela livscykel – från förstudie och kravställning via design och utveckling till användning och avveckling. Enligt vår uppfattning ska forskningshuvudmannen ta ett motsvarande ansvar genom forskningsdatabasens hela livscykel. Enligt artikel 24 i dataskyddsförordningen ska forskningshuvud- mannen genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med förordningen. Ett sätt att uppfylla kravet på organisatoriska åtgärder och på inbyggt dataskydd är att inrätta en särskild enhet i verksamheten. Detta kan vara en åtgärd för att stärka arbetet med integritetsskydd och informationssäkerhet vid behand- lingen av uppgifter i forskningsdatabasen. Vi föreslår därför att det i forskningsdatabaslagen ska finnas en bestämmelse om att forsknings- huvudmannen ska ha en sådan enhet. Inrättandet av enheten utgör i sig en sådan organisatorisk åtgärd. Det arbete som enheten ska ansvara för ska sedan vara att se till att ytterligare tekniska och organisatoriska åtgärder genomförs som är lämpliga med beaktande av behandlingens omfattning, sammanhang, ändamål och riskerna av varierande sanno- likhet och allvar. Syftet med att inrätta en sådan funktion är att stärka såväl person- dataskyddet som informationssäkerheten i samband med forsknings- huvudmannens behandling av personuppgifter i en eller flera forsk- ningsdatabaser. Den organisatoriska enheten ska ha till uppgift att se till att ut- lämnandet från forskningsdatabasen enligt huvudregeln (avsnitt 8.11.3) 52Ibland används det engelska uttrycket privacy by design. 53Ibland används det engelska uttrycket privacy by default. Förslag till reglering av forskningsdatabaser görs med uppgifter som är pseudonymiserade eller skyddade på likvärdigt sätt. Enheten ska också administrera behörigheter till åtkomst, bl.a. genom att styra åtkomsten för de som behöver ha åtkomst för att utföra sina arbetsuppgifter. I avsnitt 8.9.5 redogör vi för förslag till bestämmelser om inre sekretess, styrning av åtkomst och kontroll av åtkomst till personuppgifter. Det är enheten som ska ha det verkställande ansvaret för att genomföra forskningshuvud- mannens ansvar för dessa skyddsåtgärder. Enheten ska också ansvara för arbetet med det systematiska och riskbaserade informationssäker- hetsarbetet. Forskningshuvudmannen ska tilldela enheten de befogenheter och de uppdrag som behövs för att skydda personuppgifterna. Forsk- ningshuvudmannen har ett ansvar för att de som arbetar på enheten har de kunskaper och den kompetens som krävs för att förvalta och använda forskningsdatabasen på ett rättsenligt, effektivt och säkert sätt. Det är forskningshuvudmannen som ansvarar för att enheten har tillräckliga resurser för sitt arbete. Utredningen om personuppgiftsbehandlingen vid ISF föreslog att en liknande funktion skulle krävas vid behandling av personuppgifter hos Inspektionen för socialförsäkringen (ISF).54 Utredningen anförde bl.a. följande angående skälet till detta: Automatiserad behandling av personuppgifter bör ges en sådan utform- ning att riskerna för otillbörliga intrång i enskildas personliga integritet minimeras. Det är här lämpligt att bygga in mekanismer i verksamheten – s.k. inbyggd integritet (eng. privacy by design) – som ger ett tekniskt och administrativt skydd vid behandlingen av sådana uppgifter. anförde i sitt betänkande55 angående förslaget om en integritetsskyddsfunktion att det får anses utgöra en skyddsåtgärd som är förenlig med dataskyddsförordningen. Vi anser att det är nödvändigt att personuppgifter i en forsknings- databas behandlas på ett sådant sätt att riskerna för otillbörligt intrång minimeras. Vi anser därför i likhet med Utredningen om person- uppgiftsbehandling vid ISF att det är lämpligt att bygga in mekanismer i verksamheten som skyddar behandlingen. En enhet med ansvar för integritetsskydd är ett sätt att använda sig av inbyggd integritet. 54Utredningen om personuppgiftsbehandlingen vid ISF:s betänkande Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67). 55SOU 2017:66, s. 285 ff. och 458 ff. Förslag till reglering av forskningsdatabaser Vi föreslår att det hos forskningshuvudmannen ska finnas en organisatorisk enhet som arbetar med integritetsskydd och infor- mationssäkerhet. Vårt förslag: Forskningshuvudmannen ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Forskningshuvudmannen ska tilldela tillräckliga resurser för informationssäkerhetsarbetet. Den som utför detta arbete ska hålla forskningshuvudmannen informerad. Bestämmelsen vi föreslår tar sikte på forskningshuvudmannens ansvar för att säkerställa de grundläggande informationssäkerhetsaspekterna vid behandlingen av personuppgifter i forskningsdatabasen. Vi anser att en verksamhets arbete med informationssäkerhet innefattar nöd- vändiga och obligatoriska skyddsåtgärder vid behandling av person- uppgifter. Informationssäkerhetsarbetet ska syfta till att hindra obehörig åtkomst (konfidentialitet), att informationen inte förändras eller förstörs på ett obehörigt sätt (integritet), samt säkerställa tillgäng- lighet vid behörig användning. Det ska även vara möjligt att spåra vem som har gjort vad och när med informationen. Konfidentialitet, integritet, tillgänglighet och spårbarhet är centrala begrepp i arbetet för att nå en god informationssäkerhet. Enligt 5 § Myndigheten för samhällsskydd och beredskaps före- skrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1) ska varje myndighet bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Ett ledningssystem är enligt 4 § i föreskrifterna ett sätt för organisationens ledning att på ett systematiskt sätt styra arbetet med informationssäkerhet i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksam- hetens informationshantering. Ledningssystemet ska utformas ut- ifrån verksamhetens behov och vara styrande för all hantering av information som myndigheten ansvarar för. Genom ledningssystemet ska myndigheten tydliggöra myndighetsledningens och den övriga Förslag till reglering av forskningsdatabaser organisationens ansvar för myndighetens informationssäkerhetsarbete, tilldela nödvändiga befogenheter för de roller som arbetet med infor- mationssäkerhet kräver, säkerställa att informationssäkerhetsarbetet bedrivs samordnat samt att det regelbundet utvärderas och löpande utvecklas. I detta arbete ska standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 beaktas. Tillräckliga resurser ska enligt dessa föreskrifter tilldelas för informationssäkerhetsarbetet samt löpande och regelbunden information lämnas till myndighetsledningen. Standarden ISO/IEC 27001:2014 anger de åtgärder och krav en verk- samhet bör följa för att införa ett ledningssystem för informations- säkerhet. De forskningshuvudmän som är statliga myndigheter omfattas alltså redan av denna skyldighet. Vårt förslag till en reglering av forsk- ningsdatabaser ska dock tillämpas även av kommunala myndigheter som är forskningshuvudmän och av privata lärosäten. Vi föreslår därför en generell regel om krav på ett sådant informationssäkerhets- arbete oavsett vilken typ av forskningshuvudman det är som ansvarar för en forskningsdatabas. I 2 § MSBFS 2016:1 stadgas att om det i en annan författning finns någon bestämmelse om statliga myndigheters informationssäkerhet som avviker från denna författning, gäller den bestämmelsen. Den föreslagna bestämmelsen i forskningsdatabaslagen avviker inte från MSBFS 2016:1. MSB:s föreskrifter gäller alltså för statliga forsk- ningshuvudmäns informationssäkerhetsarbete även vid behandling av personuppgifter i en forskningsdatabas såvida avvikande bestäm- melser inte meddelas i enlighet med det bemyndigande vi föreslår. Vi föreslår att regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om det systematiska och riskbaserade informationssäkerhetsarbetet som forskningshuvud- mannen ska bedriva. Sådana föreskrifter kan t.ex. innefatta speci- ficerade krav på vilka standarder som ska beaktas i detta arbete. I likhet med vad som föreskrivs i MSB:s föreskrifter skulle ett krav på att beakta standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 kunna föreskrivas (mer om bemyndiganden i avsnitt 8.13). 56Stöd för hur ett ledningssystem för informationssäkerhet () kan införas och utformas i en verksamhet finns på , ytterligare stöd för informationssäker- hetsarbete finns på . Förslag till reglering av forskningsdatabaser Enligt vårt lagförslag ska det finnas en organisatorisk enhet som ansvarar för att genom tekniska och organisatoriska åtgärder säker- ställa informationssäkerheten och skydda enskildas personliga integ- ritet samt upprätthålla en tillräcklig säkerhetsnivå för de person- uppgifter som behandlas i en forskningsdatabas. Vi föreslår alltså en organisatorisk hemvist för informationssäkerhetsarbetet hos forsk- ningshuvudmannen. Den eller de personer som utses att leda och samordna informationssäkerhetsarbetet på denna enhet bör få en sådan ställning i organisationen att arbetet kan prioriteras och utföras effektivt. Det innebär att den eller de som utsetts behöver ha möjlighet och befogenhet att fullgöra uppgiften samt att ansvaret är känt och förankrat i verksamheten. Forskningshuvudmannen ansvarar för att det finns tillräckliga resurser för arbetet. Det är viktigt att det finns ett tydligt utpekat ansvar för infor- mationssäkerhetsarbetet samt att arbetet är ändamålsenligt och följer bestämmelserna i dataskyddsförordningen och den föreslagna lagen och andra författningar. Den eller de som ansvarar för informations- säkerhetsarbetet ska hålla forskningshuvudmannen informerad. Det kan t.ex. handla om information om de riskanalyser som har gjorts av informationssäkerheten, incidenter som har påverkat informations- säkerheten och som medfört eller hade kunnat medföra integritets- skador, uppföljningar som har gjorts samt förbättringsåtgärder som har vidtagits. Genom dataskyddsförordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en så kallad personuppgiftsincident. Detta är enligt data- skyddsförordningen en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som behandlats. Även den registrerade ska informeras om incidenten om den sannolikt leder till en hög risk för enskildas rättigheter och friheter. Detta regleras i artikel 33 och 34 (skäl 85–88). Krav på incidentrapportering finns också i Myndigheten för sam- hällsskydd och beredskaps föreskrifter (MSBFS 2016:2) om statliga myndigheters rapportering av it-incidenter. Här ges föreskrifter om hur statliga myndigheter till MSB ska rapportera it-incidenter som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten levererar till en annan organisation. Förslag till reglering av forskningsdatabaser Krav på intern incidenthantering finns i 10 § MSBFS 2016:1. En myndighet ska enligt dessa ha rutiner för att identifiera, rapportera, bedöma, hantera och dokumentera incidenter som kan påverka säker- heten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Myndigheten ska även ha rutiner för att lära av sådana inträffade incidenter och utförda åtgärder. Det är oftast negativt att en avvikelse inträffar i en verksamhet. Däremot kan varje upptäckt av en sådan avvikelse vara något positivt och utgöra en nödvändig del av ett systematiskt förbättringsarbete Genom upptäckten av en avvikelse säkerställs dels att den kan åtgärdas, dels att verksamheten får en möjlighet att se över sin styr- ning och därigenom kan förhindra att liknande avvikelser åter- upprepas. Därmed utvecklas och säkras verksamhetens kvalitet. Vi föreslår att en forskningshuvudman som ansvarar för en forsk- ningsdatabas ska bedriva ett riskbaserat informationssäkerhetsarbete. Forskningshuvudmannen ska tilldela tillräckliga resurser för infor- mationssäkerhetsarbetet. Den som utför detta arbete ska hålla forsk- ningshuvudmannen informerad. 8.10.5Intern tillgång till personuppgifter i en forskningsdatabas Vi föreslår i detta avsnitt ett antal bestämmelser som på olika sätt reglerar den interna tillgången till personuppgifter i forskningsdata- basen. Det är bestämmelser om inre sekretess, styrning av behörighet till åtkomst och åtkomstkontroll (loggning). Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull reduceras, får mer specifika krav fastställas i den nationella lagstiftningen med stöd av artikel 6.2 och För behandling av känsliga person- uppgifter med stöd av artikel , i eller j i dataskyddsförordningen gäller att nationell lagstiftning ska innehålla bestämmelser om lämp- liga och särskilda åtgärder för att säkerställa den registrerades grund- läggande rättigheter och intressen. Motsvarande krav gäller enligt artikel 10 i dataskyddsförordningen för nationell lagstiftning som tillåter behandling av uppgifter om lagöverträdelser utan kontroll av en myndighet. Olika skyddsåtgärder är således inte bara något som Förslag till reglering av forskningsdatabaser kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. En avgränsning av vilka personuppgifter som får behandlas i en forskningsdatabas är ett förtydligande och en tillämpning av vad som gäller enligt den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.