sou · H6B352 · 2018-06-28 00:00:00 — Projekt som innefattar behandling av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung om färre än 100 per- soner behöver dock inte genomgå etisk prövning. 11.4.1Behandling tillåts om det finns uttryckligt samtycke eller etikgodkännande Som konstaterats i den inledande bedömningen (avsnitt 11.1) bör Myndigheten för vård- och omsorgsanalys få behandla känsliga personuppgifter bara med uttryckligt samtycke, då alla typer av känsliga personuppgifter får behandlas, eller efter godkännande vid en etisk prövning, då bara sådana typer av känsliga personuppgifter som myndigheten har ett särskilt behov av får behandlas. I andra fall bör myndigheten alltså i princip inte få behandla känsliga person- uppgifter. Utredningen har i avsnitt 11.2 konstaterat att Myndig- heten för vård- och omsorgsanalys har ett berättigat behov av att, utan stöd av samtycke, behandla bara uppgifter om hälsa och person- uppgifter som avslöjar etniskt ursprung. Myndigheten bör alltså utan samtycke få behandla bara dessa typer av känsliga personupp- gifter, under förutsättning att det projekt som behandlingen ingår i har godkänts vid en etisk prövning. Den föreslagna bestämmelsen förbjuder alltså för det första myn- digheten att behandla känsliga personuppgifter i andra fall än som anges i bestämmelsen. Myndigheten får således, till följd av bestäm- melsen, inte använda de möjligheter till behandling av känsliga personuppgifter som artikel 9 h och j i dataskyddsförordningen samt 3 kap. 5 och 7 §§ dataskyddslagen ger. Den föreslagna lagen gäller framför dataskyddslagen som är subsidiär (avsnitt 9.4.2). Data- skyddsförordningen hindrar, som anges i avsnitt 9.2, inte att med- lemsstaterna i nationell rätt har mer restriktiva bestämmelser än enligt dataskyddsförordningen för sina egna myndigheters behand- ling av personuppgifter. Även artikel 6.2 och 6.3 i dataskyddsförord- ningen möjliggör som angetts i det avsnittet en precisering av vilka villkor som ska gälla för behandlingen. Det är därför möjligt att inskränka myndighetens möjligheter till behandling av känsliga per- sonuppgifter i förhållande till vad som gäller . För det andra tillåter bestämmelsen myndigheten att behandla känsliga personuppgifter i de två fall som anges i bestämmelsen. Vid lagstiftning som kompletterar dataskyddsförordningen och utgör en uttrycklig tillåtelse att behandla känsliga personuppgifter är det van- ligt att i lagtexten ange med stöd av vilken eller vilka bestämmelser i dataskyddsförordningen som tillåtelsen ges, dvs. var det ursprung- liga rättsliga stödet för behandlingen finns. Utredningen anser att det som blivit vanligt bör följas, även om det tynger lagtexten, och har tagit med sådana hänvisningar till dataskyddsförordningen. Hän- visningarna är på det sätt som är brukligt av dynamisk karaktär, dvs. de avser vid var tid gällande lydelse av bestämmelsen, eftersom det rör sig om rena upplysningar. För att definiera vilka kategorier av personuppgifter som är att anse som känsliga personuppgifter, bör det i bestämmelsen göras en hänvisning till artikel 9.1 i dataskyddsförordningen. En sådan hän- visning bör också vara av dynamisk karaktär, eftersom terminologin som används i nationell reglering som kompletterar dataskyddsför- ordningen lämpligen bör följa den begreppsutveckling som sker inom unionen, även vid en eventuell ändring av uttryckliga definitioner i dataskyddsförordningen. Om uttrycken etniskt ursprung eller hälsa i dataskyddsförordningen ändras eller tas bort, måste givetvis den föreslagna lagen ändras. En bestämmelse om att myndigheten under vissa förutsättningar tillåts behandla känsliga personuppgifter utgör ett lagstöd enligt 2 kap. 20 § regeringsformen, vilket innebär att behandlingen får ut- föras även om den sker utan samtycke och innebär ett sådant be- tydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. Utredningen redovisar i kapitel 16 sin bedömning av tillåtligheten enligt 2 kap. 21 § regeringsformen av ett sådant lagstöd. 11.4.2Undantag från kravet på etisk prövning Behandling av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung får alltså, enligt utredningens förslag, bara ske om behandlingen prövats och godkänts vid en etisk prövning. Den etiska prövningen innebär emellertid en sådan omgång och sådana kostnader att den bör reserveras för de fall av behandling av per- sonuppgifter där det finns betydande integritetsrisker. Det är främst vid storskalig behandling som det finns sådana risker. Behandling som omfattar få registrerade innebär att risken för att det sker integritetsintrång generellt sett är mindre. Utredningen bedömer att det inte är nödvändigt med en extern etisk prövning om myndig- hetens projekt avser behandling av uppgifter om hälsa eller person- uppgifter som avslöjar etniskt ursprung om färre än 100 personer. Utredningen föreslår därför att kravet på etisk prövning inte ska gälla om behandlingen av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung i ett projekt avser färre än 100 per- soner. Behandlingen av känsliga personuppgifter får i sådana fall ske med stöd av bestämmelserna i dataskyddsförordningen och 3 kap. dataskyddslagen. Detta undantag från kravet på etisk prövning är inte ett sådant lagstöd som ger möjlighet till sådana betydande in- trång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. 12.1Behovet av att behandla uppgifter om lagöverträdelser Behandling av uppgifter om lagöverträdelser (lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden) kan anses särskilt riskfylld. Sådan behandling är särreglerad i dataskyddsförordningen och brukar ofta regleras särskilt i registerförfattningar för myndigheter, trots att dessa utan särskilda restriktioner enligt dataskyddsförordningen får behandla sådana personuppgifter (jämför 3 kap. 8 § första stycket data- skyddslagen). Myndigheten för vård- och omsorgsanalys bör således utan sam- tycke få behandla uppgifter om lagöverträdelser bara om myndig- heten har ett behov av det och efter godkännande vid en etisk prövning (kapitel 10). Ett undantag från kravet på etikgodkännande bör dock göras för behandling som är av sådan mindre omfattning att den inte kan anses särskilt riskfylld. Av de skäl som framgår av avsnitt 10.2 behövs det inte några särskilda restriktioner när myn- digheten kan stödja behandlingen av uppgifter om lagöverträdelser på de registrerades samtycken. Myndigheten för vård- och omsorgsanalys har ett behov av att i vissa projekt behandla alla typer av uppgifter om lagöverträdelser. Sådana uppgifter är framför allt aktuella att behandla i samband med studier av , men skulle också kunna förekomma i sam- band med undersökningar som rör hälso- och sjukvård. Behov kan exempelvis uppstå i studier avseende arbete med unga lagöverträdare eller vårdpåföljder. 12.2Krav på etisk prövning för behandling av uppgifter om lagöverträdelser utan samtycke Utredningens förslag: Myndigheten för vård- och omsorgsana- lys får behandla uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administra- tiva frihetsberövanden i ett projekt bara 1.med de registrerades samtycken, eller 2.om projektet har prövats och godkänts av Etikprövnings- myndigheten eller nativt av ett annat särskilt organ för prövning av etiska frågor. Projekt som innefattar behandling av uppgifter om lagöverträd- elser om färre än 100 personer behöver dock inte genomgå etisk prövning. 12.2.1Behandling tillåts om det finns uttryckligt samtycke eller etikgodkännande Som anges i avsnitt 7.3 får personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 10 i dataskyddsför- ordningen behandlas av en myndighet under förutsättning att det finns en rättslig grund för behandlingen. Detta framgår också av 3 kap. 8 § första stycket dataskyddslagen. Dataskyddsförordningen uppställer således inte, i likhet med den tidigare personuppgifts- lagen, några särskilda krav för att sådana uppgifter ska få behandlas av en myndighet. Myndigheten för vård- och omsorgsanalys har alltså med stöd av dataskyddsförordningen och dataskyddslagen samma möjligheter att behandla uppgifter om lagöverträdelser som andra personuppgifter. Uppgifter om lagöverträdelser är dock av så pass integritets- känsligt slag att det förekommer att även myndigheters behandling av sådana uppgifter begränsas i registerförfattningar.1 Uppgifterna har också ansetts så integritetskänsliga att etikprövning av forskning 1Se t.ex. 114 kap. 12 § socialförsäkringsbalken och 7 § lagen (2001:454) om behandling av personuppgifter inom . innefattande sådana uppgifter bör ske, oavsett om forskningen ut- förs av myndigheter eller enskilda. Utredningen anser därför, trots att det inte finns något krav på skyddsåtgärder enligt dataskydds- förordningen, att det är rimligt att även låta behandling av uppgifter om lagöverträdelser utan samtycke omfattas av det föreslagna kravet på godkännande vid en etisk prövning (kapitel 10). Därutöver bör myndigheten få behandla sådana personuppgifter med de registrerades samtycken. Definitionen av vad som utgör uppgifter om lagöverträdelser är något snävare enligt dataskyddsförordningen än den som angavs i 21 § personuppgiftslagen. De huvudsakliga skillnaderna är att data- skyddsförordningens reglering inte omfattar uppgifter om friande brottmålsdomar och administrativa frihetsberövanden.2 Etikprövningslagen ska enligt 3 § tillämpas bl.a. på forskning som innefattar behandling av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.3 Den vidare definitionen av personuppgifter om lagöverträdelser som gällde enligt personupp- giftslagen behölls således i etikprövningslagen när dataskyddsför- ordningen började tillämpas. För det fall ska göra prövningen av projekt som bedrivs vid Myndigheten för vård- och omsorgsanalys bör den bestämmelse utredningen nu före- slår avseende behandling av uppgifter om lagöverträdelser stämma överens med etikprövningslagens reglering. Samma bedömning är relevant även om ett annat särskilt organ ska göra prövningen. Kravet på etisk prövning bör därför i fråga om uppgifter om lagöverträdelser omfatta samma personuppgifter som etikprövningslagen omfattar. Bestämmelsen bör således omfatta personuppgifter om lagöverträd- elser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel och administrativa frihetsberövanden. Dataskyddsförordningen hindrar, som anges i avsnitt 9.2, inte att medlemsstaterna i nationell rätt har mer restriktiva bestämmelser än enligt dataskyddsförordningen för sina egna myndigheters behand- ling av personuppgifter. Även artikel 6.2 och 6.3 i dataskyddsförord- ningen möjliggör som angetts i det avsnittet en precisering av vilka villkor som ska gälla för behandlingen. Det är därför möjligt att låta 2För en mer ingående analys av skillnaderna mellan bestämmelserna hänvisas till utredningens första betänkande, SOU 2017:66 s. 252 ff. 3Utkast till lagrådsremiss dnr U2018/01639/F s. 11. myndighetens behandling av uppgifter om lagöverträdelser utan samtycke omfattas av kravet på prövning av ett externt organ. Den föreslagna bestämmelsen utgör ett lagstöd enligt 2 kap. 20 § regeringsformen vilket innebär att behandlingen får utföras även om den sker utan samtycke och innebär ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. I kapitel 16 redovisas utredningens bedömning av tillåtligheten enligt 2 kap. 21 § regeringsformen av ett sådant lagstöd. 12.2.2Undantag från kravet på etisk prövning Utredningen föreslår alltså att behandling av uppgifter om lagöver- trädelser utan samtycke i ett projekt bara får ske om behandlingen prövats och godkänts vid en etisk prövning. Som utredningen konstaterat i avsnitt 11.4.1 bör den etiska prövningen reserveras för de fall av behandling av personuppgifter där det finns betydande integritetsrisker. Det är främst vid storskalig behandling som det finns sådana risker. Behandling som omfattar få registrerade innebär att risken för att det sker integritetsintrång generellt sett är mindre. Utredningen bedömer att det inte är nödvändigt med en extern etisk prövning om myndighetens projekt avser behandling av uppgifter om lagöverträdelser om färre än 100 personer. Utredningen föreslår därför att kravet på etisk prövning inte ska gälla om behandlingen av uppgifter om lagöverträdelser i ett projekt avser färre än 100 per- soner. Behandlingen av uppgifter om lagöverträdelser får i sådana fall ske med stöd av bestämmelserna i dataskyddsförordningen och 3 kap. dataskyddslagen. Detta undantag från kravet på etisk pröv- ning är inte ett sådant lagstöd som ger möjlighet till sådana betyd- ande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. 13Andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser 13.1Behovet av att behandla andra personuppgifter I kapitel 11 och 12 föreslår utredningen att Myndigheten för vård- och omsorgsanalys ska få behandla vissa känsliga personuppgifter och uppgifter om lagöverträdelser utan samtycke i ett projekt om projektet har prövats och godkänts av eller ett annat särskilt organ för prövning av etiska frågor. Mot bakgrund av myn- dighetens uppdrag inkluderar de flesta av myndighetens analys- och uppföljningsprojekt behandling av känsliga personuppgifter. Utöver känsliga personuppgifter och uppgifter om lagöverträdelser behöver dock även andra personuppgifter behandlas. Det kan röra sig om bl.a. socioekonomiska uppgifter om t.ex. utbildning, ekonomi, bi- drag, sysselsättning och sysselsättningsgrad. Inom behandlas exempelvis uppgifter om försörjningsstöd, som inte är känsliga enligt dataskyddsförordningens definition, även om de måste betraktas som integritetskänsliga ur ett mer allmänt perspektiv. Projekten kan även behöva inkludera demografiska uppgifter om t.ex. ålder, kön, bostadsuppgifter, civilstånd och familj, och social- försäkringsuppgifter. Tillgång till en bred informationsbas kan i många fall utgöra en förutsättning för att myndigheten ska kunna genom- föra projekt av god kvalitet och göra relevanta analyser. Myndigheten kan, som utredningen konstaterar i avsnitt 7.1.4, behandla andra personuppgifter än känsliga personuppgifter direkt med stöd av dataskyddsförordningen. För behandling av sådana per- sonuppgifter ställer dataskyddsförordningen inte upp något krav på stöd i nationell lag. Myndigheten måste dock, som framgår av Andra personuppgifter än känsliga personuppgifter... avsnitt 7.1.4, göra en bedömning av om behandlingen av person- uppgifter är tillåten med hänsyn till 2 kap. 6 § andra stycket reger- ingsformen. Om myndigheten bedömer att personuppgifterna inte kan behandlas med stöd av samtycke och att en behandling skulle medföra ett betydande intrång i den personliga integriteten som innebär övervakning eller kartläggning av den enskildes personliga förhållanden, får personuppgifterna inte behandlas med stöd av data- skyddsförordningen. För att personuppgifterna ska kunna behand- las krävs då enligt 2 kap. 20 § regeringsformen stöd i (svensk) lag. 13.2Behandling av andra personuppgifter i projekt som godkänts vid en etisk prövning Utredningens förslag: När känsliga personuppgifter eller uppgif- ter om lagöverträdelser, efter prövning och godkännande av en eller prövning alternativt ett annat särskilt organ för prövning av etiska frågor, får behandlas i ett projekt får även andra personuppgifter behandlas utan de registrerades samtycken i det projektet. Den prövning eller Överklagandenämn- den för etikprövning alternativt ett annat särskilt organ för prövning av etiska frågor ska göra ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd analys eller upp- följning. Undantag gäller om ett projekt innefattar flera klart av- gränsade delprojekt, och bara något av dessa innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, se avsnitt 10.4.1 och 10.4.2. Huvudregeln är således att den prövande instansen ska göra en helhetsbedömning av Myndigheten för vård- och omsorgsanalys projekt. Den totala omfattningen av behand- lingen av personuppgifter inom projektet kan ju få betydelse vid bedömningen av om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. När det gäller de projekt som Myndig- heten för vård- och omsorgsanalys bedriver är det dessutom ofta så att personuppgifterna behandlas integrerat med varandra, vilket innebär att det inte går att skilja ut den del som avser behandling av Andra personuppgifter än känsliga personuppgifter... känsliga personuppgifter eller uppgifter om lagöverträdelser från behandlingen av övriga personuppgifter. Det är mot bakgrund av detta utredningens uppfattning att den etiska prövningen utgör en garanti för att samtlig behandling av personuppgifter, inte enbart behandlingen av känsliga personuppgifter och uppgifter om lagöver- trädelser, inom ett godkänt projekt är välgrundad och proportioner- lig. Har projektet vid den etiska prövningen ansetts så viktigt att det motiverar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, måste det rimligen vara befogat med hänsyn till projektets vikt att behandla även andra personuppgifter. Utredningen föreslår därför en bestämmelse om att i de fall be- handling av känsliga personuppgifter eller uppgifter om lagöverträ- delser i ett projekt har godkänts vid en prövning av Etikprövnings- myndigheten eller ett annat särskilt organ för prövning av etiska frågor får även andra personuppgifter behandlas i det projektet eller delprojektet. En sådan bestämmelse har stöd i artikel 6.1 e och 6.2 i dataskyddsförord- ningen. Förslaget innebär att all behandling av personuppgifter i projekt eller delprojekt som godkänts vid en etisk prövning har ett lagstöd enligt 2 kap. 20 § regeringsformen som innebär att behandlingen får utföras även om den sker utan samtycke och innebär ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. I kapitel 16 redovisas utredningens bedömning av tillåtligheten enligt 2 kap. 21 § regeringsformen av ett sådant lagstöd. Information om att myndigheten planerar att behandla andra per- sonuppgifter ska naturligtvis ha ingått i det underlag som varit före- mål för etisk prövning. Om det efter att godkännande lämnats upp- står ett behov av att behandla ytterligare personuppgifter får myn- digheten, liksom vid andra förändringar av förutsättningarna för projektet, överväga om en ny prövning av projektet behöver göras. När det gäller etikprövning enligt etikprövningslagen behöver en ny ansökan enligt motivuttalanden göras om förändringarna av projek- tet är väsentliga.1 Motsvarande bör gälla vid prövning av ett annat särskilt organ för prövning av etiska frågor. 2002/03:50 s. 115. Andra personuppgifter än känsliga personuppgifter... 13.3Utvidgad möjlighet till etisk prövning av projekt som endast innefattar andra uppgifter Utredningens förslag: Om ett projekt endast ska innefatta be- handling av andra personuppgifter än känsliga personuppgifter eller uppgifter om lagöverträdelser får personuppgifterna, om myndigheten bedömer att projektet inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsformen, behandlas om pro- jektet har prövats och godkänts av eller ett annat särskilt organ för prövning av etiska frågor. Även om många projekt inkluderar behandling av känsliga person- uppgifter, är det inte uteslutet att Myndigheten för vård- och om- sorgsanalys även har projekt som innefattar behandling enbart av sådana personuppgifter som inte är känsliga eller uppgifter om lag- överträdelser. Det skulle t.ex. kunna röra sig om en undersökning som kartlägger privatekonomi och andra levnadsomständigheter för personer som beviljats ekonomiskt bistånd. Det är inte heller omöj- ligt att analysarbetet i ett enskilt projekt medför en så omfattande behandling av personuppgifter att det med hänsyn till den stora mängden personuppgifter, uppgifternas integritetskänsliga karaktär och ett behov av att koppla samman personuppgifterna, får anses innebära en kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. Sådan behandling är inte tillåten utan samtycke eller lagstöd enligt 20 § i samma kapitel. Det kan också förutsättas att all behandling av personuppgifter i projekt, som medför så omfattande behandling av personuppgifter att den får anses innebära en kartläggning av enskildas personliga förhållanden och ett betydande intrång i den personliga integriteten, inte kan ske med stöd av samtycke. I ett sådant fall krävs lagstöd enligt 2 kap. 20 § regeringsformen för att behandlingen ska vara tillåten. Utredningen gör bedömningen att behandling utan samtycke av personuppgifter som inte omfattas av dataskyddsförordningens defi- nition av känsliga personuppgifter och inte heller utgör uppgifter av lagöverträdelser inte kan tillåtas generellt (se avsnitt 9.1 och 10.1). Det är inte möjligt att för myndighetens verksamhet fastställa tillräckligt Andra personuppgifter än känsliga personuppgifter... avgränsade och förutsägbara ändamålsbestämmelser för att all be- handling av personuppgifter utan samtycke för vissa angivna ända- mål ska kunna tillåtas. I stället föreslår utredningen i avsnitt 14.2.5 att myndigheten för varje enskilt projekt ska fastställa ändamålet för behandlingen. I samband med detta måste myndigheten också av- göra omfattningen av behandlingen och utifrån detta bedöma om den är tillåten i förhållande till 2 kap. 6 § andra stycket regerings- formen. Följden av denna reglering är att om myndigheten bedömer att behandlingen av personuppgifter står i strid med 2 kap. 6 § andra stycket regeringsformen, krävs lagstöd för att behandlingen ska vara tillåten. Utredningen föreslår, med hänsyn till svårigheterna att på för- hand fastställa tillräckligt tydliga ändamål för myndighetens behand- ling av personuppgifter, att även projekt som endast medför behand- ling av personuppgifter som varken är känsliga eller uppgifter om lagöverträdelser ska kunna prövas av eller ett annat särskilt organ för prövning av etiska frågor om behandlingen, enligt myndighetens bedömning, inte är tillåten enligt 2 kap. 6 § andra stycket regeringsformen. Om projektet godkänns vid prövningen, ska behandlingen enligt förslaget vara tillåten. Bestämmelsen har stöd i artikel 6.1 e och 6.2 i dataskyddsförordningen. Den föreslagna bestäm- melsen utgör ett sådant lagstöd som avses i 2 kap. 20 § regerings- formen. I kapitel 16 redovisas utredningens bedömning av tillåtlig- heten enligt 2 kap. 21 § regeringsformen av ett sådant lagstöd. Behovet av att i ett projekt utföra omfattande behandling av per- sonuppgifter, som träffas av 2 kap. 6 § andra stycket regeringsformen, utan att projektet förutsätter behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, lär i praktiken dock uppstå ytterst sällan. Möjligheten att ansöka om prövning för dylika projekt skulle således vara aktuell enbart i fall där integritetsskyddsintresset tydligt står på spel.