sou · H6B336 · 2018-06-05 00:00:00 — 5Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 6Kommittédirektiv Personuppgiftsbehandling för forskningsändamål (dir. 2016:65). Utlämnande av uppgifter till europeiska forskningsdatabaser Vår bedömning: Det behöver införas en sekretessbrytande bestämmelse som möjliggör för statistikansvariga myndigheter att lämna ut uppgifter till och andra forskningsdatabaser inom . Sekretess som gäller för uppgifterna hos statistikansvariga myndigheter Av 24 kap. 8 § första stycket OSL framgår att sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Den officiella statistikproduktionen, som regleras i lagen (2001:99) och förord- ningen (2001:100) om den officiella statistiken, utgör det centrala området för sådan särskild verksamhet som avses här. 7 De uppgifter som bör lämnas ut till omfattas av sekretess enligt 24 kap. 8 §.8 Enligt 8 kap. 1 § OSL får en uppgift för vilken sekretess gäller inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Representanter för har åberopat 8 kap. 3 § 2 OSL som stöd för att SCB ska kunna lämna ut begärda uppgifter.9 Enligt nämnda lagrum får en uppgift för vilken sekretess gäller inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte 1.utlämnande görs i enlighet med särskild föreskrift i lag eller förordning, eller 2.uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften 7Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 8Se SCB:s skrivelse , dnr 2014/1071Ad1, och nationella jämförelser av inkomstskillnader – möjligheter att bidra med statistik (RIR 2016:24) s. 16. 9Skrivelse till SCB från R. och M. Jäntti vid , dnr SU 328-0003-13 (universitets dnr) och 2013/0442 (SCB:s dnr). Utlämnande av uppgifter till europeiska forskningsdatabaser lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. Lagrådet har påpekat att en svensk myndighet i princip inte har någon skyldighet att tillhandagå en utländsk myndighet eller en mellan- folklig organisation med uppgifter vare sig dessa är sekretessbelagda eller inte, såvida inte en sådan uppgiftsskyldighet är särskilt före- skriven. Paragrafen medför således inte någon förpliktelse att lämna uppgifter utan har endast till funktion att fastställa under vilka förut- sättningar sekretessbelagda uppgifter får lämnas till en utländsk myndighet eller en internationell organisation.10 Någon särskild föreskrift om statistikansvariga myndigheters utlämnande av uppgifter till eller någon annan europeisk forsk- ningsdatabas finns varken i lag eller förordning. Utlämnande till utländska myndigheter eller mellanfolkliga organisationer De ansvariga för LIS-databasen har som nämnts ovan åberopat det andra undantaget i 8 kap. 3 § OSL. Den fråga som behöver klargöras är således om LIS-databasen och andra europeiska forsknings- databaser omfattas av bestämmelserna i 8 kap. 3 § 2 OSL. Bestäm- melserna i 8 kap. 3 § tar sikte på i vilka fall uppgifter kan lämnas till en utländsk myndighet eller en mellanfolklig organisation. Det måste först avgöras om den europeiska forskningshuvud- mannen är en utländsk myndighet. Är svaret på den frågan nekande måste man i stället bedöma om forskningshuvudmannen är att betrak- tas som en mellanfolklig organisation enligt kriterierna uppställda i 8 kap. 3 § OSL. I det följande undersöker vi därför främst ur ett organisatoriskt perspektiv. är en oberoende icke vinstdrivande forskningsorganisation som är registrerad och belägen i med en filial vid . 11 är således inte en utländsk myndighet. Frågan är därmed om är att betrakta som en mellanfolklig organisation. 10Konstitutionsutskottets betänkande 1982/83:KU12 s. 36 och Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 8 kap. 3 §. 11http:///wp-content/uploads/brochure.pdf Utlämnande av uppgifter till europeiska forskningsdatabaser har funnit att det inte är entydigt om rent juridiskt är att betrakta som en mellanfolklig organisation. Forskare från svenska statliga universitet deltar i arbetet, något som enligt Riks- revisionen skulle kunna tala för att organisationen är att betrakta som mellanfolklig. Om detta faktum är tillräckligt för att klassificera organisationen som mellanfolklig kan enligt emellertid inte fastslås med säkerhet.12 Det finns inte någon definition av mellanfolklig organisation i och fanns inte heller i den äldre sekretesslagen (1980:100), förkortad SekrL. Någon definition nämns inte heller i förarbetena till bestäm- melserna i 8 kap. 3 § OSL, som tidigare fanns i 1 kap. 3 § tredje stycket SekrL. Uttrycket mellanfolklig organisation förekommer också i 10 kap. 1 § regeringsformen, förkortad RF. Enligt nämnda paragraf är det regeringen som ingår överenskommelser med bl.a. mellanfolkliga organisationer. I förarbetena till den bestämmelsen anges att uttrycket mellanfolklig organisation bara omfattar organisationer som är rättssubjekt enligt folkrätten, vilket är fallet i huvudsak med organi- sationer som är sammanslutningar av stater.13 Lagrådet har ansett att hit torde också få räknas organisationer som upprättats genom avtal mellan flera stater utan att för den skull de enskilda staterna ses som medlemmar i organisationerna.14 Regeringen har uttalat att det inte finns någon allmänt vedertagen definition av vad som är en mellan- folklig eller internationell organisation. Enligt regeringen brukar dock vanligtvis sägas att en mellanfolklig organisation för det första ska skapas genom en internationell överenskommelse, för det andra ska vara ett självständigt organ samt för det tredje ska ha etablerats i enlighet med internationell rätt.15 Den ovan återgivna synen på vad som karaktäriserar en mellan- folklig organisation, dvs. organisationer som är sammanslutningar av stater eller som upprättats genom avtal mellan flera stater eller genom en internationell överenskommelse, förefaller också vara relevant för bestämmelserna i 8 kap. 3 § OSL. I förarbetena till bestämmelsen i 12Riksrevisionens rapport jämförelser av inkomstskillnader – möjlig- heter att bidra med statistik (RIR 2016:24) s. 10. Maj:ts proposition med förslag till ny regeringsform och ny riksdagsordning m. m (prop. 1973:90 s. 357 och 360). 14Regeringens proposition Samarbete med Specialdomstolen för (prop. 2005/06:93), s. 88. 2005/06:93 s. 29 f. Utlämnande av uppgifter till europeiska forskningsdatabaser 8 kap. 3 § 1 nämns som exempel de socialförsäkringskonventioner som har ingått med främmande länder och som innehåller åtaganden om att lämna uppgifter i olika hänseenden.16 Som ytter- ligare exempel kan nämnas lagen (2000:1219) om internationellt tull- samarbete.17 I förarbetena till den lagen anges FN och EG som exem- pel på mellanfolkliga organisationer.18 Vidare kan nämnas att och anges som exempel på mellanfolkliga organisationer i förarbetena till bestämmelserna om utrikessekretess i 15 kap. 1 § OSL, vilka tidigare fanns i 2 kap. 1 § SekrL.19 Är en mellanfolklig organisation? Income Study bildades av forskare från sju länder, däribland Sverige.20 Även om det är flera länder som bidrar med uppgifter till är det enligt vår bedömning inte fråga om en organisation som är en sammanslutning av stater eller som har upp- rättats genom avtal mellan flera stater eller genom en internationell överenskommelse. är således inte att betrakta som en mellan- folklig organisation. Bestämmelsen i 8 kap. 3 § 2 OSL är därmed inte tillämplig här. Nämnda bestämmelse kan därmed inte utgöra stöd för SCB att lämna ut uppgifter till . Statistikansvariga myndigheters möjlighet att lämna ut uppgifter med stöd av 8 kap. 3 § OSL Även om en europeisk forskningsdatabas skulle vara att betrakta som en mellanfolklig organisation hade det inte per automatik inneburit att den statistikansvariga myndigheten skulle kunna lämna ut önskade uppgifter. Enligt bestämmelsen i 8 kap. 3 § OSL får uppgifter lämnas ut till en utländsk myndighet eller mellanfolklig organisation endast om uppgiften i motsvarande fall fått lämnas ut till svensk myndighet 16Regeringens proposition om ändring i sekretesslagen (prop. 1981/82:186) s. 58. 17Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 18Regeringens proposition Internationellt tullsamarbete (prop. 1999/2000:122), s. 19. 19Regeringens proposition med förslag till sekretesslag m.m. (prop. 1979/80:2) Del A s. 130 f. 20Riksrevisionens rapport jämförelser av inkomstskillnader – möjligheter att bidra med statistik (RIR 2016:24), s. 10 samt Utlämnande av uppgifter till europeiska forskningsdatabaser och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas ut. Vid utlämnande till svenska myndigheter tillämpar statistik- ansvariga myndigheter statistiksekretessen i 24 kap. 8 § OSL. Enligt huvudregeln är sekretessen i 24 kap. 8 § första stycket absolut, dvs. inte försedd med något skaderekvisit. Det innebär att uppgifterna ska hemlighållas utan någon prövning av om ett utlämnande medför någon risk för skada eller men.21 I tredje stycket finns dock undantag från den absoluta sekretessen. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Även i de fall som en forskningsdatabas är en mellanfolklig organisation måste alltså utlämnande myndighet göra en sådan menprövning före ett utlämnande. SCB har i skrivelse till uttalat22 att det inte går att bedöma att det står klart att uppgifterna kan lämnas ut till utan att någon enskild lider skada eller men. SCB hänvisar i skrivelsen till att uppgifterna ska lämnas ut till en generell databas, i syfte att användas för framtida, ospecificerade forskningsprojekt. Till har företrädare för uppgett att myndigheten ansett sig förhindrad att lämna ut uppgifterna eftersom de skulle lämnas ut till en forskningsdatabas för att i ett senare skede lämnas ut till okända forskningsprojekt och att man därför inte kunnat göra någon skadeprövning.23 SCB är således av uppfattningen att mot- svarande förfrågan från en svensk myndighet inte hade kunnat god- kännas eftersom syftet med uppgifterna är att skapa en databas och inte att användas för ett specifikt forskningsprojekt.24 SCB:s tolkning innebär också att inte heller en förfrågan från någon annan europeisk forskningsdatabas skulle kunna godkännas. Denna bedömning kan inte sägas gälla specifikt för utan torde träffa andra liknande forsk- ningsdatabaser inom EU. 21Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 22Dnr 2014/1071Ad1 (SCB:s diarienummer). 23Riksrevisionens rapport jämförelser av inkomstskillnader – möjlig- heter att bidra med statistik (RIR 2016:24) s. 16. 24Se SCB:s två skrivelser , dnr 2013/0442 (SCB:s dnr). Utlämnande av uppgifter till europeiska forskningsdatabaser Sammanfattningsvis är det utredningens bedömning att det krävs en sekretessbrytande bestämmelse som går utöver de undantag från sekretess som finns i 24 kap. 8 § tredje stycket OSL. Detta för att de statistikansvariga myndigheterna ska kunna lämna ut uppgifter till de europeiska forskningsdatabaserna. Nedan analyserar vi vilka möjligheter till sådan reglering som finns med beaktande av dataskyddsförordningen och dataskyddslagen. Vår bedömning: Dataskyddsförordningen och dataskyddslagen förutsätter att det införs en särskild reglering av en rättslig grund som gör det möjligt för en svensk myndighet att lämna ut uppgifter till eller andra europeiska forskningsdatabaser. Personuppgifter behandlas inom forskningsverksamhet i samband med exempelvis intervjuer av forskningspersoner, inspelningar och genom insamling av registeruppgifter från större register från myndig- heter. Vilka typer av personuppgifter det är fråga om kan variera från projekt till projekt. Det kan handla om allt från t.ex. integritets- känsliga personuppgifter om hälsa och sexualliv till uppgifter om lag- överträdelser. I en del forskningsprojekt förekommer inga känsliga personuppgifter alls. Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 6.1 anges under vilka förutsättningar en behand- ling är laglig. Behandling är endast laglig om och i den mån som åtminstone ett av villkoren i artikel 6.1 a–f är uppfyllt. De rättsliga grunder som enligt vår uppfattning aktualiseras i detta sammanhang finns i artikel 6.1 c och e. Enligt artikel 6.1 c är behandling laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den Utlämnande av uppgifter till europeiska forskningsdatabaser Av första ledet i artikel 6.1 e framgår att behandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse. För att nämnda grunder ska kunna tillämpas finns ytterligare krav i artikel 6.3. Enligt första stycket ska den grund för behandling som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Förpliktelser och uppgifter av allmänt intresse som inte är rättsligt förankrade i enlighet med unionsrätten eller medlems- statens nationella rätt kan därmed inte åberopas som rättsliga grunder för behandling av personuppgifter. I de allra flesta typer av forskningsprojekt kan det förekomma känsliga personuppgifter och uppgifter om lagöverträdelser. Huvud- regeln i dataskyddförordningen anger att behandling av dylika person- uppgifter är förbjudna. Det krävs då att det finns ett undantag som är tillämpligt för att behandlingen ska kunna vara tillåten. Det undantag som kan bli aktuella gällande , och andra fall där man behandlar personuppgifter inom en forskningsverksamhet, är att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 j. Förutom ändamålet med behandlingen omfattar kraven att det finns stöd i unionsrätt eller nationell rätt. Regleringen ska stå i proportion till syftet med behandlingen, vara förenligt med rätten till dataskydd och utöver detta innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder. Slutsatsen av den bedömningen kan inne- bära att det saknas nationell reglering eller att den befintliga inte upp- fyller samtliga krav. Det kan också innebära att alla krav är uppfyllda och en sekretessprövning enligt gällande rätt kan utföras. Rättslig grund för utlämnande myndigheter I detta avsnitt avser vi att belysa den rättsliga grund som statistik- ansvariga myndigheter har för utlämnande av uppgifter till och andra liknande forskningshuvudmän utomlands. I bilagan till förordningen om den officiella statistiken anges vilka myndigheter som är statistikansvariga myndigheter. Av 3 § lagen om officiell statistik framgår det att officiell statistik ska finnas för allmän information, utredningsverksamhet och forskning. Denna fastställda uppgift utgör rättslig grund för de statistikansvariga myndigheterna Utlämnande av uppgifter till europeiska forskningsdatabaser att utföra en uppgift av allmänt intresse enligt artikel 6.1 e. Det är därmed utredningens bedömning att den personuppgiftsbehandling som krävs i det här fallet är fastställd i nationell rätt och därmed finns det inget behov av en separat reglering i denna del. Enligt artikel 6.3 andra stycket ska syftet med behandlingen fast- ställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse. Till skillnad mot vad som gäller avseende grunden rättslig för- pliktelse behöver ändamålet således inte framgå av den författning eller det beslut där själva uppgiften fastställs. Ändamålet med varje enskild behandling måste dock vara nödvändigt för att utföra den fastställda uppgiften. Med andra ord måste det finnas ett samband mellan behandlingen och den fastställda uppgiften. Av artikel 6.2 framgår att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i dataskyddsförordningen med hänsyn till behandling enligt artikel 6.1 c och e. Enligt artikel 6.3 andra stycket andra meningen kan den rättsliga grunden innehålla särskilda bestämmelser om bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka regist- rerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling. Detta omfattar även åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX (där det finns bestämmelser om behandling för bl.a. vetenskapliga eller historiska forskningsändamål eller statistiska ändamål). I artikel 6.3 andra stycket sista meningen anges att unionsrätten eller medlems- staternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I dataskyddslagen finns en kompletterande bestämmelse avseende uppgift av allmänt intresse. Enligt 2 kap. 4 § första stycket 1 får personuppgifter behandlas med stöd av artikel 6.1 e i dataskydds- förordningen om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut Utlämnande av uppgifter till europeiska forskningsdatabaser som har meddelats med stöd av lag eller annan författning. I för- arbetena25 till bestämmelsen i 2 kap. 4 § första stycket 1 anger reger- ingen att bl.a. statliga myndigheters verksamhet i allt väsentligt är av allmänt intresse. Det är därmed den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som vanligen bör tillämpas av dessa myndig- heter, även utanför området för myndighetsutövning. I propositionen anges vidare att myndigheternas uppdrag och åligganden framgår av bl.a. författningar och regeringsbeslut, antagna i enlighet med grund- lagens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentlig- gjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed utföras med stöd av artikel 6.1 e i dataskyddsförordningen.26 Även bestämmelserna i dataskyddslagen förutsätter att det finns en särskild reglering som möjliggör nödvändig behandling av personuppgifter vid sådant utlämnande. Det framgår av 1 kap. 3 § dataskyddslagen att en sådan reglering i så fall har företräde framför bestämmelserna i dataskydds- lagen, i den mån regleringen avviker från vad som föreskrivs i dataskyddslagen. Sammanfattningsvis kan konstateras att bestämmelserna i data- skyddsförordningen och dataskyddslagen förutsätter att det införs en särskild reglering av den rättsliga grunden som gör det möjligt för en statistikansvarig myndighet att lämna ut uppgifter till eller andra europeiska forskningsdatabaser. 11.2.3Uppgiftsskyldighet som bryter sekretess Vår bedömning: Ett undantag från sekretess på grund av uppgifts- skyldighet omfattar i gällande rätt inte uppgiftsskyldighet till annat än myndigheter. Sekretess hindrar inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Detta framgår av 10 kap. 28 § första stycket OSL. Av andra stycket framgår att ytter- 25Regeringens proposition Ny dataskyddslag (prop. 2017/18:105). 2017/18:105, s. 55 ff. Utlämnande av uppgifter till europeiska forskningsdatabaser ligare sekretessbrytande bestämmelser och bestämmelser om undan- tag från sekretess finns i anslutning till berörda sekretessbestämmelser i lagens avdelning IV–VI. En sekretessbrytande bestämmelse i form av uppgiftsskyldighet förutsätter således att det är en myndighet som är mottagaren. För att uppgiftsskyldigheten ska bryta sekretessen måste den också ha stöd i lag. Det finns en särskild skyldighet för statliga myndigheter att lämna uppgifter för officiell statistik. Uppgiftsskyldigheten regleras i lagen om den officiella statistiken (statistiklagen) och omfattar närings- idkare och ägare till en fastighet där någon annan driver jordbruk, skogsbruk eller trädgårdsodling eller håller djur samt stiftelser och ideella föreningar, registrerade trossamfund, kommuner och lands- ting. Uppgiftsskyldigheten innebär alltså att näringsidkare, olika organisationer, kommuner och landsting måste lämna in vissa upp- gifter som krävs för att producera officiella statistik. I fråga om statliga myndigheter finns bestämmelser om uppgifts- skyldigheten i statistikförordningen. Enligt förordningen ska en statlig myndighet lämna de uppgifter som behövs för den officiella statistiken till de statistikansvariga myndigheterna. Vilka myndigheter som är statistikansvariga inom vilket område framgår som ovan nämnts av bilagan till förordningen om den officiella statistiken.27 Skyldigheten att lämna in uppgifter för statistiska ändamål gäller alltså såväl för vissa myndigheter som för vissa privata aktörer. Däremot finns ingen reglerad uppgiftsskyldighet från myndighet till en privat forskningshuvudman i svensk lagstiftning. I förarbetena till statistiklagstiftningen28 har endast uppgiftsskyldigheten mellan myndigheter behandlats med utvidgning till att omfatta även EU-myndigheter. Det finns även möjlighet för den svenska staten att göra undantag från sekretess för mellanfolkliga organisationer såsom FN (8 kap 3 § OSL). Det finns dock inte något sådant undantag från sekretessen som omfattar offentliga eller privata forskningshuvudmän utanför gränser. 27Regeringens proposition Ändringar i statistiklagstiftningen (prop. 2013/14:7), s. 12 f 28Propositionerna 2000/01:27, 2002/03:95, 2008/09:165, 2013/14:7. Utlämnande av uppgifter till europeiska forskningsdatabaser 11.3.1En ny sekretessbrytande bestämmelse Vårt förslag: En uppgift för vilken sekretess gäller får röjas för en forskningshuvudman med verksamhetsställe utanför , som omfattas av EU:s dataskyddsförordning, om uppgiften i mot- svarande fall skulle få lämnas ut till en forskningshuvudman med verksamhetsställe i , och om forskningshuvudmannen om- fattas av motsvarande skyddsregler som gäller enligt offentlighets- och sekretesslagen och lagen om forskningsdatabaser. Vi föreslår även att regeringen ska ge en myndighet i uppdrag att stödja utlämnande myndigheter vid bedömningen av om en forskningshuvudman utanför uppfyller de villkor som krävs för ett utlämnande av personuppgifter. De uppgifter som företrädare för europeiska forskningsdatabaser kan vilja samla in från svenska myndigheter omfattas som regel av statistiksekretessen i 24 kap. 8 § OSL. Vid menprövningen i samband med utlämnanden till forskningsprojekt kräver SCB, liksom andra myndigheter, en godkänd etikansökan samt att uppgifterna skyddas av sekretess hos mottagaren antingen genom en primär sekretess- bestämmelse eller genom överföring av statistiksekretessen. Dessa krav utgör oftast inte något problem för en svensk myndighet att uppfylla. För utlämnande till privata forskningshuvudmän inom finns möjligheten för utlämnande myndighet att lämna ut uppgifterna med förbehåll enligt 10 kap. 14 § OSL.