sou · H6B336 · 2018-06-05 00:00:00 — Enligt rekommendation nr R (83) 10 om skydd för person- uppgifter som används vid forskning och statistik bör dock den 27Se SOU 2017:50 s. 163 ff. 28Se SOU 2017:50 s. 146 f och 161 ff. Rättsliga förutsättningar för forskningsdatabaser personuppgiftsansvarige inte behandla sådana uppgifter för ändamål som på ett avgörande sätt skiljer sig från det ursprungliga ändamålet, utan att ett nytt samtycke inhämtas där detta är lämpligt och praktiskt möjligt.29 Uppgift av allmänt intresse Enligt artikel 6.1 e är behandlingen laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Genom 6.3 förstärks kopp- lingen mellan den rättsliga grunden och kravet på särskilda, uttryckligt angivna och berättigade ändamål (se avsnitt 5.3.6 om ändamåls- begränsning). I andra stycket anges nämligen att syftet med behand- lingen ska fastställas i den rättsliga grunden eller vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Att grunden enligt artikel 6.3 i dataskyddsförordningen ska vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av innebär inte att det krävs en reglering i den nationella rätten av den personuppgiftsbehandling som ska ske med stöd av artikel 6.1.e utan det som måste ha stöd i rätts- ordningen är i stället uppgiften av allmänt intresse. I dataskyddslagen finns en bestämmelse som tydliggör att begreppet uppgift av allmänt intresse avser en uppgift av allmänt intresse som utförs med stöd av gällande rätt. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskydds- förordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett stöd i den personuppgiftsansvariges myndig- hetsövning enligt lag eller annan författning.30 I propositionen till dataskyddslagen anges att regeringen gör bedömningen att alla uppgifter som riksdag eller regering gett i upp- drag åt statliga myndigheter att utföra är av allmänt intresse samt att på motsvarande sätt de obligatoriska uppgifter som ålagts kommuner och landsting att utföra är av allmänt intresse. 29Se SOU 2017:50 s. 180. 2017/18:105 och SOU 2017:39 s. 41. Rättsliga förutsättningar för forskningsdatabaser När det gäller forskning gör i utkastet till lagrådsremiss Behandling av personuppgifter för forskningsända- mål31 bedömningen att presumtionen bör vara att uppgiften att forska är en uppgift av allmänt intresse i dataskyddsförordningens mening. Departementet konstaterar bland annat följande. Sådan behandling av personuppgifter för forskningsändamål som har tillåtits med stöd av 10 § d PUL, dvs. på den grunden att den har ansetts nödvändig för att utföra en arbetsuppgift av allmänt intresse, får också anses som nöd- vändig behandling för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. En väsentlig förändring i förhållande till vad som gäller enligt personuppgiftslagen är som fram- kommit ovan emellertid att det inte räcker med att behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande rätt. I propositionen till dataskyddslagen konstateras att det inte är någon nyhet att en uppgift av allmänt intresse ska vara fastställd i enlighet med gällande rätt när det gäller svenska myndigheters behandling av personuppgifter eftersom legalitetsprincipen är en av de principer som kännetecknar som rättsstat. Vidare konstateras följande. Legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § RF, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som har beslutat, utan även andra författningar och t.ex. sedvanerätt. Legali- tetsprincipen innebär alltså att myndigheternas maktutövning i vid- sträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen.32 Av skäl 41 i dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Euro- peiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Regeringen gör i propositionen till dataskyddslagen bedömningen att vilken grad av tydlighet och precision som krävs i 31 utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). 2017/18 :105 s. 50. Rättsliga förutsättningar för forskningsdatabaser fråga om den rättsliga grunden för att en viss behandling av person- uppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. På forskningsområdet innebär detta att uppgiften att forska måste vara reglerad i den nationella rätten på det sätt som framgår av 2 kap. 2 § 1 dataskyddslagen för att den rättsliga grunden i artikel 6.1 e ska vara tillämplig och kunna åberopas. Det ställs däremot inte något krav enligt dataskyddsförordningen på att uppgiften att forska ska vara fastställd för respektive forskningsutförare i separata författningar. har gjort bedömningen att det inte bör införas en sådan bestämmelse som vi föreslog i delbetänkandet, där det enligt förslaget skulle anges att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. Departementet har i utkastet till lagrådsremiss i stället gjort följande bedömning. och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För de statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen. När det gäller kommuner och landsting kan forskningsuppgiften vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen. Vidare konstaterar departementet att en privaträttslig forsknings- utförares forskningsuppgift är fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikpröv- ningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt och när det är fråga om forskningsprojekt som inte involverar känsliga personuppgifter eller personuppgifter som avser lagöverträdelser behöver en privat forskningsutförare åberopa andra rättsliga grunder. Privata forskningsutförare har då möjlighet att bedriva forskning med samtycke eller efter en intresseavvägning. Rättsliga förutsättningar för forskningsdatabaser Enligt artikel 6.1 f är behandlingen laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Av artikel 6.1 andra stycket framgår att detta inte ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta utgör en betydande skillnad mot tidigare lag- stiftning eftersom motsvarande bestämmelse i personuppgiftslagen får tillämpas även av myndigheter. Bakgrunden till begränsningen beskrivs närmare i skäl 47 i för- ordningen. Där framhålls bland annat att denna rättsliga grund inte bör gälla den behandling offentliga myndigheter utför som ett led i fullgörandet av sina uppgifter med tanke på att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för myndigheternas behandling av personuppgifter. Offentliga forsk- ningsaktörer kan alltså inte tillämpa den rättsliga grunden intresse- avvägning som grund för sin personuppgiftsbehandling. För privata forskningsaktörer är intresseavvägning en möjlig grund att tillämpa. Som framgått ovan är det bara när det är fråga om forskning som inte involverar känsliga personuppgifter eller person- uppgifter som avser lagöverträdelser som en privat forsknings- utförare behöver åberopa andra rättsliga grunder än grunden uppgift av allmänt intresse. Eftersom presumtionen är att forskning är ett berättigat intresse finns det stora möjligheter att i sådana fall behandla personuppgifter för forskningsändamål efter en intresse- avvägning.33 I artikel 9.1 i dataskyddsförordningen anges att behandling av känsliga personuppgifter34 är förbjuden. De personuppgifter som avses är sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska 33Se utkast till lagrådsremiss Behandling av personuppgifter för forskningsändamål (Dnr U2018/01639/F). 34Vi väljer att liksom använda termen ”känsliga personuppgifter” för sådana uppgifter som i dataskyddsförordningen benämns ”särskilda kategorier av person- uppgifter”, se SOU 2017:50 s. 186. Rättsliga förutsättningar för forskningsdatabaser åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv eller sexuell läggning. Från huvudregeln att det är förbjudet att behandla känsliga personuppgifter finns ett antal undantag i artikel 9.2. Vår bedömning är att undantagen i punkterna a, g och j kan bli aktuella i fråga om behandling av personuppgifter i forskningsdatabaser. Känsliga personuppgifter får enligt 9.2 a behandlas om den regist- rerade uttryckligen har lämnat sitt samtycke. I förordningens artikel 9.2 a finns liksom i dataskyddsdirektivet en möjlighet för med- lemsstaterna att föreskriva att den registrerade inte kan samtycka till behandling av känsliga personuppgifter. har gjort bedömningen att det inte har framkommit något som talar för att det nu bör införas ett förbud mot behandling trots den registre- rades samtycke. Undantag från förbudet avseende viktigt allmänt intresse finns i artikel . Av det undantaget framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätt eller nationell rätt. Sådan rätt måste även innehålla lämpliga och särskilda skyddsåtgärder. Begreppen allmänt intresse och viktigt allmänt intresse är unions- rättsliga och finns även i artiklarna 7 e och 8.4 i dataskyddsdirektivet. Ett ytterligare undantag från förbudet finns i artikel 9.2 j, om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, med motsvarande krav på lämpliga och särskilda skydds- åtgärder. Av artikel 89.1 följer att all personuppgiftsbehandling för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Undantag från förbudet att behandla känsliga personuppgifter kräver att nationell rätt innehåller bestämmelser om skyddsåtgärder.35 35 Känsliga personuppgifter och personuppgifter om lagöverträdelser får behandlas för forskningsändamål om behandlingen har godkänts enligt etikprövningslagen, se avsnitt 5.4. Rättsliga förutsättningar för forskningsdatabaser 5.3.4Personuppgifter om lagöverträdelser m.m. I artikel 10 i dataskyddsförordningen regleras behandling av ”person- uppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder”. Det stadgas att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. För att behandling av sådana personuppgifter om lagöverträdelser m.m. ska vara möjlig för forskningsändamål för andra än myndigheter behövs reglering i nationell rätt. Sådan lagstiftning ska även fastställa lämpliga skyddsåtgärder.36 Artiklarna 5–11 i dataskyddsförordningen innehåller principer, såsom grundläggande principer för behandling av personuppgifter, vad som gäller för att behandling av personuppgifter ska vara laglig, villkor för samtycke och behandling av känsliga personuppgifter (särskilda kategorier av personuppgifter). I artikel 5 stadgas allmänna krav som gäller för all personuppgiftsbehandling. Artikel 5 i dataskyddsförord- ningen motsvarar i stora drag artikel 6 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 9 § PUL. I artikel 5 i dataskyddsförordningen anges följande principer för behandling av personuppgifter: •laglighet, korrekthet och öppenhet, •integritet och konfidentialitet samt 36För en genomgång av alla led i artikel 10, se SOU 2017:50 s. 206 ff. Rättsliga förutsättningar för forskningsdatabaser I dataskyddsförordningen stadgas om ändamålsbegränsning i artikel 5.1 b.37 Personuppgifter ska enligt denna bestämmelse samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Att uppgifterna inte senare får behandlas på ett sätt som är oförenligt med det ursprungliga ändamålet för vilket uppgifterna samlades in kallas finalitetsprincipen. Från finalitetsprincipen finns det så kallade forskningsundantaget. Ytterligare behandling för bland annat vetenskapliga eller historiska forskningsändamål ska enligt artikel 5.1 b inte anses vara oförenlig med de ursprungliga ändamålen. Skrivningen innebär alltså att ytterligare behandling av person- uppgifter för forskningsändamål, precis som tidigare enligt person- uppgiftslagen, är särskild gynnad. Även om ytterligare behandling av personuppgifter för forskningsändamål inte ska anses stå i strid med de ursprungliga ändamålen gäller kravet på att ändamålet ska vara särskilt, inte allmänt. Behandling får alltså, enligt personuppgiftslagen och även när dataskyddsförordningen börjar tillämpas, bara genomföras för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgif- terna får sedan inte behandlas på ett sätt som är oförenligt med dessa ändamål. De på förhand fastställda ändamålen sätter ramarna för behandlingen. Syftet är öppenhet, rättssäkerhet och förutsägbarhet så att den registrerade skyddas genom att ramarna blir tydliga för hur upp- gifterna får användas. Det måste därför noga övervägas till vilket ändamål insamlade personuppgifterna ska användas. Att ändamålet ska vara särskilt medför att alltför allmänt hållen ändamålsangivelse inte godtas. I skäl 39 i dataskyddsförordningen anges bland annat att de speci- fika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts då personuppgifterna 37Motsvarande reglering finns i 9 § personuppgiftslagen. Rättsliga förutsättningar för forskningsdatabaser samlades in, att personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Vidare anges att detta i synnerhet kräver att den period under vilken personuppgifterna lagras är begränsade till ett strikt minimum och att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Ändamålsbegränsningen som stadgas i artikel 5 har ett nära sam- band med kravet på laglig behandling i artikel 6. Personuppgifts- behandling för forskningsändamål grundat på samtycke bygger enligt 6.1a på att den registrerade lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Ett tydligt angivet ändamål är som regel en förutsättning för att det ska kunna bedömas om en viss behandling är laglig, alltså om ett giltigt samtycke föreligger (6.1 a) eller om den är nödvändig i något av de sammanhang som räknas upp i artikel 6.1 b–f. När det gäller samtycke måste den enskilde, utifrån ändamålet, kunna ge ett samtycke till att uppgifterna om den enskilde används i den aktuella forskningen. Principen om att ändamålen ska vara berättigade enligt artikel 5.1 b utgör en direkt koppling till de rättsliga grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5. Kravet på att ända- målen ska vara berättigade går dock längre än så och omfattar även ett krav på förenlighet med till exempel konstitutionella och andra rättsliga principer. Vidare kan även det allmänna sammanhanget och omständigheterna i det aktuella ärendet vara av betydelse för bedöm- ningen av om ändamålen är berättigade.38 Ändamålsbegränsningen har också betydelse för att Data- inspektionen39 ska kunna bedöma om behandling av personuppgifter är förenlig med förordningen. Vidare har ändamålsbegränsningen betydelse för att etikprövningsnämnden40 ska kunna göra bedöm- ningen avseende nyttan av forskningen och väga den mot riskerna för de enskilda. Dessutom har ändamålsbegränsningen betydelse för att 38Artikel 29-gruppens yttrande 3/2013 om ändamålsbegränsning (Opinion 03/2013 on purpose limitation), s. 11 f. och 19 f. 39I ett pressmeddelande informerar regeringen att den kommer att tillföra Datainspektionen för att stärka arbetet med den personliga integriteten. Myndigheten föreslås också att byta namn till . Dessutom ska myndighetens uppdrag ändras så att dess stödjande och rådgivande roll blir tydligare. 40I ändras organisationen på så sätt att och de nuvarande sex regionala etikprövningsnämnderna ersätts av en ny myndighet; , se vidare avsnitt 5.4. Rättsliga förutsättningar för forskningsdatabaser statistikansvariga utlämnande myndigheter ska kunna bedöma vilka uppgifter som behövs för forskningen i fråga vid sekretessprövningen enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), för- kortad OSL (se avsnitt 5.5). Ändamålsbegränsningen har ansetts vara ett hinder för större forsk- ningsdatabaser med personuppgifter som är avsedda att tillhandahålla uppgifter till fler än ett framtida forskningsprojekt. Vid en forsknings- databas bildande krävs det att ändamålet för personuppgiftsbehand- lingen är tillräckligt tydligt för att kunna godtas. Svårigheter kan därvid uppstå eftersom det vid större forskningsdatabasers tillkomst inte alltid är klart inom vilka forskningsprojekt uppgifterna kan komma att behandlas. När uppgifterna ska kunna användas i olika forskningsprojekt med olika inriktningar behöver ändamålsbeskriv- ningarna anpassas efter detta. Frågan om ändamålet har en stark koppling till frågan om möjligheten till etikprövning, se avsnitt 5.4. Hur bred en ändamålsbeskrivning, och ett därtill kopplat sam- tycke, lagligen kan vara har diskuterats i olika sammanhang.41 I för- arbetena till bestämmelsen om ändamålsbegränsning i personupp- giftslagen angavs att en alltför allmänt hållen ändamålsangivelse inte kan godtas men hur pass detaljerad den ska vara för att uppfylla lagens krav på att vara ”särskild” förutsattes avgöras i praxis och genom kompletterande föreskrifter. I kommentaren till 9 § personuppgiftslagen konstateras att om inte ändamålet har en viss grad av precision går det knappast att bedöma om personuppgifterna är adekvata och relevanta eller om för många personuppgifter behandlas. Vidare anförs att en personuppgift torde vara nödvändig för ett visst ändamål, om ändamålet inte kan realiseras för det fall inte personuppgiften får användas. Om man inte kan av- göra vilka personuppgifter som behövs för att ändamålet ska kunna 41Se t.ex. angående satsningar på databasinfrastrukturer, LifeGene m.m. i SOU 2017:50 s. 169 ff. Rättsliga förutsättningar för forskningsdatabaser uppfyllas torde ändamålet inte vara särskilt utan allmänt. Det konsta- teras således att ändamålsbestämningen avgör vilka personuppgifter som får behandlas.42 Detta gäller även enligt dataskyddsförordningen. Artikel 29-gruppen43 har i ett yttrande framhållit att ”framtida forskning” är ett alltför brett ändamål för att kunna vara särskilt. Dock tilläggs att hur detaljerat ändamålet bör vara beror på vilka uppgifter det gäller och i vilket sammanhang dessa samlas in.44 Datainspek- tionen har i olika sammanhang varit kritiska mot ändamålsangivelser såsom ”framtida forskning” som bedömts vara alltför allmänna.45 Angående etikprövning av LifeGene och EpiHealth, se avsnitt 5.4.2. Ändamålsbestämmelser i befintliga regleringar av forskningsdatabaser I befintliga registerlagar och registerförordningar där forskning är syftet eller ett av syftena är ändamålen formulerade på bland annat följande sätt. I lagen (1998:543) om hälsodataregister stadgas i ända- målsbestämmelsen att personuppgifter i ett hälsodataregister får användas för bland annat forskning och epidemiologiska under- sökningar. Enligt patientdatalagen (2008:355) inrättas kvalitets- register inom hälso- och sjukvården för att systematiskt och fort- löpande utveckla och säkra vårdens kvalitet, men får också användas för det sekundära ändamålet att bidra till forskning inom hälso- och sjukvårdsområdet. Ändamålet med det rättspsykiatriska forsknings- registret är enligt lagen (1999:353) om rättspsykiatriskt forsknings- register att uppgifterna ska användas för forskning inom rätts- psykiatrin. Enligt lagen (2012:741) om behandling av personuppgifter vid utvärdering (IFAU-lagen) får personuppgifter endast behandlas om det behövs för att fullgöra institutets uppdrag att främja, stödja och genom forsk- 42Sören , , Personuppgiftslagen (, Zeteo), kom- mentaren till 9 §. 43Article 29 Data Protection Working Party, under Regulation 2016/679 (WP259), s. 27. Artikel 29-gruppen är en oberoende rådgivande EU-instans för skydd av personuppgifter och privatlivet. Genom dataskyddsförordningens ikraftträdande kommer arbetsgruppen byta namn till Europeiska Dataskyddsstyrelsen. 44Artikel 29-gruppens yttrande 03/2013 om ändamålsbegränsning, s. 52. 45SOU 2014:45 s. 343. Se även s. 346 fotnot 88 angående formuleringen av ändamålet i ansökan avseende LifeGene. Rättsliga förutsättningar för forskningsdatabaser ning genomföra studier, uppföljningar och utvärderingar. I myndig- hetens instruktion preciseras ändamålet något. I lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för männi- skors hälsa (den så kallade LifeGene-lagen) sägs ändamålet vara att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt. I lagen (2002:297) om biobanker i hälso- och sjukvården m.m. anges forskning som ett av flera ändamål som en biobank får användas till. I vårt delbetänkande analyserade vi vilka anpassningar till data- skyddsförordningen som behöver göras i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt i lagen om rättspsykiatriskt forskningsregister när förordningen ska börja tillämpas. Vi gjorde bedömningen att de befintliga ändamåls- bestämmelserna i de båda lagarna kan och bör behållas.46