bet · H701UbU5 · 2019-11-15 00:00:00 — Bestämmelsen syftar till att begränsa vidarebehandling av personuppgifterna för andra ändamål än forskning, som en skyddsåtgärd för de registrerade. Bestämmelsen är försedd med ett undantag som tar sikte på situationer som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas för forskningsändamål behöver användas för att varna de registrerade. Det kan förekomma t.ex. när en forskare som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling (prop. 2017/18:298 s. 194). Frågan uppkommer då om en motsvarande användningsbegränsning bör gälla när den särskilda nämnden fullgör de uppgifter som följer av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. I propositionen framhåller regeringen att en i nationell rätt fastställd begränsning av nämndens möjligheter till vidarebehandling av personuppgifterna kan utgöra ett lämpligt skydd för de registrerades integritet. Regeringen anser att det i sammanhanget inte kan uteslutas att det kan finnas fall då nämndens granskning visar att t.ex. direkt farlig behandling har getts till forskningspersoner. I dessa fall, då de registrerades egna vitala intressen står på spel, anser regeringen att det bör vara möjligt för nämnden att använda personuppgifter som annars bara behandlas för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för att även vidta åtgärder i fråga om de registrerade. Om det är lämpligast att nämnden eller forskningshuvudmannen vidtar åtgärder mot de registrerade när det föreligger synnerliga skäl måste dock bedömas från fall till fall. Om det finns synnerliga skäl bör nämnden omgående informera antingen forskningshuvudmannen eller de registrerade. Det finns alltså inte något skäl att avvakta med denna information till dess utredningen om oredlighet i forskning är klar. Det är regeringens uppfattning att den särskilda nämnden i övrigt inte bör kunna använda personuppgifter som enbart behandlas för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för att vidta åtgärder i förhållande till den registrerade. Den omständigheten att uppgifterna kan finnas i allmänna handlingar föranleder ingen annan bedömning. Regeringen föreslår således att en motsvarande användningsbegränsning som gäller enligt 4 kap. 3 § dataskyddslagen ska införas för den särskilda nämnden. Det finns inte skäl att införa några ytterligare generella skyddsåtgärder Som framgår ovan föreslår regeringen en användningsbegränsning för den särskilda nämnden. Vidare konstaterar regeringen i propositionen att det redan finns sekretessbestämmelser som utgör skyddsåtgärder vid den särskilda nämndens och forskningshuvudmännens personuppgiftsbehandlingar. Det har enligt regeringen inte framkommit skäl som talar för att införa några ytterligare skyddsåtgärder. Skyddsåtgärder vid behandling av känsliga personuppgifter behandlas i avsnittet nedan. Behandling av känsliga personuppgifter och personuppgifter som rör lagöverträdelser Regeringen föreslår att den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner inte ska omfattas av förbudet i dataskyddslagen mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter när de behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Regeringen gör bedömningen att statliga universitet och högskolor inte bör omfattas av nämnda sökförbud när de behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner kan med stöd av artikel i dataskyddsförordningen och 3 kap. 3 § i dataskyddslagen behandla känsliga personuppgifter. De kan vidare med stöd av artikel 10 i dataskyddsförordningen och 3 kap. 8 § i dataskyddslagen behandla personuppgifter som rör lagöverträdelser. Någon ytterligare reglering för deras behandling av känsliga personuppgifter eller personuppgifter som rör lagöverträdelser bör enligt regeringen inte införas. I skälen för regeringens förslag framgår att dataskyddsförordningen och dataskyddslagen ger den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner tillräckligt stöd för att behandla känsliga personuppgifter. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner ska inte omfattas av sökförbudet i dataskyddslagen I 3 kap. 3 § första stycket 2 dataskyddslagen anges att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i dataskyddsförordningen om behandlingen är nödvändig för handläggningen av ett ärende. Denna bestämmelse är tillämplig för den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner. I 3 kap. 3 § andra stycket dataskyddslagen anges också att det, vid behandling som sker enbart med stöd av 3 kap. 3 § första stycket, är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter I propositionen nämns att en sökbegränsning kan medföra problem för nämndens granskningsverksamhet. I forskningen genomförs i vissa fall sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Av sökförbudet i dataskyddslagen följer att detta gäller vid behandling som sker enbart med stöd av 3 kap. 3 § första stycket dataskyddslagen (bl.a. om att känsliga personuppgifter får behandlas av en myndighet om behandlingen är nödvändig för handläggningen av ett ärende). Behandling av känsliga personuppgifter inom forskning utförs dock inte med stöd av den bestämmelsen utan direkt med stöd av artikel 9.2 j dataskyddsförordningen (se prop. 2017/18:298 s. 90). Enligt artikel 9.2 j får känsliga personuppgifter behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Regeringen framhåller i propositionen att eftersom det inom forskningen kan genomföras sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter kan även den särskilda nämnden behöva göra motsvarande sökningar för att kunna fastställa om det förekommit oredlighet i forskning. Även forskningshuvudmännen kan behöva genomföra sådana sökningar när de ska fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, t.ex. när de ska lämna handlingar om forskningen till nämnden. föreslår att statliga universitet och högskolor ska hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt den nya lagen. Regeringen avser att i förordning fastställa denna uppgift för de statliga universiteten och högskolorna. Även vid utförandet av denna uppgift kan det finnas behov av att göra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Regleringen i dataskyddslagen är subsidiär i förhållande till bestämmelser i annan lag eller förordning. Bestämmelsen om sökförbud i 3 kap. 3 § andra stycket dataskyddslagen bör enligt regeringen inte gälla vare sig när nämnden eller en forskningshuvudman behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning eller när statliga universitet och högskolor behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt den lagen. Ett undantag för den första situationen bör enligt regeringen införas i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Ett undantag för den andra situationen bör införas på förordningsnivå i anslutning till den kommande regleringen om att statliga universitet och högskolor ska hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt nämnda lag (se vidare under avsnittet Den lagtekniska lösningen och förhållandet till annan dataskyddsreglering). I propositionen framgår också att det enligt regeringen inte finns något behov av att införa någon ytterligare reglering för behandlingen av känsliga personuppgifter. Vidare framgår att dataskyddsförordningen och dataskyddslagen ger tillräckligt stöd för behandlingen av personuppgifter som rör lagöverträdelser. Det behövs kompletterande reglering i fråga om behandling av känsliga personuppgifter för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar Regeringen föreslår att det ska införas en bestämmelse om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få behandla känsliga personuppgifter om behandlingen är nödvändig för att fullgöra uppgifter enligt lagen. I skälen för regeringens förslag framgår följande. Enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av den nya lagen kan komma att behöva behandla känsliga personuppgifter. Enligt artikel 9.1 i dataskyddsförordningen är behandling av känsliga personuppgifter förbjuden. Förbudet ska dock, enligt artikel , inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vissa bestämmelser i dataskyddslagen gäller för vissa enskilda forskningshuvudmän Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner kommer att kunna behandla känsliga personuppgifter med stöd av dataskyddsförordningen och dataskyddslagen. Vissa bestämmelser i dataskyddslagen är även tillämpliga hos andra än myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen (TF) och offentlighets- och sekretesslagen (2009:400), förkortad OSL, gäller i deras verksamhet (3 kap. 3 § tredje stycket dataskyddslagen). Kommunala bolag, föreningar och stiftelser samt de enskilda utbildningsanordnarna Stiftelsen (och vissa bolag som ägs av stiftelsen), Stiftelsen (och det av stiftelsen ) och i m.m. ska tillämpa offentlighetsprincipen och sekretessregleringen (se 2 kap. 3 och 4 §§ OSL och bilagan till OSL). Därmed ska dessa organ, enligt 3 kap. 3 § tredje stycket dataskyddslagen, jämställas med myndigheter vid tillämpningen av 3 kap. 3 § första stycket 1 dataskyddslagen. Enligt den bestämmelsen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Bestämmelsen klargör att det är tillåtet för myndigheter att utföra sådan behandling av känsliga personuppgifter som krävs i myndigheternas verksamhet som en direkt följd av framför allt OSL:s och förvaltningslagens bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post (prop. 2017/18:105 s. 194). Bestämmelsen omfattar dock inte, trots lagtextens generella utformning, sådan behandling som kan komma att krävas enligt den nya lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Det innebär att bestämmelsen inte omfattar all sådan behandling av känsliga personuppgifter som utförs av kommunala bolag, föreningar och stiftelser, ovan nämnda tre enskilda utbildningsanordnare och eventuella övriga statliga bolag och stiftelser som finns upptagna i bilagan till OSL och som omfattas av den nya lagen. Det behövs en bestämmelse som möjliggör behandling av känsliga personuppgifter för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar Dataskyddslagens bestämmelser i 3 kap. 3 § första stycket 2 och 3 om behandling av känsliga personuppgifter vid ärendehandläggning eller s.k. faktisk verksamhet omfattar inte enskilda utbildningsanordnare eller övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. För enskilda utbildningsanordnare finns bestämmelser om behandling av känsliga personuppgifter i 13 § lagen om tillstånd att utfärda vissa examina, men dessa bestämmelser är inte tillämpliga i nu aktuella fall. Alla de forskningshuvudmän som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning behöver kunna behandla känsliga personuppgifter för att fullgöra de krav som lagen ställer. Regeringen föreslår därför att det ska införas en bestämmelse som innebär att känsliga personuppgifter får behandlas av enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar om det är nödvändigt för att fullgöra uppgifter enligt nämnda lag. Behov av ytterligare reglering I propositionen framgår att det inte finns behov av någon ytterligare reglering för behandling av personuppgifter som rör lagöverträdelser för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar. Det behövs inte heller något ytterligare rättsligt stöd för personuppgiftsbehandling som sker med stöd av arkivbestämmelser. Begränsning av de registrerades rättigheter eller de personuppgiftsansvarigas skyldigheter Regeringen föreslår att bestämmelsen i EU:s dataskyddsförordning om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, i de fall den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, inte ska gälla när forskningshuvudmännen behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Regeringen gör bedömningen att bestämmelsen inte heller bör gälla när statliga universitet och högskolor behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Tillämpningsområdet för de personuppgiftsansvarigas skyldigheter eller de registrerades rättigheter som följer av dataskyddsförordningen bör i övrigt inte begränsas. Dataskyddsförordningen anger under vilka förutsättningar de registrerades rättigheter kan begränsas I skälen för regeringens förslag framgår bl.a. följande. I dataskyddsförordningens tredje kapitel anges den registrerades rättigheter i samband med att personuppgifter behandlas (artiklarna 12–23). Enligt EU-förordningen finns det möjligheter för en medlemsstat att begränsa dessa rättigheter. Bland annat finns det i artikel 13 bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade och i artikel 14 en bestämmelse om information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Av artikel 23.1 följer att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artiklarna 12–22. En sådan begränsning måste dock enligt artikel 23.1 ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa bl.a. andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (artikel 23.1 e). I dataskyddslagen regleras vissa undantag från den registrerades rättigheter I dataskyddslagen anges att artiklarna 13–15 i EU:s dataskyddsförordning (som rör information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade samt den registrerades rätt till tillgång) inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning (5 kap. 1 § första stycket). I andra stycket i bestämmelsen anges att om den personuppgiftsansvarige inte är en myndighet, gäller undantaget i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. Nedan görs en genomgång och bedömning av huruvida de rättigheter och skyldigheter som kan begränsas enligt artikel 23.1 i dataskyddsförordningen, dvs. de rättigheter som bl.a. anges i artiklarna 12–22 bör inskränkas. Den registrerades rätt till information när personuppgifterna samlas in från den registrerade (artikel 13) I artikel 13.1–3 i dataskyddsförordningen finns bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade. Av artikel 13.1 följer en skyldighet för den personuppgiftsansvarige att lämna viss angiven information till den registrerade i de fall personuppgifter samlas in direkt från denne, bl.a. ändamålen med och den rättsliga grunden för behandlingen. Utöver denna information ska den personuppgiftsansvarige, enligt artikel 13.2, vid insamling av personuppgifterna lämna den registrerade information om bl.a. lagringsperiod och vissa rättigheter för den personuppgiftsansvarige och den registrerade, vilken krävs för att säkerställa rättvis och transparent behandling. Av artikel 13.3 följer att om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt artikel 13.2. Forskningshuvudmännens behandling av personuppgifter som sker för ett annat syfte än för vilket de samlades in Vid prövning av frågor om oredlighet i forskning kommer den särskilda nämnden att behöva inhämta forskningsmaterial från forskningshuvudmännen. Detta material kommer således inte att inhämtas från den registrerade och därmed blir artikel 13 inte tillämplig i denna del. Den särskilda nämnden kommer dock även att behöva inhämta uppgifter från forskare och andra enskilda, t.ex. uppgifter om den person som är föremål för prövning i den särskilda nämnden. Sådant inhämtande av uppgifter från enskilda bedöms dock inte bli särskilt omfattande. Detta innebär att artikel 13 i dataskyddsförordningen inte blir tillämplig i någon större utsträckning i den särskilda nämndens verksamhet. Forskningshuvudmännen kommer huvudsakligen att hantera uppgifter som redan finns tillgängliga hos forskningshuvudmannen, men som tidigare samlats in från den registrerade inom ramen för forskning. Det ursprungliga syftet med insamlingen av uppgifterna var alltså att behandla personuppgifterna för forskningsändamål. När forskningshuvudmännen fullgör de uppgifter som följer av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer de därför att behöva behandla personuppgifter för ett annat syfte än det för vilket de samlades in. Detsamma gäller när statliga universitet och högskolor hanterar andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt den nya lagen. Bestämmelsen i artikel 13.3 om information till de registrerade vid ytterligare behandling för ett annat syfte än det för vilket de samlades in blir då tillämplig. Skäl för att införa ett undantag från artikel 13.3 om information till de registrerade vid ytterligare behandling för ett annat syfte än för vilket de samlades in Att tillhandahålla sådan information till alla personer vars personuppgifter ingår i ett forskningsprojekt skulle kunna bli en mycket betungande uppgift och i vissa fall visa sig vara närmast omöjligt eller medföra en oproportionerlig ansträngning. Ett forskningsprojekt kan innehålla personuppgifter om tusentals personer. Dessutom är uppgifterna i många fall pseudonymiserade, vilket gör att personerna måste identifieras med hjälp av en kodnyckel för att informationen ska kunna lämnas. Pseudonymisering är en viktig och grundläggande skyddsåtgärd vid all behandling av personuppgifter för forskningsändamål, vilket också framhålls uttryckligen i artikel 89.1 i dataskyddsförordningen. Att granska utförd forskning för att utreda misstankar om oredlighet eller andra avvikelser från god forskningssed kan anses vara ett slutligt led i forskningsprocessen, även om syftet med själva behandlingen av personuppgifterna i materialet är något annorlunda mot det ursprungliga ändamålet vid insamlingen. Att samma forskningshuvudman som har pseudonymiserat personuppgifterna till skydd för de registrerade, i enlighet med dataskyddsförordningens krav, ska tvingas identifiera de registrerade enbart för att informera om att sådan granskning ska ske är enligt regeringens mening dessutom ett betydande intrång i de registrerades integritet som inte uppvägs av syftet med informationsskyldigheten. Regeringen anser att det behövs ett undantag från artikel 13.3 i dataskyddsförordningen när forskningshuvudmännen avser att behandla personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Som nämnts ovan följer det av artikel 23.1 att en sådan begränsning måste utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa syften, bl.a. av unionen eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (e). Regeringen anser att forskning och upprätthållandet av förtroendet för forskning, bl.a. genom utredning av oredlighet i forskning, utgör sådana viktiga generella allmänna intressen. Ett undantag från artikel 13.3 i det här sammanhanget utgör enligt regeringen en nödvändig och proportionell åtgärd för att säkerställa att utredning av oredlighet i forskning kan utföras utan onödigt integritetsintrång. Det övergripande syftet med lagen om ansvar för god forskningssed och prövning av oredlighet i forskning är att främja förtroendet för forskningen. Förfarandet vid utredning av misstankar om oredlighet måste vara tydligt och rättssäkert för de personer som har väckt frågor om misstanke om oredlighet och de som misstankar riktas mot. Det direkta syftet är att oredlighet ska upptäckas och att felaktiga forskningsresultat ska dras tillbaka eller rättas, vilket i sin tur bidrar till ökad tillförlitlighet och kvalitet i forskningen, samt till att oredlighet förebyggs.