prop · H7037 · 2019-09-17 00:00:00 — kommuner och regioner ska inte omfattas av Regeringens förslag: Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner ska inte omfattas av förbudet i dataskyddslagen mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personupp- gifter när de behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i Regeringens bedömning: och högskolor bör inte omfattas av nämnda sökförbud när de behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner kan med stöd av artikel 9.2g i dataskyddsförordningen och 3 kap. 3 § i dataskyddslagen behandla känsliga personuppgifter. De kan vidare med stöd av artikel 10 i dataskyddsförordningen och 3 kap. 8 § i dataskyddslagen behandla personuppgifter som rör lagöverträdelser. Någon ytterligare reglering för deras behandling av känsliga personuppgifter eller personuppgifter som rör lagöverträdelser bör inte införas. Promemorians bedömning: Överensstämmer delvis med regeringens förslag och bedömning. Promemorian lämnar inget förslag om att den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner inte ska omfattas av förbudet i dataskyddslagen mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter när de behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning eller för att hantera andra misstänkta avvikelser från god forskningssed. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Datainspektionen anser att det i promemorian inte presenteras någon egentlig utredning av hur behandlingen av känsliga personuppgifter kommer att gå till och att det således inte går att bedöma vilket behov de olika aktörerna har av att behandla känsliga personuppgifter och inte heller vilka risker behandlingen innebär för de registrerades personliga integritet. Att behandlingen av känsliga personuppgifter har ett rättsligt stöd, vare sig detta kan finnas i dataskyddslagen eller kräver ytterligare kompletterande lagstiftning, kan då enligt Datainspektionen inte säkerställas och vilka skyddsåtgärder som behöver införas kan inte heller bedömas, vare sig ur ett integritets- eller verksamhetsperspektiv. Datainspektionen anför vidare att för det fall granskningen hos den särskilda nämnden kräver viss sökning på känsliga personuppgifter skulle exempelvis ett införande av en sökbegränsning kunna medföra problem för verksamheten. Andra mer lämpliga skyddsåtgärder behöver då enligt Datainspektionen beaktas. påpekar att i de fall nämnden ska genomföra en vetenskaplig kontroll av riktigheten i resultat från en studie med känsliga personuppgifter kan sökningar behöva göras hos nämnden där man får fram ett urval av personer grundat på deras känsliga personuppgifter. anser att det bör förtydligas och exemplifieras hur sökbegränsningen ska förstås med hänsyn till nämndens arbete då det finns utrymme för tolkning av begreppet. Tolkningen kan sträcka sig från att sökningen i sig inte är tillåten till att det genom sökningen går att identifiera enskilda utifrån individers känsliga personuppgifter. anför också att det för forskningshuvudmannen gäller att samtycke är undantagsbestämmelsen som möjliggör forskning på känsliga personuppgifter. Om samtycken inte behöver inhämtas för be- handlingen av känsliga personuppgifter i forskningsverksamhet då nämnden ska kunna behandla känsliga personuppgifter med stöd i undantaget viktigt allmänt intresse minskar den här problematiken med resultatet att forskningshuvudmannen och nämnden kan behandla känsliga personuppgifter med samma undantagsgrund. En utökad etikprövning skulle i de fallen kunna ersätta samtycken. Vidare önskar ett förtydligande av huruvida nämnden ska ansöka om etiskt tillstånd om den konstaterar att forskning skett på känsliga personuppgifter utan nödvändigt etiskt tillstånd. Skälen för regeringens förslag och bedömning Dataskyddsförordningen och dataskyddslagen ger tillräckligt stöd för behandling av känsliga personuppgifter Som konstaterats i avsnitt 6.1 kan den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner komma att behöva behandla känsliga personuppgifter och personuppgifter som rör lagöverträdelser för att utföra de uppgifter som åläggs dem i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning och genom förslaget om hantering av andra avvikelser från god forskningssed. Personuppgiftsbehandlingen vid granskning av forskning bedöms bli lik den som utförts under själva forskningen. För att nämnden ska kunna granska utförd forskning och utreda misstankar om oredlighet eller andra avvikelser från god forskningssed är det av stor vikt att nämnden har samma möjligheter att behandla uppgifterna i forskningsmaterialet, både vad avser metoder och tillgång till uppgifter. Som framgår av avsnitt 5.1 finns det undantag från förbudet i artikel 9.1 i dataskyddsförordningen mot att behandla känsliga personuppgifter. Det undantag som aktualiseras i detta sammanhang finns i artikel . Enligt denna bestämmelse ska artikel 9.1 inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I dataskyddslagen anges att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i dataskyddsförordningen 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket). I propositionen Ny dataskyddslag (prop. 2017/18:105) anför regeringen i fråga om denna bestämmelse att begreppen handläggning och ärende ska tolkas på samma sätt som enligt 1 § förvaltningslagen (2017:900). Begreppet handläggning innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Kännetecknande för ett ärende är att det regelmässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet. Ett ärende avslutas således genom ett beslut av något slag. ningen av om en myndighets uttalande är att anse som ett beslut i denna mening är det uttalandets syfte och innehåll som är avgörande, inte dess yttre form (s. 194). Datainspektionen anser att det utifrån promemorians beskrivning inte går att bedöma vilket behov de olika aktörerna har av att behandla känsliga personuppgifter och inte heller vilka risker behandlingen innebär för de registrerades personliga integritet. Att behandlingen av känsliga personuppgifter har ett rättsligt stöd, vare sig detta kan finnas i dataskyddslagen eller kräver ytterligare kompletterande lagstiftning, kan då enligt Datainspektionen inte säkerställas. Som nämnts i avsnitt 6.1 behandlas känsliga personuppgifter inom t.ex. medicinsk forskning eller annan forskning som rör hälso- och sjukvård eller hälsa. Sådan forskning kan komma att bli anmäld för oredlighet och uppgifterna i anmälan behöver då utredas av den särskilda nämnden. I samband med en sådan anmälan måste nämnden ha samma möjligheter att behandla de känsliga personuppgifterna som forskningshuvudmannen. Det kan inte på förhand analyseras i detalj vilken personuppgiftsbehandling som kommer att bli aktuell i ett sådant fall eftersom ärendena kan se helt olika ut. Personuppgiftsbehandlingen kommer dock i ett sådant fall att ske inom ramen för handläggningen av ett ärende. Behandling av känsliga personuppgifter kan därmed ske med stöd av artikel i dataskyddsförordningen och 3 kap. 3 § första stycket 2 dataskyddslagen. Detsamma gäller andra ärenden om prövning av oredlighet i forskning där känsliga personuppgifter förekommer i den forskning som utreds. Även den statliga eller kommunala forskningshuvudman som överlämnar handlingar för prövning av den särskilda nämnden gör det inom ramen för handläggningen av ett ärende. Som nämnts ovan får enligt dataskyddslagen känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen även i andra fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). I propositionen Ny dataskyddslag anför regeringen att bestämmelsen är tillämplig i s.k. faktisk verksamhet hos myndigheter, dvs. i sådan förvaltningsverksamhet som inte utgör ärendehandläggning (s. 194). I den mån det skulle bli aktuellt för nämnden, statliga universitet och högskolor, andra statliga myndigheter eller kommuner och regioner att utföra förvaltningsverksamhet som inte utgör ärendehandläggning, s.k. faktisk verksamhet, finns alltså möjlighet att tillämpa artikel i dataskyddsförordningen och 3 kap. 3 § första stycket 3 dataskyddslagen. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner kommer således att kunna behandla känsliga personuppgifter med stöd av dataskyddsförordningen och dataskyddslagen. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner ska inte omfattas av sökförbudet i dataskyddslagen Som nämnts ovan anges i dataskyddslagen att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i dataskyddsförord- 2019/20:7 ningen om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2). Denna bestämmelse är tillämplig för den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner. I dataskyddslagen anges också att det, vid behandling som sker enbart med stöd av 3 kap. 3 § första stycket, är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 § andra stycket). Datainspektionen har i sitt remissvar påtalat att en sökbegränsning kan medföra problem för nämndens granskningsverksamhet. I forskningen genomförs i vissa fall sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Av sökförbudet i dataskyddslagen följer att detta gäller vid behandling som sker enbart med stöd av 3 kap. 3 § första stycket dataskyddslagen. Behandling av känsliga personuppgifter inom forskning utförs dock inte med stöd av den bestämmelsen utan direkt med stöd av artikel 9.2 j dataskyddsförordningen (se prop. 2017/18:298 s. 90). Eftersom det inom forskningen kan genomföras sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter kan även den särskilda nämnden behöva göra motsvarande sökningar för att kunna fastställa om det förekommit oredlighet i forskning. Även forskningshuvudmännen kan behöva genomföra sådana sökningar när de ska fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, t.ex. när de ska lämna handlingar om forskningen till nämnden. Som nämnts i avsnitt 5.6.2 föreslår utredningen att statliga universitet och högskolor ska hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt den nya lagen. Regeringen avser att i förordning fastställa denna uppgift för de statliga universiteten och högskolorna. Även vid utförandet av denna uppgift kan det finnas behov av att göra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Som framgått av avsnitt 5.3 är regleringen i dataskyddslagen subsidiär i förhållande till bestämmelser i annan lag eller förordning. Bestämmelsen om sökförbud i 3 kap. 3 § andra stycket dataskyddslagen bör inte gälla varken när nämnden eller en forskningshuvudman behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning eller när statliga universitet och högskolor behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt den lagen. Ett undantag för den första situationen bör införas i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Ett undantag för den andra situationen bör införas på förordningsnivå i anslutning till den kommande regleringen om att statliga universitet och högskolor ska hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt nämnda lag (se vidare avsnitt 6.7). Det finns inget behov av att införa någon ytterligare reglering för behandlingen av känsliga personuppgifter Om behandling av känsliga personuppgifter tillåts ska det enligt dataskyddsförordningen finnas lämpliga och särskilda skyddsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. snitt 6.3 redovisas vilka generella skyddsåtgärder som gäller för all behandling av personuppgifter som blir aktuell till följd av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. I avsnittet föreslås ytterligare en skyddsåtgärd som innebär att personuppgifter som enbart behandlas av den särskilda fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Där görs också bedömningen att det inte finns något behov av att införa ytterligare bestämmelser om generella skyddsåtgärder. Frågan uppstår dock om det finns skäl att införa särskilda skyddsåtgärder vad gäller behandling av känsliga personuppgifter. Datainspektionen säger sig inte kunna bedöma vilka skyddsåtgärder som behöver införas, vare sig ur ett integritets- eller verksamhetsperspektiv. Regeringen gör bedömningen att de generella skyddsåtgärderna säkerställer den registrerades grundläggande rättigheter och intressen. Dessutom finns det redan en särskild skyddsåtgärd vid behandlingen av känsliga personuppgifter i den forskning som nämnden har att granska i form av kravet i etikprövningslagen på etikgodkännande för all forskning som innefattar behandling av känsliga personuppgifter. Förslaget ovan om att den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner inte ska omfattas av sökförbudet i dataskyddslagen innebär visserligen att en av de nuvarande skyddsåtgärderna tas bort, men regeringen gör ändå bedömningen att det finns ett tillräckligt skydd för de registrerades grundläggande rättigheter och intressen. hävdar att det för forskningshuvudmannen gäller att samtycke är undantagsbestämmelsen som möjliggör forskning på känsliga personuppgifter. Om samtycken inte behöver inhämtas för behandlingen av känsliga personuppgifter i forskningsverksamhet då nämnden ska kunna behandla känsliga personuppgifter med stöd i undantaget viktigt allmänt intresse minskar den här problematiken med resultatet att forskningshuvudmannen och nämnden kan behandla känsliga personuppgifter med samma undantagsgrund. En utökad etikprövning skulle i de fallen enligt bedömning kunna ersätta samtycken. Frågan om vilka undantagsbestämmelser i artikel 9.2 i dataskyddsförordningen som forskningshuvudmän kan tillämpa vid forskning som innefattar behandling av känsliga personuppgifter har behandlats i propositionen Behandling av personuppgifter för forskningsändamål (prop. 2017/18:298). Av propositionen framgår att vid behandling av känsliga personuppgifter i forskning tillämpas undantaget i artikel 9.2 j, enligt vilket behandlingen ska vara nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Etikprövning enligt etikprövningslagen bedöms vara en sådan lämplig och särskild skyddsåtgärd, fastställd i svensk rätt, som krävs (prop. 2017/18:298 s 84 f.). Forskning som innefattar behandling av känsliga personuppgifter får enligt etikprövningslagen bara utföras om den har 2019/20:7 godkänts vid en etikprövning (3 och 6 §§). Detta gäller även behandling som grundas på samtycke (prop. 2007/08:44 s. 21 f.). Av propositionen Behandling av personuppgifter för forskningsändamål framgår också att behandling av känsliga personuppgifter för forskningsändamål inte kan ske endast med stöd av samtycke enligt undantaget i artikel 9.2.a i dataskyddsförordningen, eftersom nationell rätt kräver etikgodkännande (s. 88 f.). Detta krav i etikprövningslagen utgör ett sådant förbud som inte kan upphävas av den enskilde, se artikel 9.2 a sista ledet. Av sista stycket i 6 § etikprövningslagen framgår vidare att ett godkännande enligt den lagen inte medför att forskningen får utföras om den strider mot någon annan författning. Det kan alltså vara så att det för ett forskningsprojekt inte alltid är tillräckligt med ett beslut om godkännande enligt etikprövningslagen utan det kan även krävas tillstånd av myndigheter enligt andra författningar. Exempelvis krävs det enligt läkemedelslagen (2015:315) tillstånd av vid kliniska läkemedelsprövningar. Med anledning av en ny EU-förordning och kompletterande nationell reglering, som ännu inte trätt i kraft, kommer det framöver inte att krävas tillstånd enligt etikprövningslagen för forskning som består i kliniska läkemedelsprövningar. Det kommer i stället enbart att krävas ett beslut av . Ett sådant beslut kommer dock att föregås av ett yttrande från enligt lagen (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel (se prop. 2017/18:193 och prop. 2017/18:196). Det sagda innebär att om förutsättningarna enligt etikprövningslagen och/eller andra författningar är uppfyllda i fråga om ett enskilt forskningsprojekt krävs inte samtycke för behandling av känsliga personuppgifter inom projektet, såvida inte samtycke krävs enligt den aktuella regleringen på området (se t.ex. artikel 29 i och rådets förordning [EU] nr 536/2014 av om kliniska prövningar av humanläkemedel och om upphörande av direktiv /20/EG). Någon ändring i den nationella regleringen i form av utökade krav på etikprövning för känsliga personuppgifter behövs således inte. önskar ett förtydligande av huruvida nämnden ska ansöka om etiskt tillstånd om den konstaterar att forskning skett på känsliga personuppgifter utan nödvändigt etiskt tillstånd. Enligt 2 § lagen om ansvar för god forskningssed och prövning av oredlighet i forskning definieras oredlighet i forskning som en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering som begås med uppsåt eller av grov oaktsamhet vid planering, genomförande eller rapportering av forskning. Avsaknad av etiktillstånd omfattas alltså inte av nämndens kompetensområde utan är en annat slags avvikelse från god forskningssed. Att utföra forskning utan ett etikgodkännande när ett sådant krävs är straffbart enligt 38 § etikprövningslagen. Om nämnden bedömer att ett ärende inte rör oredlighet i forskning men kan gälla andra avvikelser från god forskningssed ska nämnden underrätta den berörda forskningshuvudmannen och lämna över handlingarna i ärendet dit. Eftersom det är straffbart att utföra forskning som omfattas av etikprövningslagens tillämpningsområde utan att ha fått godkännande vid en etikprövning bör dock den som misstänker att sådan forskning förekommer anmäla detta. Detta gäller även nämnden. Nämnden kommer dock aldrig att behöva an- Prop. 2019/20:7 söka om etikprövningstillstånd eftersom nämnden inte utför forskning. Dataskyddsförordningen och dataskyddslagen ger tillräckligt stöd för behandling av personuppgifter som rör lagöverträdelser Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. 8 § första stycket dataskyddslagen, som förtydligar artikel 10 i dataskyddsförordningen, anges att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter. I avsnitt 6.3 redovisas vilka generella skyddsåtgärder som gäller för all behandling av personuppgifter som blir aktuell till följd av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. I avsnittet föreslås att personuppgifter som enbart behandlas av den särskilda fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Där görs också bedömningen att det inte finns något behov av att införa ytterligare bestämmelser om generella skyddsåtgärder. Några ytterligare skyddsåtgärder bedöms inte heller behövas när det är fråga om uppgifter som rör lagöverträdelser. Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner kommer således att med stöd av dataskyddsförordningen och dataskyddslagen kunna behandla personuppgifter som rör lagöverträdelser. Det behövs kompletterande reglering i fråga om behandling av känsliga personuppgifter för enskilda utbildningsanordnare och övriga bolag, Regeringens förslag: Det ska införas en bestämmelse om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få behandla känsliga personuppgifter om be- handlingen är nödvändig för att fullgöra uppgifter enligt lagen. Promemorians förslag: Överensstämmer delvis med regeringens för- I promemorian föreslås dessutom att det ska vara förbjudet för forsk- ningshuvudmän att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot förslaget. läns landsting anser att det bör övervägas om motsvarande be- stämmelse även ska avse leverantörer och konsulter inom it, datajournal- system samt vårddatabaser.