prop · H7037 · 2019-09-17 00:00:00 — Skälen för regeringens bedömning: Som nämns i avsnitt 5.1 utgår dataskyddsförordningen från att varje behandling av personuppgifter måste vila på en av de rättsliga grunder som räknas upp i artikel 6.1. När det gäller den särskilda nämndens personuppgiftsbehandling görs bedömningen att det finns flera rättsliga grunder som kan tillämpas. För det första bedöms de uppgifter som anges i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning utgöra i svensk rätt fastställda uppgifter av allmänt intresse. Sådan behandling av personuppgifter där syftet med behandlingen är nödvändigt för att utöva verksamhet som regleras i nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 c. Vidare gör regeringen i propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning (prop. 2018/19:58) bedömningen att den särskilda nämndens prövning av oredlighet i forskning utgör myndighetsutövning (s. 82 och 85). Det är alltså fråga om myndighetsutövning som fastställs i svensk rätt. Därmed kan nämnden även använda sig av den rättsliga grunden myndighetsutövning i artikel 6.1 e för sådan behandling av personuppgifter som är nödvändig som ett led i myndighetsutövningen. I promemorian görs bedömningen att de skyldigheter som den särskilda nämnden har enligt den nya lagen utgör rättsliga förpliktelser i dataskyddsförordningens mening. Personuppgiftsbehandling för att fullgöra dessa förpliktelser bedöms i promemorian därmed även kunna ske med stöd av artikel 6.1 c enligt vilken behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Datainspektionen anför i sitt yttrande över utkastet till lagrådsremiss att det förhållandet att en organisation genom en lag ges en uppgift att pröva oredlighet i forskning m.m. inte generellt kan anses utgöra en tillräckligt preciserad rättslig förpliktelse. Nämnden har enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning i uppgift att pröva frågor om oredlighet i forskning (7 §) och nämndens prövning ska redovisas i ett beslut (9 §). Oredlighet i forskning definieras i 2 § som en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering som begås med uppsåt eller av grov oaktsamhet vid planering, genomförande eller rapportering av forskning. Regeringens anser att nämndens skyldig- heter enligt lagen är tydliga och tillräckligt preciserade för att uppfylla kraven i artikel 6. Syftet med behandlingen är fastställt i den rättsliga grun- den och är i detta fall att pröva frågor om oredlighet i forskning utifrån den lagstadgade definitionen av vad oredlighet innebär samt att redovisa resul- tatet av prövningen i ett beslut. Rättsliga grunder för övriga statliga myndigheters, kommuners och regioners, enskilda utbildningsanordnares samt övriga bolags, Regeringens bedömning: De uppgifter som regleras i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning och i hög- skoleförordningen kommer att utgöra i svensk rätt fastställda uppgifter av allmänt intresse. Den behandling av personuppgifter som är nödvän- dig för att utöva verksamhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen. Vid hantering av andra misstänkta avvikelser från god forskningssed är det även möjligt för statliga universitet och högskolor att tillämpa den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskydds- förordningen, för sådan behandling som är nödvändig som ett led i den De skyldigheter som regleras i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer att utgöra i svensk rätt fastställda rättsliga förpliktelser som åvilar statliga universitet och hög- skolor, andra statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och föreningar och som gör det nödvändigt att behandla personuppgifter. liga grunden rättslig förpliktelse i artikel 6.1 c kan då tillämpas. Promemorians bedömning: Överensstämmer med regeringens bedöm- Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. önskar ett klargörande om när regeringen anser att universitet och högskolor kan komma att utöva myndighetsutövning vid utförande av de nya uppgifterna enligt förslaget, och därmed kan använda myndighetsutövning som rättslig grund för behandling av personuppgifter. Skälen för regeringens bedömning: Även när det gäller den person- uppgiftsbehandling som kommer att behöva utföras vid statliga universitet och högskolor, andra statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och föreningar vid tillämpning av den nya lagen görs bedömningen att det finns flera rätts- liga grunder i dataskyddsförordningen som kan tillämpas. De uppgifter som forskningshuvudmännen kommer att ha enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning och högskoleförordningen kommer att utgöra i svensk rätt fastställda upp- gifter av allmänt intresse. Detta innebär att den behandling av personupp- Prop. 2019/20:7 gifter som är nödvändig för att utöva verksamhet som grundas på nämnda föreskrifter kan ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen. I propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning gör regeringen bedömningen att den särskilda nämndens prövning av oredlighet i forskning utgör myndighetsutövning. I promemorian görs bedömningen att även statliga universitets och högskolors hantering av andra misstänkta avvikelser från god forskningssed rimligen bör utgöra myndighetsutövning. önskar ett klargörande om när regeringen anser att universitet och högskolor kan komma att utöva myndighetsutövning vid utförande av de nya uppgifterna enligt förslaget, och därmed kan använda myndighetsutövning som rättslig grund för behandling av personuppgifter. Uttrycket myndighetsutövning är inte definierat i vare sig dataskyddsförordningen eller i svensk lag. Det förekommer inte i förvaltningslagen (2017:900) som trädde i kraft , men i flera andra författningar. Enligt svensk praxis innefattar myndighetsutövning beslut och andra åtgärder som en myndighet vidtar gentemot en enskild med stöd av en befogenhet som myndigheten har getts genom ett konkret beslut av regeringen eller eller genom en offentligrättslig författning (prop. 2018/19:58 s. 85). Det är upp till varje enskilt lärosäte att göra bedömningen av när åtgärder som lärosätet vidtar utgör myndighetsutövning och när de därmed kan använda sig av den rättsliga grunden myndighetsutövning i artikel 6.1 e. De uppgifter som åläggs statliga universitet och högskolor och övriga forskningshuvudmän enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning handlar inte om beslut eller åtgärder gentemot en enskild och bör därför inte anses vara myndighetsutövning. Eventuella beslut och åtgärder som forskningshuvudmännen vidtar efter att oredlighet har konstaterats styrs av andra regelverk och behandlas inte i denna proposition. De skyldigheter som forskningshuvudmännen har enligt den nya lagen bedöms utgöra rättsliga förpliktelser i dataskyddsförordningens mening, t.ex. skyldigheten att, om det kan misstänkas att oredlighet i forskning har förekommit i en forskningshuvudmans verksamhet, överlämna handlingarna i ärendet till den särskilda nämnden (6 §) och skyldigheten att lämna de upplysningar och handlingar om forskningen som nämnden begär och ge nämnden tillgång till datorer och annan utrustning som har använts vid forskningen (12 §). Personuppgiftsbehandling för att fullgöra dessa förpliktelser kan därmed även ske med stöd av artikel 6.1 c enligt vilken behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Som framgår ovan och av redovisningen i avsnitt 5.6 av den övriga regleringen är syftet med behandlingen fastställt i den rättsliga grunden. Finns det behov av att införa generella Regeringens förslag: Personuppgifter som behandlas av den särskilda nämnden enbart för att fullgöra uppgifter enligt lagen om ansvar för god 2019/20:7 forskningssed och prövning av oredlighet i forskning ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Regeringens bedömning: Något undantag för myndigheters användning av personuppgifter i allmänna handlingar bör inte gälla. Det finns inte något behov av att införa ytterligare bestämmelser om generella skyddsåtgärder. Promemorians bedömning: Överensstämmer inte med regeringens förslag och bedömning. I promemorian görs bedömningen att det inte finns behov av att införa några ytterligare generella skyddsåtgärder. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Datainspektionen anför att en begränsning av möjligheten för den särskilda nämnden att behandla personuppgifter för att vidta åtgärder i fråga om den registrerade syftar till att begränsa eventuell vidarebehandling av den registrerades personuppgifter till sådana situationer som är av avgörande betydelse för den registrerades liv och hälsa. Att inte införa någon sådan begränsning av nämndens möjlighet till ytterligare behandling innebär enligt Datainspektionen att sådan behandling kan vara tillåten, givetvis under förutsättning att det inte strider mot regleringen i dataskyddförordningen i övrigt. I promemorian görs emellertid bedömningen att nämnden inte alls har till uppgift att själv vidta åtgärder i fråga om den registrerade och det inte ens om det är av avgörande betydelse för den registrerades vitala intressen. Mot den bakgrunden anser Datainspektionen att det finns skäl att som en skyddsåtgärd begränsa nämndens möjlighet till vidarebehandling av den registrerades personuppgifter. önskar ett förtydligande om hur det i praktiken ska gå till när forskningshuvudmannen ska upplysa och varna den registrerade att t.ex. en felaktig behandling har getts till denne, mot bakgrund av att en utredning om oredlighet i forskning kan ta månader. Den registrerade har intresse av att få denna information så fort som möjligt varför det enligt i vissa fall kan ifrågasättas om det inte vore lämpligare att detta åligger nämnden. Som nämnts i avsnitt 3 har Datainspektionen beretts tillfälle att yttra sig över ett utkast till lagrådsremiss med ett förslag som överensstämmer med vad som anges i rutan ovan. Datainspektionen anför i sitt yttrande att den anser att det är bra att det som generell skyddsåtgärd införs en begränsning av eventuell vidarebehandling. Skälen för regeringens förslag och bedömning Det finns möjlighet att införa generella skyddsåtgärder I artikel 6.2 i dataskyddsförordningen anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikel 6.1 c och e (rättslig förpliktelse respektive allmänt intresse eller myndighetsutövning som rättslig grund). Detta får göras genom att man närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX (bestämmelser om särskilda behandlingssituationer). Vidare anges i artikel 6.3 andra stycket i dataskyddsförordningen att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Sådana särskilda bestämmelser kan bl.a. vara de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. För att den särskilda nämnden ska kunna avgöra om det har förekommit oredlighet i forskning, kommer den som regel att behöva undersöka det aktuella forskningsmaterialet och då behandla personuppgifter i det materialet. och högskolor behöver sannolikt göra motsvarande undersökningar av forskningsmaterialet i samband med sin hantering av andra misstänkta avvikelser från god forskningssed än de som ska prövas enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Därutöver kommer forskningshuvudmännen som omfattas av nämnda lag att behöva behandla personuppgifter i samband med att de utför de uppgifter som följer av lagen. Frågan uppkommer då om det finns anledning att införa några generella skyddsåtgärder vid personuppgiftsbehandlingen. Det finns inte skäl att införa ett krav på pseudonymisering I propositionen Behandling av personuppgifter för forskningsändamål (prop. 2017/18:298) gör regeringen bedömningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder när de behandlas för forskningsändamål. Detta framgår enligt regeringen direkt av dataskyddsförordningen och bör därför inte föreskrivas i svensk rätt (s. 70). Det innebär sannolikt att det forskningsmaterial som den särskilda nämnden och forskningshuvudmännen tar del av i många fall redan är pseudonymiserat. Vid nämndens prövning av oredlighet i forskning och statliga universitets och högskolors hantering av misstänkta avvikelser från god forskningssed är det också viktigt att forskningsmaterialet ser ut som det gjorde när forskaren arbetade med det. Det bedöms därför inte finnas skäl att införa något krav på pseudonymisering av sådant forskningsmaterial som den särskilda nämnden och forskningshuvudmännen tar del av. Användningsbegränsning bör vara en skyddsåtgärd vid behandling av personuppgifter hos den särskilda nämnden I dataskyddslagen finns en användningsbegränsning som reglerar hur personuppgifter som behandlas för forskningsändamål får användas (4 kap. 3 §). I bestämmelsen anges att personuppgifter som behandlas enbart för forskningsändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Bestämmelsen syftar till att begränsa vidarebehandling av personuppgifterna för andra ändamål än forskning, som en skydds- 2019/20:7 åtgärd för de registrerade. Bestämmelsen är försedd med ett undantag som tar sikte på situationer som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas för forskningsändamål behöver användas för att varna de registrerade. Det kan förekomma t.ex. när en forskare, som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling (prop. 2017/18:298 s. 194). Frågan uppkommer då om en motsvarande användningsbegränsning bör gälla när den särskilda nämnden fullgör de uppgifter som följer av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. I promemorian föreslås ingen användningsbegränsning motsvarande den i 4 kap. 3 § dataskyddslagen för den särskilda nämnden. Där konstateras att nämnden bara har till uppgift att pröva frågor om oredlighet i forskning och konstatera om oredlighet har förekommit eller inte. Även om oredlighet konstateras så är det inte nämndens uppgift att dra slutsatser om vilka forskningsresultat som hade uppstått om forskningen hade skötts korrekt eller om huruvida de felaktiga slutsatserna är av avgörande betydelse för den registrerades vitala intressen. Det kan dock inte uteslutas att det kan finnas fall då nämndens granskning visar att t.ex. felaktig behandling har getts till forskningspersoner. Det är sannolikt att det forskningsmaterial som den särskilda nämnden tar del av i många fall är pseudonymiserat. I sådana fall är det inte möjligt för den särskilda nämnden att vidta några åtgärder i fråga om de registrerade, utan att begära att få tillgång till kodnyckeln. I promemorian bedömdes det i dessa fall vara lämpligast att forskningshuvudmannen upplyses om vad som framkommit vid granskningen så att denne kan varna den registrerade. Mot denna bakgrund bedömdes det i promemorian inte finnas skäl att införa en motsvarande användningsbegränsning som gäller enligt 4 kap. 3 § dataskyddslagen för den särskilda nämnden. Datainspektionen påpekar att en begränsning av möjligheten för nämnden att behandla personuppgifter för att vidta åtgärder i fråga om den registrerade syftar till att begränsa eventuell vidarebehandling av den registrerades personuppgifter till sådana situationer som är av avgörande betydelse för den registrerades liv och hälsa. Att inte införa någon sådan begränsning av nämndens möjlighet till ytterligare behandling innebär enligt Datainspektionen att sådan behandling kan vara tillåten, givetvis under förutsättning att det inte strider mot regleringen i dataskyddförordningen i övrigt. Mot denna bakgrund anser Datainspektionen, i motsats till bedömningen i promemorian, att det finns skäl att som en skyddsåtgärd begränsa nämndens möjlighet till vidarebehandling av den registrerades personuppgifter. önskar vidare ett förtydligande om hur det i praktiken ska gå till när forskningshuvudmannen ska upplysa och varna den registrerade att t. ex. en felaktig behandling har getts till denne, mot bakgrund av att en utredning om oredlighet i forskning kan ta månader. Den registrerade har intresse av att få denna information så fort som möjligt varför det enligt i vissa fall kan ifrågasättas om det inte vore lämpligare att detta åligger nämnden. En i nationell rätt fastställd begränsning av nämndens möjligheter till vidarebehandling av personuppgifterna kan, i linje med Datainspektionens uppfattning, utgöra ett lämpligt skydd för de registrerades integritet. ifrågasätter om det inte vore lämpligare att nämnden vidtar åtgärder mot de registrerade, när det i samband med utredning om oredlighet i forskning upptäcks att vitala intressen står på spel, istället för att detta åläggs forskningshuvudmannen. Det kan i sammanhanget inte uteslutas att det kan finnas fall då nämndens granskning visar att t.ex. direkt farlig behandling har getts till forskningspersoner. I dessa fall, då de registrerades egna vitala intressen står på spel, anser regeringen att det bör vara möjligt för nämnden att använda personuppgifter som annars bara behandlas för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för att även vidta åtgärder i fråga om de registrerade. Om det är lämpligast att nämnden eller forskningshuvudmannen vidtar åtgärder mot de registrerade när det föreligger synnerliga skäl måste dock bedömas från fall till fall. Om det finns synnerliga skäl bör nämnden omgående informera antingen forskningshuvudmannen eller de registrerade. Det finns alltså inte något skäl att avvakta med denna information till dess utredningen om oredlighet i forskning är klar. Det är regeringens uppfattning att den särskilda nämnden i övrigt inte bör kunna använda personuppgifter som enbart behandlas för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för att vidta åtgärder i förhållande till den registrerade. Den omständigheten att uppgifterna kan finnas i allmänna handlingar föranleder ingen annan bedömning. Regeringen föreslår således, i linje med Datainspektionens bedömning, att en motsvarande användningsbegränsning som gäller enligt 4 kap. 3 § dataskyddslagen ska införas för den särskilda nämnden. Det finns sekretessbestämmelser som utgör skyddsåtgärder I 24 kap. OSL finns bestämmelser om sekretess till skydd för enskild inom forskning. I kapitlet finns bl.a. bestämmelser om sekretess för uppgift som hänför sig till psykologisk undersökning som utförs för forskningsändamål (1 §), sekretess i verksamhet som avser förande av eller uttag ur register som förs enligt lagen (1999:353) om rättspsykiatriskt forskningsregister (2 §) och sekretess i verksamhet som består i etikprövning och tillsyn enligt lagen (2003:460) om etikprövning av forskning som avser människor (3 §). Vidare finns det i 11 kap. 3 § första stycket OSL en bestämmelse som reglerar överföring av sekretess i forskningsverksamhet. Av bestämmelsen följer att om en myndighet i sin forskningsverksamhet får en sekretessreglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten. Detta gäller dock inte en uppgift som ingår i ett beslut hos den mottagande myndigheten. Nämnda bestämmelser är tillämpliga hos myndigheter, t.ex. statliga universitet och högskolor. Bestämmelserna är även tillämpliga hos aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande (2 kap. 1 och 3 §§ OSL). Vidare är bestämmelserna tillämpliga hos Stiftelsen och vissa bolag som ägs av stiftelsen och Stiftelsen 2019/20:7 mers tekniska högskola och det av stiftelsen (2 kap. 4 § och bilagan till OSL). Sekretessbestämmelserna i 24 kap. och bestämmelserna om överföring av sekretess i 11 kap. 3 § första stycket OSL är alltså tillämpliga hos flera av de forskningshuvudmän som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Vidare ska sekretess gälla hos den särskilda nämnden i ärenden enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, och för uppgift om en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Sekretessen ska inte gälla för uppgift om vem som har väckt frågan om oredlighet eller för uppgift om vem misstanken riktas mot. Sekretessen ska inte heller gälla beslut i ett ärende. För uppgift i en allmän handling ska sekretessen gälla i högst för uppgift om en enskilds personliga förhållanden och i högst för uppgift om en enskilds ekonomiska förhållanden. Vidare gäller att om den särskilda nämnden i sin verksamhet enligt den nya lagen får en sekretessreglerad uppgift från en forskningshuvudman ska sekretessbestämmelsen vara tillämplig på uppgiften även hos nämnden. Den överförda sekretessen gäller inte för en uppgift som ingår i ett beslut hos nämnden (11 kap. 3 a § och 24 kap. 7 a § OSL). Ovan nämnda bestämmelser utgör skyddsåtgärder vid den särskilda nämndens och forskningshuvudmännens personuppgiftsbehandlingar. Det finns inte skäl att införa några ytterligare generella skyddsåtgärder Som framgår ovan föreslår regeringen en användningsbegränsning för den särskilda nämnden. Vidare konstateras att det redan finns bestämmelser som utgör generella skyddsåtgärder. Det har inte framkommit skäl som talar för att införa några ytterligare skyddsåtgärder. Skyddsåtgärder vid behandling av känsliga personuppgifter behandlas i avsnitt 6.4. Behandling av känsliga personuppgifter och personuppgifter som rör lagöverträdelser Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt