prop · H7037 · 2019-09-17 00:00:00 — 2019/20:7 Datainspektionen anser att det i promemorian inte presenteras någon egentlig utredning av hur behandlingen av känsliga personuppgifter kommer att gå till och att det således inte går att bedöma vilket behov de olika aktörerna har av att behandla känsliga personuppgifter och inte heller vilka risker behandlingen innebär för de registrerades personliga integritet. Att behandlingen av känsliga personuppgifter har ett rättsligt stöd, vare sig detta kan finnas i dataskyddslagen eller kräver ytterligare kompletterande lagstiftning, kan då enligt Datainspektionen inte säkerställas och vilka skyddsåtgärder som behöver införas kan inte heller bedömas, vare sig ur ett integritets- eller verksamhetsperspektiv. Datainspektionen avstyrker förslaget. Skälen för regeringens förslag Känsliga personuppgifter får behandlas under vissa villkor Som konstaterats i avsnitt 6.1 kan enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av den nya lagen komma att behöva behandla känsliga personuppgifter. Enligt artikel 9.1 i dataskyddsförordningen är behandling av känsliga personuppgifter förbjuden. Förbudet ska dock, enligt artikel , inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vissa bestämmelser i dataskyddslagen gäller för vissa enskilda forskningshuvudmän Som framgår av avsnitt 6.4.1 kommer den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner att kunna behandla känsliga personuppgifter med stöd av dataskyddsförordningen och dataskyddslagen. Av avsnitt 5.3 framgår vidare att vissa bestämmelser i dataskyddslagen även är tillämpliga hos andra än myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen (TF) och OSL gäller i deras verksamhet (3 kap. 3 § tredje stycket dataskyddslagen). Av 2 kap. 3 § OSL framgår att vad som föreskrivs i TF om rätt att ta del av allmänna handlingar hos myndigheter i tillämpliga delar ska gälla också handlingar hos aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande samt att sådana bolag, föreningar och stiftelser vid tillämpningen av OSL ska jämställas med myndigheter. Vad som föreskrivs i TF om rätt att ta del av allmänna handlingar hos myndigheter ska vidare, enligt 2 kap. 4§ OSL, i tillämpliga delar också gälla handlingar hos de organ som anges i bilagan till OSL, om handlingarna hör till den verksamhet som nämns där. Dessa organ ska i den verksamheten jämställas med myndigheter vid tillämpningen av OSL. Tre enskilda utbildningsanordnare finns upptagna i bilagan till OSL. Det är Stiftelsen och vissa bolag som ägs av stiftelsen (all verksamhet), Stiftelsen tekniska hög- skola och det av stiftelsen (all verksamhet) samt i (i fråga om statligt stöd i form av utbildningsbidrag för doktorander). Kommunala bolag, föreningar och stiftelser och ovan nämnda tre enskilda utbildningsanordnare ska alltså tillämpa offentlighetsprincipen och sekretessregleringen. I den mån några av de övriga statliga bolagen och stiftelserna som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning finns upptagna i bilagan till OSL ska även dessa tillämpa offentlighetsprincipen samt sekretessregleringen. Därmed ska dessa organ, enligt 3 kap. 3 § tredje stycket dataskyddslagen, jämställas med myndigheter vid tillämpningen av 3 kap. 3 § första stycket 1 dataskyddslagen. Enligt den bestämmelsen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Bestämmelsen klargör att det är tillåtet för myndigheter att utföra sådan behandling av känsliga personuppgifter som krävs i myndigheternas verksamhet som en direkt följd av framför allt OSL:s och förvaltningslagens bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post (prop. 2017/18:105 s. 194). Bestämmelsen omfattar dock inte, trots lagtextens generella utformning, sådan behandling som kan komma att krävas enligt den nya lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Det innebär att bestämmelsen inte omfattar all sådan behandling av känsliga personuppgifter som utförs av kommunala bolag, föreningar och stiftelser, ovan nämnda tre enskilda utbildningsanordnare och eventuella övriga statliga bolag och stiftelser som finns upptagna i bilagan till OSL och som omfattas av den nya lagen. Det behövs en bestämmelse som möjliggör behandling av känsliga personuppgifter för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar Dataskyddslagens bestämmelser i 3 kap. 3 § första stycket 2 och 3 om behandling av känsliga personuppgifter vid ärendehandläggning eller s.k. faktisk verksamhet omfattar inte enskilda utbildningsanordnare eller övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. För enskilda utbildningsanordnare finns bestämmelser om behandling av känsliga personuppgifter i 13 § lagen om tillstånd att utfärda vissa examina, men dessa bestämmelser är inte tillämpliga i nu aktuella fall. Alla de forskningshuvudmän som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning behöver kunna behandla känsliga personuppgifter för att fullgöra de krav som lagen ställer. Regeringen föreslår därför att det ska införas en bestämmelse som innebär att känsliga personuppgifter får behandlas av enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar om det är nödvändigt för att fullgöra uppgifter enligt nämnda lag. Frågorna om på vilken normnivå regleringen bör införas behandlas i avsnitt 6.8. läns landsting anser att det bör övervägas om motsvarande bestämmelse även ska avse leverantörer och konsulter inom it, datajournalsystem samt vårddatabaser. Här vill regeringen anföra att i den mån inne- 2019/20:7 hållet i datajournalsystem och vårddatabaser utgör en del av forskningsmaterialet, och har förts över till forskningshuvudmannen, så utgör det sådant material som nämnden kan begära in från forskningshuvudmannen. De nämnda aktörerna ges ingen ny roll i den nya hanteringen av oredlighet i forskning och deras personuppgiftsbehandling analyseras inte i denna proposition. Det behövs inte någon ytterligare skyddsåtgärd Datainspektionen anser att det i promemorian inte presenteras någon egentlig utredning av hur behandlingen av känsliga personuppgifter kommer att gå till och att det således inte går att bedöma vilket behov de olika aktörerna har av att behandla känsliga personuppgifter och inte heller vilka risker behandlingen innebär för de registrerades personliga integritet. Att behandlingen av känsliga personuppgifter har ett rättsligt stöd, vare sig detta kan finnas i dataskyddslagen eller kräver ytterligare kompletterande lagstiftning, kan då enligt Datainspektionen inte säkerställas och vilka skyddsåtgärder som behöver införas kan inte heller bedömas, vare sig ur ett integritets- eller verksamhetsperspektiv. I avsnitt 6.1 och 6.4.1 redogörs för de situationer då forskningshuvudmännen kan behöva behandla känsliga personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och hantering av oredlighet i forskning. I avsnitt 6.3 redogörs för de generella skyddsåtgärder som finns och föreslås. Dessa utgörs av en användningsbegränsning för den särskilda nämnden och sekretessbestämmelser för forskningshuvudmän och den särskilda nämnden samt bestämmelser om överföring av sekretess, liksom den pseudonymisering vid all behandling av personuppgifter för forskningsändamål som förordas i dataskyddsförordningen. Dessutom finns det redan en särskild skyddsåtgärd vid behandlingen av känsliga personuppgifter i den forskning som ska lämnas över för granskning i form av kravet i etikprövningslagen på etikgodkännande för all forskning som innefattar behandling av känsliga personuppgifter. Därutöver föreslås bestämmelsen om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar ska få behandla känsliga personuppgifter avgränsas så att den endast avser behandlingar som är nödvändiga för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Ge- nom dessa skyddsåtgärder bedöms kravet i artikel i dataskyddsförordningen på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen vara uppfyllda. 6.4.3Det finns inte behov av någon ytterligare reglering för behandling av personuppgifter som rör lagöverträdelser för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar Regeringens bedömning: Uppgift om att en forskare har gjort sig skyldig till oredlighet i forskning utgör inte en överträdelse i den mening som avses i artikel 10 i dataskyddsförordningen. Enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar kan med stöd av artikel 10 i dataskyddsförordningen och 5 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning behandla personuppgifter om lagöverträdelser. Någon ytterligare reglering för deras behandling av sådana personuppgifter bör inte införas. Promemorians förslag och bedömning: Överensstämmer delvis med regeringens bedömning. I promemorian föreslås att det ska införas en bestämmelse om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få behandla personuppgifter som rör lagöverträdelser om behandlingen är nödvändig för att fullgöra uppgifter enligt den lagen. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot förslaget eller bedömningen. läns landsting anser att det bör övervägas om motsvarande bestämmelse även ska avse leverantörer och konsulter inom it, datajournalsystem samt vårddatabaser. Datainspektionen avstyrker förslaget. Att en personuppgiftsansvarig inte får utföra en personuppgiftsbehandling som ligger utanför det i lag givna rättsliga stödet kan enligt Datainspektionens mening inte utgöra en skyddsåtgärd. Som nämnts i avsnitt 3 har Datainspektionen beretts tillfälle att yttra sig över ett utkast till lagrådsremiss med ett förslag som överensstämmer med vad som anges i rutan ovan. Datainspektionen anför att någon redogörelse för hur bestämmelsen i 5 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning uppfyller kraven i artikel 10 på lämpliga skyddsåtgärder inte har presenterats. Skälen för regeringens bedömning Personuppgifter som rör lagöverträdelser får behandlas under vissa villkor Som konstaterats i avsnitt 6.1 kan enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning komma att behöva behandla personuppgifter som rör lagöverträdelser. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Uppgift om att en forskare har gjort sig skyldig till oredlighet i forskning rör inte en fällande dom i ett brottmål eller en lagöverträdelse som innefattar brott eller därmed sammanhängande säkerhetsåtgärd i den mening som avses i artikel 10.Som framgår av avsnitt 6.1 kan dock sådana personuppgifter som avses i artikel 10 förekomma i t.ex. forskningsmaterial. I dataskyddslagen anges att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter samt att sådana upp- 2019/20:7 gifter får behandlas även av andra än myndigheter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 §). I promemorian föreslogs att det skulle införas en bestämmelse om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få behandla personuppgifter som rör lagöverträdelser om behandlingen är nödvändig för att fullgöra uppgifter enligt den lagen. Vidare gjordes bedömningen, utifrån kravet på lämpliga skyddsåtgärder i artikel 10, att det inte bör införas några ytterligare skyddsåtgärder. I promemorian redogjordes även för vilka skyddsåtgärder som finns. Datainspektionen avstyrker förslaget och anför att det förhållandet att en personuppgiftsansvarig inte får utföra en personuppgiftsbehandling som ligger utanför det i lag givna rättsliga stödet inte kan utgöra en skyddsåtgärd. Regeringen konstaterar att det i dataskyddslagen finns en föreskriftsrätt för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning (3 kap. 9 §). I 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning föreskrivs att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Utöver dessa bestämmelser finns det även bestämmelser för enskilda utbildningsanordnare om behandling av personuppgifter som rör fällande domar i brottmål i lagen om tillstånd att utfärda vissa examina, men de bestämmelserna är inte tillämpliga i nu aktuella fall (14 §). Enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar har stöd i nationell rätt för sin behandling av personuppgifter om lagöverträdelser Enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar har samma behov som statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner att kunna behandla personuppgifter som rör lagöverträdelser när de fullgör de uppgifter som följer av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Som framgått ovan tillåts behandling av uppgifter om lagöverträdelser för andra än myndigheter enligt 5 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning om behandlingen är nödvändig för att bl.a. en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. I avsnitt 6.2.2 görs bedömningen att de skyldigheter som regleras i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer att utgöra i svensk rätt fastställda rättsliga förpliktelser som åvilar statliga universitet och högskolor, andra statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och föreningar, och som gör det nödvändigt att behandla personuppgifter. Den rättsliga grunden rättslig förpliktelse i artikel 6.1 c kan då tillämpas. Detta innebär att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god Prop. 2019/20:7 forskningssed och prövning av oredlighet i forskning med stöd av 5 § för- ordningen med kompletterande bestämmelser till EU:s dataskyddsförordning kommer att kunna utföra nödvändig behandling av sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Det behövs då inte någon ytterligare bestämmelse om detta. Med anledning av Datainspektionens synpunkt över utkastet till lagrådsremiss kan det konstateras att det utöver ovanstående finns skyddsåtgärder fastställda (se avsnitt 6.3). läns landsting anser att det bör övervägas om motsvarande bestämmelse som föreslås i promemorian beträffande enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningars möjligheter att behandla uppgifter om lagöverträdelser även ska avse leverantörer och konsulter inom it, datajournalsystem samt vårddatabaser. Som påpekas i avsnitt 6.4.3 ovan kan nämnden från forskningshuvudmannen begära in innehållet i datajournalsystem och vårddatabaser, i den mån det utgör en del av forskningsmaterialet (och har förts över till forskningshuvudmannen). De nämnda aktörerna ges ingen ny roll i den nya hanteringen av oredlighet i forskning och deras personuppgiftsbehandling analyseras därför inte i denna proposition. Det behövs inget ytterligare rättsligt stöd för personuppgiftsbehandling som sker med stöd Regeringens bedömning: Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och före- ningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kan med stöd av EU:s dataskydds- förordning och dataskyddslagen utföra de personuppgiftsbehandlingar som blir nödvändiga med anledning av föreskrifter om arkiv. Promemorians bedömning: Överensstämmer med regeringens bedöm- Remissinstanserna: De remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Skälen för regeringens bedömning: Som framgår av avsnitt 5.1 är svenska myndigheter, kommunala bolag och vissa andra organ enligt ar- kivlagen skyldiga att bevara sina allmänna handlingar. propositionen Ny dataskyddslag bedömningen att myndigheter och andra som omfattas av föreskrifter om arkiv enligt gällande rätt har rättslig grund för behandling av personuppgifter för arkivändamål av allmänt intresse. Vidare gör regeringen bedömningen att vidarebehandling av personupp- gifter för arkivändamål av allmänt intresse enligt dataskyddsförordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. lig grund behöver således inte fastställas för sådan vidarebehandling (s. 109 f.). Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner bedöms således med 2019/20:7 stöd av den befintliga regleringen i dataskyddsförordningen och dataskyddslagen kunna utföra de personuppgiftsbehandlingar som blir nödvändiga med anledning av föreskrifter om arkiv, t.ex. föreskrifter enligt arkivlagen. Som framgår av avsnitt 6.4.3 ska om rätten att ta del av allmänna handlingar och bestämmelserna i även tillämpas på kommunala bolag, föreningar och stiftelser (2 kap. 3 § OSL) och sådana enskilda organ som anges i bilagan till OSL (2 kap. 4 § OSL). I den bilagan anges bl.a. Stiftelsen och vissa bolag som ägs av stiftelsen (all verksamhet), Stiftelsen och det av stiftelsen (all verksamhet) samt i (i fråga om statligt stöd i form av utbildningsbidrag för doktorander). Det framgår av 2 a § arkivlagen att det som enligt den lagen gäller för kommunala myndigheters arkiv ska gälla även för arkiv hos sådana juridiska personer som avses i 2 kap. 3 § OSL. Det framgår vidare av 2 § arkivlagen att det som enligt den lagen gäller för statliga myndigheters arkiv ska gälla även för arkiv hos sådana organ som avses i 2 kap. 4 § OSL till den del arkivet härrör från den verksamhet som avses i bilagan till OSL. Kommunala bolag, föreningar och stiftelser och ovan nämnda tre enskilda utbildningsanordnare ska alltså tillämpa offentlighetsprincipen, samt sekretess- och arkivregleringen. I den mån några av de övriga statliga bolagen och stiftelserna som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning finns upptagna i bilagan till OSL, ska även dessa tillämpa offentlighetsprincipen samt sekretess- och arkivregleringen. De kan därmed utföra sådana personuppgiftsbehandlingar som blir nödvändiga med anledning av arkivregleringen med stöd av dataskyddsförordningen och dataskyddslagen. 6.6Behöver de registrerades rättigheter eller de personuppgiftsansvarigas skyldigheter begränsas i något avseende? Regeringens förslag: Bestämmelsen i EU:s dataskyddsförordning om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, i de fall den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska inte gälla när forskningshuvudmännen behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Regeringens bedömning: Bestämmelsen bör inte heller gälla när statliga universitet och högskolor behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Tillämpningsområdet för de personuppgiftsansvarigas skyldigheter eller de registrerades rättigheter som följer av dataskyddsförordningen bör i övrigt inte begränsas. Promemorians bedömning: Överensstämmer delvis med regeringens förslag och bedömning. I promemorian görs bedömningen att tillämpningsområdet för de personuppgiftsansvarigas skyldigheter eller de registrerades rättigheter som följer av dataskyddsförordningen inte bör begränsas alls. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Tekniska högskolan vill, apropå promemorians bedömning att det inte finns något skäl till begränsning av rätten till rättelse enligt artikel 16, uppmärksamma att ändringar i forskningsmaterialet innebär att informationen inte förblir oförvanskad, dvs. i det skick som den var när forskaren arbetade med informationen. instämmer inte i promemorians bedömning om de registrerades rätt till information enligt artikel 13 och 14 i dataskyddsförordningen. ser ett behov av att närmare utreda frågan om att införa ett generellt undantag från informationsskyldigheten vid behandling av personuppgifter i syfte att utreda misstänkt oredlighet och avvikelser från god forskningssed. anför vidare att undantaget i artikel 14.5 c i dataskyddsförordningen enbart omfattar utlämnandet av personuppgifterna från forskningshuvudmannen till nämnden och inte personuppgiftsbehandling som kan krävas hos forskningshuvudmannen. I de fall där inte något av undantagen i artikel 13 eller 14 i dataskyddsförordningen är tillämpliga kan forskningshuvudmannen vara skyldig att informera forskningspersonerna om den nya behandlingen som sker i syfte att utreda misstänkt oredlighet i forskning. Som anförs i promemorian så skulle det kunna bli relativt betungande att informera om den nya behandlingen när det rör sig om forskningsmaterial avseende ett stort antal personer. Det kan enligt även ifrågasättas om det är lämpligt att informera forskningspersonerna i ett forskningsprojekt om att personuppgifterna hanteras för att utreda misstänkt oredlighet i forskning eller avvikelse från god forskningssed innan en sådan utredning avslutats. Även påpekar att dataskyddsförordningen ställer krav på att de registrerade vid en personuppgiftsbehandling informeras om det specifika ändamål personuppgiftsbehandlingen har, och att forskningsdeltagares personuppgifter kommer att behandlas för nya och andra ändamål hos nämnden som kan skilja sig från ändamålet med den ursprungliga behandlingen så som det presenterades för den registrerade.