prop · H7037 · 2019-09-17 00:00:00 — genomföra lämpliga tekniska och organisatoriska åtgärder för att säker- ställa och kunna visa att behandlingen utförs i enlighet med förordningen. Dessa åtgärder ska ses över och uppdateras vid behov (artikel 24.1). Personuppgiftsbehandling kan komma att utföras av såväl anställd per- sonal som av tillfälligt anlitade experter och sakkunniga. den krets som ska få tillgång till uppgifterna kunna begränsas till ett fåtal personer inom forskningshuvudmännens organisation. När det gäller den särskilda nämnden behöver samtliga nämndledamöter ta del av material för att kunna avgöra ett oredlighetsärende. kommer att behöva ta del av materialet. Som anges i avsnitt 6.4 kommer forskningsmaterial i många fall sanno- likt att vara pseudonymiserat. Vidare omfattas statliga universitet och hög- skolor, övriga statliga myndigheter samt kommuner och landsting av vissa bestämmelser om sekretess till skydd för enskild inom forskning i 24 kap. OSL och bestämmelsen om överföring av sekretess i forskningsverksam- het i 11 kap. 3 § första stycket OSL. Detsamma gäller för kommunala bo- lag, föreningar och stiftelser samt för de enskilda utbildningsanordnarna Stiftelsen och vissa bolag som ägs av stiftelsen samt Stiftelsen och det av stiftelsen ägda eftersom de finns upptagna i bilagan till OSL (se avsnitt 6.4.2). Detta begränsar risken för oönskad spridning av När det gäller eventuella risker för oönskad spridning av personuppgif- ter i samband med att uppgifter överförs till den särskilda nämnden gäller sekretess hos den särskilda nämnden i ärenden enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, och om en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Sekretessen gäller inte för uppgift om vem som har väckt frågan om oredlighet eller för uppgift om vem misstanken riktas mot och inte heller för beslut i ett ärende. För uppgift i en allmän handling gäller sekretessen i högst för uppgift om en enskilds personliga förhållanden, och för uppgift om en enskilds ekono- Vidare gäller att om den särskilda nämnden i sin verk- samhet enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning får en sekretessreglerad uppgift från en forsknings- huvudman ska sekretessbestämmelsen vara tillämplig på uppgiften även Den överförda sekretessen gäller inte för en uppgift som ingår i ett beslut hos nämnden. Dessa sekretessbestämmelser begränsar risken för oönskad spridning av personuppgifter. , och Kungl. Tekniska högskolan pekar på vikten av säker överföring av personuppgifter från forskningshuvudmannen till nämnden. Två av de grundläggande principerna för all personuppgiftsbehandling enligt dataskyddsförordningen är principen om uppgiftsminimering, dvs. att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, och principen om integritet och konfidentialitet, dvs. att uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (artikel 5.1 c och f). Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att detta efterlevs (artikel 5.2). Det är därmed forskningshuvudmannens och nämndens respektive ansvar att se till att efterleva dataskyddsförordningens krav på bl.a. säker hantering i samband med all behandling av personuppgifter i den egna verksamheten, inklusive i samband med själva överföringen av personuppgifter. efterfrågar även ett förtydligande om hur länge data får lagras hos den särskilda nämnden efter att granskningen är avslutad. Lagringsminimering är en grundläggande princip vid all personuppgiftsbehandling enligt dataskyddsförordningen, vilket innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Det enda undantaget från denna princip är då personuppgifter enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. I dessa fall får uppgifterna lagras , under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter. Nämndens behandling av personuppgifter för arkivändamål regleras i den generella arkivregleringen för myndigheter. påpekar att den personuppgiftsbehandling som nämnden måste utföra inom ramen för sin prövning av oredlighet i forskning måste vara förenlig med annan integritetsskyddande lagstiftning än dataskyddslagstiftningen. Regeringen har dock inte identifierat några konflikter med annan lagstiftning. När det gäller patientdatalagen (2008:535) så ska den tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården (1 kap. 1 § första stycket). De uppgifter som nämnden får tillgång till inom ramen för sin prövning av oredlighet i forskning kommer huvudsakligen att utgöra forskningsmaterial. I vissa fall kan uppgifterna i forskningsmaterialet härröra från hälso- och sjukvården. Nämndens behandling av dessa uppgifter kan dock inte anses ske ”inom hälso- och sjukvård”. Patientdatalagen saknar därför relevans för nämndens behandling av personuppgifter. Regeringen kommer dock att noga följa det nya regelverkets tillämpning för att bl.a. kunna identifiera eventuella problem av nämnda slag. 2019/20:7 Sammanfattningsvis gör regeringen bedömningen att den behandling av personuppgifter som möjliggörs genom förslagen i denna proposition enbart medför begränsade risker för de intressen som dataskyddsregleringen avser att skydda. Regeringen anser därmed att behandlingen av personuppgifter står i rimlig proportion till den nytta som förslagen förväntas medföra. Regeringens förslag: Lagändringarna ska träda i kraft som lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, dvs. Promemorians bedömning: Överensstämmer med regeringens förslag. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Svenskt Nä- ringsliv önskar ett klargörande av vilka regler som ska gälla mellan det att dataskyddsförordningen trädde i kraft och . Skälen för regeringens förslag: Lagen om ansvar för god forskningssed och prövning av oredlighet i forskning träder i kraft (prop. 2018/19:58, bet. 2018/19:UbU21, rskr. 2018/19:273). Som nämnts i avsnitt 6.7 har det i propositionen En ny beteckning för kommuner på regional nivå och vissa frågor om regionindelning (prop. 2018/19:162) föreslagits en ändring i 3 § i nämnda lag. De i denna proposition föreslagna bestämmelserna om personuppgiftsbehandling föreslås i avsnitt 6.7 föras in i samma lag. Därutöver föreslås en följdändring i 3 §. Eftersom det redan är beslutat när lagen ska träda i kraft behövs det nu inga särskilda bestämmelser om ikraftträdande. Med anledning av synpunkten från vill regeringen förtydliga att det för statliga universitet och högskolor finns gällande bestämmelser om utredning av misstankar om oredlighet i forskning i 1 kap. 16 § högskoleförordningen. För övriga forskningshuvudmän är det inte författningsreglerat hur de ska utreda misstankar om oredlighet i forskning. De instanser som hanterar frågor om oredlighet i forskning får finna stöd i allmänna dataskyddsregler för den hanteringen. 8.1Konsekvenser för den personliga integriteten Förslagen i denna proposition syftar till att möjliggöra personuppgiftsbehandling som är nödvändig för att utföra de uppgifter som följer av förslagen i propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning. Den behandling av personuppgifter som möjliggörs genom förslagen bedöms medföra enbart begränsade risker för de intressen som Prop. 2019/20:7 dataskyddsregleringen avser att skydda. 8.2Ekonomiska konsekvenser och konsekvenser i övrigt Regeringen bedömer att förslagen i propositionen inte får några kostnadsmässiga eller andra ekonomiska konsekvenser. Förslagen bedöms inte heller få några konsekvenser för företag eller konkurrensförhållanden, den kommunala självstyrelsen, jämställdheten mellan män och kvinnor, miljön, brottsligheten eller det brottsförebyggande arbetet, möjligheten att nå de integrationspolitiska målen eller medlemskap i unionen. 9.1Förslaget till lag om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning 15 § Bestämmelserna i 16–20 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Paragrafen är ny och anger att 16–20 §§ innehåller kompletterande bestämmelser till dataskyddsförordningen. Det innebär att bestämmelserna inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat i EU. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser om behandling av personuppgifter som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Bestämmelserna i 16–20 §§ innehåller sådana kompletterande bestämmelser. Hänvisningarna till dataskyddsförordningen i denna lag är dynamiska, dvs. avser förordningen i dess gällande lydelse . Övervägandena finns i avsnitt 6.7. 16 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. 2019/20:7 Paragrafen är ny och upplyser om hur lagen förhåller sig till dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen. Bestämmelsen innehåller en upplysning om att det i dataskyddslagen och anslutande föreskrifter finns generella bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskyddsförordningen och som därmed i tillämpliga delar även gäller vid behandling enligt denna lag. Vidare anges att dataskyddslagen och anslutande föreskrifter är subsidiära i förhållande till denna lag. Det innebär att dataskyddslagens bestämmelser endast gäller i den mån inte annat föreskrivs i denna lag. Övervägandena finns i avsnitt 6.7. 17 § Artikel 13.3 i EU:s dataskyddsförordning om informationsskyldighet för den personuppgiftsansvarige gäller inte när en forskningshuvudman som avses i 3 § första stycket behandlar personuppgifter för att fullgöra uppgifter enligt denna lag. Paragrafen är ny och innehåller ett undantag från artikel 13.3 i dataskyddsförordningen. I den artikeln anges att om den personuppgiftsansvarige avser att ytterligare behandla personuppgifter för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt artikel 13.2. Bestämmelsen innebär att artikel 13.3 inte gäller när de forskningshuvudmän som avses i 3 § första stycket behandlar personuppgifter för att fullgöra uppgifter enligt denna lag. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser förordningen i dess gällande lydelse . Övervägandena finns i avsnitt 6.6. 18 § Bestämmelsen i 3 kap. 3 § andra stycket dataskyddslagen om sökförbud i fråga om känsliga personuppgifter gäller inte när nämnden eller en forskningshuvudman som avses i 3 § första stycket 1, 2 och 5 behandlar personuppgifter för att fullgöra uppgifter enligt denna lag. Paragrafen är ny och innehåller ett undantag från 3 kap. 3 § andra stycket dataskyddslagen. I 3 kap. 3 § första stycket dataskyddslagen anges att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I 3 kap. 3 § andra stycket dataskyddslagen anges att vid behandling som sker enbart med stöd av första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Förevarande bestämmelse innebär att detta sökförbud inte gäller när nämnden eller en forskningshuvudman som avses i 3 § första stycket 1, 2 och 5 behandlar personuppgifter för att fullgöra uppgifter enligt denna lag. Övervägandena finns i avsnitt 6.4.1. 19 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas av de forskningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 om behandlingen är nödvändig för att fullgöra uppgifter enligt denna lag. För sådana forskningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 och i vars verksamhet bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller, finns det även bestämmelser om behandling av känsliga personuppgifter i dataskyddslagen. Paragrafen är ny. Av första stycket framgår att sådana forskningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 får behandla personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning. De personuppgifter som avses, känsliga personuppgifter, är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Personuppgifterna får dock behandlas bara om behandlingen är nödvändig för att fullgöra uppgifter enligt denna lag. Att behandlingen måste vara nödvändig innebär bl.a. att bara sådana uppgifter som behövs för hanteringen får behandlas. Begreppet nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten om den leder till effektivitetsvinster (jfr prop. 2017/18:218 s. 46 f. och 204 f.). För att underlätta tillämpningen innehåller andra stycket en upplysning om att det för sådana forskningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 och i vars verksamhet bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller, även finns bestämmelser om behandling av känsliga personuppgifter i dataskyddslagen. De bestämmelser som avses finns i 3 kap. 3 § första stycket 1 och tredje stycket dataskyddslagen och de klargör att det är tillåtet att utföra sådan behandling av känsliga personuppgifter som krävs i verksamheten som en direkt följd av framför allt offentlighets- och sekretesslagens och förvaltningslagens (2017:900) bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post (se avsnitt 6.4.2). De nu nämnda bestämmelserna i 3 kap. 3 § första stycket 1 dataskyddslagen omfattar dock inte, trots lagtextens generella lydelse, sådan behandling som kan komma att krävas enligt den nya lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Detta innebär att de nämnda bestämmelserna i dataskyddslagen inte ensamma tillgodoser det behov av författningsstöd för behandling av känsliga personuppgifter som aktuella forskningshuvudmän har. För att kunna fullgöra dessa uppgifter behöver forskningshuvudmännen därför även tillämpa bestämmelsen i förevarande paragrafs första stycke. I 3 kap. 3 § andra stycket dataskyddslagen anges att vid behandling som sker enbart med stöd av första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgif- 2019/20:7 ter. Denna sökbegränsning blir tillämplig för de forskningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 vid behandling av känsliga personuppgifter som utförs med stöd av 3 kap. 3 § första stycket 1 och tredje stycket dataskyddslagen. Hänvisningarna till dataskyddsförordningen är dynamiska, dvs. avser förordningen i dess gällande lydelse . Övervägandena finns i avsnitt 6.4.2 och 6.7. 20 § Personuppgifter som behandlas av nämnden enbart för att fullgöra uppgifter enligt denna lag får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Paragrafen är ny och fastställer begränsningar för hur personuppgifter som behandlas av nämnden enbart för att fullgöra uppgifter enligt denna lag får användas. Enligt bestämmelsen får personuppgifter som behandlas enbart för att fullgöra uppgifter enligt denna lag användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av personuppgifter och inte bara känsliga sådana. Med vitala intressen avses intressen som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas behöver användas för att varna den registrerade. Det kan t.ex. förekomma om nämnden, i samband med granskning av forskningsmaterial i ett oredlighetsärende, upptäcker att det finns ett samband mellan intag av en medicin och någon allvarlig sjukdom, och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling. Det får bedömas från fall till fall om det är lämpligast att nämnden eller forskningshuvudmannen vidtar åtgärder i fråga om de registrerade i ett sådant fall. Det är nämnden som har att visa att det finns sådana omständigheter som utgör synnerliga skäl enligt förevarande paragraf. Paragrafen motsvarar delvis 4 kap. 3 § dataskyddslagen (se SFS 2018:2002). Enligt den paragrafen får personuppgifter som behandlas enbart för forskningsändamål användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Övervägandena finns i avsnitt 6.3. Förslaget till lag om ändring i lagen (2019:000) om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i 3 § Denna lag tillämpas på forskning som utförs av 1. universitet och högskolor som har staten som huvudman och som om- fattas av högskolelagen (1992:1434), 2.andra statliga myndigheter, 3.staten i form av aktiebolag, om bolagets verksamhet är reglerad i lag eller någon annan författning eller om staten som ägare eller genom tillskott av statliga anslagsmedel eller genom avtal eller på något annat sätt har ett bestämmande inflytande över verksamheten, 4.staten i form av stiftelse, om stiftelsens verksamhet är reglerad i lag eller någon annan författning eller om stiftelsen är bildad av eller tillsammans med staten eller förvaltas av en statlig myndighet, 5.kommuner och regioner, 6.aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller regioner utövar ett rättsligt bestämmande inflytande, och 7.enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina. Regeringen får meddela föreskrifter om undantag från lagens tillämpningsområde för forskningshuvudmän som bedriver forskning inom det försvars- och säkerhetspolitiska området. Regeringen får också besluta om sådana undantag i enskilda fall. Paragrafen innehåller bestämmelser om lagens tillämpningsområde. I första stycket har punkt 5 delats upp i två punkter. Innehållet i paragrafen är i sak oförändrat. Ändringarna innebär att ”aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller regioner utövar ett rättsligt bestämmande inflytande” förs över från punkt 5 till punkt 6 och att innehållet i den punkten förs över till en ny punkt, punkt 7. Övervägandena finns i avsnitt 6.7. Sammanfattning av promemorian Förslag om dataskyddsbestämmelser som komplettering till propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning I promemorian analyseras förslagen i propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning (prop. 2018/19:58) och vissa förslag på förordningsnivå i betänkandet med samma namn (SOU 2017:10) ur ett dataskyddsperspektiv. Det lämnas även nödvändiga förslag om kompletterande dataskyddsbestämmelser. I propositionen föreslås att frågor om oredlighet i forskning ska prövas av en särskild nämnd. Vidare föreslås att statliga universitet och högskolor, övriga statliga myndigheter, statliga bolag och stiftelser, kommuner och landsting, kommunala bolag, stiftelser och föreningar samt enskilda utbildningsanordnare ska överlämna misstankar om oredlighet i forskning till nämnden, på begäran lämna upplysningar och handlingar om den aktuella forskningen till nämnden och informera berörda forskningsfinansiärer m.fl. om nämndens beslut. I propositionen föreslås att detta ska regleras i en ny lag om ansvar för god forskningssed och prövning av oredlighet i forskning. Den särskilda nämnden och de ovan nämnda forskningshuvudmännen kommer att behöva behandla personuppgifter i flera olika avseenden med anledning av nämnda lagförslag och kommande förordningar. I promemorian görs bedömningen att rättsliga grunder i EU:s dataskyddsförordning och bestämmelser i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, i det följande benämnd dataskyddslagen, kan tillämpas på den behandling av personuppgifter som kommer att utföras av den särskilda nämnden och de forskningshuvudmän som omfattas av den föreslagna lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Detta gäller dock inte fullt ut för sådan behandling av känsliga personuppgifter och uppgifter om lagöverträdelser som utförs av enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina eller av andra bolag, stiftelser och föreningar som omfattas av den föreslagna lagen. För dem bedöms det behövas kompletterande reglering. Det föreslås därför att det i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning införs bestämmelser om att de enskilda organ som omfattas av lagen ska få behandla känsliga personuppgifter respektive personuppgifter som rör lagöverträdelser om behandlingen är nödvändig för att fullgöra uppgifter enligt den lagen. Det föreslås vidare att det ska vara förbjudet för dessa forskningshuvudmän att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Något motsvarande sökförbud bedöms inte behövas för personuppgifter som rör lagöverträdelser. Den särskilda nämnden och de forskningshuvudmän som omfattas av den föreslagna lagen om ansvar för god forskningssed och prövning av oredlighet i forskning bedöms kunna utföra de personuppgiftsbehandlingar som blir nödvändiga med anledning av föreskrifter om arkiv med stöd av dataskyddsförordningen och dataskyddslagen.