prop · H7037 · 2019-09-17 00:00:00 — Regeringens proposition 2019/20:7 Behandling av personuppgifter vid hantering av Regeringen överlämnar denna proposition till . I propositionen föreslås ändringar i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning som syftar till att möjliggöra behandling av personuppgifter vid hantering av oredlighet i forskning. Det föreslås bestämmelser om behandling av känsliga personuppgifter, skyddsåtgärder och undantag från den registrerades rättigheter i EU:s dataskyddsförordning. Lagändringarna föreslås träda i kraft som lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, dvs. Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning ......................................................... 2.2Förslag till lag om ändring i lagen (2019:000) om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning ....... Ärendet och dess beredning .............................................................. Det behövs kompletterande bestämmelser om dataskydd för hanteringen av oredlighet i forskning ............................................... Närmare om dataskyddsförordningen ................................ 5.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt ....................................... ytterligare svenska bestämmelser ..................................... 5.5Regeringsformen avgör om en kompletterande svensk reglering ska införas på lag- eller 5.6Den nya ordningen för att främja god sed och hantera oredlighet i forskning........................................... Lagen om ansvar för god forskningssed och prövning av oredlighet i forskning............ Hantering av andra misstänkta avvikelser från god forskningssed .................................... 6 Nämndens och forskningshuvudmännens Det finns behov av att behandla personuppgifter ............. 6.2Rättsliga grunder i dataskyddsförordningen kan Rättsliga grunder för den särskilda 6.2.2Rättsliga grunder för övriga statliga myndigheters, kommuners och regioners, enskilda utbildningsanordnares samt övriga bolags, stiftelsers och föreningars personuppgiftsbehandling................................22 6.3Finns det behov av att införa generella 6.4Behandling av känsliga personuppgifter och personuppgifter som rör lagöverträdelser......................... 6.4.1Den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner ska inte omfattas av sökförbudet Det behövs kompletterande reglering i fråga om behandling av känsliga utbildningsanordnare och övriga bolag, stiftelser och föreningar .................................. Det finns inte behov av någon ytterligare reglering för behandling av personuppgifter som rör lagöverträdelser för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar ............ Det behövs inget ytterligare rättsligt stöd för personuppgiftsbehandling som sker med stöd av 6.6Behöver de registrerades rättigheter eller de personuppgiftsansvarigas skyldigheter begränsas i något avseende?............................................................... 6.7Den lagtekniska lösningen och förhållandet till Enskildas integritet skyddas ............................................ Konsekvenser för den personliga integriteten ................. Ekonomiska konsekvenser och konsekvenser i övrigt .... 9.1Förslaget till lag om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning ...................................................... 9.2Förslaget till lag om ändring i lagen (2019:000) om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning..... Sammanfattning av promemorian Förslag om dataskyddsbestämmelser som komplettering till propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning.......................................... Förteckning över remissinstanserna ................................ Utdrag ur protokoll vid regeringssammanträde 1 Förslag till riksdagsbeslut 1.Riksdagen antar regeringens förslag till lag om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning. 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2019:000) om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning Härigenom föreskrivs i fråga om lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning dels att nuvarande 15 § ska betecknas 21 §, dels att rubriken närmast före 15 § ska sättas närmast före den nya 21 §, dels att det ska införas sex nya paragrafer, 15–20 §§, och närmast före 15 § en ny rubrik av följande lydelse. Lydelse enligt SFS 2019:504 Bestämmelserna i 16–20 §§ kom- (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgif- ter och om upphävande av direktiv 95/46/EG (allmän ordning), här benämnd EU:s data- Vid behandling av personuppgif- ter enligt denna lag gäller lagen bestämmelser till EU:s dataskydds- förordning, här benämnd data- har meddelats i anslutning till den lagen, om inte annat följer av denna lag. Artikel 13.3 i EU:s dataskyddsförordning om informationsskyldighet för den personuppgiftsansvarige gäller inte när en forsk- ningshuvudman som avses i första stycket behandlar person- uppgifter för att fullgöra uppgifter enligt denna lag. Bestämmelsen i 3 kap. 3 § andra stycket dataskyddslagen om sökför- bud i fråga om känsliga personupp- gifter gäller inte när nämnden eller en forskningshuvudman som avses i 3 § första stycket 1, 2 och 5 be- fullgöra uppgifter enligt denna lag. Personuppgifter som avses i arti- kel 9.1 i EU:s dataskyddsförord- ning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas av de forsk- ningshuvudmän som avses i 3 § första stycket 3, 4, 6 och 7 om be- handlingen är nödvändig för att fullgöra uppgifter enligt denna lag. som avses i 3 § första stycket 3, 4, 6 och 7 och i vars verksamhet be- stämmelserna om allmänna hand- lingar och sekretess i tryckfrihets- förordningen och offentlighets- och sekretesslagen (2009:400) finns det även bestämmelser om be- handling av känsliga personuppgifter i dataskyddslagen. Personuppgifter som behandlas av nämnden enbart för att fullgöra uppgifter enligt denna lag får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Förslag till lag om ändring i lagen (2019:000) om ändring i lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i Härigenom föreskrivs att 3 § lagen (2019:504) om ansvar för god forsk- ningssed och prövning av oredlighet i forskning i stället för lydelsen enligt lagen (2019:000) om ändring i den lagen ska ha följande lydelse. Lydelse enligt prop. Denna lag tillämpas på forskning som utförs av 1.universitet och högskolor som har staten som huvudman och som omfattas av högskolelagen (1992:1434), 2.andra statliga myndigheter, 3.staten i form av aktiebolag, om bolagets verksamhet är reglerad i lag eller någon annan författning eller om staten som ägare eller genom tillskott av statliga anslagsmedel eller genom avtal eller på något annat sätt har ett bestämmande inflytande över verksamheten, 4.staten i form av stiftelse, om stiftelsens verksamhet är reglerad i lag eller någon annan författning eller om stiftelsen är bildad av eller tillsammans med staten eller förvaltas av en statlig myndighet, 5. kommuner och regioner, eller 5. kommuner och regioner, av aktiebolag, handelsbolag, eko- 6. aktiebolag, handelsbolag, eko- nomiska föreningar och stiftelser nomiska föreningar och stiftelser där kommuner eller regioner utövar där kommuner eller regioner utövar ett rättsligt bestämmande infly- ett rättsligt bestämmande infly- 6. enskilda utbildningsanordnare 7. enskilda utbildningsanordnare som har tillstånd att utfärda exami- som har tillstånd att utfärda exami- na enligt lagen (1993:792) om till- na enligt lagen (1993:792) om till- stånd att utfärda vissa examina. stånd att utfärda vissa examina. Regeringen får meddela föreskrifter om undantag från lagens tillämpningsområde för forskningshuvudmän som bedriver forskning inom det försvars- och säkerhetspolitiska området. Regeringen får också besluta om sådana undantag i enskilda fall. 3 Ärendet och dess beredning Regeringen beslutade att ge en särskild utredare i uppdrag att undersöka behovet av en ny hantering av ärenden som rör utredning av oredlighet i forskning och lämna förslag som säkerställer en tydlig och rättssäker hantering av misstänkt oredlighet. I uppdraget ingick bl.a. att vid behov föreslå en ny ändamålsenlig organisation för oberoende utredningar av oredlighet i forskning (dir. 2015:99). Utredningen antog namnet . överlämnade utredningen betänkandet Ny ordning för att främja god sed och hantera oredlighet i forskning (SOU 2017:10). Betänkandet remissbehandlades och beslutade regeringen propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning (prop. 2018/19:58). I propositionen föreslogs en ny lag om ansvar för god forskningssed och prövning av oredlighet i forskning samt att en ny nämnd ska inrättas med uppgift att pröva frågor om oredlighet i forskning. har antagit propositionens lagförslag (bet. 2018/19:UbU21, rskr. 2018/19:273). Den nya lagen träder i kraft och den nya nämnden planeras inrättas samma datum. I betänkande finns ingen analys av förslagen ur ett dataskyddsperspektiv. I propositionen konstateras att förslagen i propositionen innebär att personuppgifter, även känsliga sådana, kommer att behandlas av både den nämnd som ska pröva oredlighet i forskning och forskningshuvudmännen. Det aviseras i propositionen att ska remittera ett förslag till kompletterande dataskyddsreglering med anledning av förslagen i propositionen (prop. 2018/19:58 s. 82 f.). () har en promemoria utarbetats med en analys ur ett dataskyddsperspektiv av förslagen i propositionen och vissa förslag i betänkandet samt förslag till nödvändiga kompletterande bestämmelser. En sammanfattning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren och en sammanställning av dessa finns tillgängliga i (U2019/00970/F). Under den fortsatta beredningen har Datainspektionen getts tillfälle att yttra sig över ett utkast till lagrådsremiss. Utkastet till lagrådsremiss överensstämmer med den beslutade lagrådsremissen, vars lagförslag finns i bilaga 4. Datainspektionen har yttrat sig och synpunkterna behandlas i avsnitt 6.3 och 6.4.3. Yttrandet finns tillgängligt i (U2019/00970/F). Regeringen beslutade att inhämta Lagrådets yttrande över lagförslaget i lagrådsremissen. Lagrådets yttrande finns i bilaga 5. Lagrådet har lämnat förslagen utan erinran. I förhållande till lagrådsremissens lagförslag har språkliga och författningstekniska ändringar gjorts. 4 Det behövs kompletterandeProp. 2019/20:7 bestämmelser om dataskydd för hanteringen av oredlighet i forskning som arbetet med en ny reglering av hanteringen av oredlighet i forskning har pågått har ett nytt regelverk för behandling av personuppgifter införts. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Den nya rättsakten, som i det följande benämns dataskyddsförordningen, syftar bl.a. till att säkerställa en enhetlig skyddsnivå inom unionen för att den fria rörligheten av personuppgifter inom den inre marknaden inte ska hindras. Dataskyddsförordningen, som började tillämpas , ersatte och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). beslutades propositionen Ny dataskyddslag (prop. 2017/18:105) med förslag till en ny lag med kompletterande bestämmelser till dataskyddsförordningen. antog lagförslaget (bet. 2017/18:KU23, rskr. 2017/18:224). Den nya lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, i det följande benämnd dataskyddslagen, trädde i kraft . upphävdes personuppgiftslagen (1998:204, förkortad PUL). trädde även förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning i kraft. Som nämnts i avsnitt 3 finns det i propositionen Ny ordning för att främja god sed och hantera oredlighet i forskning (prop. 2018/19:58) ingen analys av den numera beslutade lagen (2019:000) om ansvar för god forskningssed och prövning av oredlighet i forskning, ur ett dataskyddsperspektiv. En sådan analys presenteras i stället i denna proposition. Det befintliga regelverket bedöms inte vara tillräckligt, utan kompletterande bestämmelser om dataskydd för hanteringen av oredlighet i forskning föreslås i denna proposition. EU:s dataskyddsförordning ersatte det tidigare dataskyddsdirektivet, som låg till grund för PUL, som PUL upphävdes. Dataskyddsförordningen har till stor del samma struktur och innehåll som dataskyddsdirektivet. Vissa allmänna principer gäller för all behandling av personuppgifter Vilka principer som gäller för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel Den första principen som läggs fast är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (artikel 5.1 a). Vidare anges att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b). (För en närmare beskrivning av artikel 89.1, se nedan.) Vidare ska uppgifterna bl.a. vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (artikel 5.1 c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (artikel 5.1 f). Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att artikel 5.1 efterlevs (artikel 5.2). Det måste alltid finnas en rättslig grund för personuppgiftsbehandling Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en av de rättsliga grunder som räknas upp i artikel 6.1. Behandlingen är enligt artikel 6.1 laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Villkor f gäller inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter (artikel 6.1 andra stycket). Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikel 6.1 c och e (rättslig förpliktelse respektive allmänt intresse eller myndighetsutövning). Detta får göras genom att man närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX Bestämmelser om särskilda behandlingssituationer (artikel 6.2). När det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket anges nämligen att den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I skäl 45 till dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. I propositionen Ny dataskyddslag (prop. 2017/18:105) anför regeringen att det av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av själva personuppgiftsbehandlingen som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet (s. 49). I nu aktuellt fall gäller det t.ex. uppgiften att pröva frågor om oredlighet i forskning som i propositionen föreslås regleras i en ny lag (se vidare avsnitt 6.1.1 nedan). När det gäller den rättsliga grunden rättslig förpliktelse så ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3 andra stycket). I propositionen Ny dataskyddslag anges att kravet torde innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske. Vid bedömningen av om något följer av exempelvis en lagbestämmelse kan bl.a. förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag. Den rättsliga förpliktelsen behöver inte heller återfinnas direkt i t.ex. en lag eller ett kollektivavtal. Det kan också vara fråga om förpliktelser som även har sin grund i särskilt reglerade avtal, såsom försäkringsavtal (s. 54 och 188). När det gäller behandling enligt artikel 6.1 e ska syftet med behandlingen vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3andra stycket). I propositionen Ny dataskyddslag anför regeringen, i fråga om den rättsliga grunden allmänt intresse, att behandling av personuppgifter som utförs som ett led i administrativa åtgärder som är nödvändiga för myndighetens förvaltning och funktion är rättsligt grundad i dataskyddsförordningens mening. Det krävs alltså inte att de administrativa åtgärderna är fastställda i enlighet med svensk rätt. Däremot måste de administrativa åtgärderna vara nödvändiga för att myndigheten ska kunna utföra sina uppgifter. De sistnämnda uppgifterna måste vara fastställda i enlighet med gällande rätt (s. 61). Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, t.ex. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX Bestämmelser om särskilda behandlingssituationer. Unionsrätten eller medlemsstaternas nationella rätt ska dessutom uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Sådana bestämmelser brukar i den mån det anses nödvändigt att införa sådana tas in i s.k. registerförfattningar, t.ex. studiestödsdatalagen (2009:287), se vidare avsnitt 5.3. Särskilda kategorier av personuppgifter Det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1 i dataskyddsförordningen). Sådana uppgifter benämns i dataskyddslagen känsliga personuppgifter (se vidare avsnitt 5.3). Förbudet ska dock inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10). Personuppgiftsbehandling för arkivändamål av allmänt intresse I dataskyddsförordningen finns även bestämmelser som särskilt rör personuppgiftsbehandling för arkivändamål av allmänt intresse. 5.1b gäller exempelvis att ytterligare behandling (vidarebehandling) av personuppgifter för sådana ändamål i enlighet med artikel 89.1 inte ska anses oförenlig med de ursprungliga ändamålen. I artikel 89.1 anges att behandling av personuppgifter för arkivändamål av allmänt intresse ska omfattas av lämpliga skyddsåtgärder i enlighet med förordningen för den registrerades rättigheter och friheter. Dessa skyddsåtgärder ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. I skäl 50 anges att behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in endast bör vara tillåten när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I skäl 50 anges dock också, i fråga om behandling för arkivändamål, att ytterligare be- Prop. 2019/20:7 handling för arkivändamål av allmänt intresse bör betraktas som förenlig