prop · H7037 · 2019-09-17 00:00:00 — att i första hand vända sig till forskningshuvudmannen för att få uppgiften rättad eftersom det är hos denna materialet finns. Den registrerade bör då rimligen ha samma möjligheter att få den felaktiga uppgiften rättad även i sådant forskningsmaterial som forskningshuvudmannen kan ha skickat till den särskilda nämnden i ett oredlighetsärende. vill i sammanhanget uppmärksamma att ändringar i forskningsmaterialet innebär att informationen inte förblir oförvanskad, dvs. i det skick som den var när forskaren arbetade med informationen. Regeringen gör dock be- dömningen att nämnden, om en sådan begäran om rättelse i forskningsmaterialet skulle komma in, kommer att kunna hantera den på ett sådant sätt att den inte påverkar bedömningen av om oredlighet har förekommit eller inte. Den situation som Kungl. Tekniska högskolan pekar på bedöms inte utgöra ett tillräckligt skäl för att begränsa rätten till rättelse. Det har inte heller i övrigt framkommit några skäl som talar för att begränsa rätten till rättelse. Regeringen gör därför bedömningen att det inte finnas något behov av undantag från artikel 16. I artikel 17 i dataskyddsförordningen finns bestämmelser om rätt till radering. De skyldigheter som följer av artikel 17.1 och 17.2 i dataskyddsförordningen gäller enligt artikel 17.3 b inte i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Samtliga av den särskilda nämndens och forskningshuvudmännens uppgifter enligt den nya ordningen för att främja god sed och hantera oredlighet i forskning som återges i avsnitt 5.6 bedöms falla in under tillämpningsområdet för artikel 17.3 b. Det bedöms därför inte behövas något undantag från artikel 17 i dataskyddsförordningen. I artikel 18 i dataskyddsförordningen finns bestämmelser om rätt till begränsning av behandling. Den registrerade har enligt artikel 18.1 rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om en av följande fyra förutsättningar är uppfyllda: a) den registrerade bestrider personuppgifternas korrekthet, som ger den personuppgiftsansvarige möjligheten att kontrollera om personuppgifterna är korrekta, b) behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och begär i stället en begränsning av deras användning, c) den personuppgiftsansvarige behöver inte längre personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller d) den registrerade har invänt mot behandling i enlighet med artikel 21.1, i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl. Av artikel 18.2 framgår att om behandlingen har begränsats enligt punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Med begränsning av behandling avses enligt artikel 4.3 markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Det har inte framkommit något skäl för att inskränka den registrerades rätt till begränsning av behandling. Det bedöms därför inte behövas något undantag från artikel 18 i dataskyddsförordningen. I artikel 19 i dataskyddsförordningen anges att den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning. Den personuppgiftsansvarige ska informera den regi- 2019/20:7 strerade om dessa mottagare på den registrerades begäran. Det bedöms inte finnas behov av något undantag från artikel 19. I artikel 20 i dataskyddsförordningen finns bestämmelser om rätt till dataportabilitet. I artikel 20.1 anges att den registrerade ska ha rätt att få ut de personuppgifter som rör honom eller henne och som han eller hon har tillhandahållit den personuppgiftsansvarige i ett strukturerat, allmänt använt och maskinläsbart format och ha rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig utan att den personuppgiftsansvarige som tillhandahållits personuppgifterna hindrar detta, om a) behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a eller på ett avtal enligt artikel 6.1 b, och b) behandlingen sker automatiserat. Artikeln blir sannolikt endast tillämplig i begränsad utsträckning för den särskilda nämndens och forskningshuvudmännens del. Det bedöms inte finnas behov av något undantag från den rätt till dataportabilitet som följer av artikel 20 i dataskyddsförordningen. Rätt att göra invändningar, automatiserat beslutsfattande och information om personuppgiftsincident (artiklarna 21, 22 och 34) I artikel 21 i dataskyddsförordningen finns bestämmelser om rätt att göra invändningar. Det bedöms inte finnas behov av några undantag från denna rättighet. I artikel 22 i dataskyddsförordningen finns bestämmelser om automatiserat beslutsfattande, inbegripet profilering. Den nya ordningen för att främja god sed och hantera oredlighet i forskning som återges i avsnitt 5.6 innefattar inte automatiserat beslutsfattande. Av det skälet blir artikel 22 i dataskyddsförordningen inte aktuell att behandla här. I artikel 34 i dataskyddsförordningen finns bestämmelser om information till den registrerade om en personuppgiftsincident. Som huvudregel gäller enligt denna artikel att om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om incidenten (artikel 34.1). Detta krävs dock inte om något av de villkor som anges i artikel 34.3 är uppfyllda. Ett av dessa villkor är att det skulle inbegripa en oproportionerlig ansträngning för den personuppgiftsansvarige. I så fall ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt. Bestämmelserna i artikel 34 bedöms inte medföra någon onödigt betungande eller omöjlig hantering för den särskilda nämnden eller forskningshuvudmännen vid utförandet av de uppgifter som följer av den nya ordningen för att främja god sed och hantera oredlighet i forskning som återges i avsnitt 5.6. Det bedöms därför inte behövas något undantag från artikel 34. 6.7Den lagtekniska lösningen och förhållandet till annan dataskyddsreglering Regeringens förslag: De bestämmelser om personuppgiftsbehandling som föreslås i denna proposition med anledning av den personuppgiftsbehandling som behövs vid tillämpning av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, ska införas i den lagen. Det ska även införas upplysningsbestämmelser om att –bestämmelserna kompletterar EU:s dataskyddsförordning, –dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, om inte annat följer av den lagen, och –det i dataskyddslagen finns bestämmelser om behandling av känsliga personuppgifter för vissa enskilda organ som jämställs med myndigheter. De hänvisningar till EU:s dataskyddsförordning som föreslås ska vara dynamiska, dvs. avse förordningen i den gällande lydelsen. Regeringens bedömning: Bestämmelser om undantag från sökförbudet i dataskyddslagen och från bestämmelserna i dataskyddsförordning om information till den registrerade, för statliga universitet och högskolor vid hantering av andra misstänkta avvikelser från god forskningssed än de som ska hanteras enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, bör regleras på förordningsnivå. Promemorians förslag: Överensstämmer delvis med regeringens förslag och bedömning. Även i promemorian föreslås att bestämmelser om personuppgiftsbehandling ska regleras i lag. Promemorians lagförslag innehåller dock delvis andra bestämmelser än propositionen. I promemorian görs ingen bedömning om reglering av dataskydd vid hantering av andra misstänkta avvikelser från god forskningssed. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot förslaget. ifrågasätter nödvändigheten i att i 18 § tredje stycket och 19 § andra stycket lagen om ansvar för god forskningssed och prövning av oredlighet i forskning införa upplysningsbestämmelser utöver de som redan finns i 16 och 17 §§ samma lag. Det finns redan hänvisningar till dataskyddsförordningen och dataskyddslagen i andra bestämmelser i förslaget. minskar det tydligheten att ha ytterligare hänvisningar i nämnda bestämmelser. Skälen för regeringens förslag och bedömning Bestämmelser om personuppgiftsbehandling som kompletterar lagen om ansvar för god forskningssed och prövning av oredlighet i forskning bör införas i den lagen I avsnitt 6.3 föreslås att personuppgifter som behandlas av den särskilda nämnden enbart för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. I avsnitt 6.4.2 föreslås att den särskilda nämnden, statliga universitet och högskolor, andra statliga myndigheter samt kommuner och regioner inte ska omfattas av förbudet i dataskyddslagen mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter när de behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. I avsnitt 6.4.3 föreslås att det ska införas en bestämmelse om behandling av känsliga personuppgifter som ska gälla för enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Slutligen föreslås i avsnitt 6.6 att artikel 13.3 i dataskyddsförordningen om information till den registrerade inte ska gälla när forskningshuvudmännen behandlar personuppgifter för att fullgöra uppgifter enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Dessa förslag omfattar den särskilda nämnden och forskningshuvudmän som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. Vidare är förslagen kopplade till uppgifter som följer av nämnda lag. Det bör därför underlätta för tillämparna om dessa bestämmelser finns i den aktuella lagen. Det bedöms därför lämpligast att de aktuella bestämmelserna tas in i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, på motsvarande sätt som kompletterande dataskyddsbestämmelser för enskilda utbildningsanordnare har införts i bl.a. lagen om tillstånd att utfärda vissa examina. Det bör upplysas om bestämmelsernas förhållande till dataskyddsförordningen och dataskyddslagen På motsvarande sätt som i lagen om tillstånd att utförda vissa examina bör de nya bestämmelserna om behandling av personuppgifter föras in under en ny fetstilsrubrik (se 10–14 §§ den lagen). I en inledande bestämmelse bör det upplysas om att bestämmelserna om personuppgiftsbehandling utgör en komplettering till dataskyddsförordningen. De nya bestämmelserna innebär bl.a. att det införs ett undantag från förbudet i dataskyddslagen mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Det är alltså i denna del fråga om en avvikelse från dataskyddslagens reglering. Det finns därför behov av att i den nya lagen införa en bestämmelse om att bestämmelserna i lagen ska ha företräde framför dataskyddslagen. Det bör upplysas om att det i dataskyddslagen finns bestämmelser om behandling av känsliga personuppgifter för vissa enskilda organ som jämställs med myndigheter I avsnitt 6.4.2 föreslås att det ska införas en bestämmelse om att enskilda utbildningsanordnare och övriga bolag, stiftelser och föreningar som omfattas av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska få behandla känsliga personuppgifter om behandlingen är nödvändig för att fullgöra uppgifter enligt den lagen. Som framgår av det avsnittet är även vissa bestämmelser i dataskyddslagen, som bl.a. avser sådan personuppgiftsbehandling som är nödvändig för diarieföring av allmänna handlingar m.m., tillämpliga på kommunala bolag, föreningar och stiftelser och sådana enskilda organ som anges i bilagan till OSL (3 kap. 3§ tredje stycket dataskyddslagen). I promemorian föreslås att det av tydlighetsskäl, i anslutning till den nya bestämmelsen om behandling av känsliga personuppgifter i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning, bör upplysas om att det för enskilda forsknings- huvudmän i vars verksamhet bestämmelserna om allmänna handlingar och sekretess i TF och OSL gäller, även finns bestämmelser om behandling av känsliga personuppgifter i dataskyddslagen. ifrågasätter nödvändigheten i att införa denna upplysningsbestämmelse eftersom det finns hänvisningar till dataskyddsförordningen och dataskyddslagen i andra bestämmelser i förslaget. Regeringen anser dock att det finns behov av den aktuella upplysningsbestämmelsen eftersom den är mer specifik än de generella upplysningsbestämmelserna som föreslås i 16 och 17 §§. Liknande upplysningsbestämmelser finns bl.a. i lagen om tillstånd att utfärda vissa examina. Hänvisningarna till bestämmelser i dataskyddsförordningen bör ges en dynamisk utformning Som framgår ovan innehåller flera av de föreslagna bestämmelserna hänvisningar till bestämmelser i dataskyddsförordningen. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsak- ten i den gällande lydelsen. Motsvarande hänvisningar i dataskyddslagen har en dynamisk utformning. Även de här aktuella hänvisningarna bör därför ges en dynamisk utformning. Det bör göras en redaktionell justering gällande lagens tillämpningsområde Enligt 3 § lagen om ansvar för god forskningssed och prövning av oredlighet i forskning (i lydelsen enligt prop. 2018/19:162) är lagen tillämplig på forskning som utförs av bl.a. kommuner och regioner och aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller regioner utövar ett rättsligt bestämmande inflytande (första stycket 5). Utformningen av den i promemorian föreslagna bestämmelsen om behandling av känsliga personuppgifter är felaktig eftersom den, genom att hänvisa till bl.a. 3 § första stycket 5 i nämnda lag, görs tillämplig även för kommuner och regioner. Avsikten har dock inte varit att kommuner och regioner ska omfattas av bestämmelsen. För att hänvisningen ska bli korrekt föreslås att 3 § ändras så att punkt 5 delas upp i två punkter: dels en som omfattar kommuner och regioner (punkt 5), dels en ny punkt som omfattar aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller regioner utövar ett rättsligt bestämmande inflytande (punkt 6). Hänvisningen i den föreslagna bestämmelsen om behandling av känsliga personuppgifter justeras vidare till att avse bl.a. 3 § 6. Bestämmelserna om personuppgiftsbehandling vid statliga universitet och högskolors hantering av andra misstänkta avvikelser från god forskningssed bör regleras i förordning Som framgår av avsnitt 5.6.2 avser regeringen att reglera i högskoleförordningen att statliga universitet och högskolor ska hantera andra avvikelser från god forskningssed än de som ska prövas enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning. 6.4.1görs bedömningen att statliga universitet och högskolor vid sådan hantering inte bör omfattas av förbudet i dataskyddslagen mot att utföra 2019/20:7 sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter när de behandlar personuppgifter. Vidare görs i avsnitt 6.6 bedömningen att regeringen med stöd av artikel 23 ska föreskriva att artikel 13.3 i dataskyddsförordningen om information till den registrerade inte heller ska gälla vid sådan hantering. Dataskyddslagen är subsidiär i förhållande till andra författningar, dvs. bestämmelser i lag eller förordning som avviker från dataskyddslagen har företräde framför den lagen (1 kap. 6 § dataskyddslagen). Det finns också ett bemyndigande i dataskyddslagen för regeringen att meddela ytterligare föreskrifter om begränsningar enligt bl.a. artikel 23 i EU:s dataskyddsförordning (5 kap. 3 §). Det är därmed ur ett dataskyddsperspektiv möjligt att införa de aktuella undantagsbestämmelserna på förordningsnivå. Som framgår av avsnitt 5.5 måste dock även regeringsformens (RF) bestämmelser om skydd för den personliga integriteten beaktas. Enligt 2 kap. 6 § andra stycket är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Detta skydd kan under vissa förutsättningar begränsas genom lag (2 kap. 20 § första stycket 2 och 21 §). I förarbetena till dessa bestämmelser exemplifieras ett antal verksamheter där ändamålet med behandlingen av personuppgifter i sig kan indikera att det handlar om en omfattande kartläggning av den enskildes personliga förhållanden. Det är t.ex. fallet med behandling av personuppgifter inom brottsbekämpande verksamhet, på skatt- och tullområdet, inom och hälso- och sjukvården samt inom socialförsäkringen och indrivningen (prop. 2009/10:80 s. 180 f.). Ut- redning av avvikelser från god forskningssed nämns inte bland sådana verksamheter där ändamålet med behandlingen av personuppgifter förutsätter en omfattande kartläggning av den enskildes personliga förhållanden. Som framgår av avsnitt 6.6 handlar det ofta om att behandla pseudonymiserade uppgifter i forskningsmaterial. Uppgifter om den eller de forskare som misstänks ha avvikit från god forskningssed kommer dock inte att vara pseudonymiserade. De senare uppgifterna rör dock ett mycket begränsat antal personer. Regeringen gör bedömningen att den behandling av personuppgifter som statliga universitet och högskolor måste göra för att hantera andra avvikelser från god forskningssed än de som ska prövas enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning inte är av sådan karaktär att den innebär ett sådant betydande integritetsintrång som avses i 2 kap. 6 § RF (jfr prop. 2017/18:218 s. 114 f.). Regeringen avser införa de aktuella undantagsbestämmelserna på förordningsnivå. Regeringens bedömning: Den behandling av personuppgifter som möjliggörs genom förslagen i denna proposition medför enbart begränsade risker för de intressen som dataskyddsregleringen avser att skydda. Behandlingen av personuppgifter står i rimlig proportion till den nytta som förslagen förväntas medföra. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. anser att forskningsdata ska överlämnas från huvudmannen till den särskilda nämnden på ett sådant sätt att behandlingen inte medför att risk för kränkning av integritet uppstår, och efterfrågar ett förtydligande om hur länge data får lagras hos den särskilda nämnden efter att granskningen är avslutad. påpekar att det kan föreligga behov av att överföra ej psedonymiserade personuppgifter från forskningshuvudmannen till nämnden. Detta kan bl.a. bero på att forskningsunderlaget, t.ex. stora databaser, ljud och/eller bildmaterial, inte kan pseudonymiseras med hänsyn till att ändamålet med forskningen inte kan uppfyllas på det sättet. Även om de båda personuppgiftsansvariga verksamheterna alltid har att samverka kring hur överföringen av informationen ska genomföras, kan det enligt finnas behov av att överväga eventuell författningsreglering kring detta alternativt uttalanden som kan fungera som stöd för forskningshuvudmannen och nämnden i dess hantering avseende säkerheten. Tekniska högskolan vill lyfta fram vikten av det finns tekniskt säkra metoder för eventuell överföring och lagring av data från forskningshuvudmannen till nämnden, inklusive kryptering, för att forskningsmaterial inte ska komma obehöriga tillhanda. hävdar att den personuppgiftsbehandling som nämnden måste utföra inom ramen för sin prövning av oredlighet i forskning kan hamna i konflikt med annan integritetsskyddande lagstiftning än dataskyddslagstiftningen, exempelvis patientdatalagens regelverk för grundläggande bestämmelser om inre sekretess och elektronisk åtkomst inom en vårdgivares verksamhet. vill rikta uppmärksamhet mot att sådana konflikter kan hindra nämndens arbete och att sådana hinder bör identifieras och åtgärdas på ett för respektive situation ändamålsenligt sätt. Skälen för regeringens bedömning: I avsnitt 6.1 redogörs för de personuppgiftsbehandlingar som blir nödvändiga för den särskilda nämnden, statliga universitet och högskolor, övriga statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och föreningar med anledning av den nya ordningen för att främja god sed och hantera oredlighet i forskning som redovisas i avsnitt 5.6. Vid behandlingen av personuppgifter är dataskyddsförordningen och dataskyddslagen tillämplig. Därutöver kommer den reglering som föreslås i denna proposition att vara tillämplig. Den föreslagna regleringen innebär att behandling av känsliga personuppgifter som annars hade varit förbjuden blir tillåten, att forskningshuvudmännen inte är skyldiga att informera den registrerade när uppgifter lämnas till den särskilda nämnden, att den särskilda nämnden och forskningshuvudmännen inte omfattas av sökförbudet i 3 kap. 3 § andra stycket dataskyddslagen och att nämnden omfattas av en användningsbegränsning. Utöver den användningsbegränsning som föreslås finns det sekretessbestämmelser för forskningshuvudmännen och den särskilda nämnden som utgör generella skyddsåtgärder. Vidare förordar dataskyddsförordningen pseudonymisering vid all behandling av personuppgifter för forskningsändamål. Genom dessa skyddsåtgärder begränsas integritetsintrånget. Dessutom får känsliga personuppgifter bara behandlas om det är nödvändigt för att de enskilda forsknings- huvudmännen ska kunna fullgöra sina uppgifter enligt den nya lagen. finns vidare en särskilda skyddsåtgärd vid behandlingen av känsliga per- sonuppgifter i den forskning som ska lämnas över för granskning av den särskilda nämnden, i form av kravet i etikprövningslagen på etikgodkän- nande för all forskning som innefattar behandling av känsliga personupp- Den särskilda nämnden och forskningshuvudmännen är personuppgifts- ansvariga för de behandlingar av personuppgifter som blir nödvändiga inom respektive organ med anledning av den nya ordningen för att främja god sed och hantera oredlighet i forskning. ska enligt dataskyddsförordningen bl.a., med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter,