prop · H7037 · 2019-09-17 00:00:00 — och laglig behandling av uppgifter. I propositionen Ny dataskyddslag konstaterar regeringen att svenska myndigheter, kommunala bolag och vissa andra organ enligt arkivlagen (1990:782) är skyldiga att bevara sina allmänna handlingar. Regeringen anför vidare att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då enligt regeringen inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (s. 109–111). I tredje kapitlet i dataskyddsförordningen (artiklarna 12–23) anges den registrerades rättigheter i samband med att personuppgifter behandlas. Dessa rättigheter kan under vissa förutsättningar begränsas, se vidare avsnitt 6.6. 5.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2). Att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU- förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna innehåller den som framgår av avsnitt 5.1, många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande nationella bestämmelser gäller framför allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8). 5.3Dataskyddsförordningen kompletteras av dataskyddslagen Dataskyddslagen innehåller bl.a. bestämmelser som förtydligar innehållet i dataskyddsförordningens bestämmelser och kompletterar dataskyddsförordningen i vissa delar. Bestämmelser i annan lag eller förordning som avviker från dataskyddslagen ska ha företräde (1 kap. 6 § dataskyddslagen), dvs. lagen är subsidiär till andra författningar. Det innebär att lagen, på motsvarande sätt som PUL, kan kompletteras av s.k. registerförfattningar, dvs. författningar som reglerar behandling av personuppgifter på ett avgränsat område. Bestämmelser som anger förutsättningarna för att en rättslig förpliktelse och en uppgift av allmänt intresse och myndighetsutövning ska utgöra rättslig grund för behandling av personuppgifter finns i 2 kap. dataskyddslagen. Där anges att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning (rättslig förpliktelse), om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 §). Vidare anges att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning (uppgift av allmänt intresse eller myndighetsutövning), om behandlingen är nödvändig 1. för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller 2. som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning (2 kap. 2 §). Bestämmelser om behandling av vissa kategorier av personuppgifter finns i 3 kap. dataskyddslagen. Begreppet känsliga personuppgifter definieras som sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (3 kap. 1 §). Det anges vidare att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket). Vid behandling som sker enbart med stöd av 3 kap. 3 § första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 § andra stycket). Vid tilllämpningen av 3 kap. 3 § första stycket 1 ska andra än myndigheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400, förkortad OSL) gäller i deras verksamhet (3 kap. 3 § tredje stycket). Känsliga personuppgifter får även behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 6 § första stycket). Vidare får personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning (fällande domar i brottmål samt överträdelser) behandlas av myndigheter och även av andra än myndigheter, om behandlingen är nödvändig för att den per- Prop. 2019/20:7 sonuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 §). Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning (3 kap. 9 § första stycket). I dataskyddslagen regleras även vissa undantag från den registrerades rättigheter. Av 5 kap. 1 § första stycket dataskyddslagen följer att artiklarna 13–15 i EU:s dataskyddsförordning (som rör information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade och den registrerades rätt till tillgång) inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. I andra stycket anges att om den personuppgiftsansvarige inte är en myndighet, gäller undantaget i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. Vidare följer det av 5 kap. 2 § första stycket dataskyddslagen att artikel 15 i EU:s dataskyddsförordning (som rör den registrerades rätt till tillgång) inte gäller personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. I andra stycket anges att undantaget i första stycket inte gäller om personuppgifterna har lämnats ut till tredje part, behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål eller har behandlats i löpande text som inte har fått sin slutliga utformning. Regeringen får meddela ytterligare föreskrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i EU:s dataskyddsförordning (5 kap. 3 § dataskyddslagen). I propositionen Ny dataskyddslag gjorde regeringen bedömningen att rätten att göra invändningar mot myndigheters behandling av personuppgifter inte bör begränsas genom ett undantag i dataskyddslagen. Sådana begränsningar bör enligt regeringen i stället vid behov övervägas på sektorspecifik nivå (s. 103). 5.4Dataskyddsförordningen kompletteras med ytterligare svenska bestämmelser Både dataskyddsförordningen och dataskyddslagen innehåller en generell reglering av behandling av personuppgifter. På vissa områden finns det även behov av kompletterande nationella bestämmelser om personuppgiftsbehandling. På utbildningsområdet har sektorslagstiftningen kompletterats med bestämmelser om personuppgiftsbehandling hos enskilda utbildningsanordnare, t.ex. i lagen (1993:792) om tillstånd att utfärda vissa examina. Dessa bestämmelser är dock inte tillämpliga i detta sammanhang. Även på forskningsområdet har sektorslagstiftningen kompletterats med bestämmelser om personuppgiftsbehandling. Inte heller dessa bestämmelser är tillämpliga i detta sammanhang. 5.5Regeringsformen avgör om en kompletterande svensk reglering ska införas på lag- eller förordningsnivå Vid införande av svensk reglering som kompletterar dataskyddsförordningen behöver regeringsformens (RF) grundläggande bestämmelser till skydd för den personliga integriteten beaktas. Enligt RF är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Detta skydd kan under vissa förutsättningar begränsas genom lag. Begränsningar får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 6 § andra stycket, 20 § första stycket 2 och 21 § RF). Vid införandet av nya bestämmelser som avser behandling av personuppgifter behöver det därmed bedömas om regleringen utgör ett sådant betydande integritetsintrång som avses i 2 kap. 6 § andra stycket RF och om det skyddet i så fall kan begränsas genom lag, eller om regleringen kan införas på förordningsnivå. Förarbetena till grundlagsbestämmelsen ger ledning vid en sådan bedömning (prop. 2009/10:80 s. 171 f.). 5.6Den nya ordningen för att främja god sed och hantera oredlighet i forskning 5.6.1Lagen om ansvar för god forskningssed och prövning av oredlighet i forskning Lagen (2019:504) om ansvar för god forskningssed och hantering av oredlighet i forskning innehåller dels bestämmelser om forskares och forskningshuvudmäns ansvar för att forskning utförs i enlighet med god forskningssed, dels om förfarandet vid prövning av frågor om oredlighet i forskning (1 §). En nämnd för prövning av frågor om oredlighet i forskning ska inrättas Frågor om oredlighet i forskning ska prövas av en särskild statlig nämnd (7 §). Om det kan misstänkas att oredlighet i forskning har förekommit i en forskningshuvudmans verksamhet, ska forskningshuvudmannen överlämna handlingarna i ärendet till den särskilda nämnden (6 §). Nämnden ska pröva frågor om oredlighet i forskning. Sådana ärenden inleds genom att en forskningshuvudman överlämnar handlingarna i ett ärende som rör misstanke om oredlighet i forskning i den egna verksamheten, genom att en anmälan om oredlighet i forskning inkommer till nämnden eller genom att nämnden tar upp en fråga om oredlighet i forskning som den har fått kännedom om på något annat sätt (7 §). Vilka forskningshuvudmän ska omfattas av bestämmelserna? Begreppet forskningshuvudman definieras i lagen som en statlig myndighet eller en fysisk eller juridisk person i vars verksamhet forskningen utförs (2 §). Lagen ska tillämpas på forskning som utförs av 1.universitet och högskolor som har staten som huvudman och som omfattas av högskolelagen (1992:1434), i det följande benämnda statliga universitet och högskolor, 2.andra statliga myndigheter, 3.staten i form av aktiebolag, om bolagets verksamhet är reglerad i lag eller någon annan författning eller om staten som ägare eller genom tillskott av statliga anslagsmedel eller genom avtal eller på något annat sätt har ett bestämmande inflytande över verksamheten, 4.staten i form av stiftelse, om stiftelsens verksamhet är reglerad i lag eller någon annan författning eller om stiftelsen är bildad av eller tillsammans med staten eller förvaltas av en statlig myndighet, 5.kommuner och landsting, eller av aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande, och 6.enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina, i det följande benämnda enskilda utbildningsanordnare. Vidare ska regeringen få meddela föreskrifter om undantag från lagens tillämpningsområde för forskningshuvudmän som bedriver forskning inom det försvars- och säkerhetspolitiska området. Regeringen ska också få besluta om sådana undantag i enskilda fall (3 §). Forskningshuvudmän ska på begäran bistå med upplysningar och handlingar och ge tillgång till datorer och annan utrustning En forskningshuvudman ska lämna de upplysningar och handlingar om forskningen som nämnden begär och ge nämnden tillgång till datorer och annan utrustning som har använts vid forskningen. Nämnden ska få besluta de förelägganden som behövs för att en forskningshuvudman ska fullgöra nämnda skyldigheter. Ett beslut om föreläggande får förenas med vite (12 §). Nämnden ska redovisa resultatet av sin prövning i ett beslut Nämndens prövning av en fråga om oredlighet i forskning ska redovisas i ett beslut. Nämnden ska också få besluta att avvisa en anmälan om oredlighet i forskning som har inkommit till nämnden om den är uppenbart obefogad. Nämnden ska även få besluta att skriva av ett ärende om anmälan har återkallats. Om nämnden bedömer att ett ärende inte rör oredlighet i forskning men kan gälla andra avvikelser från god forskningssed, ska nämnden underrätta den berörda forskningshuvudmannen och lämna över handlingarna i ärendet dit (9–11 §§). Nämndens beslut ska få överklagas till allmän förvaltningsdomstol Nämndens beslut i ärenden om oredlighet i forskning och om förelägganden som behövs för att en forskningshuvudman ska fullgöra sina skyldigheter att lämna upplysningar eller handlingar som nämnden begär samt ge 2019/20:7 nämnden tillgång till datorer och annan utrustning som har använts vid forskningen ska få överklagas till allmän förvaltningsdomstol. Andra beslut enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning ska inte få överklagas. Vidare ska prövningstillstånd krävas vid överklagande till kammarrätten (15 §). Forskningshuvudmännen ska återrapportera till nämnden och ge information till berörda Om nämnden har fattat ett beslut om att det har förekommit oredlighet i forskning, eller det framgår av ett beslut av nämnden att det har förekommit en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering utan att uppsåt eller grov oaktsamhet har kunnat konstateras, ska forskningshuvudmannen –efter att beslutet har vunnit laga kraft rapportera till nämnden vilka åtgärder huvudmannen har vidtagit eller avser att vidta med anledning av beslutet, och –efter att beslutet har fattats informera berörda forskningsfinansiärer, myndigheter, vetenskapliga tidskrifter och andra berörda om beslutet, och då upplysa om att beslutet kan komma att överklagas (13 och 14 §§). Sekretess ska gälla hos uppgifter Sekretess ska gälla hos nämnden i ärenden enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning för uppgift om –en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, och –en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Sekretessen ska inte gälla för uppgift om vem som har väckt frågan om oredlighet eller för uppgift om vem misstanken riktas mot. Sekretessen ska inte heller gälla beslut i ett ärende. För uppgift i en allmän handling ska sekretessen gälla i högst –för uppgift om en enskilds personliga förhållanden, och –för uppgift om en enskilds ekonomiska förhållanden. Om nämnden i sin verksamhet enligt lagen om ansvar för god forskningssed och prövning av oredlighet i forskning får en sekretessreglerad uppgift från en forskningshuvudman ska sekretessbestämmelsen vara tilllämplig på uppgiften även hos nämnden. Den överförda sekretessen ska inte gälla för en uppgift som ingår i ett beslut hos nämnden (11 kap. 3 a § och 24 kap. 7 a § OSL). 5.6.2Hantering av andra misstänkta avvikelser från god forskningssed föreslår i sitt betänkande Ny ordning för att främja god sed och hantera oredlighet i forskning (SOU 2017:10) att det ska regleras i högskoleförordningen (1993:100) att statliga universitet och högskolor ska hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt lagen om ansvar för god forskningssed Prop. 2019/20:7 och prövning av oredlighet i forskning. Regeringen avser att besluta om en sådan reglering. Utredningen har inte föreslagit någon reglering av de övriga forskningshuvudmännens hantering av andra fall av misstänkta avvikelser från god forskningssed än de som ska prövas av nämnden. Därmed är det upp till dessa forskningshuvudmän att välja om de ska hantera andra fall av misstänkta avvikelser från god forskningssed och på vilket sätt detta i så fall ska ske. Eftersom det är oklart i vilken utsträckning dessa forskningshuvudmän kommer att hantera andra fall av misstänkta avvikelser från god forskningssed och på vilket sätt de i så fall kommer att hantera dessa är det inte möjligt att göra någon närmare dataskyddsanalys i denna del. Den personuppgiftsbehandling som kan bli nödvändig får därmed ske med stöd av bestämmelserna i dataskyddsförordningen och dataskyddslagen. 6Nämndens och forskningshuvudmännens personuppgiftsbehandling 6.1 Det finns behov av att behandla personuppgifter Som framgår av avsnitt 5.6.1 ska lagen om ansvar för god forskningssed och prövning av oredlighet i forskning tillämpas på forskning som utförs av statliga universitet och högskolor, övriga statliga myndigheter, kommu- ner och landsting, vissa statliga aktiebolag och stiftelser, aktiebolag, han- delsbolag, ekonomiska föreningar och stiftelser där kommuner eller lands- ting utövar ett rättsligt bestämmande inflytande samt enskilda utbildnings- anordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina. utgörs av stiftelser, aktiebolag och föreningar. Därutöver blir den nya lagen också tillämplig på den särskilda nämnden. och andra organ kommer att behöva behandla personuppgifter i flera olika avseenden för att uppfylla de krav som ställs i lagen. och högskolor kommer också att behöva behandla personuppgifter i sin hantering av andra misstänkta avvikelser från god forskningssed. I propositionen En ny beteckning för kommuner på regional nivå och vissa frågor om regionindelning (prop. 2018/19:162) föreslår regeringen att beteckningen för kommuner på regional nivå ändras från landsting till Med anledning av detta kommer i det följande beteckningen region att användas även i denna proposition när det gäller förhållanden som föreslås råda från och med samma tidpunkt. Den särskilda nämnden kommer huvudsakligen att behöva behandla personuppgifter i samband med att den prövar frågor om oredlighet i forsk- Denna personuppgiftsbehandling kommer ofta vara lik den som har utförts under själva forskningen. nämnden kommer att pröva ca 15 ärenden . propositionen Ny ordning för att främja god sed och hantera oredlighet i 2019/20:7 forskning, utifrån antalet oredlighetsärenden som universitet och högskolor har hanterat , att antalet ärenden som nämnden ska hantera kommer att vara begränsat, men att en effekt av att inrätta den nya nämnden och ge en möjlighet för enskilda att anmäla ärenden dit kan bli en större ärendemängd för nämnden, åtminstone initialt. och högskolor, övriga statliga myndigheter, kommuner och regioner, enskilda utbildningsanordnare samt övriga bolag, stiftelser och föreningar kommer att behöva behandla personuppgifter när de t.ex. lämnar upplysningar och handlingar om forskningen till den särskilda nämnden och när de informerar berörda forskningsfinansiärer m.fl. om nämndens beslut. Såväl den särskilda nämnden som de nämnda forskningshuvudmännen kommer vidare att behöva hantera forskningsmaterial som innehåller känsliga personuppgifter. Det kan t.ex. gälla forskningsmaterial inom medicinsk forskning som innehåller uppgifter om hälsa, eller samhällsvetenskaplig forskning som kan innehålla uppgifter om t.ex. etniskt ursprung eller politiska åsikter. I många forskningsprojekt behandlas flera olika kategorier av känsliga personuppgifter inom ramen för samma projekt. I forskningsmaterial kan det även förekomma uppgifter om lagöverträdelser, vilket är vanligt i t.ex. rättsvetenskaplig forskning. Forskningsmaterial kan också omfatta uppgifter om en mycket stor mängd personer i ett och samma forskningsprojekt. Vidare kan den särskilda nämnden och forskningshuvudmännen behöva hantera känsliga uppgifter om den som har gjort anmälan om oredlighet i forskning, om den som är misstänkt för oredlighet i forskning och om andra personer i det aktuella forskningsprojektet eller på den aktuella arbetsplatsen. Det kan även bli aktuellt för nämnden och forskningshuvudmännen att ta del av uppgifter om enskildas ekonomiska förhållanden, t.ex. uppgifter om enskildas affärsförhållanden. Denna typ av uppgifter kan ingå såväl i forskningsmaterial som i övrigt material som nämnden och forskningshuvudmännen tar del av. Rättsliga grunder i dataskyddsförordningen kan Rättsliga grunder för den särskilda nämndens Regeringens bedömning: De uppgifter som anges i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer att utgöra i svensk rätt fastställda uppgifter av allmänt intresse. handling av personuppgifter som är nödvändig för att utföra uppgifterna kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen. Den särskilda nämndens prövning av oredlighet i forskning innefattar Den behandling av personuppgifter som är nöd- vändig för myndighetsutövningen kan i dessa fall även utföras med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i data- De skyldigheter som regleras i lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer att utgöra i svensk rätt fastställda rättsliga förpliktelser som åvilar nämnden och som gör det nödvändigt att behandla personuppgifter. Även den rättsliga grunden rättslig förpliktelse i artikel 6.1 c kan då tillämpas. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig tillstyrker eller har inget att invända mot bedömningen. Som nämnts i avsnitt 3 har Datainspektionen getts tillfälle att yttra sig över ett utkast till lagrådsremiss med ett förslag som överensstämmer med vad som anges i rutan ovan. Datainspektionen anför bl.a. att det krävs att en rättslig förpliktelse är tillräckligt preciserad och tydlig för att den ska kunna utgöra rättslig grund. Syftet med behandlingen ska vara bestämd av den författning som ger stöd för förpliktelsen. Att en organisation genom en lag ges en uppgift att pröva oredlighet i forskning m.m. kan enligt Datainspektionen inte generellt anses utgöra en tillräckligt preciserad rättslig förpliktelse enligt de krav som ställs i artikel 6.