prop · H7037 · 2019-09-17 00:00:00 — vill få bekräftat att forskningshuvudmannen vid påbörjandet av personuppgiftbehandling för forskning inte behöver informera om att personuppgifterna kan komma att behandlas av nämnden, utan att skyldigheten att informera de registrerade om det nya ändamål som uppstår i och med nämndens behandling faller på nämnden i egenskap av personuppgiftsansvarig och ska utföras i enlighet med artikel 14 i dataskyddsförordningen. påpekar vidare, apropå bedömningen i promemorian att nämnden sällan kommer att behöva tillämpa artikel 15 om registrerades rätt till tillgång till uppgifter hos den personuppgiftsansvarige eftersom den inte är tillämplig om den personuppgiftsansvarige inte kan identifiera den registrerade, att det till forskningsdata med pseudonymiserade personuppgifter som behandlas vid lärosäten i regel hör en s.k. kodlista eller motsvarande. Med kodlistan kan deltagarna i en studie identifie- Om studier baseras på mikrodata från () förvaras emellertid kodlistan hos SCB och då kan inte forskningshuvudmannen själv identifiera deltagarna. Enligt torde nämnden i det förra fallet kunna ställas inför en begäran från en registrerad om att få tillgång till de personuppgifter som nämnden behandlar. Förutsättningarna för förvaring av kodlistor och tillämpningen av artikel 15 bör enligt eventuellt utredas närmare och önskar vidare förtydliganden avseende hur en förfrågan om registerutdrag ska besvaras av forskningshuvudmannen när den registrerades personuppgifter överlämnats till nämnden. Skälen för regeringens förslag och bedömning Dataskyddsförordningen anger under vilka förutsättningar de registrerades rättigheter kan begränsas I dataskyddsförordningens tredje kapitel anges den registrerades rättigheter i samband med att personuppgifter behandlas (artiklarna 12–23). Som närmare utvecklas nedan finns det enligt EU-förordningen möjligheter för en medlemsstat att begränsa dessa rättigheter. I artikel 12 finns bestämmelser om klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter. I artikel 13 finns bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade och i artikel 14 finns bestämmelser om information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Artikel 15 reglerar den registrerades rätt till tillgång, som huvudsakligen rör den registrerades rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information. Artikel 16 och 17 reglerar rätten till rättelse respektive rätten till radering (rätten att bli bortglömd). Rätten till begränsning av behandling regleras i artikel 18. I artikel 19 finns bestämmelser om anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling. Artikel 20 reglerar rätten till dataportabilitet, dvs. den registrerades rätt att under vissa förutsättningar få ut sina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format och sedan överföra dessa till en annan personuppgiftsansvarig. Artiklarna 21 och 22 reglerar rätten att göra invändningar respektive automatiserat individuellt beslutsfattande, inbegripet profilering. Av artikel 23.1 följer att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34 (information till den registrerade om en personuppgiftsincident), samt artikel 5 (principer för behandling av personuppgifter) i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. En sådan begränsning måste dock ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna. Den måste också utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa a)den nationella säkerheten, b) försvaret, c) den allmänna säkerheten, d) förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, e) Prop. 2019/20:7 andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet, f) skydd av rättsväsendets oberoende och rättsliga åtgärder, g) förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken, h) en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i a–e och g, i) skydd av den registrerade eller andras rättigheter och friheter, eller j) verkställighet av civilrättsliga krav. I artikel 23.2 anges att sådana begränsningar ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende a) ändamålen med behandlingen eller kategorierna av behandling, b) kategorierna av personuppgifter, c) omfattningen av de införda begränsningarna, d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g) riskerna för de registrerades rättigheter och friheter, och h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. I dataskyddslagen regleras vissa undantag från den registrerades rättigheter I dataskyddslagen anges att artiklarna 13–15 i EU:s dataskyddsförordning (som rör information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade samt den registrerades rätt till tillgång) inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning (5 kap. 1 § första stycket). I andra stycket anges att om den personuppgiftsansvarige inte är en myndighet, gäller undantaget i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. I dataskyddslagen anges vidare att artikel 15 i EU:s dataskyddsförordning (som rör den registrerades rätt till tillgång) inte gäller personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande (5 kap. 2 § första stycket). I andra stycket anges att undantaget i första stycket inte gäller om personuppgifterna har lämnats ut till tredje part, behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål eller har behandlats i löpande text som inte har fått sin slutliga utformning. I dataskyddslagen finns också ett bemyndigande till regeringen. I detta anges att regeringen får meddela ytterligare föreskrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i EU:s dataskyddsförordning (5 kap. 3 §). Finns det anledning att begränsa de personuppgiftsansvarigas skyldigheter eller de registrerades rättigheter ytterligare? Nedan görs en genomgång och bedömning av huruvida de rättigheter och skyldigheter som kan begränsas enligt artikel 23.1 i dataskyddsförordningen, dvs. de rättigheter som anges i artiklarna 5, 12–22 och 34, bör inskränkas. Tydlig information och kommunikation och tydliga villkor (artikel 12) Artikel 12 i dataskyddsförordningen innehåller bestämmelser om klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter. Bestämmelserna i artikel 12 bedöms inte medföra någon onödigt betungande eller omöjlig hantering för den särskilda nämnden eller forskningshuvudmännen vid utförandet av de uppgifter som följer av den nya ordningen för att främja god sed och hantera oredlighet i forskning som återges i avsnitt 5.6. Det bedöms således inte behövas något undantag från artikel 12 i dataskyddsförordningen. Den registrerades rätt till information när personuppgifterna samlas in från den registrerade (artikel 13) I artikel 13.1–3 i dataskyddsförordningen finns bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade. Av artikel 13.1 följer en skyldighet för den personuppgiftsansvarige att lämna viss angiven information till den registrerade i de fall personuppgifter samlas in direkt från denne, bl.a. ändamålen med och den rättsliga grunden för behandlingen. Utöver denna information ska den personuppgiftsansvarige, enligt artikel 13.2, vid insamling av personuppgifterna lämna den registrerade information om bl.a. lagringsperiod och vissa rättigheter för den personuppgiftsansvarige och den registrerade, vilken krävs för att säkerställa rättvis och transparent behandling. Av artikel 13.3 följer att om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt artikel 13.2. Vid prövning av frågor om oredlighet i forskning kommer den särskilda nämnden att behöva inhämta forskningsmaterial från forskningshuvudmännen. Detta material kommer således inte att inhämtas från den registrerade och därmed blir artikel 13 inte tillämplig i denna del. Den särskilda nämnden kommer dock även att behöva inhämta uppgifter från forskare och andra enskilda, t.ex. uppgifter om den person som är föremål för prövning i den särskilda nämnden. Sådant inhämtande av uppgifter från enskilda bedöms dock inte bli särskilt omfattande. Detta innebär att artikel 13 i dataskyddsförordningen inte blir tillämplig i någon större utsträckning i den särskilda nämndens verksamhet. Forskningshuvudmännen kommer huvudsakligen att hantera uppgifter som redan finns tillgängliga hos forskningshuvudmannen, men som tidigare samlats in från den registrerade inom ramen för forskning. Det ursprungliga syftet med insamlingen av uppgifterna var alltså att behandla personuppgifterna för forskningsändamål. När forskningshuvudmännen fullgör de uppgifter som följer av lagen om ansvar för god forskningssed och prövning av oredlighet i forskning kommer de därför att behöva behandla personuppgifter för ett annat syfte än det för vilket de samlades in. Detsamma gäller när statliga universitet och högskolor hanterar andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt den nya lagen. Bestämmelsen i artikel 13.3 om information till de registrerade vid ytterligare behandling för ett annat syfte än det för vilket de samlades in blir då tillämplig. Att tillhandahålla sådan information till alla personer vars personuppgifter ingår i ett forskningsprojekt skulle kunna bli en mycket betungande uppgift och i vissa fall visa sig vara närmast omöjligt eller medföra en oproportionell ansträngning. Ett forskningsprojekt kan innehålla personuppgifter om tusentals personer. Dessutom är uppgifterna i många fall pseudonymiserade, vilket gör att personerna måste identifieras med hjälp av en kodnyckel för att informationen ska kunna lämnas. Pseudonymisering är en viktig och grundläggande skyddsåtgärd vid all behandling av personuppgifter för forskningsändamål, vilket också framhålls uttryckligen i artikel 89.1 i dataskyddsförordningen. Att granska utförd forskning för att utreda misstankar om oredlighet eller andra avvikelser från god forskningssed kan anses vara ett slutligt led i forskningsprocessen, även om syftet med själva behandlingen av personuppgifterna i materialet är något annorlunda mot det ursprungliga ändamålet vid insamlingen. Att samma forskningshuvudman som har pseudonymiserat personuppgifterna till skydd för de registrerade, i enlighet med dataskyddsförordningens krav, ska tvingas identifiera de registrerade enbart för att informera om att sådan granskning ska ske är enligt regeringens mening dessutom ett betydande intrång i de registrerades integritet som inte uppvägs av syftet med informationsskyldigheten. påpekar kan det också ifrågasättas om det är lämpligt att informera forskningspersonerna i ett forskningsprojekt om att personuppgifterna hanteras för att utreda misstänkt oredlighet i forskning eller en avvikelse från god forskningssed innan en sådan utredning avslutats. Att lämna sådan information skulle enligt riskera att påverka forskningen på ett inte obetydligt sätt även om det skulle visa sig att det inte fanns någon grund för misstanken. Det är inte orimligt att tänka sig en situation där forskningspersoner redan innan misstanken utretts skulle välja att t.ex. återta ett tidigare lämnat samtycke. Enligt offentlighets- och sekretesslagen gäller vidare viss sekretess innan en utredning är avslutad. När utredningen har avslutats ska den särskilda nämndens prövning redovisas i ett offentligt beslut. Om beslutet innebär att det har förekommit oredlighet i forskning, eller det framgår av beslutet att det har förekommit en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering utan att uppsåt eller grov oaktsamhet har kunnat konstateras, har forskningshuvudmannen en skyldighet att efter att beslutet har fattats informera berörda forskningsfinansiärer, myndigheter, vetenskapliga tidskrifter och andra berörda om beslutet. Forskningshuvudmannen ska även upplysa om att beslutet kan komma att överklagas (7 och 14 §§ lagen om ansvar för god forskningssed och prövning av oredlighet i forskning och 11 kap. 3 a § andra stycket och 24 kap. 7 a § tredje stycket OSL). Mot bakgrund av ovanstående anser regeringen att det behövs ett undantag från artikel 13.3 i dataskyddsförordningen när forskningshuvudmännen avser att behandla personuppgifter för att fullgöra uppgifter enligt la- 2019/20:7 gen om ansvar för god forskningssed och prövning av oredlighet i forskning. Som nämnts ovan följer det av artikel 23.1 att en sådan begränsning måste utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa syften (a–j), bl.a. av unionen eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (e). Regeringen anser att forskning och upprätthållandet av förtroendet för forskning, bl.a. genom utredning av oredlighet i forskning, utgör sådana viktiga generella allmänna intressen. Ett undantag från artikel 13.3 i det här sammanhanget utgör enligt regeringen en nödvändig och proportionell åtgärd för att säkerställa att utredning av oredlighet i forskning kan utföras utan onödigt integritetsintrång. Det övergripande syftet med lagen om ansvar för god forskningssed och prövning av oredlighet i forskning är att främja förtroendet för forskningen. Förfarandet vid utredning av misstankar om oredlighet måste vara tydligt och rättssäkert för de personer som har väckt frågor om misstanke om oredlighet och de som misstankar riktas mot. Det direkta syftet är att oredlighet ska upptäckas och att felaktiga forskningsresultat ska dras tillbaka eller rättas, vilket i sin tur bidrar till ökad tillförlitlighet och kvalitet i forskningen, samt till att oredlighet förebyggs. De bestämmelser som innebär att resultatet av den särskilda nämndens prövning ska redovisas i ett offentligt beslut och bestämmelserna om forskningshuvudmannens informationsskyldighet i de fall beslutet innebär att det har förekommit oredlighet i forskning, eller det framgår av beslutet att det har förekommit en allvarlig avvikelse från god forskningssed i form av fabricering, förfalskning eller plagiering utan att uppsåt eller grov oaktsamhet har kunnat konstateras, fyller det informationsbehov som finns. Regeringen anser därför att undantaget från artikel 13.3 kan stödjas på artikel 23.1 e. vill få bekräftat att forskningshuvudmannen vid påbörjandet av personuppgiftbehandling för forskning inte behöver informera om att personuppgifterna kan komma att behandlas av nämnden, utan att skyldigheten att informera de registrerade om det nya ändamål som uppstår i och med nämndens behandling faller på nämnden i egenskap av personuppgiftsansvarig och ska utföras i enlighet med artikel 14 dataskyddsförordningen. Det föreslagna undantaget från artikel 13.3 innebär att forskningshuvudmannen inte behöver informera de registrerade om att de avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de samlades in. Informationsskyldigheten enligt artikel 14 behandlas nedan. Regeringen bedömer också att ett undantag från artikel 13.3 behövs när statliga universitet och högskolor behandlar personuppgifter för att hantera andra misstänkta avvikelser från god forskningssed än de som ska prövas särskilt enligt nämnda lag. I övrigt bedöms det inte behövas något undantag från artikel 13. Den registrerades rätt till information när personuppgifterna inte har erhållits från den registrerade (artikel 14) I artikel 14.1–4 i dataskyddsförordningen finns bestämmelser om information som ska tillhandahållas om personuppgifterna inte har erhållits från Vid prövning av frågor om oredlighet i forskning kommer den särskilda nämnden att behöva inhämta forskningsmaterial från forskningshuvudmännen. Det innebär att artikel 14 i dataskyddsförordningen blir tillämplig i stor utsträckning. De skyldigheter som följer av artikel 14.1–4 i dataskyddsförordningen skulle kunna bli relativt betungande för nämnden i det fall det rör sig om forskningsmaterial som rör ett stort antal personer. I artikel 14.5 regleras dock ett antal fall då skyldigheterna i artikel 14.1–4 inte ska tillämpas, bl.a. om erhållande eller utlämnande av uppgifterna uttryckligen föreskrivs genom nationell rätt som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Som återges i avsnitt 5.6.1 blir forskningshuvudmännen skyldiga att lämna de upplysningar och handlingar om forskningen som nämnden begär och att ge nämnden tillgång till datorer och annan utrustning som har använts vid forskningen. Genom denna reglering finns det alltså nationella bestämmelser om erhållande och utlämnande av uppgifter. De skyddsåtgärder som redovisas i avsnitt 6.3 och 6.4 bedöms utgöra lämpliga åtgärder för att skydda den registrerades intressen. Skyldigheterna i artikel 14.1–4 ska därmed, enligt artikel 14.5, inte tillämpas. anför att undantaget i artikel 14.5 c i dataskyddsförordningen enbart omfattar utlämnandet av personuppgifterna från forskningshuvudmannen till nämnden och att övrig personuppgiftsbehandling som kan krävas hos forskningshuvudmannen inte omfattas av undantaget. Forskningshuvudmännen kommer dock huvudsakligen att hantera uppgifter som redan finns tillgängliga hos forskningshuvudmannen. av uppgifter är alltså i de flesta fall inte nödvändig. Artikel 14 blir då inte tillämplig. Mot denna bakgrund bedöms det inte behövas något undantag från artikel 14 i dataskyddsförordningen. Tillgång till personuppgifter samt rättelse och radering (artiklarna 15– 20) En viktig och direkt tillämplig reglering i dataskyddsförordningen är att den personuppgiftsansvarige inte ska behöva bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa förordningen. Det är vanligt att det saknas direkt identifierande uppgifter i sådant material som behandlas för forskningsändamål, exempelvis när uppgifterna kodats eller pseudonymiserats. Detta medför att den personuppgiftsansvarige i dessa fall saknar sådana uppgifter som gör det möjligt att exempelvis göra registerutdrag eller avgöra om uppgifter om en viss person behandlas. Om den personuppgiftsansvarige kan visa att denne inte kan identifiera den registrerade ska artiklarna 15–20 i dataskyddsförordningen inte gälla, förutom när den registrerade tillhandahåller ytterligare information som gör identifieringen möjlig (artikel 11, jfr även skäl 57). Den särskilda nämnden och forskningshuvudmännen behöver alltså som huvudregel inte tillämpa artiklarna 15–20 om de kan visa att de inte kan identifiera den registrerade. I artikel 15 finns bestämmelser om den registrerades rätt till tillgång. Som redovisats ovan följer det av artikel 11 att artikel 15 inte ska gälla om den personuppgiftsansvarige kan visa att denne inte kan identifiera den registrerade, förutom när den registrerade tillhandahåller ytterligare information som gör identifieringen möjlig. Det är vanligt att det saknas di- rekt identifierande uppgifter i sådant material som behandlas för forsk- ningsändamål, exempelvis när uppgifterna kodats eller pseudonymiserats. Det innebär att artikel 15 till stor del inte är tillämplig i fråga om det forsk- ningsmaterial som den särskilda nämnden och forskningshuvudmännen kommer att hantera. anser att förutsättningarna för för- av kodlistor och tillämpningen av artikel 15 eventuellt bör utredas Här vill regeringen anföra följande. ningen ska uppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c uppgifts- Det innebär att nämnden inte bör begära in kodlistan om det inte behövs för hanteringen av oredlighetsärendet. med i varje enskilt fall att behöva avgöra om det är nödvändigt att behandla direkt identifierande personuppgifter i forskningsmaterialet för att kunna utreda misstankar om oredlighet i forskningen. Om det bedöms nödvän- digt för nämnden att inhämta kodlistan omfattas dessa uppgifter av samma krav på skydd och säkerhet som krävs vid motsvarande hantering hos Alla personuppgiftsansvariga har ansvar för och ska kunna visa att förordningens krav på att uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med an- vändning av lämpliga tekniska eller organisatoriska åtgärder efterlevs. det gäller artikel 15 innebär detta att nämnden i de flesta fall sannolikt inte kommer att ha tillgång till direkt identifierande uppgifter och att artikel 15 till stor del inte blir tillämplig i nämndens verksamhet. I de fall nämnden har möjlighet att identifiera den enskilde anser regeringen att rätten till tillgång är en viktig och grundläggande rättighet för den registrerade och att något undantag inte bör göras. önskar vidare förtydliganden om hur en förfrågan om registerutdrag ska besvaras av forskningshuvudmannen när den regi- strerades personuppgifter har överlämnats till nämnden. gan ska behandlas som vanligt, dvs. all information som anges i artikel 15 ska lämnas ut. Detta innebär bl.a. att huvudmannen i enlighet med art. 15.1 c ska informera den registrerade om att uppgifter har lämnats till den sär- Om huvudmannen har överlämnat alla personuppgifter till nämnden, dvs. forskningshuvudmannen har för tillfället inte själv till- gång till uppgifterna, får forskningshuvudmannen upplysa om det. kan den registrerade vända sig till nämnden och få ett registerutdrag däri- I artikel 16 i dataskyddsförordningen finns bestämmelser om rätt till rät- Enligt artikel 16 har den registrerade rätt att få felaktiga personupp- gifter som rör denne rättade utan onödigt dröjsmål samt att, med beaktande av ändamålet med behandlingen, få ofullständiga personuppgifter kom- pletterade, bl.a. genom att tillhandahålla ett kompletterande utlåtande. som vill rätta en felaktig uppgift i forskningsmaterial kommer sannolikt