Utbildningsutskottets betänkande

2018/19:UbU5

Behandling av personuppgifter för forskningsändamål

Sammanfattning

Utskottet ställer sig bakom regeringens förslag till lag om ändring i lagen om rättspsykiatriskt forskningsregister, lag om ändring i lagen om etikprövning av forskning som avser människor, lag om ändring i offentlighets- och sekretesslagen, lag om ändring i lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lag om ändring i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning.

Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig samtidigt som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller privata forskningsutförare.

Lagändringarna föreslås träda i kraft den 1 januari 2019.

Vidare föreslås ett tillkännagivande till regeringen med anledning av ett motionsyrkande om att regeringen bör se över möjligheterna att återkomma med förslag på lagstiftning som likställer villkoren för offentliga och privata forskningsutövare att bedriva forskning som inbegriper personuppgifter på rättslig grund.

I betänkandet finns en reservation (V).

Behandlade förslag

Proposition 2017/18:298 Behandling av personuppgifter för forskningsändamål.

Ett yrkande i en följdmotion.

Innehållsförteckning

Utskottets förslag till riksdagsbeslut

Redogörelse för ärendet

Ärendet och dess beredning

Bakgrund

Utskottets överväganden

Behandling av personuppgifter för forskningsändamål

Likställa villkoren för offentliga och privata forskningsutförare

Reservation

Likställa villkoren för offentliga och privata forskningsutförare, punkt 2 (V)

Bilaga 1
Förteckning över behandlade förslag

Propositionen

Följdmotionen

Bilaga 2
Regeringens lagförslag

Utskottets förslag till riksdagsbeslut

1.	Behandling av personuppgifter för forskningsändamål

Riksdagen antar regeringens förslag till

1. lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister,

2. lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor,

3. lag om ändring i offentlighets- och sekretesslagen (2009:400),

4. lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa,

5. lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Därmed bifaller riksdagen proposition 2017/18:298 punkterna 1–5.

2.	Likställa villkoren för offentliga och privata forskningsutförare

Riksdagen ställer sig bakom det som utskottet anför om att regeringen bör se över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund och tillkännager detta för regeringen.

Därmed bifaller riksdagen motion

2018/19:69 av Roger Haddad m.fl. (L, M, C, KD).

Reservation (V)

Stockholm den 15 november 2018

På utbildningsutskottets vägnar

Matilda Ernkrans

Följande ledamöter har deltagit i beslutet: Matilda Ernkrans (S), Roger Haddad (L), Erik Bengtzboe (M), Pia Nilsson (S), Maria Stockhaus (M), Patrick Reslow (SD), Fredrik Christensson (C), Marie-Louise Hänel Sandström (M), Robert Stenkvist (SD), Gunilla Svantorp (S), Jimmy Loord (KD), Tomas Kronståhl (S), Michael Rubbestad (SD), Annika Hirvonen Falk (MP), Juno Blom (L), Linus Sköld (S) och Ilona Szatmari Waldau (V).

Redogörelse för ärendet

Ärendet och dess beredning

I betänkandet behandlar utskottet regeringens proposition 2017/18:298 Behandling av personuppgifter för forskningsändamål. En motion har väckts med anledning av propositionen. De behandlade förslagen finns i bilaga 1 och regeringens lagförslag i bilaga 2.

Bakgrund

Dataskyddsförordningen

I april 2016 antogs Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan kallad dataskydds-förordningen. Dataskyddsförordningen, som har börjat tillämpas den 25 maj 2018, finns i svensk lydelse med beslutade rättelser.

Forskningsdatautredningen

Regeringen beslutade den 7 juli 2016 att tillkalla en särskild utredare, som bl.a. fick i uppdrag att analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som den redan tillsatta Dataskyddsutredningen (Ju 2016:04) hade i uppdrag att föreslå med anledning av dataskyddsförordningen. I den nya utredningens uppdrag ingick också att föreslå nödvändiga anpassningar till dataskyddsförordningen av vissa registerspecifika författningar på forskningsområdet (dir. 2016:65). Utredningen, som antog namnet Forskningsdatautredningen, presenterade i juni 2017 delbetänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). Utredningen föreslog att det skulle införas en forskningsdatalag. Utredningens betänkande har remissbehandlats (dnr U2017/02644/F).

Lagrådsremiss

Ett utkast till lagrådsremiss remitterades under våren 2018. I utkastet gjordes bedömningen att den forskningsdatalag som Forskningsdatautredningen föreslog inte skulle genomföras för närvarande. De förslag som regeringen därefter lade fram i lagrådsremissen överensstämmer i sak med det remitterade utkastet till lagrådsremiss. Regeringens avsikt är att föreslå nödvändiga anpassningar till dataskyddsförordningen. Arbetet med de aktuella författningarna kommer att fortsätta bl.a. i samband med beredningen av förslagen i betänkandet Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård (SOU 2017:104) och Forskningsdatautredningens slutbetänkande Rätt att forska – Långsiktig reglering av forskningsdatabaser (SOU 2018:36).

Lagrådet

Regeringen beslutade den 28 juni 2018 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 2. Lagrådet har lämnat förslagen utan erinran.

Propositionens huvudsakliga innehåll

I propositionen föreslås vissa ändringar i svensk rätt med anledning av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Det föreslås ändringar i

– lagen (1999:353) om rättspsykiatriskt forskningsregister

– lagen (2003:460) om etikprövning av forskning som avser människor

– offentlighets- och sekretesslagen (2009:400)

– lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa

– lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig samtidigt som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller privata forskningsutförare.

Utskottets överväganden

Inledning

Avsnittet är disponerat så att utskottet inleder med att behandla regeringens lagförslag och bedömningar. Slutligen behandlas ett motionsyrkande som innehåller ett förslag på ett tillkännagivande till regeringen i en fråga som anknyter till propositionen.

Behandling av personuppgifter för forskningsändamål

Utskottets förslag i korthet

Riksdagen antar regeringens förslag till ändringar i lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor, offentlighets- och sekretesslagen (2009:400), lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig samtidigt som den enskildes rättigheter skyddas oavsett om behandlingen utförs av offentliga eller privata forskningsutförare.

Lagändringarna föreslås träda i kraft den 1 januari 2019.

Propositionen

Ändringar i EU-rätten medför behov av ändringar i den svenska regleringen av behandling av personuppgifter

Dataskyddsdirektivet har ersatts av en dataskyddsförordning

Fram till den 25 maj 2018 har offentliga och privata forskningsutförare behandlat personuppgifter i huvudsak med stöd av personuppgiftslagen (1998:204), förkortad PUL. Från och med denna dag gäller i stället Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), som är direkt tillämplig i EU:s medlemsstater.

Dataskyddsförordningen föregicks av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Det direktivet hade i Sverige genomförts genom PUL. Sedan dataskyddsdirektivet beslutades har den ekonomiska och sociala integrationen på EU:s inre marknad lett till en betydande ökning av gränsöverskridande flöden av personuppgifter. Vidare har den snabba tekniska utvecklingen och globaliseringen skapat nya utmaningar i fråga om skyddet av personuppgifter. Dataskyddsdirektivet har inte förhindrat bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av EU. Skillnader i nivån på skyddet av personuppgifter har ansetts förhindra det fria flödet av personuppgifter och utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten.

Dataskyddsförordningens syfte

Dataskyddsförordningen syftar till att säkerställa en enhetlig skyddsnivå över hela unionen så att avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden undviks. Förordningen syftar även till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för personuppgifterna samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (skäl 10 och 13 till dataskyddsförordningen). Dataskyddsförordningen har antagits med beaktande av bl.a. 173 olika skäl som finns angivna i inledningen av förordningen.

Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men kan kompletteras i nationell rätt

Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2). Att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU-förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser.

Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande nationella bestämmelser gäller framför allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). När det gäller behandling av personuppgifter för forskningsändamål både förutsätter och möjliggör förordningen en kompletterande nationell reglering (artiklarna 9.2 j och 89). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8).

Dataskyddsförordningen kompletteras av en ny svensk övergripande lag och förordning om dataskydd (den s.k. dataskyddslagen)

Samma datum som PUL upphävdes den 25 maj 2018 trädde en ny lag i kraft som innehåller bestämmelser som kompletterar dataskyddsförordningen och är av generell karaktär. Den nya lagen heter lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och benämns i det följande dataskyddslagen. Genom namnet på lagen betonas att lagen inte är heltäckande, utan endast utgör komplement till dataskyddsförordningen.

På motsvarande sätt som PUL hade ett vidare tillämpningsområde än dataskyddsdirektivet, finns det en bestämmelse i dataskyddslagen som utsträcker dataskyddsförordningens tillämpningsområde (1 kap. 2 §). Dataskyddslagen innehåller bl.a. bestämmelser som förtydligar innehållet i dataskyddsförordningens bestämmelser och kompletterar dataskyddsförordningen i vissa delar. Bestämmelser i annan lag eller förordning som rör behandling av personuppgifter och som avviker från dataskyddslagen ska ha företräde framför dataskyddslagen (1 kap. 6 §), dvs. dataskyddslagen är subsidiär till andra författningar. Det innebär att dataskyddslagen, på motsvarande sätt som PUL, kan kompletteras av s.k. registerförfattningar, dvs. författningar som reglerar behandling av personuppgifter på ett avgränsat område.

Dataskyddsförordningen behöver även kompletteras med svenska bestämmelser på forskningsområdet

För att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål behöver dataskyddsförordningen och dataskyddslagen kompletteras. De frågor som regeringen ser behov av att reglera, eller i vilka riksdagen bör informeras om regeringens bedömning, är främst förekomsten av rättslig grund för att olika forskningsaktörer ska kunna behandla personuppgifter för forskningsändamål, skyddsåtgärder vid all behandling av personuppgifter för forskningsändamål, behandling av s.k. känsliga personuppgifter för forskningsändamål, behandling av personuppgifter som rör lagöverträdelser för forskningsändamål samt undantag från artiklar i dataskyddsförordningen som reglerar den registrerades rättigheter. Vidare behöver anpassningar göras i lagen (2003:460) om etikprövning av forskning som avser människor, i vissa registerförfattningar på forskningsområdet och i offentlighets- och sekretesslagen (2009:400).

I dataskyddsförordningen används begreppet forskningsändamål

När villkoren för personuppgiftsbehandling inom forskning regleras särskilt i dataskyddsförordningen används i stort sett genomgående termen vetenskapliga eller historiska forskningsändamål. I vissa fall talas det enbart om forskningsändamål. Till ledning för tolkningen av detta begrepp anges det att begreppet vetenskapliga forskningsändamål bör ges en vid tolkning i förordningen och omfatta t.ex. teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Även studier som utförs av ett allmänt intresse inom folkhälsoområdet bör omfattas av begreppet (skäl 159 i dataskyddsförordningen). Historiska forskningsändamål omfattar historiska och genealogiska ändamål (skäl 160 i dataskyddsförordningen). Termen vetenskapliga och historiska forskningsändamål är alltså ett unionsrättsligt begrepp.

De rättsliga grunderna för behandling av personuppgifter för forskningsändamål

Behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde får bara göras om det finns en tillämplig rättslig grund. De rättsliga grunder som är relevanta när det gäller behandling av personuppgifter för forskningsändamål är främst att

1. den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a)
2. behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (uppgift av allmänt intresse, artikel 6.1.e)
3. behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1 f).

I något fall kan också den rättsliga grunden att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1 c) vara aktuell.

Uppräkningen av rättsliga grunder i artikel 6.1 är uttömmande. Om ingen av de rättsliga grunderna i artikeln är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga på en och samma behandling.

Vilka är forskningsutförare

Forskningsutförare inom det offentligrättsliga området

En stor del av den forskning i Sverige som bedrivs av offentligrättsliga forskningsutförare bedrivs vid universitet och högskolor, men det bedrivs omfattande forskningsverksamhet också vid många andra offentliga organ. Enligt 2 kap. 18 § andra stycket regeringsformen (RF) är forskningens frihet skyddad enligt bestämmelser som meddelas i lag. För universitet och högskolor med staten som huvudman framgår det av högskolelagen (1992:1434) att de ska bedriva forskning. Där anges det att staten som huvudman ska anordna högskolor för dels utbildning som vilar på vetenskaplig eller konstnärlig grund samt på beprövad erfarenhet, dels forskning och konstnärlig forskning samt utvecklingsarbete (1 kap. 2 §). Av högskolelagen framgår också forskningens frihet. Som allmänna principer för forskning som bedrivs av dessa utförare gäller att forskningsproblem får väljas fritt, forskningsmetoder får utvecklas fritt och forskningsresultat får publiceras fritt (1 kap. 6 §). I högskolornas uppgift ska det ingå att samverka med det omgivande samhället och att informera om sin verksamhet samt verka för att forskningsresultat tillkomna vid högskolan kommer till nytta.

Flera andra statliga myndigheter har forskningsuppgifter inom ramen för sin ordinarie verksamhet, och i såväl kommuner som landsting pågår forskning där personuppgifter används. Förvaltningsmyndigheters uppgifter framgår i huvudsak av författningar och författningsenliga beslut, t.ex. myndighetsinstruktioner i förordningsform och regleringsbrev. Verksamheten vid kommuner och landsting är reglerad i RF, kommunallagen (2017:725) och speciallagstiftning inom t.ex. skola, miljö samt vård och omsorg. Kommuner och landsting har även viss rätt att meddela egna lokala föreskrifter.

Forskningsutförare inom det privaträttsliga området

Bland privaträttsliga aktörer som utför forskning ska först enskilda utbildningsanordnare nämnas. Enskilda utbildningsanordnare är lärosäten som drivs av andra huvudmän än staten, t.ex. av företag, stiftelser eller föreningar. Vissa enskilda utbildningsanordnare har rätt att utfärda examina enligt lagen (1993:729) om tillstånd att utfärda vissa examina, och bedriver sin verksamhet på samma sätt som högskolor med staten som huvudman. Enskilda utbildningsanordnare som bedriver forskning är t.ex. Chalmers tekniska högskola, Handelshögskolan i Stockholm och Stiftelsen Högskolan i Jönköping (Jönköping University). Dessa är alla privaträttsliga forskningsutförare. För de enskilda utbildningsanordnarna anges det emellertid inte i lagen om tillstånd att utfärda vissa examina att de har en uppgift att bedriva forskning.

Forskning bedrivs även i betydande omfattning hos privata företag och stiftelser. Läkemedelsföretag är ett exempel på forskningsutförare som bedriver forskning med omfattande användning av personuppgifter.

Möjligheterna för olika forskningsutförare att åberopa olika rättsliga grunder

Samtycke

Enligt regeringens bedömning bör dataskyddsförordningen normalt inte innebära något hinder för forskningsutförare att använda samtycke som rättslig grund för sin personuppgiftsbehandling. Det måste dock beaktas om det föreligger en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt, särskilt när den personuppgiftsansvarige är en offentligrättslig forskningsutförare.

Bakgrund

I propositionen sägs att med samtycke avses varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne (artikel 4.11). Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter (skäl 32).

För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. För forskningens del är också vad som anges i skäl 33 i dataskyddsförordningen av betydelse. Där konstateras det att det ofta inte är möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.

Offentligrättsliga forskningsutförare

I skälen för regeringens bedömning framgår även att kravet på frivillighet som gäller för att ett samtycke ska vara giltigt är formulerat på samma sätt i dataskyddsförordningen som i PUL. Det faktum att det kan råda en betydande ojämlikhet i förhållandet mellan den personuppgiftsansvarige och den som har att lämna samtycke har gett anledning till införandet av skäl 43 i dataskyddsförordningen. Där anges det att för att säkerställa att samtycket lämnas frivilligt bör samtycket inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande.

När det gäller offentliga forskningsutförare kan det enligt regeringens bedömning förhålla sig så att den som lämnar samtycke inte befinner sig i någon beroendeställning i förhållande till den personuppgiftsansvarige. För statliga forskningsutförare med enbart forskning som uppgift torde ett direkt beroendeförhållande normalt inte finnas för andra än de som är anställda vid en sådan inrättning. En myndighet kan således inte anses utöva påtryckning gentemot en individ enbart därför att det är fråga om en myndighet, om den inte har några verktyg för att direkt eller indirekt utöva påtryckningar. En undersökning där ett representativt urval av personer ur totalbefolkningen tillfrågas om de vill delta som en del av ett forskningsprojekt bör t.ex. kunna utföras med samtycke som rättslig grund även av ett universitet eller högskola med statlig huvudman. En sådan situation som avses i skäl 43 (se ovan) i dataskyddsförordningen kan dock föreligga exempelvis om lärosätet avser att forska med hjälp av personuppgifter som gäller studenter eller anställda vid universitetet. I en sådan situation kan det ifrågasättas om ett giltigt, frivilligt, samtycke kan inhämtas och om forskningsutföraren kan använda sig av denna rättsliga grund.

I propositionen framhålls också att kommuner och landsting bl.a. bedriver utbildningsverksamhet, hälso- och sjukvård, meddelar bygglov och andra tillstånd samt har beskattningsrätt och att det här finns situationer där en ojämlik situation kan föreligga.

Privaträttsliga forskningsutförare

I skälen för regeringens bedömning framgår att även privaträttsliga forskningsutförare måste beakta att förutsättningarna för ett giltigt samtycke är uppfyllda när de tar ställning till vilken rättslig grund personuppgiftsbehandling i ett projekt ska grundas på och om det är lämpligt att använda sig av samtycke.

Regeringens bedömning är att utgångspunkten när det gäller privaträttsliga forskningsutförare är att det normalt inte råder betydande ojämlikhet mellan dem som personuppgiftsansvariga och registrerade när personuppgifter behandlas för forskningsändamål. För enskilda utbildningsanordnare bör enligt regeringen väsentligen samma resonemang om fall där en betydande ojämlikhet skulle kunna föreligga kunna föras som för universiteten och högskolorna med offentlig huvudman. Företag, stiftelser och andra medlemsorganisationer som utför forskning bör kunna använda samtycke för alla som inte har någon anknytning till organisationen, genom att vara exempelvis anställda, intressenter eller medlemmar. En sådan särskild situation enligt skäl 43 då samtycke inte kan anses ha lämnats frivilligt kan vara när den personuppgiftsansvarige vill använda ett anställningsregister för andra ändamål än det ursprungligen avsedda.

Sammanfattningsvis bör formuleringen i skäl 43 normalt inte innebära hinder för privaträttsliga forskningsutförare att använda samtycke för personuppgiftsbehandling för forskningsändamål. Även privaträttsliga forskningsutförare behöver emellertid beakta om det kan föreligga en sådan ojämlik situation att det inte kan sägas att inhämtade samtycken lämnas frivilligt och det därmed inte är möjligt att använda samtycke som rättslig grund för personuppgiftsbehandlingen i ett forskningsprojekt. Det ankommer på den personuppgiftsansvarige att för varje forskningsprojekt göra denna prövning som en del av bedömningen av om ett giltigt samtycke kan inhämtas.

Uppgift av allmänt intresse

I skälen för regeringens bedömning framgår att för universitet och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För andra statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen.

När det gäller kommuner och landsting kan forskningsuppgiften enligt regeringens bedömning vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen.

En privaträttslig forskningsutförares forskningsuppgift är enligt regeringens bedömning fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikprövningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt. Regeringen gör bedömningen att det inte bör införas en bestämmelse i lag där det anges att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare.

Uppgift av allmänt intresse i dataskyddsförordningen och dataskyddslagen

Artikel 6 i dataskyddsförordningen reglerar frågan om laglig behandling av personuppgifter. Enligt artikel 6.1 e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för behandlingen ska enligt artikel 6.3 dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

I 2 kap. 2 § dataskyddslagen framgår att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

I 2 kap. 3 dataskyddslagen första stycket sägs att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. I andra stycket sägs att den myndighet som regeringen bestämmer i enskilda fall får besluta att sådana personuppgiftsansvariga får behandla personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor.

Offentligrättsliga forskningsutförare

I skälen för regeringens bedömning framgår bl.a. att det är regeringens bedömning att presumtionen är att uppgiften att forska är en uppgift av allmänt intresse även i dataskyddsförordningens mening. För att den rättsliga grunden i artikel 6.1 e, uppgift av allmänt intresse, ska vara tillämplig och kunna åberopas krävs emellertid enligt artikel 6.3 att uppgiften är fastställd i enlighet med unionsrätten eller den nationella rätten.

När det gäller universitet och högskolor med staten som huvudman anför regeringen följande. I 2 kap. 18 § andra stycket RF fastslås att forskningens frihet är skyddad enligt bestämmelser som meddelas i lag. Högskolelagen (1992:1434) reglerar verksamhet vid universitet och högskolor under statligt huvudmannaskap och innehåller bestämmelser som tar avstamp i grundlagsregleringen. I 1 kap. 2 § högskolelagen anges forskning som en huvuduppgift. I 1 kap. 3 a § samma lag ställs det krav på att vetenskapens trovärdighet och god forskningssed värnas i verksamheten, och 1 kap. 6 § reglerar just forskningens frihet genom att det anges allmänna principer för den delen av högskolornas verksamhet. För forskningen ska gälla att forskningsproblem får fritt väljas, forskningsmetoder får fritt utvecklas och forskningsresultat får fritt publiceras. Regeringens bedömning är därför att för universitet och högskolor med staten som huvudman är forskningsuppgiften fastställd i svensk lag och de kan därför behandla personuppgifter som är nödvändiga för att utföra forskningen med stöd av artikel 6.1 e.

När det gäller övriga offentligrättsliga forskningsutförare anför regeringen följande. Utöver universitet och högskolor behandlar många statliga myndigheter personuppgifter för forskningsändamål. Dessa myndigheters möjligheter att behandla personuppgifter för forskningsändamål med stöd av artikel 6.1 e är beroende av vilket uppdrag och vilka uppgifter som har ålagts respektive myndighet i gällande rätt. Flera myndigheter har en förordningsreglerad uppgift som omfattar forskning, se t.ex. 2 § förordningen (2007:1170) med instruktion för Brottsförebyggande rådet eller 4 § förordningen (2013:1020) med instruktion för Folkhälsomyndigheten. Uppgiften att forska kan även regleras på annat sätt, t.ex. direkt i lag eller genom särskilda regeringsbeslut. Om uppgiften att forska är tydligt fastställd på detta sätt för en myndighet har myndigheten möjlighet att grunda behandling av personuppgifter som är nödvändig för att utföra forskningen på att det är en uppgift av allmänt intresse enligt artikel 6.1 e.

Statliga forskningsinstitut drivs ofta i myndighetsform, vilket medför att samma resonemang kan föras för dem som för myndigheter i allmänhet. Exempel på sådana forskningsinstitut är Institutet för rymdfysik och Totalförsvarets forskningsinstitut. Det finns dock även forskningsinstitut som drivs i aktiebolagsform med staten som delägare helt eller delvis. RISE (Research Institutes of Sweden) är ett exempel på nätverk av teknikinriktade forskningsinstitut som samverkar med akademi, näringsliv och samhälle. För sådana organ är det bedömningarna beträffande privaträttsliga forskningsutförare som är relevanta (se nedan).

Verksamheten vid kommuner och landsting är reglerad i RF, kommunallagen (2017:725) och speciallagstiftning för t.ex. skola, miljö samt vård och omsorg. Kommuner och landsting har även viss rätt att meddela egna lokala föreskrifter. När det gäller forskning och innovation är det en viktig del av många landstings och kommuners utvecklingsarbete. Nämnas kan att enligt hälso- och sjukvårdslagen (2017:30) ska landsting och kommuner medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete. Landsting och kommuner ska i dessa frågor, i den omfattning som behövs, samverka med varandra och med berörda universitet och högskolor (18 kap. 2 § hälso- och sjukvårdslagen).

Att i författning fastställa att forskning är en uppgift för kommuner och landsting inom andra områden skulle innebära att nya uppgifter läggs på kommunerna, vilket med hänsyn till den kommunala självstyrelsen kräver särskilda överväganden som det saknas underlag för i detta lagstiftningsärende. För att kommuner och landsting i övrigt ska kunna använda sig av den rättsliga grunden uppgift av allmänt intresse när de bedriver forskning är det enligt regeringens uppfattning av vikt att de beaktar att forskningsuppgiften anges tydligt i de beslut om verksamheten som fattas av fullmäktige så att forskningsuppgiften därigenom kan anses vara fastställd i nationell rätt.

Privaträttsliga forskningsutförare

Som framgår ovan är det regeringens bedömning att presumtionen är att uppgiften att forska är en uppgift av allmänt intresse även i dataskyddsförordningens mening. I skälen för regeringens bedömning framgår bl.a. följande. När det gäller forskning som bedrivs av privata forskningsutförare är forskningsuppgiften inte fastställd i nationell rätt för dessa aktörer på motsvarande sätt som för de flesta offentligrättsliga forskningsutförare. I propositionen framgår att det enligt dataskyddsförordningen inte räcker att uppgiften är av allmänt intresse. Den måste också vara fastställd i nationell rätt eller unionsrätt.

Vidare framgår det i propositionen att det för privata forskningsutförare innebär att de har rätt att forska fritt så länge staten inte har ställt krav på tillstånd för viss forskning eller forskningen innefattar brottslig verksamhet etc. Vad dataskyddsförordningens krav på att en uppgift ska vara fastställd i nationell rätt eller i unionsrätten innebär för att den ska anses vara en uppgift av allmänt intresse i den mening som avses i artikel 6.1 e framgår av 2 kap. 2 § 1 dataskyddslagen. Enligt den bestämmelsen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

Flera skäl talar enligt regeringen för att det skulle finnas ett behov av en reglering där forskningsuppgiften fastställs för privaträttsliga forskningsutförare för att göra det möjligt för dem att använda sig av den rättsliga grunden uppgift av allmänt intresse. Även forskning som bedrivs av privata utförare kan anses vara en uppgift av allmänt intresse. Som exempel kan nämnas att högskolor kan bedrivas i både offentlig och privat form. Forskningsuppgiften är i praktiken likvärdig vid de båda verksamheterna. Forskning bedrivs vidare ofta i samverkan mellan offentliga och privata forskningsutförare. Det är också av vikt att såväl offentliga som privata forskningsutförare har möjlighet att behandla personuppgifter för att genomföra storskaliga registerbaserade studier inom exempelvis hälsoområdet. Sådana studier är av stor betydelse för ökad kunskap om t.ex. sjukdomsorsaker och behandlingsmetoder. Det är inte alltid möjligt eller ens lämpligt att inhämta samtycke för behandling av personuppgifter för forskningsändamål i studier som omfattar flera hundra tusen personer. Detta innebär att såväl offentliga som privata forskningsutförare behöver ha möjligheter att behandla personuppgifter även utan samtycke.

I propositionen framgår att Forskningsdatautredningen bl.a. har föreslagit att det ska införas bestämmelser i en forskningsdatalag som bl.a. anger att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse och att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare. När det gäller förslaget om att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare anförs i propositionen att denna bestämmelse inte innebär att en uppgift att forska ges. Regeringen anser att en jämförelse, såvitt gäller privata forskningsutförare, kan göras med regleringen av personuppgiftsbehandling i enskilda arkiv i dataskyddslagen (2 kap. 3 § första stycket). Den regleringen innebär bl.a. att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse.

För att uppgiften att forska ska anses fastställd för privata forskningsutförare på motsvarande sätt som för enskilda arkiv krävs att det på något av de sätt som anges i 2 kap. 2 § dataskyddslagen, dvs. i lag eller annan författning, i kollektivavtal eller i beslut som har meddelats med stöd av lag eller annan författning, fastställs vilka privata forskningsutförare som har i uppgift att forska. Först då kan de utföra sådan personuppgiftsbehandling som är nödvändig för den forskningsuppgift som är fastställd i den nationella rätten med stöd av artikel 6.1 e i dataskyddsförordningen. Vid en jämförelse mellan den detaljerade reglering som föreslås för enskilda arkiv och den reglering som Forskningsdatautredningen föreslår för bl.a. privata forskningsutförare anser regeringen att Forskningsdatautredningens förslag inte uppfyller de krav som anges i EU-förordningen för att det ska vara fråga om en i nationell rätt fastställd uppgift. Vid överväganden om privata forskningsutförares forskningsuppgift ska fastställas i t.ex. föreskrifter eller beslut anser regeringen vidare att hänsyn måste tas till att även privat finansierad forskning måste omfattas av forskningens frihet. Regeringen anser att en uppdelning i ”forskning” och ”forskning av allmänt intresse” är olycklig utifrån principerna om forskningens frihet och att en sådan uppdelning skapar en mängd frågor.

Enligt regeringen är presumtionen att forskning är av allmänt intresse. Detta är centralt utifrån principerna om forskningens frihet. En presumtion kan dock brytas. De fall då staten har ansett sig behöva reglera forskning är då frågan uppstår om forskningen är etiskt försvarbar eller inte. Det är en fråga som har ansetts vara så viktigt att den både är föremål för internationella överenskommelser och lagstiftning. Enligt gällande rätt får vissa typer av forskning som avser människor inte utföras om tillstånd inte har meddelats enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. och oavsett om forskningsutföraren är en statlig myndighet eller en fysisk eller juridisk person (3 och 6 §§ etikprövningslagen). Av sista stycket i 6 § etikprövningslagen framgår även att ett godkännande enligt den lagen inte medför att forskningen får utföras om den strider mot någon annan författning. Det kan alltså vara så att det för ett forskningsprojekt inte alltid är tillräckligt med ett beslut om godkännande enligt etikprövningslagen utan det kan även krävas tillstånd av myndigheter enligt andra författningar, exempelvis krävs tillstånd av Läkemedelsverket vid kliniska läkemedelsprövningar.

Ett beslut om godkännande av ett forskningsprojekt enligt etikprövningslagen innebär således enligt regeringen att forskningen bedömts kunna vara till nytta för samhället. Ett forskningsprojekt som godkänts enligt etikprövningslagen får därmed anses vara en uppgift av allmänt intresse. Regeringen anser därför att ett beslut enligt etikprövningslagen och eventuellt andra tillämpliga författningar ger en sådan grund för behandlingen som är fastställd i enlighet med nationell rätt enligt artikel 6.3 i dataskyddsförordningen.

Regeringen anser också att det vore en fördel om även privata forskningsutförare skulle kunna åberopa den rättsliga grunden att utföra en uppgift av allmänt intresse i de fall det är fråga om behandling av andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Det skulle dock kräva en omfattande reglering av privata forskningsutförare som det för närvarande saknas beredningsunderlag för. Privata forskningsutförare har vidare, som framgått ovan, stora möjligheter att bedriva forskning med samtycke. De har även stora möjligheter att bedriva forskning efter en intresseavvägning, vilket utvecklas nedan. Regeringens uppfattning är därför att förslagen i propositionen väl tillgodoser forskningens intressen av att kunna använda personuppgifter.

Intresseavvägning

Enligt regeringens bedömning kan offentliga forskningsutförare inte tillämpa den rättsliga grunden intresseavvägning i artikel 6.1 f i dataskyddsförordningen som grund för sin personuppgiftsbehandling. Privaträttsliga forskningsutförare kan tillämpa intresseavvägning som grund för nödvändig personuppgiftsbehandling i forskningen. Det ska enligt regeringens bedömning i varje enskilt fall göras en avvägning mellan den personuppgiftsansvariges eller en tredje mans berättigade intresse av att utföra personuppgiftsbehandlingen och den registrerades intressen och grundläggande rättigheter och friheter.

Offentligrättsliga forskningsutförare

I skälen för regeringens bedömning framgår att enligt artikel 6.1 andra stycket dataskyddsförordningen gäller inte den rättsliga grunden intresseavvägning för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Detta motiveras i skäl 47 i dataskyddsförordningen med att då det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter bör denna rättsliga grund inte gälla för den behandling som de utför som ett led i fullgörandet av dessa uppgifter. När det i bestämmelsen talas om att den inte ska gälla när offentliga myndigheter fullgör sina uppgifter gäller det enligt regeringens uppfattning vid fullgörandet av alla uppgifter en myndighet har, såväl sådana som innefattar myndighetsutövning som övriga uppgifter av t.ex. mer förvaltningskaraktär. Den rättsliga grunden intresseavvägning är alltså inte tillämplig när offentligrättsliga forskningsutförare fullgör uppgiften att bedriva forskning.

Privaträttsliga forskningsutförare

Till skillnad från vad som gäller för de offentligrättsliga forskningsutförarna är det möjligt för privaträttsliga forskningsutförare att stödja sin personuppgiftsbehandling på den rättsliga grunden intresseavvägning.

Bland de vanligaste sammanhang där frågan om berättigat intresse kan uppstå nämns i propositionen behandling för historiska, vetenskapliga eller statistiska ändamål och behandling för forskningsändamål (yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv 95/46/EG). Regeringen bedömer att presumtionen är att forskning är en uppgift av allmänt intresse och att presumtionen därmed är att det är fråga om ett berättigat intresse.

Som nämnts ovan får enligt gällande rätt vissa typer av forskning som avser människor inte utföras om tillstånd inte har meddelats enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. och oavsett om forskningsutföraren är en statlig myndighet eller en fysisk eller juridisk person (3 och 6 §§ etikprövningslagen).

Det är enligt regeringen bara när det är fråga om forskningsprojekt som inte involverar känsliga personuppgifter eller personuppgifter som avser lagöverträdelser m.m. som en privat forskningsutförare behöver åberopa andra rättsliga grunder som t.ex. samtycke eller intresseavvägning. Då presumtionen är att forskning är ett berättigat intresse bedömer regeringen att det finns stora möjligheter att behandla personuppgifter för forskningsändamål efter en intresseavvägning, särskilt då en sådan avvägning normalt bara blir aktuell för mindre känsliga uppgifter. En presumtion kan dock brytas och omständigheterna i ett enskilt fall kan vara sådana att en intresseavvägning enligt 6.1 f inte utfaller till den planerade forskningens förmån.

Det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av personuppgifter för forskningsändamål

Uppgifter ska inte få användas för att vidta åtgärder i fråga om den registrerade

Regeringen föreslår att personuppgifter som enbart behandlas för forskningsändamål ska få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Något undantag för myndigheters användning av personuppgifter i allmänna handlingar ska enligt förslaget inte gälla.

I propositionen framgår att den föreslagna bestämmelsen som huvudregel förhindrar att personuppgifter som behandlas av den personuppgiftsansvarige enbart för forskningsändamål används för att vidta åtgärder som avser den registrerade. Sådana åtgärder får bara vidtas om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av personuppgifter och inte bara känsliga sådana. Med vitala intressen avses intressen som är av avgörande betydelse för den registrerades liv. Ett exempel på en situation då det finns behov av att kunna använda personuppgifter för att vidta åtgärder som avser de registrerade är när personuppgifter som behandlas för forskningsändamål behöver användas för att varna de registrerade. Det kan förekomma t.ex. när en forskare, som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjukdom, upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling. Det är den personuppgiftsansvarige som har att visa att det finns sådana omständigheter som utgör synnerliga skäl. För att det ska vara tillåtet att använda uppgifterna för att vidta åtgärder i fråga om den registrerade krävs också att användningen inte är oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in (se artikel 5.1 b i dataskyddsförordningen). Undantaget från användningsbegränsningen kan alltså inte tillämpas till stöd för en vidarebehandling som i sig är otillåten enligt dataskyddsförordningen. Bestämmelsen innebär även en begränsning av myndigheters möjligheter att använda personuppgifter i allmänna handlingar för att vidta åtgärder i fråga om den registrerade.

Det följer direkt av dataskyddsförordningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder

Regeringen gör bedömningen att personuppgifter bör pseudonymiseras eller omfattas av andra lämpliga skyddsåtgärder när de behandlas för forskningsändamål. Detta framgår direkt av EU:s dataskyddsförordning och bör därför inte föreskrivas i svensk rätt.

I artikel 4.5 dataskyddsförordningen definieras pseudonymisering enligt följande: Behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person.

För att en åtgärd ska utgöra pseudonymisering krävs alltså kompletterande uppgifter som förvaras separat. Dataskyddsförordningens definition anger dock inte hur pseudonymisering ska utformas. Detta kan göras på i huvudsak två sätt, antingen baserat på identifierande uppgifter eller utifrån helt fristående värden i form av ett kodnyckelförfarande.

Det behövs kompletterande nationella bestämmelser för behandling av känsliga personuppgifter

Särskilda kategorier av personuppgifter benämns känsliga personuppgifter i dataskyddslagen

Dataskyddsförordningen innehåller ett principiellt förbud mot behandling av särskilda kategorier av uppgifter samt flera undantag från detta förbud (artikel 9 i dataskyddsförordningen). I dataskyddslagen används begreppet känsliga personuppgifter som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. Bakgrunden till detta förslag är att begreppet får anses väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i författningstext (prop. 2017/18:105 s. 75).

Dataskyddsförordningen möjliggör behandling av känsliga personuppgifter för forskningsändamål

I artikel 9.2 j finns ett uttryckligt undantag från förbudet mot behandling av känsliga personuppgifter, som anger att förbudet inte gäller om behandlingen är nödvändig för bl.a. forskningsändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 följer att all personuppgifts-behandling för bl.a. forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dataskyddsförordningen ger därmed en explicit möjlighet till behandling av känsliga personuppgifter för forskningsändamål.

Etikprövning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter för forskningsändamål

Regeringen gör bedömningen att etikprövning enligt etikprövningslagen är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs för behandling av känsliga personuppgifter för andra forskningsändamål än klinisk läkemedelsprövning enligt EU:s dataskyddsförordning.

Enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) får vissa typer av forskning som avser människor inte utföras utan tillstånd. Detta gäller bl.a. om forskningen innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m.

I skälen för regeringens förslag framgår att enligt regeringens uppfattning uppfyller en etikprövning enligt etikprövningslagen dataskyddsförordningens krav på en objektiv bedömning av de risker personuppgiftsbehandlingen kan medföra för den registrerades grundläggande rättigheter och friheter. Regeringen bedömer således att etikprövning är en sådan i nationell rätt fastställd lämplig och särskild åtgärd som artikel 9.2 j i dataskyddsförordningen kräver vid nödvändig behandling av känsliga personuppgifter för forskningsändamål.

För sådan forskning som består i klinisk läkemedelsprövning finns särskilda bestämmelser i form av EU:s förordning nr 536/2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv 2001/20/EG (nedan kallad EU-förordningen om kliniska läkemedelsprövningar). Denna EU-förordning har dock inte börjat tillämpas och det är i dagsläget inte bestämt när så ska ske. Av propositionen framgår att det sannolikt inte blir tidigare än hösten 2019. Eftersom det i EU-förordningen anges att kliniska läkemedelsprövningar ska genomgå etisk granskning och godkännas enligt förordningen föreslog regeringen i propositionen Kompletterande bestämmelser om etisk granskning till EU-förordningen om kliniska läkemedelsprövningar (prop. 2017/18:193) att forskning som består i klinisk läkemedelsprövning inte ska etikprövas enligt etikprövningslagen. Sådan forskning ska i stället genomgå etisk granskning enligt den nya lagen (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel. Riksdagen beslutade i enlighet med förslaget (bet. 2017/18:UbU26, rskr. 2017/18:332). Bestämmelserna har emellertid inte trätt i kraft eftersom EU-förordningen inte börjat tillämpas ännu utan bestämmelserna ska träda i kraft den dag regeringen bestämmer, dvs. när EU-förordningen börjar tillämpas.

När det gäller frågan om rättslig grund för behandling av personuppgifterna anser regeringen att om ett forskningsprojekt har godkänts enligt etikprövningslagen så har forskningen erkänts i svensk rättsordning på ett sådant sätt att utförande av forskningsuppgiften är en i svensk rätt fastställd uppgift av allmänt intresse.

Etisk granskning ska vara en skyddsåtgärd vid behandling av känsliga personuppgifter vid forskning inom ramen för kliniska läkemedelsprövningar

Regeringen gör bedömningen att etisk granskning enligt lagen med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs enligt EU:s dataskyddsförordning för behandling av känsliga personuppgifter för forskningsändamål inom ramen för klinisk läkemedelsprövning.

I skälen för regeringens förslag framgår bl.a. följande. EU-förordningen om kliniska läkemedelsprövningar är bindande och direkt tillämplig i Sverige. Som angetts ovan är det dock inte klart när den ska börja tillämpas. Enligt EU-förordningen ska ansökningar om sådana prövningar genomgå vetenskaplig och etisk granskning och godkännas i enlighet med EU-förordningen. Den etiska granskningen ska utföras av en etikkommitté i enlighet med nationell rätt i den berörda medlemsstaten. Enligt definitionen i artikel 2.2.11 är en etikkommitté ett oberoende organ i en medlemsstat vilket inrättats i enlighet med nationell rätt i den medlemsstaten och som har befogenhet att avge yttranden i samband med tillämpningen av EU-förordningen, med beaktande av synpunkter från lekmän, i synnerhet patienter eller patientorganisationer. Varje berörd medlemsstat ska genom ett enda beslut underrätta sponsorn om huruvida den kliniska läkemedelsprövningen eller en väsentlig ändring av prövningen har beviljats tillstånd på vissa villkor eller huruvida ansökan om tillstånd har avslagits (artiklarna 8.1, 14.3, 19.1, 20.5 och 23.1). Med sponsorn avses enligt förordningen en person, ett företag, en institution eller en organisation som ansvarar för att inleda, leda och ordna med finansieringen av en klinisk prövning.

Den 1 januari 2019 genomförs en organisationsförändring av den svenska etikprövningsorganisationen som innebär att de sex regionala etikprövningsnämnderna avvecklas och att etikprövning av forskning som avser människor i stället ska hanteras av en ny myndighet, Etikprövningsmyndigheten. Syftet är att öka effektiviteten och skapa en mer enhetlig tillämpning av regelverket (prop. 2017/18:45, bet. 2017/18:UbU12, rskr. 2017/18:173). Den nya myndigheten kommer att vara på plats när EU-förordningen ska börja tillämpas.

I propositionen Kompletterande bestämmelser om etisk granskning till EU-förordningen om kliniska läkemedelsprövningar (prop. 2017/18:193) föreslås att forskning som består i klinisk läkemedelsprövning framöver inte ska etikprövas enligt etikprövningslagen. Som har angivits ovan har riksdagen antagit regeringens förslag men bestämmelserna har ännu inte trätt i kraft. Forskning som består av klinisk läkemedelsprövning ska, när bestämmelserna har trätt i kraft, i stället genomgå etisk granskning enligt en ny lag (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel. Enligt den lagen ska den etiska granskningen utföras av Etikprövningsmyndigheten och resultatet av den etiska granskningen ska redovisas i ett yttrande som beslutas av Etikprövningsmyndigheten och lämnas till Läkemedelsverket (2 och 3 §§).

När det gäller behandling av känsliga personuppgifter för bl.a. forskningsändamål krävs som beskrivits ovan ett stöd i svensk rätt utöver det som dataskyddsförordningen ger. Kraven enligt artikel 9.2 i eller j går utöver de krav som ställs på rättslig grund enligt artikel 6 i dataskyddsförordningen. Regeringen gör i föregående avsnitt bedömningen att etikprövning är en lämplig och särskild åtgärd vid all behandling av känsliga personuppgifter för andra forskningsändamål än kliniska läkemedelsprövningar. Enligt 3 § i den föreslagna lagen med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av humanläkemedel ska vad som anges i 7–11 §§ etikprövningslagen ligga till grund för den etiska bedömningen av en ansökan om klinisk läkemedelsprövning som ska göras av Etikprövningsmyndigheten. Den etiska granskningen av forskning som består i kliniska läkemedelsprövningar kommer alltså att vila på samma etiska överväganden som ska göras vid etikprövning. Regeringen gör därför bedömningen att etisk granskning är en sådan i svensk rätt fastställd lämplig och särskild åtgärd som krävs enligt EU:s dataskyddsförordning för behandling av känsliga personuppgifter för forskningsändamål inom ramen för klinisk läkemedelsprövning.

Det behövs kompletterande nationella bestämmelser om skyddsåtgärder för behandling av personuppgifter om lagöverträdelser

Dataskyddsförordningen möjliggör en kompletterande nationell reglering för personuppgifter om lagöverträdelser

Enligt dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet. Behandling av sådana uppgifter får också ske om behandlingen tillåts enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet (artikel 10).

I dataskyddslagen finns en bestämmelse som förtydligar att personuppgifter som avses i artikel 10 får behandlas av myndigheter (3 kap. 8 § första stycket). För att andra än myndigheter alls ska kunna behandla sådana personuppgifter om lagöverträdelser som framgår av artikel 10 måste detta tillåtas i unionsrätten eller nationell rätt, med fastställande av lämpliga skyddsåtgärder. Till skillnad från regleringen av känsliga personuppgifter i artikel 9 i dataskyddsförordningen finns ingen uttömmande uppräkning av tillåtna ändamål i artikel 10. Bestämmelser om behandling av sådana uppgifter för t.ex. forskningsändamål är möjliga i nationell lagstiftning, precis som andra ändamål, under förutsättning att lämpliga skyddsåtgärder är fastställda. I dataskyddslagen anges att även andra än myndigheter får behandla personuppgifter som avses i artikel 10, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 § andra stycket). Det har även förts in ett bemyndigande i dataskyddslagen med innebörden att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning (3 kap. 9 § första stycket). Det anges vidare att den myndighet som regeringen bestämmer även i enskilda fall får besluta att andra än myndigheter får behandla sådana uppgifter. Ett sådant beslut får förenas med villkor (3 kap. 9 § andra stycket).

Etikprövning ska vara en skyddsåtgärd vid behandling av personuppgifter om lagöverträdelser för forskningsändamål

Regeringen gör bedömningen att etikprövning enligt etikprövningslagen är en sådan lämplig skyddsåtgärd, fastställd i svensk rätt, som krävs för behandling av personuppgifter om lagöverträdelser för forskningsändamål enligt EU:s dataskyddsförordning.

I skälen för regeringens bedömning konstaterar regeringen att myndigheter får behandla personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder. Detta gäller även behandling för forskningsändamål. För andra än myndigheter krävs att behandlingen är tillåten enligt unionsrätten eller nationell rätt. Här möjliggör alltså dataskyddsförordningen kompletterande nationell lagstiftning. Sådan lagstiftning ska även fastställa lämpliga skyddsåtgärder. Det är regeringens uppfattning att det finns behov av att kunna behandla personuppgifter om lagöverträdelser för forskningsändamål även för andra forskningsaktörer än myndigheter. Dataskyddsförordningens möjlighet till nationell reglering i det aktuella fallet bör därför utnyttjas när behandling är nödvändig för forskningsändamål.

Regeringen anser att etikprövning är en lämplig skyddsåtgärd vid behandling av sådana personuppgifter som avses i artikel 10. Regeringen anser således att det ska framgå av nationell rätt att sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen ska få behandlas för forskningsändamål om behandlingen har godkänts enligt etikprövningslagen.

Regeringen anser sammanfattningsvis att personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden ska få behandlas för forskningsändamål om behandlingen är nödvändig för ändamålet och har godkänts enligt etikprövningslagen. Detta krav ska gälla oavsett om det är fråga om en offentlig eller privat forskningsutförare och oavsett med stöd av vilken rättslig grund i artikel 6.1 som behandlingen utförs. Regeringen anser att om ett forskningsprojekt har godkänts enligt etikprövningslagen så har forskningen erkänts i svensk rättsordning på ett sådant sätt att utförande av forskningsuppgiften är en i svensk rätt fastställd uppgift av allmänt intresse.

Det krävs följdändringar i bestämmelserna om etikprövningslagens tillämpningsområde

Regeringen föreslår att den bestämmelse i etikprövningslagen som reglerar att behandling av personuppgifter avser sådan behandling av personuppgifter som anges i personuppgiftslagen ska ersättas med en hänvisning till dataskyddsförordningen.

Regeringen föreslår vidare att etikprövningslagen ska tillämpas på forskning som innefattar behandling av

1. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (känsliga personuppgifter)
2. personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.

I skälen för regeringens förslag framgår att dataskyddsförordningens definition av särskilda kategorier av personuppgifter (i 3 kap. 1 § dataskyddslagen benämnda känsliga personuppgifter), är vidare än dataskyddsdirektivets och PUL:s definitioner. I dataskyddsförordningen utvidgas de särskilda kategorierna av uppgifter till att också omfatta behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.

Om godkänd etikprövning ska vara ett krav för att få behandla känsliga personuppgifter för forskningsändamål i enlighet med dataskyddsförordningens definition innebär det således ett visst utökat tillämpningsområde för etikprövningslagen till följd av den EU-rättsliga utvecklingen. Vidare skiljer sig de kategorier av personuppgifter som omfattas av artikel 10 i dataskyddsförordningen något från de kategorier av personuppgifter om lagöverträdelser som omfattats av kravet på etikprövning enligt etikprövningslagen och den upphävda PUL. Det är regeringens bedömning att det som i praktiken skiljer definitionen i dataskyddsförordningen från den i PUL är att personuppgifter om lagöverträdelser som innefattar friande domar i brottmål och administrativa frihetsberövanden omfattas av den upphävda PUL, men inte av artikel 10 i dataskyddsförordningen.

Övriga förslag och bedömningar

I propositionen finns även förslag och bedömningar av lagteknisk karaktär om att lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas till dataskyddsförordningen.

I avsnittet om att det behövs kompletterande nationella bestämmelser om skyddsåtgärder som ska gälla vid all behandling av personuppgifter för forskningsändamål föreslår regeringen att personuppgifter som enbart behandlas för forskningsändamål ska få användas för att vidta åtgärder i fråga om den registrerade bara om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Regeringen gör i detta sammanhang bedömningen att det utöver detta förslag för närvarande är tillräckligt att etikprövningslagen och de befintliga registerförfattningarna på forskningsområdet anpassas till EU:s dataskyddsförordning. Regeringen bedömer vidare att det i nuläget inte bör införas någon ytterligare lag som kompletterar EU:s dataskyddsförordning vid personuppgiftsbehandling för forskningsändamål.

Regeringen föreslår även en följdändring i offentlighets- och sekretesslagen (2009:400).

Ikraftträdande- och övergångsbestämmelser

Regeringen föreslår att ändringarna i lagen om rättspsykiatriskt forskningsregister, etikprövningslagen, offentlighets- och sekretesslagen, lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska träda i kraft den 1 januari 2019.

I skälen för regeringens förslag framgår att enligt artikel 99.1 i dataskyddsförordningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde den 4 maj 2016. Av artikel 99.2 följer att förordningen ska tillämpas fr.o.m. den 25 maj 2018. I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan fr.o.m. samma dag och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. I samband med att dataskyddslagen trädde i kraft den 25 maj 2018 upphävdes PUL. Av punkt 5 i övergångsbestämmelserna framgår dock att PUL ska fortsätta att gälla efter den 25 maj 2018 i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till PUL. Det finns sådana hänvisningar i etikprövningslagen, lagen om rättspsykiatriskt forskningsregister och lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Detta innebär att etikprövning enligt etikprövningslagen ska hanteras i enlighet med dessa lagars nuvarande lydelse till dess förslagen om ändrade lydelser i dessa lagar träder i kraft. Förslagen bör träda i kraft så snart som möjligt. Med hänsyn till den tid som lagstiftningsprocessen tar föreslås att ändringarna ska träda i kraft den 1 januari 2019. Det är regeringens bedömning att det inte är möjligt med ett tidigare ikraftträdande.

Utskottets ställningstagande

Utskottet anser i likhet med regeringen att det behövs kompletterande reglering i svensk rätt för en ändamålsenlig behandling av personuppgifter för forskningsändamål. Utskottet kan konstatera att anpassningarna i dessa lagar syftar till att möjliggöra en fortsatt behandling av personuppgifter för forskningsändamål som är ändamålsenlig samtidigt som den enskildes fri- och rättigheter skyddas. Utskottet instämmer således i de ändringar som föreslås i lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor, offentlighets- och sekretesslagen (2009:400), lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Med det anförda tillstyrker utskottet regeringens proposition.

Utskottet övergår nu till att i det följande avsnittet behandla en motion som innehåller en begäran om ett tillkännagivande.

Likställa villkoren för offentliga och privata forskningsutförare

Utskottets förslag i korthet

Riksdagen tillkännager för regeringen att regeringen bör se över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund.

Jämför reservationen (V).

Motionen

I kommittémotion 2018/19:69 av Roger Haddad m.fl. (L, M, C, KD) begärs en översyn av möjligheterna att återkomma med förslag på lagstiftning som likställer villkoren för offentliga och privata forskningsutövare att bedriva forskning som inbegriper personuppgifter på rättslig grund. Motionärerna konstaterar att offentliga forskningsaktörer – med stöd av lag – kommer att ha möjlighet att direkt använda sig av den rättsliga grunden ”allmänt intresse” för att använda personuppgifter i sin forskning. För att privata forskningsaktörer ska kunna åberopa artikel 6.1 e krävs införande av författningsstöd, vilket Forskningsdatautredningen fört fram i sitt förslag om en ny forskningsdatalag. För att Sverige ska fortsätta att vara ledande i klinisk och medicinsk forskning och i andra vetenskapliga forskningsfält behöver man underlätta, och inte försvåra, för både offentliga och privata forskningsutövare.

Bakgrund

Artikel 6 i dataskyddsförordningen reglerar frågan om laglig behandling av personuppgifter. Enligt artikel 6.1.e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för behandlingen ska enligt artikel 6.3 dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Regeringen bedömer i propositionen i fråga om den rättsliga grunden uppgift av allmänt intresse att för universitet och högskolor med staten som huvudman är uppgiften att forska fastställd i svensk rätt genom bestämmelser i högskolelagen. För andra statliga myndigheter som har en tydligt författningsreglerad uppgift att bedriva forskning, är också forskningsuppgiften fastställd i svensk rätt. Dessa forskningsutförare kan därmed tillämpa den rättsliga grunden uppgift av allmänt intresse i dataskyddsförordningen vid behandling av personuppgifter som är nödvändig för att utföra forskningen. När det gäller kommuner och landsting kan forskningsuppgiften vara fastställd genom beslut om verksamheten i kommunen som fattats i enlighet med bestämmelserna i kommunallagen. Om så är fallet kan de tillämpa den rättsliga grunden uppgift av allmänt intresse vid behandling av personuppgifter som är nödvändig för att utföra forskningen.

En privaträttslig forskningsutförares forskningsuppgift är fastställd i enlighet med nationell rätt om det krävs tillstånd för forskningsprojektet enligt t.ex. etikprövningslagen och forskningsutföraren har fått de tillstånd som krävs. I övrigt är privata forskningsutförares uppgift att forska inte fastställd i svensk rätt.

Regeringens bedömning av Forskningsdatautredningens förslag

Forskningsdatautredningen har i sitt delbetänkande föreslagit att det ska införas kompletterande nationella bestämmelser för behandling av personuppgifter för forskningsändamål i en forskningsdatalag. Utredningen har bl.a. föreslagit att det i den lagen ska införas en bestämmelse som bl.a. anger att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse. Vidare ska forskning av allmänt intresse få utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare.

I propositionen sägs att detta innebär att forskningsutföraren själv även i fortsättningen skulle ha att bedöma om den forskning som utförs är av allmänt intresse och om personuppgiftsbehandlingen är nödvändig för att utföra forskningen. Av skäl 41 i dataskyddsförordningen framgår att en rättslig grund bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den.

Regeringen anser att den del av bestämmelsen som bl.a. anger att personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen får behandlas för forskningsändamål om behandlingen är nödvändig och proportionerlig för att utföra forskning av allmänt intresse endast innebär ett återgivande av det som redan framgår av dataskyddsförordningen. När det gäller den del i den föreslagna bestämmelsen om att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare framhålls av regeringen att denna bestämmelse inte innebär att en uppgift att forska ges. När det gäller denna del av bestämmelsen anser regeringen att en jämförelse, såvitt gäller privata forskningsutförare, kan göras med regleringen av personuppgiftsbehandling i enskilda arkiv i dataskyddslagen (2 kap. 3 § första stycket). Den regleringen innebär bl.a. att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Regeringen har i förarbetena till den bestämmelsen tagit ställning för att en föreskrift som tillåter en personuppgiftsansvarig att behandla personuppgifter för arkivändamål av allmänt intresse ger det stöd i den svenska rättsordningen som krävs enligt artikel 6.3 (prop. 2017/18:105 s. 113). Regleringen avseende enskilda arkiv har dock en helt annan detaljeringsgrad än det förslag som Forskningsdatautredningen har lämnat om privata forskningsutförare.

För att uppgiften att forska ska anses fastställd för privata forskningsutförare på motsvarande sätt som för enskilda arkiv krävs att det på något av de sätt som anges i 2 kap. 2 § dataskyddslagen, dvs. i lag eller annan författning, i kollektivavtal eller i beslut som har meddelats med stöd av lag eller annan författning, fastställs vilka privata forskningsutförare som har i uppgift att forska. Först då kan de utföra sådan personuppgiftsbehandling som är nödvändig för den forskningsuppgift som är fastställd i den nationella rätten med stöd av artikel 6.1 e i dataskyddsförordningen. Vid en jämförelse mellan den detaljerade reglering som föreslås för enskilda arkiv och den reglering som Forskningsdatautredningen föreslår för bl.a. privata forskningsutförare anser regeringen att Forskningsdatautredningens förslag inte uppfyller de krav som anges i EU-förordningen för att det ska vara fråga om en i nationell rätt fastställd uppgift.

I propositionen framgår att det för privata forskningsutförare innebär att de har rätt att forska fritt så länge staten inte har uppställt krav på tillstånd för viss forskning eller forskningen innefattar brottslig verksamhet. Vid överväganden om privata forskningsutförares forskningsuppgift ska fastställas i t.ex. föreskrifter eller beslut anser regeringen att hänsyn måste tas till att även privat finansierad forskning måste omfattas av forskningens frihet. Regeringen anser att en uppdelning i ”forskning” och ”forskning av allmänt intresse” är olycklig utifrån principerna om forskningens frihet och att en sådan uppdelning skapar en mängd frågor.

Regeringen anser att det vore en fördel om även privata forskningsutförare skulle kunna åberopa den rättsliga grunden utförande av en allmän uppgift i de fall det är fråga om behandling av andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Det skulle dock enligt regeringen kräva en omfattande reglering av privata forskningsutförare som det för närvarande saknas beredningsunderlag för. Regeringen gör bedömningen att det i nuläget inte bör införas någon ytterligare lag som kompletterar EU:s dataskyddsförordning vid personuppgiftsbehandling för forskningsändamål.

Utskottets ställningstagande

Utskottet vill framhålla att privat bedriven forskning utförs i såväl små, medelstora och stora företag som i verksamheter som i allt övrigt liknar offentlig verksamhet, t.ex. hos en enskild utbildningsanordnare. En enskild utbildningsanordnare kan i princip bedriva samma slags forskning som universitet och högskolor med statlig huvudman. När det gäller dessa privaträttsliga forskningsutförare kan de endast använda sig av den rättsliga grunden uppgift av allmänt intresse om det finns krav på tillstånd för viss forskning eller om forskningen behandlar uppgifter om lagöverträdelser. I många fall handlar det om en prövning i Etikprövningsnämnden.

Denna åtskillnad mellan forskningen som bedrivs av privata respektive offentliga forskningsutövare innebär enligt utskottets mening att regeringen bygger in olikheter i förutsättningarna för forskningen. Utskottet anser att detta är olyckligt, eftersom samverkan i forskningen mellan offentliga och privata forskningsutövare är något som behöver främjas och inte försvåras. Det är också enligt utskottets mening viktigt att näringslivet investerar i forskning och innovation och att ny lagstiftning inte försvårar förutsättningarna för privata forskningsutförare.

Utskottet noterar att regeringen anser att Forskningsdatautredningens förslag om att forskning av allmänt intresse får utföras av statliga myndigheter, kommuner och landsting, andra juridiska personer och enskilda näringsidkare inte uppfyller de krav som anges i dataskyddsförordningen. För att kunna uppfylla kravet på att det ska vara fråga om en i nationell rätt fastställd uppgift bör det enligt regeringens mening fastställas vilka privata forskningsutförare som har i uppgift att forska. Utskottet kan även konstatera att regeringen anser att det vore en fördel om även privata forskningsutförare skulle kunna åberopa den rättsliga grunden uppgift av allmänt intresse i de fall det är fråga om behandling av andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Det skulle enligt regeringen kräva en omfattande reglering av privata forskningsutförare som det enligt regeringen för närvarande saknas beredningsunderlag för.

För att Sverige ska fortsätta att vara ledande i klinisk och medicinsk forskning behöver man enligt utskottet underlätta och inte försvåra för såväl de offentliga som de privata forskningsutförarna. Därför bör riksdagen ge regeringen till känna att regeringen ser över möjligheterna att återkomma med förslag på en lagstiftning som likställer villkoren för offentliga och privata forskningsutförare att bedriva forskning som inbegriper personuppgifter på rättslig grund. 

Reservation

Likställa villkoren för offentliga och privata forskningsutförare, punkt 2 (V)

av Ilona Szatmari Waldau (V).

Förslag till riksdagsbeslut

Jag anser att förslaget till riksdagsbeslut under punkt 2 borde ha följande lydelse:

Riksdagen avslår motion

2018/19:69 av Roger Haddad m.fl. (L, M, C, KD).

Ställningstagande

Jag anser i likhet med regeringen att förslagen i propositionen väl tillgodoser forskningens intressen av att kunna använda personuppgifter. Det är därför enligt min uppfattning i nuläget inte nödvändigt att införa någon ytterligare reglering som kompletterar EU:s dataskyddsförordning vid personuppgiftsbehandling för forskningsändamål. Av den anledningen anser jag inte att utskottets tillkännagivande är nödvändigt.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2017/18:298 Behandling av personuppgifter för forskningsändamål:

1.Riksdagen antar regeringens förslag till lag om ändring i lagen (1999:353) om rättspsykiatriskt forskningsregister.

2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor.

3.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400).

4.Riksdagen antar regeringens förslag till lag om ändring i lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa.

5.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Följdmotionen

2018/19:69 av Roger Haddad m.fl. (L, M, C, KD):

Riksdagen ställer sig bakom det som anförs i motionen om att se över möjligheterna att återkomma med förslag på lagstiftning som likställer villkoren för offentliga och privata forskningsutövare att bedriva forskning som inbegriper personuppgifter på rättslig grund och tillkännager detta för regeringen.

Bilaga 2

Regeringens lagförslag