Personuppgifter i forskning - vilka regler gäller? Eva Nilsson chefsjurist vid SCB Victoria Söderqvist jurist vid DI

Transkript

1 Personuppgifter i forskning - vilka regler gäller? Eva Nilsson chefsjurist vid SCB Victoria Söderqvist jurist vid DI

2 Varför juridiska regelverk? Skapa rättssäkerhet Skapa förutsebarhet Behov av att balansera intressen

3 Nationell lagstiftning Personuppgiftslagen (1998:204) Lagen om etikprövning av forskning som avser människor (2003:460) Offentlighets- och sekretesslagen (2009:400)

4 Övrig rättslig reglering Europeiska statistikförordningen (Reg (EC) No 223/2009) 1 april 2009 (preambel 26): Forskarens tillgång till konfidentiella uppgifter i vetenskapligt syfte bör förbättras, men med bibehållen hög skyddsnivå för konfidentiella statistiska uppgifter Förordning om forskares tillgång till konfidentiella uppgifter för vetenskapliga syften (Reg No 831/2002) Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (artikel 8) Dataskyddsdirektivet (95/46/EG)

5 Sekretess och integritetsfrågor Personuppgiftslagen och etikprövningslagen Reglerar när och hur personuppgifter får hanteras Innehåller vissa grundläggande bestämmelser om hanterandet Offentlighets- och sekretesslagen Det regelverk som styr om och hur uppgifter får lämnas ut

6 Vad är en personuppgift? All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet

7 Ändamålet (9 ) Ändamålet Särskilt och uttryckligt angivet Bestäms vid insamlandet Avgränsar behandlingen Databaser med generella ändamål för framtida forskning inte möjliga

8 Tillåten behandling (10 ) Samtycke eller nödvändigt för: - arbetsuppgift av allmänt intresse - efter intresseavvägning

9 Känsliga personuppgifter (13 ) Uppgifter som avslöjar - ras eller etniskt ursprung - politiska, religiösa och filosofiska åsikter - medlemskap i fackförening Uppgifter som rör - hälsa och sexualliv Får endast behandlas för forskningsändamål efter godkännande av etkprövningsnmänd

10 Samtycke (3 ) Viljeyttring som skall vara - frivillig - särskild - otvetydig - ges efter tillräcklig information - skriftligt eller muntligt Uttryckligt (om känsliga personuppgifter)

11 Information ska lämnas självmant (23-24 ) När uppgifterna samlas in direkt från den registrerade När uppgifterna inte samlas in direkt från den registrerade - Undantag: - lagstadgad registrering - omöjligt eller oproportionerligt stor arbetsinsats

12 Information ska lämnas efter ansökan (26 ) Registerutdrag Gratis en gång per kalenderår Information skall lämnas om: vilka uppgifter som behandlas varifrån uppgifterna har hämtats ändamålen med behandlingen mottagare av uppgifterna Den registrerade skall ansöka skriftligt hos den personuppgiftsansvarige

13 Sanktioner (48-49 ) Skadestånd Straff (böter eller fängelse upp till 2 år) lämnar osann uppgift till registrerad eller DI behandlar känsliga uppgifter i strid mot lagen lämnar ut personuppgifter till tredje land i strid mot lagen underlåter att anmäla behandling till DI

14 IT-säkerhet (31 ) Lämpliga tekniska och organisatoriska åtgärder tekniska möjligheter kostnad risker känslighet hos uppgifterna

15 Sekretess För att hålla en allmän handling hemlig ska det finnas en utrycklig bestämmelse i offentlighets- och sekretesslagen eller en annan lag dit lagen hänvisar

16 Sekretess Sekretess gäller normalt i en myndighets verksamhet Sekretessen följer inte med uppgifterna om det inte är särskilt föreskrivet i offentlighets- och sekretesslagen

17 Överföring av sekretess Får myndighet i sin forskningsverksamhet från annan myndighet uppgift som är sekretessbelagd där gäller sekretessen också hos den mottagande myndigheten

18 Statistiksekretess Uppgifter som samlas in för statistikändamål är enligt huvudregeln hemliga/sekretessbelagda. Sekretessen gäller oavsett från vilken källa uppgifterna samlas in

19 24 kap. 8 offentlighets- och sekretesslagen Sekretess gäller i sådan särskild verksamhet hos myndighet som avser framställning av statistik för uppgifter som avser enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde Uppgifter som behövs för forsknings- och statistikändamål och uppgifter som inte genom namn etc. (eller därmed jämförbara) är direkt hänförliga till den enskilde får lämnas ut om det står klart att uppgifterna kan röjas utan skada eller men

20 Skada eller men Med skada avses ekonomisk skada och med men avses integritetskränkningar av olika slag

21 Två saker att bedöma För det första Sannolikheten för att någon kan identifieras För det andra Om de uppgifter som kan hänföras till enskild kan medföra skada eller men

22 Intressanta faktorer Detaljeringsgraden Typen av uppgifter Populationens sammansättning Populationens storlek Antalet observationer Tidsaspekter Geografiska förhållanden

23 SCB:s policy I princip lämnas endast avidentifierade uppgifter ut för statistikframställan och forskning - för särskilda specificerade projekt - med begränsning till de variabler som behövs för det angivna projektet Avidentifierade uppgifter kan i vissa fall lämnas ut för utredningsändamål

24 Här kan du läsa mer Broschyren Personuppgifter i forskningen vilka regler gäller? SCB:s sekretesspolicy