text: Se uttalandet från Europeiska dataskyddsstyrelsen den 19 mars 2020 om allmän behandling av personuppgifter i samband med covid-19-utbrottet: https://edpb.europa.eu/our-work-tools/our-documents/other/statementprocessing-personal-data-context-covid-19-outbreak_en. Se t.ex. artiklarna 5.1

text: b

text: och

text: e

text: 14.5 b

text: och

text: 17.3 d

text: i GDPR. Se t.ex. artiklarna

text: 9.2 j

text: och

text: i GDPR.

text: Se till exempel

text: mål C-101/01

text: (Lindqvist) avseende direktiv

text: , 6.11.2003, punkt 50.

text: Se riktlinjerna om samtycke enligt förordning

text: (EU) 2016/679

text: från den tidigare artikel 29-arbetsgruppen av den 10 april 2018,

text: rev.01, 17EN, s. 27 (godkända av Europeiska dataskyddsstyrelsen). Finns på https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051. Se till exempel

text: mål C-131/12

text: (Google Spanien) avseende direktiv

text: , 13.5.2014, punkt 71.

text: Se Europeiska dataskyddsstyrelsens yttrande 3/2019 av den 23 januari 2019 om frågor och svar om samspelet mellan förordningen om kliniska prövningar och den allmänna dataskyddsförordningen (GDPR): https://edpb.europa.eu/our-work-tools/our-documents/avis-art-70/opinion-32019-concerning-questions-andanswers-interplay_en. Riktlinjerna om samtycke enligt förordning

text: (EU) 2016/679

text: rev.01, 17EN, s. 18 (godkända av Europeiska dataskyddsstyrelsen). Förutsatt att den registrerade inte har utsatts för påtryckningar eller hotats med nackdelar om hen inte ger sitt samtycke. Se artikel

text: 17.1 b

text: och

text: i GDPR. Se Europeiska dataskyddsstyrelsens yttrande 3/2019, 23.1.2019, s. 7.

text: Se till exempel

text: mål C-345/17

text: (Buivids) avseende direktiv

text: , 14.2.2019, punkt 64.

text: Se riktlinjerna om öppenhet enligt förordning

text: (EU) 2016/679

text: från den tidigare artikel-29-arbetsgruppen av den 11 april 2018,

text: rev.01, 17/EN, s. 29 (godkända av Europeiska dataskyddsstyrelsen). Finns på https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227. Riktlinjerna om öppenhet enligt förordning

text: (EU) 2016/679

text: rev.01, 17/EN, s. 31 (godkända av Europeiska dataskyddsstyrelsen). Riktlinjerna om öppenhet enligt förordning

text: (EU) 2016/679

text: rev.01, 17/EN, s. 32 (godkända av Europeiska dataskyddsstyrelsen).

text: Se även Europeiska dataskyddsstyrelsens

text: riktlinjer 4/2019

text: av den 13 november 2019 om inbyggt dataskydd och dataskydd som standard (version för offentligt samråd): https://edpb.europa.eu/our-work-tools/publicconsultations-art-704/2019/guidelines-42019-article-25-data-protection-design_en

text: Det bör noteras att personuppgifter (om hälsa) som har pseudonymiserats fortfarande anses vara ”personuppgifter” enligt

text: artikel 4.1 i GDPR

text: och inte får förväxlas med ”anonymiserade uppgifter” som innebär att ingen längre kan hänföra uppgifterna till enskilda registrerade. Se t.ex. skäl 28. Se till exempel

text: mål C-345/17

text: (Buivids) avseende direktiv

text: , 14.2.2019, punkt 64.

text: Artikel 44 i GDPR

text: . Se avsnitten 4–6 i dessa riktlinjer. Se Europeiska dataskyddsstyrelsens

text: riktlinjer 2/2018

text: av den 25 maj 2018 om undantag enligt

text: artikel 49 i förordning (EU) 2016/679

text: , s. 3, om tvåstegstestet, på https://edpb.europa.eu/our-work-tools/ourdocuments/smjernice/guidelines-22018-derogations-article-49-under-regulation_en. Internationella uppgiftsöverföringar kan vara en riskfaktor att beakta vid genomförandet av en sådan konsekvensbedömning som avses på sidan 10. Förteckningen över länder som Europeiska kommissionen har bedömt ha adekvat skyddsnivå finns på https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacydecisions_en Till exempel standardiserade dataskyddsklausuler enligt artikel 46.2

text: c

text: eller

text: d

text: i GDPR, särskilda avtalsklausuler enligt

text: artikel 46.3 a i GDPR

text: eller administrativa arrangemang enligt

text: artikel 46.3 b i GDPR

text: . Se

text: riktlinjerna 2/2018

text: , s. 3.

text: Artikel 168 i fördraget om Europeiska unionens funktionssätt

text: erkänner en hög hälsoskyddsnivå för människor som ett viktigt mål som bör säkerställas vid genomförande av all unionspolitik och alla unionsåtgärder. På grundval av detta stöder unionens insatser den nationella politiken för att förbättra folkhälsan, bland annat genom att bekämpa de stora folksjukdomarna och allvarliga gränsöverskridande hot mot människors hälsa, t.ex. genom att främja forskning om deras orsaker, hur de överförs och hur de kan förebyggas. Även i skälen

text: och

text: i

text: GDPR

text: hänvisas till behandling som utförs i samband med bekämpning av en epidemi som ett exempel på behandling som tjänar viktiga allmänintressen. I samband med covid-19-pandemin har EU antagit en rad åtgärder på ett stort antal områden (t.ex. finansiering av hälso- och sjukvårdssystem, stöd till gränsöverskridande behandling av patienter och utsändning av medicinsk personal, ekonomiskt stöd till de mest utsatta, transporter,

text: medicinsk utrustning osv.) som alla bygger på samförstånd om att EU står inför ett större hot mot folkhälsan som kräver snabba insatser. Europeiska dataskyddsstyrelsen understryker att det i

text: skäl 112

text: i

text: GDPR

text: hänvisas till internationellt utbyte av uppgifter mellan behöriga myndigheter av folkhälsoskäl som ett exempel på tillämpningen av detta undantag. I enlighet med

text: artikel 49.3 i GDPR

text: får samtycke inte användas för åtgärder som vidtas av myndigheter som ett led i utövandet av deras offentliga befogenheter. Se Europeiska dataskyddsstyrelsens

text: riktlinjer 2/2018

text: , avsnitt 2.1. Se Europeiska dataskyddsstyrelsens

text: riktlinjer 2/2018

text: , s. 5.

identifier: Riktlinjer 03/2020

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 03/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19- utbrottet

serie: riktlinjer

text: Europeiska dataskyddsstyrelsen har

type: rubrik

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018, och med beaktande av artiklarna 12 och 22 i arbetsordningen

type: stycke

text: ANTAGIT FÖLJANDE RIKTLINJER:

text: INLEDNING

text: 1. På grund av covid-19-pandemin pågår just nu stora vetenskapliga forskningsinsatser i kampen mot sars-cov-2 för att få fram forskningsresultat så snabbt som möjligt.

text: 2. Samtidigt uppstår ständigt nya rättsliga frågor om användningen av hälsouppgifter i enlighet med

text: artikel 4.15 i den allmänna dataskyddsförordningen

text: (nedan kallad GDPR) för sådana forskningsändamål. Syftet med de här riktlinjerna är att belysa de mest akuta frågorna, som exempelvis den rättsliga grunden, lämpliga skyddsåtgärder för sådan behandling av hälsouppgifter och utövandet av registrerades rättigheter.

text: 3. Notera att ytterligare en, mer utförlig, vägledning om behandling av hälsouppgifter för vetenskapliga forskningsändamål ingår i Europeiska dataskyddsstyrelsens arbetsplan för året. Notera också att dessa riktlinjer inte handlar om behandling av personuppgifter för epidemiologisk övervakning.

text: TILLÄMPNING AV DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

text: 4. Dataskyddsreglerna (som exempelvis GDPR) utgör inget hinder för de åtgärder som vidtagits i kampen mot covid-19-pandemin . GDPR är ett brett regelverk som innehåller flera bestämmelser som gör det möjligt att behandla personuppgifter för vetenskapliga forskningsändamål i samband med covid-19pandemin på ett sätt som stämmer överens med den grundläggande rätten till integritet och skydd av personuppgifter . I GDPR föreskrivs också ett särskilt undantag från förbudet mot behandling av vissa särskilda kategorier av personuppgifter, såsom hälsouppgifter, när detta är nödvändigt för sådana vetenskapliga forskningsändamål.

text: 5. EU:s bestämmelser om grundläggande rättigheter måste tillämpas vid behandling av hälsouppgifter för vetenskapliga forskningsändamål i samband med covid-19-pandemin. I detta sammanhang har varken dataskyddsreglerna eller friheten för vetenskapen enligt

text: artikel 13 i Europeiska unionens stadga om de grundläggande rättigheterna

text: företräde. Dessa rättigheter och friheter måste i stället noggrant bedömas och vägas mot varandra, så att resultatet blir förenligt med bådas andemening.

text: DEFINITIONER

text: 6. Det är viktigt att förstå vilken typ av behandling som omfattas av den särskilda ordning som föreskrivs i GDPR och som beskrivs närmare i dessa riktlinjer. Därför måste begreppen ”uppgifter om hälsa”, ”behandling för vetenskapliga forskningsändamål” och ”ytterligare behandling” (även kallade ”primär och sekundär användning av hälsouppgifter”) definieras.

text: 3.1 Uppgifter om hälsa

text: 7. Enligt

text: artikel 4.15 i GDPR

text: avser ”uppgifter om hälsa” ”personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus”. Som framgår av skäl 53 förtjänar uppgifter om hälsa ett mer omfattande skydd, eftersom användningen av sådana känsliga uppgifter kan få betydande negativa konsekvenser för de registrerade. Mot bakgrund av detta och EU-domstolens rättspraxis på området måste begreppet ”uppgifter om hälsa” tolkas brett.

text: 8. Uppgifter om hälsa kan hämtas från olika källor, till exempel följande:

text: 1. Information som samlats in av vårdgivare i en patientjournal (t.ex. sjukdomshistoria och resultat av undersökningar och behandlingar). 2. Information som genom korshänvisningar till andra uppgifter blir hälsouppgifter och därigenom avslöjar hälsotillstånd eller hälsorisker (t.ex. antagandet att en person löper större risk att drabbas av hjärtinfarkt på grundval av att höga blodtrycksvärden uppmätts under en viss tidsperiod). 3. Information från en självkontrollenkät, där registrerade svarar på frågor som rör deras hälsa (t.ex. uppger symptom). 4. Information som blir hälsouppgifter på grund av att den används i ett visst sammanhang (t.ex. när information om att en person nyligen rest till eller befunnit sig i en covid-19-drabbad region behandlas av läkare för att ställa diagnos).

text: 3.2 Behandling för vetenskapliga forskningsändamål

text: 9. I

text: artikel 4 i GDPR

text: finns ingen uttrycklig definition av ”behandling för vetenskapliga forskningsändamål”. Som anges i skäl 159 bör begreppet ”[b]ehandling av personuppgifter för vetenskapliga forskningsändamål [...] ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt

text: artikel 179.1 i EUF-fördraget

text: angående åstadkommandet av ett europeiskt forskningsområde. Vetenskapliga forskningsändamål bör också omfatta studier som utförs av ett allmänt intresse inom folkhälsoområdet.”

text: 10. Den tidigare artikel 29-arbetsgruppen har redan påpekat att begreppet dock inte får utökas till att omfatta mer än dess allmänna betydelse och att den är medveten om att ”vetenskaplig forskning” i detta sammanhang innebär ett ”forskningsprojekt som inrättats i överensstämmelse med relevanta metodologiska och etiska standarder inom sektorn, i enlighet med god praxis” .

text: 3.3 Ytterligare behandling

text: 11. När man talar om ”behandling av hälsouppgifter för vetenskapliga forskningsändamål”, avses de två följande typerna av dataanvändning: 1. Forskning utifrån personuppgifter (om hälsa) som består i användning av uppgifter som samlats in direkt för vetenskapliga studier (”primär användning”). 2. Forskning utifrån personuppgifter (om hälsa) som består i ytterligare behandling av uppgifter som ursprungligen samlades in för ett annat ändamål (”sekundär användning”).

text: 12. Exempel 1: Hälsouppgifter samlas in och frågeformulär används för en klinisk prövning för personer som misstänks vara infekterade med sars-cov-2. Det här är ett fall av ”primär användning” av hälsouppgifter enligt definitionen ovan.

text: 13. Exempel 2: En registrerad har uppsökt en vårdgivare i egenskap av patient angående sars-cov-2symptom. Om de hälsouppgifter som vårdgivaren registrerar senare används för vetenskapliga forskningsändamål klassificeras denna användning som ytterligare behandling av hälsouppgifter (sekundär användning) som ursprungligen samlades in för ett annat ändamål.

text: 14. Skillnaden mellan primär och sekundär användning av hälsouppgifter för vetenskaplig forskning är särskilt viktig när man talar om den rättsliga grunden för behandlingen, informationsskyldigheterna och principen om ändamålsbegränsning enligt

text: artikel 5.1 b i GDPR

text: RÄTTSLIG GRUND FÖR BEHANDLINGEN

text: 15. All behandling av personuppgifter om hälsa måste stämma överens med de principer för behandling som anges i

text: artikel 5 i GDPR

text: och med en av de rättsliga grunder och särskilda undantag som anges i

text: artikel 6

text: respektive 9 i GDPR, när det gäller laglig behandling av denna särskilda kategori av personuppgifter .

text: 16. Rättsliga grunder och tillämpliga undantag för behandling av hälsouppgifter för vetenskapliga forskningsändamål anges i

text: artikel 6

text: respektive

text: artikel 9

text: . I följande avsnitt behandlas reglerna om samtycke och respektive nationell lagstiftning. Observera att det inte finns någon rangordning mellan de rättsliga grunderna i GDPR.

text: 4.1 Samtycke

text: 17. Den registrerades samtycke, som inhämtats i enlighet med artiklarna

text: 6.1 a

text: och

text: 9.2 a

text: i GDPR, kan utgöra en rättslig grund för behandling av uppgifter om hälsa i samband med covid-19.

text: 18. Det bör dock noteras att alla villkor för uttryckligt samtycke måste vara uppfyllda, i synnerhet de som anges i artiklarna

text: 6.1 a

text: och

text: 9.2 a

text: i GDPR. Framför allt måste samtycket vara specifikt, informerat och otvetydigt och ges frivilligt genom ett uttalande eller genom en ”entydig bekräftande handling”.

text: 19. Som anges i skäl 43 kan samtycke inte anses ha lämnats frivilligt om det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Det är därför viktigt att de registrerade inte pressas och inte missgynnas om de beslutar sig för att inte ge sitt samtycke. Europeiska dataskyddsstyrelsen har redan behandlat samtycke i samband med kliniska prövningar . Ytterligare vägledning, i synnerhet om uttryckligt samtycke, finns i riktlinjerna för samtycke från den tidigare artikel 29-arbetsgruppen .

text: 20. Exempel: En enkät görs som en del av en observationsstudie av en viss population, där man undersöker symptom och sjukdomsutveckling. För behandling av sådana hälsouppgifter kan forskarna begära den registrerades samtycke på de villkor som anges i

text: artikel 7 i GDPR

text: 21. Enligt Europeiska dataskyddsstyrelsen betraktas detta exempel inte som ett sådant fall av ”betydande ojämlikhet” som avses i skäl 43, och den registrerade bör kunna ge forskarna sitt samtycke . I exemplet har de registrerade inte någon typ av beroendeförhållande till forskarna vilket på ett olämpligt sätt skulle kunna påverka deras fria vilja, och det står också klart att det inte kommer att få några negativa konsekvenser om de vägrar att ge sitt samtycke.

text: 22. Forskare bör dock vara medvetna om att enskilda när som helst måste kunna återkalla sitt samtycke i enlighet med

text: artikel 7.3 i GDPR

text: om samtycke används som den lagliga grunden för behandlingen. Om samtycket dras tillbaka är all uppgiftsbehandling som skedde på grundval av samtycket fortfarande laglig i enlighet med GDPR, men den personuppgiftsansvarige ska upphöra med behandlingen i fråga och radera uppgifterna om det inte finns någon annan laglig grund till att lagra dem för ytterligare behandling .

text: 4.2 Nationell lagstiftning

text: 23. Artikel

text: 6.1 e

text: eller

text: 6.1 f

text: i GDPR kan i kombination med undantagen enligt artikel 9.2 j eller 9.2 i i GDPR utgöra en rättslig grund för behandling av personuppgifter (om hälsa) för vetenskaplig forskning. Detta har redan klargjorts av dataskyddsstyrelsen avseende klinisk prövning .

text: 24. Exempel: En stor populationsbaserad studie görs utgående från covid-19-patienters patientjournaler.

text: 25. Som beskrivs ovan kan både EU och den nationella lagstiftaren i varje medlemsstat anta särskilda lagar i enlighet med artikel 9.2 j eller 9.2 i i GDPR för att tillhandahålla en rättslig grund för behandling av hälsouppgifter för vetenskapliga forskningsändamål. Därför varierar villkoren och omfattningen av denna behandling beroende på den berörda medlemsstatens lagstiftning.

text: 26. Som anges i artikel 9.2 i i GDPR ska sådan lagstiftning fastställa ”lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter [...], särskilt tystnadsplikt”. I

text: artikel 9.2 j i GDPR

text: anges likaledes att sådan lagstiftning ”ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen”.

text: 27. Dessutom måste sådan lagstiftning tolkas mot bakgrund av principerna i

text: artikel 5 i GDPR

text: och med beaktande av EU-domstolens rättspraxis. I synnerhet undantag och begränsningar i fråga om dataskyddet enligt artiklarna

text: 9.2 j

text: och

text: i GDPR får endast tillämpas i den utsträckning det är absolut nödvändigt .

text: DATASKYDDSPRINCIPER

text: 28. Principerna för behandling av personuppgifter enligt

text: artikel 5 i GDPR

text: ska efterlevas av den personuppgiftsansvarige och personuppgiftsbiträdet, i synnerhet som stora mängder personuppgifter kan komma att behandlas för vetenskapliga forskningsändamål. De viktigaste aspekterna av dessa principer i samband med föreliggande riktlinjer tas upp nedan.

text: 5.1 Öppenhet och information till de registrerade

text: 29. Öppenhetsprincipen innebär att personuppgifter ska behandlas på ett ärligt och öppet sätt i förhållande till den registrerade. Den här principen har en stark koppling till informationsskyldigheterna enligt artiklarna

text: och

text: i GDPR.

text: 30. I allmänhet måste en registrerad informeras personligen om behandlingen och om att personuppgifter (om hälsa) behandlas för vetenskapliga ändamål. Informationen bör innehålla alla de uppgifter som anges i artikel

text: eller

text: i GDPR.

text: 31. Det bör noteras att forskare ofta behandlar hälsouppgifter som de inte har fått direkt från den registrerade, t.ex. uppgifter från patientjournaler eller uppgifter från patienter i andra länder. Därför kommer fokus i detta avsnitt att ligga på

text: artikel 14 i GDPR

text: , som handlar om informationsskyldigheter när personuppgifterna inte inhämtas direkt från den registrerade.

text: 5.1.1 När ska den registrerade informeras?

text: 32. När personuppgifter inte har erhållits från den registrerade föreskrivs i

text: artikel 14.3 a i GDPR

text: att den personuppgiftsansvarige ska lämna informationen ”inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas”.

text: 33. I den rådande situationen måste det särskilt noteras att enligt

text: artikel 14.4 i GDPR

text: ska den personuppgiftsansvarige, ”om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, [...] före denna ytterligare behandling ge den registrerade information om detta andra syfte”.

text: 34. När det gäller ytterligare behandling av uppgifter för vetenskapliga ändamål och med beaktande av de behandlade uppgifternas känslighet är en lämplig skyddsåtgärd i den mening som avses i

text: artikel 89.1

text: att lämna informationen till den registrerade inom en rimlig tidsperiod innan det nya forskningsprojektet genomförs. På så sätt blir den registrerade medveten om forskningsprojektet och får möjlighet att utöva sina rättigheter på förhand.

text: 5.1.2 Undantag

text: 35. I

text: artikel 14.5 i GDPR

text: föreskrivs emellertid fyra undantag från informationsskyldigheten. I den rådande situationen är undantagen enligt

text: artikel 14.5 b

text: (”visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning”) och 14.5 c (när ”erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt”) i GDPR särskilt relevanta, i synnerhet för informationsskyldigheten enligt

text: artikel 14.4 i GDPR

text: . 5.1.2.1 Visar sig vara omöjligt

text: 36. Den tidigare artikel 29-arbetsgruppen påpekade redan i sina riktlinjer för öppenhetsprincipen att en situation där det i enlighet med

text: artikel 14.5 b

text: ”visar sig vara omöjligt” att lämna information är en allteller-inget-situation, eftersom det antingen är omöjligt eller inte; det finns inga grader av omöjlighet. Om en personuppgiftsansvarig hänvisar till detta undantag måste den därför påvisa de faktorer som faktiskt förhindrar att informationen i fråga lämnas till de registrerade. Om de faktorer som orsakade ”omöjligheten” efter en viss tid inte längre föreligger och det är möjligt att lämna informationen till de registrerade, bör den personuppgiftsansvarige omedelbart göra detta. I praktiken kommer det att uppstå väldigt få situationer där en personuppgiftsansvarig kan påvisa att det faktiskt är omöjligt att lämna informationen till de registrerade. 5.1.2.2 Oproportionell ansträngning

text: 37. I samband med fastställandet av vad som utgör oproportionell ansträngning nämns i skäl 62 antalet registrerade, uppgifternas ålder och lämpliga skyddsåtgärder som möjliga vägledande faktorer. I de ovan nämnda öppenhetsriktlinjerna rekommenderas det att den personuppgiftsansvarige därför väger de ansträngningar som krävs för att lämna informationen till de registrerade mot konsekvenserna för de registrerade om de inte får informationen.

text: 38. Exempel: Om de registrerade är många och inte har lämnat kontaktuppgifter kan det anses kräva oproportionell ansträngning att lämna informationen. 5.1.2.3 Avsevärt försvårande av uppfyllandet av målen

text: 39. För att utnyttja detta undantag måste de personuppgiftsansvariga visa att det lämnande av information som avses i artikel 14.1 i sig skulle göra det omöjligt eller avsevärt svårare att uppfylla målen med den behandlingen.

text: 40. I sådana fall där undantaget enligt

text: artikel 14.5 b i GDPR

text: är tillämpligt ”ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten”. 5.1.2.4 Erhållande eller utlämnande av uppgifter föreskrivs uttryckligen genom unionsrätten eller genom en medlemsstats nationella rätt

text: 41. Enligt

text: artikel 14.5 c i GDPR

text: gäller inte informationsskyldigheterna i artikel 14.1, 14.2 och 14.4 i den mån som erhållandet eller utlämnandet av uppgifter ”uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av”. Detta undantag förutsätter att lagen i fråga fastställer ”lämpliga åtgärder för att skydda den registrerades berättigade intressen”. Som nämns i de ovannämnda öppenhetsriktlinjerna måste sådan lagstiftning direkt rikta sig till den personuppgiftsansvarige och erhållandet eller utlämnandet i fråga vara obligatoriskt för den personuppgiftsansvarige. Europeiska dataskyddsstyrelsen erinrar om att personuppgiftsansvariga som hänvisar till detta undantag måste kunna visa hur den berörda lagstiftningen är tillämplig på dem och kräver att de antingen erhåller eller lämnar ut de berörda personuppgifterna.

text: 5.2 Ändamålsbegränsning och presumtion om förenlighet

text: 42. I regel ska uppgifter enligt

text: artikel 5.1 b i GDPR

text: ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål”.

text: 43. Enligt den ”presumtion om förenlighet” som föreskrivs i

text: artikel 5.1 b i GDPR

text: ska dock ”[y]tterligare behandling för [...] vetenskapliga [...] forskningsändamål [...] i enlighet med

text: artikel 89.1

text: [...] inte anses vara oförenlig med de ursprungliga ändamålen”. Detta ämne kommer på grund av sin övergripande och komplexa natur att behandlas mer ingående i Europeiska dataskyddsstyrelsens planerade riktlinjer för behandling av hälsouppgifter för vetenskapliga forskningsändamål.

text: 44. Enligt

text: artikel 89.1 i GDPR

text: ska uppgiftsbehandling för forskningsändamål ”omfattas av lämpliga skyddsåtgärder” som ”ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet.”

text: 45. Genom kraven i

text: artikel 89.1 i GDPR

text: betonas vikten av principen om uppgiftsminimering, principen om integritet och konfidentialitet samt principen om inbyggt dataskydd och dataskydd som standard (se nedan) . Följaktligen måste kraftfulla åtgärder vidtas för att säkerställa en lämplig säkerhetsnivå enligt

text: artikel 32.1 i GDPR

text: , med tanke på hälsouppgifternas känsliga karaktär och riskerna vid återanvändning av dem för vetenskapliga forskningsändamål.

text: 5.3 Uppgiftsminimering och lagringsminimering

text: 46. Inom vetenskaplig forskning kan uppgiftsminimering uppnås genom krav på att man specificerar forskningsfrågorna och bedömer den typ och mängd av uppgifter som krävs för att på ett korrekt sätt kunna besvara dessa forskningsfrågor. Vilka uppgifter som behövs beror på forskningssyftet – även när forskningen är av undersökande slag – och bör alltid stämma överens med principen om ändamålsbegränsning enligt

text: artikel 5.1 b i GDPR

text: . Det bör noteras att uppgifterna måste anonymiseras när det är möjligt att bedriva den vetenskapliga forskningen med anonymiserade uppgifter.

text: 47. Dessutom ska proportionella lagringstider fastställas. Som anges i

text: artikel 5.1 e i GDPR

text: får personuppgifter ”lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål [...], vetenskapliga [...] forskningsändamål [...] i enlighet med

text: artikel 89.1

text: , under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter”.

text: 48. Vid fastställandet av lagringstiderna (tidsramarna) bör kriterier som forskningsprojektets längd och syfte beaktas. Det bör noteras att det även kan finnas nationella bestämmelser om lagringstiden.

text: 5.4 Integritet och konfidentialitet

text: 49. Som nämns ovan förtjänar känsliga uppgifter som hälsouppgifter ett mer omfattande skydd, eftersom behandlingen av sådana uppgifter medför en större risk för negativa konsekvenser för de registrerade. Detta övervägande gäller särskilt i samband med covid-19-utbrottet, eftersom antalet och typerna av enheter som behandlar sådana uppgifter ökar med den förutsebara återanvändningen av hälsouppgifter för vetenskapliga ändamål.

text: 50. Det bör noteras att principen om integritet och konfidentialitet måste läsas tillsammans med kraven i artiklarna

text: och

text: i GDPR. Dessa bestämmelser måste iakttas fullt ut. Med tanke på de stora risker som beskrivs ovan måste lämpliga tekniska och organisatoriska uppdaterade åtgärder vidtas för att säkerställa en tillräcklig säkerhetsnivå.

text: 51. Sådana åtgärder bör åtminstone bestå av pseudonymisering , kryptering, sekretessavtal samt strikt tilldelning och begränsning av åtkomstroller och åtkomstloggar. Det bör noteras att nationella bestämmelser kan innehålla konkreta tekniska krav eller andra skyddsåtgärder såsom regler om tystnadsplikt.

text: 52. Dessutom måste en konsekvensbedömning avseende dataskydd utföras enligt

text: artikel 35 i GDPR

text: när sådan behandling ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” enligt

text: artikel 35.1 i GDPR

text: . De förteckningar som avses i artikel

text: och

text: i GDPR ska beaktas.

text: 53. I detta skede betonar Europeiska dataskyddsstyrelsen dataskyddsombudens viktiga roll. I tillämpliga fall bör man samråda med dataskyddsombud om behandling av hälsouppgifter för vetenskapliga forskningsändamål i samband med covid-19-utbrottet.

text: 54. Slutligen bör de åtgärder som vidtas för att skydda uppgifter (även vid överföring) dokumenteras på lämpligt sätt i registret över behandling.

text: REGISTRERADES UTÖVANDE AV SINA RÄTTIGHETER

text: 55. I princip upphäver eller begränsar situationer som det aktuella covid-19-utbrottet inte registrerades möjligheter att utöva sina rättigheter enligt artikel

text: i GDPR. Enligt

text: artikel 89.2 i GDPR

text: 56. Dessutom kan vissa begränsningar av de registrerades rättigheter grundas direkt på förordningen, såsom åtkomstbegränsningen enligt

text: artikel 15.4

text: och begränsningen av rätten till radering enligt

text: artikel 17.3 d i GDPR

text: . Informationsskyldigheten enligt

text: artikel 14.5 i GDPR

text: har redan behandlats ovan.

text: 57. Det bör noteras att alla begränsningar av de registrerades rättigheter enligt domstolens rättspraxis måste tillämpas endast i den mån det är absolut nödvändigt .

text: INTERNATIONELLA UPPGIFTSÖVERFÖRINGAR FÖR VETENSKAPLIGA FORSKNINGSÄNDAMÅL

text: 58. I samband med forskning, och framför allt i samband med covid-19-pandemin, kommer det sannolikt att finnas behov av internationellt samarbete som också kan medföra internationella överföringar av hälsouppgifter för vetenskapliga forskningsändamål utanför EES.

text: 59. När personuppgifter överförs till ett land utanför EES eller till en internationell organisation ska uppgiftsexportören förutom att följa reglerna i GDPR , särskilt

text: artiklarna 5

text: (dataskyddsprinciper), 6 20 21 (laglighet) och 9 (särskilda kategorier av uppgifter) , även efterleva kapitel V (dataöverföring) .

text: 60. Utöver det vanliga öppenhetskrav som nämns på sidan 7 är uppgiftsexportören skyldig att informera de registrerade om att den har för avsikt att överföra personuppgifter till ett tredjeland eller en internationell organisation. Exportören bör informera om huruvida Europeiska kommissionen har fattat ett beslut om adekvat skyddsnivå och om huruvida överföringen är baserad på en lämplig skyddsåtgärd enligt

text: artikel 46

text: eller om undantag enligt

text: artikel 49.1

text: . Denna skyldighet föreligger oavsett om personuppgifterna har erhållits direkt från den registrerade eller inte.

text: 61. I allmänhet bör uppgiftsexportörer, när de överväger hur de ska hantera sådana villkor för överföring av personuppgifter till tredjeländer eller internationella organisationer, bedöma riskerna för de registrerades rättigheter och friheter i samband med varje överföring och välja lösningar som garanterar de registrerade kontinuerligt skydd av deras grundläggande rättigheter samt skyddsåtgärder för behandlingen av deras personuppgifter, även sedan dessa har överförts. Detta är fallet för överföringar till länder med en adekvat skyddsnivå eller vid användning av en av de lämpliga skyddsåtgärder som anges i

text: artikel 46 i GDPR

text: , med säkerställande av att de registrerade har tillgång till verkställbara rättigheter och effektiva rättsmedel.

text: 62. I avsaknad av ett beslut om adekvat skyddsnivå enligt

text: artikel 45.3 i GDPR

text: eller lämpliga skyddsåtgärder enligt

text: artikel 46 i GDPR

text: föreskrivs i

text: artikel 49 i GDPR

text: vissa specifika situationer då personuppgifter undantagsvis får överföras. De undantag som fastställs i

text: artikel 49 i GDPR

text: är alltså undantag från den allmänna regeln och måste därför tolkas restriktivt och från fall till fall . Under den rådande covid-19krisen kan de undantag som tas upp i

text: artikel 49.1 d

text: (överföringen ”är nödvändig av viktiga skäl som rör allmänintresset”) och 49.1 a (uttryckligt samtycke) vara tillämpliga.

text: 63. Covid-19-pandemin orsakar en exceptionell sanitär kris av aldrig tidigare skådad karaktär och omfattning. I detta sammanhang beaktar Europeiska dataskyddsstyrelsen att EU och de flesta av dess medlemsstater har erkänt kampen mot covid-19 som ett viktigt allmänintresse som kan kräva brådskande åtgärder på området vetenskaplig forskning (t.ex. för att identifiera behandlingar och/eller utveckla vacciner) och som också kan omfatta överföringar till tredjeländer eller internationella organisationer .

text: 64. Inte bara myndigheter utan även privata enheter som arbetar för att tillvarata sådana allmänintressen (t.ex. ett universitets forskningsinstitut som samarbetar kring utvecklingen av ett vaccin med internationella partner) skulle i den rådande pandemisituationen kunna hänvisa till detta undantag.

text: 65. Dessutom kan sådana överföringar av personuppgifter i vissa situationer, i synnerhet när privata enheter överför uppgifter för medicinska forskningsändamål i syfte att bekämpa covid-19-pandemin , alternativt ske på grundval av de registrerades uttryckliga samtycke .

text: 66. I den rådande pandemisituationen får myndigheter och privata enheter, när de inte kan förlita sig på ett beslut om adekvat skyddsnivå enligt

text: artikel 45.3

text: eller lämpliga skyddsåtgärder enligt

text: artikel 46

text: , utnyttja de tillämpliga undantag som nämns ovan, främst som en tillfällig åtgärd på grund av den akuta medicinska situationen i hela världen.

text: 67. Även om covid-19-krisen kan motivera att man inledningsvis utnyttjar undantagen för överföringar i forskningssyfte i detta sammanhang, måste emellertid fortsatta överföringar av uppgifter till tredjeländer som en del av ett längre forskningsprojekt i detta syfte omges av lämpliga skyddsåtgärder i enlighet med

text: artikel 46 i GDPR

text: 68. Slutligen bör det noteras att man vid varje sådan överföring måste beakta respektive roller (personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig) och de berörda aktörernas motsvarande skyldigheter (sponsor, utredare) för att identifiera lämpliga åtgärder för att underbygga överföringen.

text: SAMMANFATTNING

text: 69. Huvudpunkterna i de här riktlinjerna är följande:

text: 1. Den allmänna dataskyddsförordningen innehåller särskilda regler för behandling av hälsouppgifter för vetenskapliga forskningsändamål och dessa är tillämpliga i samband med covid-19-pandemin. 2. Den nationella lagstiftaren i varje medlemsstat får anta särskilda lagar i enlighet med artikel 9.2 i och j i GDPR för att möjliggöra behandling av hälsouppgifter för vetenskapliga forskningsändamål. Behandlingen av hälsouppgifter för vetenskapliga forskningsändamål måste också bygga på en av de rättsliga grunderna i

text: artikel 6.1 i GDPR

text: . Därför varierar villkoren och omfattningen av denna behandling beroende på den berörda medlemsstatens lagstiftning. 3. Alla lagar som antas på grundval av artikel 9.2 i och j i GDPR måste tolkas mot bakgrund av principerna i

text: artikel 5 i GDPR

text: och med beaktande av EU-domstolens rättspraxis. I synnerhet måste undantag och begränsningar i fråga om dataskyddet enligt artiklarna

text: 9.2 j

text: och

text: i GDPR endast tillämpas i den utsträckning det är absolut nödvändigt. 4. Med tanke på behandlingsriskerna i samband med covid-19-utbrottet måste man fästa stor vikt vid efterlevnaden av artiklarna

text: 5.1 f

text: och

text: i GDPR. Det måste utvärderas huruvida en konsekvensbedömning enligt

text: artikel 35 i GDPR

text: behöver genomföras. 5. Lagringsperioder (tidsramar) ska fastställas och vara proportionerliga. För att fastställa sådana lagringstider bör kriterier såsom forskningsprojektets längd och syfte tas i beaktande. Det kan också finnas nationella bestämmelser om lagringstiden, som måste beaktas. 6. I princip upphäver eller begränsar situationer som det aktuella covid-19-utbrottet inte registrerades möjligheter att utöva sina rättigheter enligt artikel

text: i GDPR. Enligt

text: artikel 89.2 i GDPR

text: får dock den nationella lagstiftaren begränsa (vissa) av den registrerades rättigheter som avses i kapitel 3 i förordningen. På grund av detta kan begränsningarna av de registrerades rättigheter variera beroende på den berörda medlemsstatens lagstiftning. 7. När det gäller internationella överföringar får myndigheter och privata enheter, i avsaknad av ett beslut om adekvat skyddsnivå enligt

text: artikel 45.3 i GDPR

text: eller lämpliga skyddsåtgärder enligt

text: artikel 46 i GDPR

text: , utnyttja de tillämpliga undantagen enligt

text: artikel 49 i GDPR

text: . Undantagen i

text: artikel 49 i GDPR

text: får dock endast användas just i undantagsfall. För Europeiska dataskyddsstyrelsen Ordföranden (Andrea Jelinek)

type: vagledning

utgivare: edpb