Riktlinjer 03/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19- utbrottet

Europeiska dataskyddsstyrelsen har

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018, och med beaktande av artiklarna 12 och 22 i arbetsordningen

ANTAGIT FÖLJANDE RIKTLINJER:

INLEDNING

1. På grund av covid-19-pandemin pågår just nu stora vetenskapliga forskningsinsatser i kampen mot sars-cov-2 för att få fram forskningsresultat så snabbt som möjligt.

2. Samtidigt uppstår ständigt nya rättsliga frågor om användningen av hälsouppgifter i enlighet med artikel 4.15 i den allmänna dataskyddsförordningen (nedan kallad GDPR) för sådana forskningsändamål. Syftet med de här riktlinjerna är att belysa de mest akuta frågorna, som exempelvis den rättsliga grunden, lämpliga skyddsåtgärder för sådan behandling av hälsouppgifter och utövandet av registrerades rättigheter.

3. Notera att ytterligare en, mer utförlig, vägledning om behandling av hälsouppgifter för vetenskapliga forskningsändamål ingår i Europeiska dataskyddsstyrelsens arbetsplan för året. Notera också att dessa riktlinjer inte handlar om behandling av personuppgifter för epidemiologisk övervakning.

TILLÄMPNING AV DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

4. Dataskyddsreglerna (som exempelvis GDPR) utgör inget hinder för de åtgärder som vidtagits i kampen mot covid-19-pandemin . GDPR är ett brett regelverk som innehåller flera bestämmelser som gör det möjligt att behandla personuppgifter för vetenskapliga forskningsändamål i samband med covid-19pandemin på ett sätt som stämmer överens med den grundläggande rätten till integritet och skydd av personuppgifter . I GDPR föreskrivs också ett särskilt undantag från förbudet mot behandling av vissa särskilda kategorier av personuppgifter, såsom hälsouppgifter, när detta är nödvändigt för sådana vetenskapliga forskningsändamål.

5. EU:s bestämmelser om grundläggande rättigheter måste tillämpas vid behandling av hälsouppgifter för vetenskapliga forskningsändamål i samband med covid-19-pandemin. I detta sammanhang har varken dataskyddsreglerna eller friheten för vetenskapen enligt artikel 13 i Europeiska unionens stadga om de grundläggande rättigheterna företräde. Dessa rättigheter och friheter måste i stället noggrant bedömas och vägas mot varandra, så att resultatet blir förenligt med bådas andemening.

DEFINITIONER

6. Det är viktigt att förstå vilken typ av behandling som omfattas av den särskilda ordning som föreskrivs i GDPR och som beskrivs närmare i dessa riktlinjer. Därför måste begreppen ”uppgifter om hälsa”, ”behandling för vetenskapliga forskningsändamål” och ”ytterligare behandling” (även kallade ”primär och sekundär användning av hälsouppgifter”) definieras.

3.1 Uppgifter om hälsa

7. Enligt artikel 4.15 i GDPR avser ”uppgifter om hälsa” ”personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus”. Som framgår av skäl 53 förtjänar uppgifter om hälsa ett mer omfattande skydd, eftersom användningen av sådana känsliga uppgifter kan få betydande negativa konsekvenser för de registrerade. Mot bakgrund av detta och EU-domstolens rättspraxis på området måste begreppet ”uppgifter om hälsa” tolkas brett.

8. Uppgifter om hälsa kan hämtas från olika källor, till exempel följande:

1. Information som samlats in av vårdgivare i en patientjournal (t.ex. sjukdomshistoria och resultat av undersökningar och behandlingar). 2. Information som genom korshänvisningar till andra uppgifter blir hälsouppgifter och därigenom avslöjar hälsotillstånd eller hälsorisker (t.ex. antagandet att en person löper större risk att drabbas av hjärtinfarkt på grundval av att höga blodtrycksvärden uppmätts under en viss tidsperiod). 3. Information från en självkontrollenkät, där registrerade svarar på frågor som rör deras hälsa (t.ex. uppger symptom). 4. Information som blir hälsouppgifter på grund av att den används i ett visst sammanhang (t.ex. när information om att en person nyligen rest till eller befunnit sig i en covid-19-drabbad region behandlas av läkare för att ställa diagnos).

3.2 Behandling för vetenskapliga forskningsändamål

9. I artikel 4 i GDPR finns ingen uttrycklig definition av ”behandling för vetenskapliga forskningsändamål”. Som anges i skäl 159 bör begreppet ”[b]ehandling av personuppgifter för vetenskapliga forskningsändamål [...] ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt artikel 179.1 i EUF-fördraget angående åstadkommandet av ett europeiskt forskningsområde. Vetenskapliga forskningsändamål bör också omfatta studier som utförs av ett allmänt intresse inom folkhälsoområdet.”

10. Den tidigare artikel 29-arbetsgruppen har redan påpekat att begreppet dock inte får utökas till att omfatta mer än dess allmänna betydelse och att den är medveten om att ”vetenskaplig forskning” i detta sammanhang innebär ett ”forskningsprojekt som inrättats i överensstämmelse med relevanta metodologiska och etiska standarder inom sektorn, i enlighet med god praxis” .

3.3 Ytterligare behandling

11. När man talar om ”behandling av hälsouppgifter för vetenskapliga forskningsändamål”, avses de två följande typerna av dataanvändning: 1. Forskning utifrån personuppgifter (om hälsa) som består i användning av uppgifter som samlats in direkt för vetenskapliga studier (”primär användning”). 2. Forskning utifrån personuppgifter (om hälsa) som består i ytterligare behandling av uppgifter som ursprungligen samlades in för ett annat ändamål (”sekundär användning”).

12. Exempel 1: Hälsouppgifter samlas in och frågeformulär används för en klinisk prövning för personer som misstänks vara infekterade med sars-cov-2. Det här är ett fall av ”primär användning” av hälsouppgifter enligt definitionen ovan.

13. Exempel 2: En registrerad har uppsökt en vårdgivare i egenskap av patient angående sars-cov-2symptom. Om de hälsouppgifter som vårdgivaren registrerar senare används för vetenskapliga forskningsändamål klassificeras denna användning som ytterligare behandling av hälsouppgifter (sekundär användning) som ursprungligen samlades in för ett annat ändamål.

14. Skillnaden mellan primär och sekundär användning av hälsouppgifter för vetenskaplig forskning är särskilt viktig när man talar om den rättsliga grunden för behandlingen, informationsskyldigheterna och principen om ändamålsbegränsning enligt artikel 5.1 b i GDPR.

RÄTTSLIG GRUND FÖR BEHANDLINGEN

15. All behandling av personuppgifter om hälsa måste stämma överens med de principer för behandling som anges i artikel 5 i GDPR och med en av de rättsliga grunder och särskilda undantag som anges i artikel 6 respektive 9 i GDPR, när det gäller laglig behandling av denna särskilda kategori av personuppgifter .

16. Rättsliga grunder och tillämpliga undantag för behandling av hälsouppgifter för vetenskapliga forskningsändamål anges i artikel 6 respektive artikel 9. I följande avsnitt behandlas reglerna om samtycke och respektive nationell lagstiftning. Observera att det inte finns någon rangordning mellan de rättsliga grunderna i GDPR.

4.1 Samtycke

17. Den registrerades samtycke, som inhämtats i enlighet med artiklarna 6.1 a och 9.2 a i GDPR, kan utgöra en rättslig grund för behandling av uppgifter om hälsa i samband med covid-19.

18. Det bör dock noteras att alla villkor för uttryckligt samtycke måste vara uppfyllda, i synnerhet de som anges i artiklarna 4.11, 6.1 a, 7 och 9.2 a i GDPR. Framför allt måste samtycket vara specifikt, informerat och otvetydigt och ges frivilligt genom ett uttalande eller genom en ”entydig bekräftande handling”.

19. Som anges i skäl 43 kan samtycke inte anses ha lämnats frivilligt om det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Det är därför viktigt att de registrerade inte pressas och inte missgynnas om de beslutar sig för att inte ge sitt samtycke. Europeiska dataskyddsstyrelsen har redan behandlat samtycke i samband med kliniska prövningar . Ytterligare vägledning, i synnerhet om uttryckligt samtycke, finns i riktlinjerna för samtycke från den tidigare artikel 29-arbetsgruppen .

20. Exempel: En enkät görs som en del av en observationsstudie av en viss population, där man undersöker symptom och sjukdomsutveckling. För behandling av sådana hälsouppgifter kan forskarna begära den registrerades samtycke på de villkor som anges i artikel 7 i GDPR.

21. Enligt Europeiska dataskyddsstyrelsen betraktas detta exempel inte som ett sådant fall av ”betydande ojämlikhet” som avses i skäl 43, och den registrerade bör kunna ge forskarna sitt samtycke . I exemplet har de registrerade inte någon typ av beroendeförhållande till forskarna vilket på ett olämpligt sätt skulle kunna påverka deras fria vilja, och det står också klart att det inte kommer att få några negativa konsekvenser om de vägrar att ge sitt samtycke.

22. Forskare bör dock vara medvetna om att enskilda när som helst måste kunna återkalla sitt samtycke i enlighet med artikel 7.3 i GDPR om samtycke används som den lagliga grunden för behandlingen. Om samtycket dras tillbaka är all uppgiftsbehandling som skedde på grundval av samtycket fortfarande laglig i enlighet med GDPR, men den personuppgiftsansvarige ska upphöra med behandlingen i fråga och radera uppgifterna om det inte finns någon annan laglig grund till att lagra dem för ytterligare behandling .

4.2 Nationell lagstiftning

23. Artikel 6.1 e eller 6.1 f i GDPR kan i kombination med undantagen enligt artikel 9.2 j eller 9.2 i i GDPR utgöra en rättslig grund för behandling av personuppgifter (om hälsa) för vetenskaplig forskning. Detta har redan klargjorts av dataskyddsstyrelsen avseende klinisk prövning .

24. Exempel: En stor populationsbaserad studie görs utgående från covid-19-patienters patientjournaler.

25. Som beskrivs ovan kan både EU och den nationella lagstiftaren i varje medlemsstat anta särskilda lagar i enlighet med artikel 9.2 j eller 9.2 i i GDPR för att tillhandahålla en rättslig grund för behandling av hälsouppgifter för vetenskapliga forskningsändamål. Därför varierar villkoren och omfattningen av denna behandling beroende på den berörda medlemsstatens lagstiftning.

26. Som anges i artikel 9.2 i i GDPR ska sådan lagstiftning fastställa ”lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter [...], särskilt tystnadsplikt”. I artikel 9.2 j i GDPR anges likaledes att sådan lagstiftning ”ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen”.

27. Dessutom måste sådan lagstiftning tolkas mot bakgrund av principerna i artikel 5 i GDPR och med beaktande av EU-domstolens rättspraxis. I synnerhet undantag och begränsningar i fråga om dataskyddet enligt artiklarna 9.2 j och 89 i GDPR får endast tillämpas i den utsträckning det är absolut nödvändigt .

DATASKYDDSPRINCIPER

28. Principerna för behandling av personuppgifter enligt artikel 5 i GDPR ska efterlevas av den personuppgiftsansvarige och personuppgiftsbiträdet, i synnerhet som stora mängder personuppgifter kan komma att behandlas för vetenskapliga forskningsändamål. De viktigaste aspekterna av dessa principer i samband med föreliggande riktlinjer tas upp nedan.

5.1 Öppenhet och information till de registrerade

29. Öppenhetsprincipen innebär att personuppgifter ska behandlas på ett ärligt och öppet sätt i förhållande till den registrerade. Den här principen har en stark koppling till informationsskyldigheterna enligt artiklarna 13 och 14 i GDPR.

30. I allmänhet måste en registrerad informeras personligen om behandlingen och om att personuppgifter (om hälsa) behandlas för vetenskapliga ändamål. Informationen bör innehålla alla de uppgifter som anges i artikel 13 eller 14 i GDPR.

31. Det bör noteras att forskare ofta behandlar hälsouppgifter som de inte har fått direkt från den registrerade, t.ex. uppgifter från patientjournaler eller uppgifter från patienter i andra länder. Därför kommer fokus i detta avsnitt att ligga på artikel 14 i GDPR, som handlar om informationsskyldigheter när personuppgifterna inte inhämtas direkt från den registrerade.

5.1.1 När ska den registrerade informeras?

32. När personuppgifter inte har erhållits från den registrerade föreskrivs i artikel 14.3 a i GDPR att den personuppgiftsansvarige ska lämna informationen ”inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas”.

33. I den rådande situationen måste det särskilt noteras att enligt artikel 14.4 i GDPR ska den personuppgiftsansvarige, ”om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, [...] före denna ytterligare behandling ge den registrerade information om detta andra syfte”.

34. När det gäller ytterligare behandling av uppgifter för vetenskapliga ändamål och med beaktande av de behandlade uppgifternas känslighet är en lämplig skyddsåtgärd i den mening som avses i artikel 89.1 att lämna informationen till den registrerade inom en rimlig tidsperiod innan det nya forskningsprojektet genomförs. På så sätt blir den registrerade medveten om forskningsprojektet och får möjlighet att utöva sina rättigheter på förhand.

5.1.2 Undantag

35. I artikel 14.5 i GDPR föreskrivs emellertid fyra undantag från informationsskyldigheten. I den rådande situationen är undantagen enligt artikel 14.5 b (”visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning”) och 14.5 c (när ”erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt”) i GDPR särskilt relevanta, i synnerhet för informationsskyldigheten enligt artikel 14.4 i GDPR. 5.1.2.1 Visar sig vara omöjligt

36. Den tidigare artikel 29-arbetsgruppen påpekade redan i sina riktlinjer för öppenhetsprincipen att en situation där det i enlighet med artikel 14.5 b ”visar sig vara omöjligt” att lämna information är en allteller-inget-situation, eftersom det antingen är omöjligt eller inte; det finns inga grader av omöjlighet. Om en personuppgiftsansvarig hänvisar till detta undantag måste den därför påvisa de faktorer som faktiskt förhindrar att informationen i fråga lämnas till de registrerade. Om de faktorer som orsakade ”omöjligheten” efter en viss tid inte längre föreligger och det är möjligt att lämna informationen till de registrerade, bör den personuppgiftsansvarige omedelbart göra detta. I praktiken kommer det att uppstå väldigt få situationer där en personuppgiftsansvarig kan påvisa att det faktiskt är omöjligt att lämna informationen till de registrerade. 5.1.2.2 Oproportionell ansträngning

37. I samband med fastställandet av vad som utgör oproportionell ansträngning nämns i skäl 62 antalet registrerade, uppgifternas ålder och lämpliga skyddsåtgärder som möjliga vägledande faktorer. I de ovan nämnda öppenhetsriktlinjerna rekommenderas det att den personuppgiftsansvarige därför väger de ansträngningar som krävs för att lämna informationen till de registrerade mot konsekvenserna för de registrerade om de inte får informationen.

38. Exempel: Om de registrerade är många och inte har lämnat kontaktuppgifter kan det anses kräva oproportionell ansträngning att lämna informationen. 5.1.2.3 Avsevärt försvårande av uppfyllandet av målen

39. För att utnyttja detta undantag måste de personuppgiftsansvariga visa att det lämnande av information som avses i artikel 14.1 i sig skulle göra det omöjligt eller avsevärt svårare att uppfylla målen med den behandlingen.

40. I sådana fall där undantaget enligt artikel 14.5 b i GDPR är tillämpligt ”ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten”. 5.1.2.4 Erhållande eller utlämnande av uppgifter föreskrivs uttryckligen genom unionsrätten eller genom en medlemsstats nationella rätt

41. Enligt artikel 14.5 c i GDPR gäller inte informationsskyldigheterna i artikel 14.1, 14.2 och 14.4 i den mån som erhållandet eller utlämnandet av uppgifter ”uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av”. Detta undantag förutsätter att lagen i fråga fastställer ”lämpliga åtgärder för att skydda den registrerades berättigade intressen”. Som nämns i de ovannämnda öppenhetsriktlinjerna måste sådan lagstiftning direkt rikta sig till den personuppgiftsansvarige och erhållandet eller utlämnandet i fråga vara obligatoriskt för den personuppgiftsansvarige. Europeiska dataskyddsstyrelsen erinrar om att personuppgiftsansvariga som hänvisar till detta undantag måste kunna visa hur den berörda lagstiftningen är tillämplig på dem och kräver att de antingen erhåller eller lämnar ut de berörda personuppgifterna.

5.2 Ändamålsbegränsning och presumtion om förenlighet

42. I regel ska uppgifter enligt artikel 5.1 b i GDPR ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål”.

43. Enligt den ”presumtion om förenlighet” som föreskrivs i artikel 5.1 b i GDPR ska dock ”[y]tterligare behandling för [...] vetenskapliga [...] forskningsändamål [...] i enlighet med artikel 89.1 [...] inte anses vara oförenlig med de ursprungliga ändamålen”. Detta ämne kommer på grund av sin övergripande och komplexa natur att behandlas mer ingående i Europeiska dataskyddsstyrelsens planerade riktlinjer för behandling av hälsouppgifter för vetenskapliga forskningsändamål.

44. Enligt artikel 89.1 i GDPR ska uppgiftsbehandling för forskningsändamål ”omfattas av lämpliga skyddsåtgärder” som ”ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet.”

45. Genom kraven i artikel 89.1 i GDPR betonas vikten av principen om uppgiftsminimering, principen om integritet och konfidentialitet samt principen om inbyggt dataskydd och dataskydd som standard (se nedan) . Följaktligen måste kraftfulla åtgärder vidtas för att säkerställa en lämplig säkerhetsnivå enligt artikel 32.1 i GDPR, med tanke på hälsouppgifternas känsliga karaktär och riskerna vid återanvändning av dem för vetenskapliga forskningsändamål.

5.3 Uppgiftsminimering och lagringsminimering

46. Inom vetenskaplig forskning kan uppgiftsminimering uppnås genom krav på att man specificerar forskningsfrågorna och bedömer den typ och mängd av uppgifter som krävs för att på ett korrekt sätt kunna besvara dessa forskningsfrågor. Vilka uppgifter som behövs beror på forskningssyftet – även när forskningen är av undersökande slag – och bör alltid stämma överens med principen om ändamålsbegränsning enligt artikel 5.1 b i GDPR. Det bör noteras att uppgifterna måste anonymiseras när det är möjligt att bedriva den vetenskapliga forskningen med anonymiserade uppgifter.

47. Dessutom ska proportionella lagringstider fastställas. Som anges i artikel 5.1 e i GDPR får personuppgifter ”lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål [...], vetenskapliga [...] forskningsändamål [...] i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter”.

48. Vid fastställandet av lagringstiderna (tidsramarna) bör kriterier som forskningsprojektets längd och syfte beaktas. Det bör noteras att det även kan finnas nationella bestämmelser om lagringstiden.

5.4 Integritet och konfidentialitet

49. Som nämns ovan förtjänar känsliga uppgifter som hälsouppgifter ett mer omfattande skydd, eftersom behandlingen av sådana uppgifter medför en större risk för negativa konsekvenser för de registrerade. Detta övervägande gäller särskilt i samband med covid-19-utbrottet, eftersom antalet och typerna av enheter som behandlar sådana uppgifter ökar med den förutsebara återanvändningen av hälsouppgifter för vetenskapliga ändamål.

50. Det bör noteras att principen om integritet och konfidentialitet måste läsas tillsammans med kraven i artiklarna 32.1 och 89.1 i GDPR. Dessa bestämmelser måste iakttas fullt ut. Med tanke på de stora risker som beskrivs ovan måste lämpliga tekniska och organisatoriska uppdaterade åtgärder vidtas för att säkerställa en tillräcklig säkerhetsnivå.

51. Sådana åtgärder bör åtminstone bestå av pseudonymisering , kryptering, sekretessavtal samt strikt tilldelning och begränsning av åtkomstroller och åtkomstloggar. Det bör noteras att nationella bestämmelser kan innehålla konkreta tekniska krav eller andra skyddsåtgärder såsom regler om tystnadsplikt.

52. Dessutom måste en konsekvensbedömning avseende dataskydd utföras enligt artikel 35 i GDPR när sådan behandling ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” enligt artikel 35.1 i GDPR. De förteckningar som avses i artikel 35.4 och 35.5 i GDPR ska beaktas.

53. I detta skede betonar Europeiska dataskyddsstyrelsen dataskyddsombudens viktiga roll. I tillämpliga fall bör man samråda med dataskyddsombud om behandling av hälsouppgifter för vetenskapliga forskningsändamål i samband med covid-19-utbrottet.

54. Slutligen bör de åtgärder som vidtas för att skydda uppgifter (även vid överföring) dokumenteras på lämpligt sätt i registret över behandling.

REGISTRERADES UTÖVANDE AV SINA RÄTTIGHETER

55. I princip upphäver eller begränsar situationer som det aktuella covid-19-utbrottet inte registrerades möjligheter att utöva sina rättigheter enligt artikel 12–22 i GDPR. Enligt artikel 89.2 i GDPR får dock den nationella lagstiftaren begränsa (vissa) av den registrerades rättigheter som avses i kapitel 3 i förordningen. På grund av detta kan begränsningarna av de registrerades rättigheter variera beroende på den berörda medlemsstatens lagstiftning.

56. Dessutom kan vissa begränsningar av de registrerades rättigheter grundas direkt på förordningen, såsom åtkomstbegränsningen enligt artikel 15.4 och begränsningen av rätten till radering enligt artikel 17.3 d i GDPR. Informationsskyldigheten enligt artikel 14.5 i GDPR har redan behandlats ovan.

57. Det bör noteras att alla begränsningar av de registrerades rättigheter enligt domstolens rättspraxis måste tillämpas endast i den mån det är absolut nödvändigt .

INTERNATIONELLA UPPGIFTSÖVERFÖRINGAR FÖR VETENSKAPLIGA FORSKNINGSÄNDAMÅL

58. I samband med forskning, och framför allt i samband med covid-19-pandemin, kommer det sannolikt att finnas behov av internationellt samarbete som också kan medföra internationella överföringar av hälsouppgifter för vetenskapliga forskningsändamål utanför EES.

59. När personuppgifter överförs till ett land utanför EES eller till en internationell organisation ska uppgiftsexportören förutom att följa reglerna i GDPR , särskilt artiklarna 5 (dataskyddsprinciper), 6 20 21 (laglighet) och 9 (särskilda kategorier av uppgifter) , även efterleva kapitel V (dataöverföring) .

60. Utöver det vanliga öppenhetskrav som nämns på sidan 7 är uppgiftsexportören skyldig att informera de registrerade om att den har för avsikt att överföra personuppgifter till ett tredjeland eller en internationell organisation. Exportören bör informera om huruvida Europeiska kommissionen har fattat ett beslut om adekvat skyddsnivå och om huruvida överföringen är baserad på en lämplig skyddsåtgärd enligt artikel 46 eller om undantag enligt artikel 49.1. Denna skyldighet föreligger oavsett om personuppgifterna har erhållits direkt från den registrerade eller inte.

61. I allmänhet bör uppgiftsexportörer, när de överväger hur de ska hantera sådana villkor för överföring av personuppgifter till tredjeländer eller internationella organisationer, bedöma riskerna för de registrerades rättigheter och friheter i samband med varje överföring och välja lösningar som garanterar de registrerade kontinuerligt skydd av deras grundläggande rättigheter samt skyddsåtgärder för behandlingen av deras personuppgifter, även sedan dessa har överförts. Detta är fallet för överföringar till länder med en adekvat skyddsnivå eller vid användning av en av de lämpliga skyddsåtgärder som anges i artikel 46 i GDPR , med säkerställande av att de registrerade har tillgång till verkställbara rättigheter och effektiva rättsmedel.

62. I avsaknad av ett beslut om adekvat skyddsnivå enligt artikel 45.3 i GDPR eller lämpliga skyddsåtgärder enligt artikel 46 i GDPR föreskrivs i artikel 49 i GDPR vissa specifika situationer då personuppgifter undantagsvis får överföras. De undantag som fastställs i artikel 49 i GDPR är alltså undantag från den allmänna regeln och måste därför tolkas restriktivt och från fall till fall . Under den rådande covid-19krisen kan de undantag som tas upp i artikel 49.1 d (överföringen ”är nödvändig av viktiga skäl som rör allmänintresset”) och 49.1 a (uttryckligt samtycke) vara tillämpliga.

63. Covid-19-pandemin orsakar en exceptionell sanitär kris av aldrig tidigare skådad karaktär och omfattning. I detta sammanhang beaktar Europeiska dataskyddsstyrelsen att EU och de flesta av dess medlemsstater har erkänt kampen mot covid-19 som ett viktigt allmänintresse som kan kräva brådskande åtgärder på området vetenskaplig forskning (t.ex. för att identifiera behandlingar och/eller utveckla vacciner) och som också kan omfatta överföringar till tredjeländer eller internationella organisationer .

64. Inte bara myndigheter utan även privata enheter som arbetar för att tillvarata sådana allmänintressen (t.ex. ett universitets forskningsinstitut som samarbetar kring utvecklingen av ett vaccin med internationella partner) skulle i den rådande pandemisituationen kunna hänvisa till detta undantag.

65. Dessutom kan sådana överföringar av personuppgifter i vissa situationer, i synnerhet när privata enheter överför uppgifter för medicinska forskningsändamål i syfte att bekämpa covid-19-pandemin , alternativt ske på grundval av de registrerades uttryckliga samtycke .

66. I den rådande pandemisituationen får myndigheter och privata enheter, när de inte kan förlita sig på ett beslut om adekvat skyddsnivå enligt artikel 45.3 eller lämpliga skyddsåtgärder enligt artikel 46, utnyttja de tillämpliga undantag som nämns ovan, främst som en tillfällig åtgärd på grund av den akuta medicinska situationen i hela världen.

67. Även om covid-19-krisen kan motivera att man inledningsvis utnyttjar undantagen för överföringar i forskningssyfte i detta sammanhang, måste emellertid fortsatta överföringar av uppgifter till tredjeländer som en del av ett längre forskningsprojekt i detta syfte omges av lämpliga skyddsåtgärder i enlighet med artikel 46 i GDPR .

68. Slutligen bör det noteras att man vid varje sådan överföring måste beakta respektive roller (personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig) och de berörda aktörernas motsvarande skyldigheter (sponsor, utredare) för att identifiera lämpliga åtgärder för att underbygga överföringen.

SAMMANFATTNING

69. Huvudpunkterna i de här riktlinjerna är följande:

1. Den allmänna dataskyddsförordningen innehåller särskilda regler för behandling av hälsouppgifter för vetenskapliga forskningsändamål och dessa är tillämpliga i samband med covid-19-pandemin. 2. Den nationella lagstiftaren i varje medlemsstat får anta särskilda lagar i enlighet med artikel 9.2 i och j i GDPR för att möjliggöra behandling av hälsouppgifter för vetenskapliga forskningsändamål. Behandlingen av hälsouppgifter för vetenskapliga forskningsändamål måste också bygga på en av de rättsliga grunderna i artikel 6.1 i GDPR. Därför varierar villkoren och omfattningen av denna behandling beroende på den berörda medlemsstatens lagstiftning. 3. Alla lagar som antas på grundval av artikel 9.2 i och j i GDPR måste tolkas mot bakgrund av principerna i artikel 5 i GDPR och med beaktande av EU-domstolens rättspraxis. I synnerhet måste undantag och begränsningar i fråga om dataskyddet enligt artiklarna 9.2 j och 89.2 i GDPR endast tillämpas i den utsträckning det är absolut nödvändigt. 4. Med tanke på behandlingsriskerna i samband med covid-19-utbrottet måste man fästa stor vikt vid efterlevnaden av artiklarna 5.1 f, 32.1 och 89.1 i GDPR. Det måste utvärderas huruvida en konsekvensbedömning enligt artikel 35 i GDPR behöver genomföras. 5. Lagringsperioder (tidsramar) ska fastställas och vara proportionerliga. För att fastställa sådana lagringstider bör kriterier såsom forskningsprojektets längd och syfte tas i beaktande. Det kan också finnas nationella bestämmelser om lagringstiden, som måste beaktas. 6. I princip upphäver eller begränsar situationer som det aktuella covid-19-utbrottet inte registrerades möjligheter att utöva sina rättigheter enligt artikel 12–22 i GDPR. Enligt artikel 89.2 i GDPR får dock den nationella lagstiftaren begränsa (vissa) av den registrerades rättigheter som avses i kapitel 3 i förordningen. På grund av detta kan begränsningarna av de registrerades rättigheter variera beroende på den berörda medlemsstatens lagstiftning. 7. När det gäller internationella överföringar får myndigheter och privata enheter, i avsaknad av ett beslut om adekvat skyddsnivå enligt artikel 45.3 i GDPR eller lämpliga skyddsåtgärder enligt artikel 46 i GDPR, utnyttja de tillämpliga undantagen enligt artikel 49 i GDPR. Undantagen i artikel 49 i GDPR får dock endast användas just i undantagsfall. För Europeiska dataskyddsstyrelsen Ordföranden (Andrea Jelinek)