Kompletterande promemoria till betänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50)

U2017/04494/F

Utbildningsdepartementet

Kompletterande promemoria till betänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50)

1 Lagförslag

Förslag till forskningsdatalag (2018:XX)

Härigenom föreskrivs att 4 § forskningsdatalagen (2018:XX) ska ha följande lydelse.

4 § Denna lag tillämpas vid 4 § Denna lag tillämpas vid

2 Promemorians bakgrund och syfte

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen, kommer från och med den 25 maj 2018 att ersätta Europaparlamentets och rådets direktiv 95/45/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som personuppgiftslagen (PUL) är baserad på. Dataskyddsförordningen kommer att vara direkt tillämplig i medlemsstaterna, men förordningen både förutsätter och tillåter kompletterande bestämmelser på nationell nivå.

Mot denna bakgrund har Dataskyddsutredningen (Ju 2016:04) i sitt betänkande Ny dataskyddslag (SOU 2017:39) bland annat föreslagit att PUL ska upphävas och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) ska införas. Forskningsdatautredningen, som har haft i uppdrag att bl.a. analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella reglering som Dataskyddsutredningen har föreslagit med anledning av dataskyddsförordningen, har i sitt delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) bl.a. föreslagit att det ska införas en forskningsdatalag med syfte att möjliggöra personuppgiftsbehandling för forskningsändamål samtidigt som den enskildes fri- och rättigheter skyddas. Betänkandena har remissbehandlats.

Behandling av personuppgifter är i många fall en gränsöverskridande aktivitet. Detta gäller inte minst i forskningssammanhang. Det är till exempel inte ovanligt att den som behandlar personuppgifter om personer i Sverige inte själv är etablerad i landet. På motsvarande sätt kan företag och organisationer som är etablerade i Sverige behandla personuppgifter om individer i andra länder utan att vara etablerade där. I forskningssammanhang förekommer det också ofta samarbetsprojekt mellan forskningsutförare i olika länder. I sådana situationer uppkommer fråga om vilket lands lag som ska tillämpas – den lag som gäller i den registrerades land (effektlandsprincipen) eller den lag som gäller i det land där den personuppgiftsansvarige är etablerad (etableringslandsprincipen). Dataskyddsförordningen innehåller inte några regler om vilken nationell rätt som ska gälla vid gränsöverskridande personuppgiftsbehandling. Dataskyddsutredningen behandlade inte frågan om dataskyddslagens territoriella tillämpningsområde i sitt betänkande och Forskningsdatautredningen behandlade inte heller frågan om forskningsdatalagens territoriella tillämpningsområde i sitt delbetänkande.

Kommissionen har sammankallat en expertgrupp (E03461) om dataskyddsförordningen och Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avse-

ende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. Expertgruppen består av representanter för medlemsstaterna. I expertgruppen har kommissionen framhållit behovet av att medlemsstaterna tar ställning till det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar dataskyddsförordningen. Kommissionen har förordat att etableringslandsprincipen bör gälla som utgångspunkt (dnr Ju2017/01127-14).

Inom Justitiedepartementet har det därför utarbetats och remitterats en kompletterande promemoria till betänkandet Ny dataskyddslag (Ju2017/06940/L6) där frågan om dataskyddslagens territoriella tillämpningsområde behandlas. I promemorian föreslås det att en bestämmelse som reglerar lagens territoriella tillämpningsområde ska föras in i den föreslagna dataskyddslagen.

Mot denna bakgrund behandlas i denna promemoria frågan om den föreslagna forskningsdatalagens territoriella tillämpningsområde. Promemorian tar inte ställning till de förslag som Forskningsdatautredningen har lämnat utan endast till behovet av kompletterande bestämmelser om lagens territoriella tillämpningsområde.

3 Det territoriella tillämpningsområdet för dataskyddsregleringen ändras genom dataskyddsförordningen

I dataskyddsdirektivet anges det vilken medlemsstats nationella lag som ska tillämpas i olika fall (artikel 4). Artikeln har genomförts genom 4 § PUL. PUL gäller för sådana personuppgiftsansvariga som är etablerade i Sverige. Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredjeland men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige, om inte utrustningen bara används för att överföra uppgifter mellan ett tredjeland och ett annat sådant land (4 § PUL).

Till skillnad från dataskyddsdirektivet innehåller dataskyddsförordningen inte någon reglering om tillämplig nationell lag men i förordningen anges det territoriella tillämpningsområdet. Sverige har lämnat in en begäran om rättelse av den svenska översättningen av förordningen. Enligt lydelsen i begäran om rättelse ska förordningen tillämpas vid behandling som sker inom ramen för verksamhet som bedrivs på personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen inom unionen, oavsett om behandlingen utförs i unionen eller inte (artikel 3.1). Förordningen ska också tillämpas vid behandling av personuppgifter som avser registrerade som befinner sig i unionen och som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen, om behandlingen har anknytning till antingen utbjudande av varor eller tjänster till registrerade i unionen, eller övervakning av de registrerades beteende inom unionen (artikel 3.2). För-

ordningen ska dessutom tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten (artikel 3.3). Detta innebär att artikel 3.1 i förordningen tar sikte på var den personuppgiftsansvarige är etablerad och ger, i likhet med PUL, uttryck för etableringslandsprincipen. Artikel 3.2, som endast träffar personuppgiftsansvariga som inte är etablerade inom unionen, utgår i stället från var den registrerade fysiskt befinner sig och ger alltså uttryck för effektlandsprincpen. De båda bestämmelserna är alternativa och det räcker att en av dem är uppfylld för att förordningen ska vara tillämplig. Någon motsvarighet till artikel 3.2, som utgår från var den registrerade befinner sig, finns inte i PUL.

Dataskyddsregleringen har alltså hittills haft ett territoriellt tillämpningsområde som enbart omfattar personuppgiftsansvariga som är etablerade eller använder utrustning i landet. Nu knyts tillämpningsområdet till om personuppgiftsbehandling sker inom ramen för verksamhet som bedrivs på verksamhetsställen inom unionen, oavsett om personuppgiftsbehandlingen sker inom unionen eller inte, och i några fall ska förordningen tillämpas även när en personuppgiftsansvarig inte är etablerad i unionen.

4 Lagstiftningen kommer i vissa delar att se olika ut i medlemsländerna även efter att dataskyddsförordningen börjar gälla

Den omständigheten att den nya generella unionsrättsakten om dataskydd är en förordning, och inte ett direktiv, innebär en ytterligare harmonisering av dataskyddsreglerna inom EU. Förordningen kommer från den 25 maj 2018 att vara direkt tillämplig i medlemsstaterna. Detta innebär att personuppgiftsansvariga, som utgångspunkt, kommer att ha att förhålla sig till EU-regleringen och inte till nationell reglering. Mot den bakgrunden kan det framstå som naturligt att förordningen, till skillnad från dataskyddsdirektivet, inte innehåller någon bestämmelse om tillämplig nationell lag.

Dataskyddsförordningen har emellertid i vissa delar en direktivliknande karaktär, på så sätt att ett förhållandevis stort antal artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens regler. Detta gäller särskilt behandling av personuppgifter som sker inom den offentliga sektorn. Medlemsstaterna får till exempel behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e, dvs. som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Vidare får medlemsstaterna enligt artikel 8 sänka åldersgränsen för när ett barns eget samtycke kan läggas till grund för behandling av personuppgifter vid erbjudande av informationssamhällets tjänster. För vissa angivna

syften får medlemsstaterna enligt artikel 23 även begränsa tillämpningsområdet för många av de skyldigheter och rättigheter som regleras i förordningen. Dessutom kräver dataskyddsförordningen att medlemsstaterna inför vissa kompletterande bestämmelser, bland annat avseende rättsmedel.

När det gäller behandling av personuppgifter för forskningsändamål finns både skyldigheter och möjligheter att reglera de närmare villkoren för sådan behandling i nationell rätt. Det gäller t.ex. vilka skyddsåtgärder som ska tillämpas och om undantag från vissa av den registrerades rättigheter (se artikel 6.2, 6.3, 9.2 j och 89).

Regelverket avseende dataskydd kommer således även efter den 25 maj 2018 att i vissa avseenden se olika ut i medlemsstaterna, inte minst gäller detta vid personuppgiftsbehandling för forskningsändamål. Detta innebär att det, trots att dataskyddsförordningen är direkt tillämplig i medlemsstaterna, kan finnas ett behov av att reglera det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar förordningen.

5 Det föreslås att det i dataskyddslagen ska införas en bestämmelse om lagens territoriella tillämpningsområde

I promemorian Kompletterande promemoria till betänkandet Ny dataskyddslag (SOU 2017:39) föreslås, som nämnts, att det i den föreslagna dataskyddslagen ska föras in en bestämmelse som reglerar lagens territoriella tillämpningsområde. I promemorian konstateras att det ur ett tillämpningsperspektiv är viktigt att det står klart i vilka fall dataskyddslagen gäller vid gränsöverskridande behandling av personuppgifter. Utan reglering av det territoriella tillämpningsområdet kommer det att råda osäkerhet i denna fråga. Av rättssäkerhetsskäl föreslås det därför att det ska införas en uttrycklig bestämmelse om det territoriella tillämpningsområdet i dataskyddslagen.

Enligt den föreslagna bestämmelsen ska lagen gälla vid behandling av personuppgifter som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade i Sverige, om behandlingen utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen här i landet. Lagen ska även gälla vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i Sverige, men på en plats där svensk rätt gäller enligt folkrätten. Lagen ska dessutom gälla vid behandling av personuppgifter som avser registrerade som befinner sig i Sverige och som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som endast är etablerade i tredjeland, om behandlingen har anknytning till

1. utbjudande av varor eller tjänster till registrerade i Sverige, eller 2. övervakning av registrerades beteende i Sverige.

När det gäller bestämmelsen i 2 kap. 2 § i dataskyddslagen om barns samtycke till behandling av personuppgifter vid erbjudande av inform-

ationssamhällets tjänster föreslås det däremot att den ska gälla alla barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller deras biträden är etablerade.

6 Det bör även införas en bestämmelse i forskningsdatalagen om lagens territoriella tillämpningsområde

Förslag: Forskningsdatalagen ska tillämpas vid behandling av personuppgifter för forskningsändamål som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade i Sverige, om behandlingen utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen här i landet.

Skälen för förslaget

En reglering av forskningsdatalagens territoriella tillämpningsområde

behövs av rättssäkerhetsskäl

När dataskyddsförordningen börjar gälla blir den direkt tillämplig i medlemsländerna. Den gäller som huvudprincip för behandling av personuppgifter inom ramen för verksamhet som bedrivs vid verksamhetsställen som personuppgiftsansvariga eller personuppgiftsbiträden har inom unionen. När det gäller behandling av personuppgifter för forskningsändamål finns både skyldigheter och möjligheter att reglera de närmare villkoren för sådan behandling i nationell rätt. Det gäller t.ex. vilka skyddsåtgärder som ska tillämpas och om undantag från vissa av den registrerades rättigheter ska gälla. Lagstiftningen kommer alltså att se olika ut i olika länder. Den föreslagna forskningsdatalagen innehåller bl.a. bestämmelser om generella skyddsåtgärder vid behandling av personuppgifter för forskningsändamål, särskilda skyddsåtgärder vid behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. och bestämmelser om undantag i vissa fall från vissa av artiklarna i dataskyddsförordningen som reglerar den registrerades rättigheter. Det förekommer ofta samarbete mellan forskningsutförare i olika länder i forskningssammanhang. Forskare önskar och behöver kunna använda forskningsdata om forskningspersoner i andra länder. I forskningsprojekt behöver data om forskningspersoner i olika länder kunna utbytas och sammanställas. För att inte hindra att forskning bedrivs och flödet av personuppgifter är det viktigt att forskare vet vilka bestämmelser de har att rätta sig efter. Det är således ur ett tillämpningsperspektiv viktigt att det står klart i vilka fall forskningsdatalagen gäller vid gränsöverskridande behandling av personuppgifter för forskningsändamål. Utan reglering av det territoriella tillämpningsområdet kommer det att råda osäkerhet i denna fråga. Av rättssäkerhetsskäl bör det därför införas en uttryck-

lig bestämmelse om det territoriella tillämpningsområdet i forskningsdatalagen.

Regleringen bör följa dataskyddsförordningens principer

I detta sammanhang måste beaktas att dataskyddsförordningen har ett dubbelt syfte: dels att stärka skyddet för personuppgifter, dels att underlätta det fria flödet av personuppgifter inom unionen. I artikel 1.2 anges att förordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. I artikel 1.3 anges att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Där framgår syftet att nivån på dataskyddet ska vara likvärdigt i alla medlemsstater så att olika skyddsnivåer inte hindrar det fria flödet av personuppgifter och därigenom hindrar bedrivandet av ekonomisk verksamhet på unionsnivå, snedvrider konkurrensen eller hindrar myndigheter från att fullgöra sina skyligheter enligt unionsrätten.

Etableringslandsprincipen kan sägas vara utgångspunkten i dataskyddsförordningens reglering om det territoriella tillämpningsområdet (artikel 3.1 och 3.3). Ett val av etableringslandsprincipen som huvudregel för forskningsdatalagens tillämpningsområde skulle således harmoniera väl med regleringen i förordningen.

Vid mötena i kommissionens expertgrupp har framkommit att kommissionen förordar etableringslandsprincipen. Som framgått är vidare etableringslandsprincipen den princip som valts för den föreslagna regleringen av dataskyddslagens territoriella tillämpningsområde och ett val av den principen harmoniserar således även med regleringen i dataskyddslagen.

Det kan också konstateras att personuppgiftslagens reglering om tillämpningsområdet utgår från etableringslandsprincipen. Ett val av denna princip skulle således innebära en kontinuitet i förhållande till den nuvarande regleringen.

Mot denna bakgrund bör etableringslandsprincipen gälla som utgångspunkt för forskningsdatalagens territoriella tillämpningsområde och lagen bör tillämpas vid behandling som utförs inom ramen för den verksamhet som bedrivs vid ett verksamhetsställe i Sverige. Om forskning bedrivs inom ramen för verksamhet som bedrivs vid ett verksamhetsställe i Sverige kommer forskningsdatalagen att gälla även om behandlingen av personuppgifter avser personer i ett annat land. Omvänt kommer lagen inte att gälla för personuppgiftsansvariga som saknar verksamhetsställe i Sverige, även om de behandlar uppgifter om personer i Sverige. Avgörande för om forskningsdatalagen ska tillämpas blir således om personuppgiftsbehandlingen sker inom ramen för en forskningsverksamhet som bedrivs vid ett verksamhetsställe i Sverige oavsett var själva personuppgiftsbehandlingen rent fysiskt äger rum. Sker personuppgiftsbehandlingen i en verksamhet som en forskningsutförare vid ett verksamhetsställe i Sverige ansvarar för och är personuppgiftsansvarig för ska forskningsdatalagen tillämpas.

När det gäller tillämpningsområdet för dataskyddslagen föreslås det, som nämnts, att lagen dessutom ska gälla vid behandling av personupp-

gifter som avser registrerade som befinner sig i Sverige och som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som endast är etablerade i tredjeland, om behandlingen har anknytning till utbjudande av varor eller tjänster till registrerade i Sverige, eller övervakning av registrerades beteende i Sverige. Eftersom behandling av personuppgifter för forskningsändamål inte har någon anknytning till utbjudande av varor eller tjänster eller övervakning av registrerades beteende bedöms någon motsvarighet till förslaget i dataskyddslagen i denna del inte behöva införas i forskningsdatalagen.

Är regleringen av tillämpningsområdet för forskningsdatalagen förenlig

med tillämpningsområdet för etikprövningslagen?

I den föreslagna forskningsdatalagen regleras den skyddsåtgärd som krävs i nationell rätt för att behandling av känsliga personuppgifter för forskningsändamål enligt artikel 9.2 j i dataskyddsförordningen ska vara tillåten. Det anges att behandling av sådana personuppgifter får ske om behandlingen är nödvändig för forskningsändamål och behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, nedan kallad etikprövningslagen (11 §). Etikprövningslagen ska tillämpas på forskning som ska utföras i Sverige (5 § etikprövningslagen). Som nämnts föreslås det i Forskningsdatautredningens betänkande inte någon reglering av det territoriella tillämpningsområdet för forskningsdatalagen. Det föreslås inte heller någon ändring av tillämpningsområdet för etikprövningslagen.

Huvudprincipen är som framgått att dataskyddsförordningen ska tillämpas på behandling av personuppgifter som sker inom ramen för den verksamhet som bedrivs vid verksamhetsställen som personuppgiftsansvariga eller personuppgiftsbiträden har inom unionen, oavsett var behandlingen av personuppgifter äger rum. En reglering som följer denna princip föreslås i dataskyddslagen och nu också i forskningsdatalagen. Frågan blir då om en sådan reglering kan förenas med att etikprövning enligt etikprövningslagen ska ske av forskning som ska utföras i Sverige.

Enligt skäl 22 till dataskyddsförordningen innebär verksamhetsställe det faktiska och reella utförandet av verksamhet med hjälp av en stabil struktur. Stabil struktur innebär att verksamheten ska utövas på ett varaktigt sätt men det måste inte vara fråga om att den personuppgiftsansvarige har sin huvudsakliga verksamhet på stället. Det krävs att man använder både mänskliga och maskinella resurser. Det som avses med att forskning utförs enligt etikprövningslagen är själva genomförandefasen, dvs. att forskningspersoner rekryteras och inhämtande av underlag påbörjas, att försök genomförs samt att inhämtat underlag analyseras och bearbetas (prop. 2002/03:50 s. 114). Detta innefattar också den behandling av personuppgifter som krävs för insamlande av informationen och bearbetning och analys av materialet. Man bör kunna utgå från att för att forskning ska kunna utföras i Sverige behöver det också finnas ett verksamhetsställe i Sverige liksom att om forskning utförs i ett annat land så finns det ett verksamhetsställe där. Därmed gäller forskningsdatalagen för personuppgiftsbehandling som sker inom ramen för forskningsverksamhet som bedrivs vid verksamhetsstället i Sverige och behandling av känsliga personuppgifter får ske om det har godkänts vid etikprövning

enligt etikprövningslagen. Den nationella lagstiftningen forskningsdatalagen och etikprövningslagen bedöms därmed vara förenliga.

Det finns fall där olika delar av ett forskningsprojekt sker i olika länder. Etikprövning ska i sådana fall ske av den del av forskningsprojektet som ska ske i Sverige, dvs. den del som sker inom ramen för verksamheten vid verksamhetsstället i Sverige. Forskningsdatalagen kommer att gälla för sådan personuppgiftsbehandling som sker inom ramen för verksamheten, den del av projektet, som sker vid verksamhetsstället i Sverige. För personuppgiftsbehandlingen i de delar av projektet som sker inom ramen för verksamheten vid ett verksamhetsställe i ett annat EUland kommer det landets lagstiftning att gälla om de principer som uttrycks i dataskyddsförordningen följs och etableringsprincipen tillämpas i den nationella rätten i det andra landet.

När det i etikprövningslagen talas om forskning är behandling av personuppgifter en del av det vetenskapliga experimentella eller teoretiska arbetet. I 3 § anges att lagen ska tillämpas på forskning som innefattar behandling av känsliga personuppgifter enligt 13 § PUL eller personuppgifter om lagöverträdelser enligt 21 § PUL. När det anges att lagen är tillämplig på forskning som ska utföras i Sverige kan det tolkas så att lagen är tillämplig när den personuppgiftsbehandling som sker i forskningen utförs i Sverige. Regleringen i dataskyddsförordningen liksom i den föreslagna bestämmelsen i forskningsdatalagen bygger på var den personuppgiftsansvarige är etablerad och att behandling av personuppgifter sker inom ramen för den verksamhet som den personuppgiftsansvarige bedriver oberoende av var personuppgiftsbehandlingen faktiskt äger rum medan regleringen i etikprövningslagen alltså bygger på var forskningen som innefattar personuppgiftsbehandling utförs. I något fall kan det tänkas att personuppgiftsbehandling som sker inom ramen för forskningsverksamhet som bedrivs av en forskningsutförare som har verksamhetsställe rent faktiskt äger rum utanför Sverige. Etikprövningslagen skulle då inte vara tillämplig. Vid införandet av etikprövningslagen övervägdes om lagens tillämpningsområdet även skulle avse sådan forskning som utförs utanför Sverige, om forskningshuvudmannen har sitt säte (hemvist) i Sverige. Regeringen ansåg då att ytterligare övervägande behövde göras beträffande konsekvenserna av ett sådant system och föreslog att etikprövning skulle ske av forskning som ska utföras i Sverige. Ett beredningsunderlag för en anpassning av etikprövningslagen som skulle kunna vara aktuellt saknas i nuläget. I en sådan situation där personuppgiftsbehandlingen i forskningsverksamhet som bedrivs på ett verksamhetsställe i Sverige utförs utanför Sverige och forskningsutföraren inte kan få ett etikgodkännande för en behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser behöver den personuppgiftsansvarige förlita sig på samtycke från de registrerade enligt artikel 6.1 a i dataskyddsförordningen.

7 Konsekvenser

EU.s dataskyddsförordning blir direkt tillämplig i medlemsstaterna när den ska börja tillämpas den 25 maj 2018. Alla personuppgiftsansvariga, såväl myndigheter som företag och organisationer, som avser att behandla personuppgifter har att i första hand följa bestämmelserna i dataskyddsförordningen. Förordningen får genomgripande konsekvenser för alla forskningsutförare som använder sig av personuppgifter. Dataskyddsförordningen ger vissa möjligheter till nationella kompletterande och specificerande bestämmelser, bl.a. när det gäller personuppgiftsbehandling för forskningsändamål. Forskningsdatalagen innehåller sådan kompletterande nationell reglering och syftet med lagen är att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål samtidigt som regleringen skyddar den enskildes fri- och rättigheter. Konsekvenserna av att regleringen i forskningsdatalagen införs har beskrivits i Forskningsdatautredningens betänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). Här beskrivs enbart konsekvenserna av den i denna promemoria föreslagna bestämmelsen om forskningsdatalagens territoriella tillämpningsområde.

För såväl offentliga som privata forskningsutförare innebär den föreslagna bestämmelsen att det vid gränsöverskridande forskningssamarbete blir tydligt i vilka fall forskningsutförarna har att tillämpa den svenska forskningsdatalagen. Utan en reglering av det territoriella tillämpningsområdet skulle det råda osäkerhet kring vilket lands lag som ska tillämpas vid sådana samarbeten och således om vilka förutsättningar som gäller. Regleringen bedöms bidra till att det blir tydligt för myndigheter, företag och organisationer som bedriver forskning vilka förutsättningar som gäller. Detta bedöms bidra till att samhällsnyttig forskning inte hindras utan kommer till stånd.

I dag regleras personuppgiftsbehandling för forskningsändamål av PUL. PUL gäller som huvudregel för sådana personuppgiftsansvariga som är etablerade i Sverige och den föreslagna bestämmelsen i forskningsdatalagen innebär på så sätt en kontinuitet för forskningsutförarna. Även fortsättningsvis kommer det att vara avgörande för om en forskningsutförare har att tillämpa den svenska lagstiftningen om denne är etablerad i Sverige, dvs. har ett verksamhetsställe i landet.

För att forskning som innefattar behandling av känsliga personuppgifter ska vara tillåten krävs det i dag ett godkännande enligt etikprövningslagen. Den lagen gäller när forskning ska utföras i Sverige. Det föreslås inte någon ändring av tillämpningsområdet för etikprövningslagen. Det förslag till forskningsdatalag som lämnats av Forskningsdatautredningen och som bereds inom Regeringskansliet innebär att den reglering som idag finns i PUL när det gäller vilken forskning som ska bli föremål för etikprövning (19 § PUL) föreslås behållas och föras in i forskningsdatalagen. Även på så sätt innebär alltså förslaget en kontinuitet för forskningsutförarna och den verksamhet de bedriver.

Etableringslandsprincipen, som gäller enligt PUL i dag, föreslås gälla som princip även för när forskningsdatalagen ska vara tillämplig och etikprövningslagen ska fortsatt gälla när forskning utförs i Sverige. Det blir därmed även fortsättningsvis de forskningsutförare som har verk-

samhetsställe i Sverige och utför forskning i Sverige som kommer att vara skyldiga att ansöka om etikprövning. Förslaget bedöms därför inte heller nämnvärt påverka antalet ärenden hos etikprövningsnämnderna.

Förslaget om forskningsdatalagens tillämpningsområde följer den princip som är utgångspunkten i dataskyddsförordningens reglering av tillämpningsområdet för förordningen och är därmed förenligt med EUrätten.