Den registrerades rättigheter i vetenskaplig forskning

Det finns skäl att redan i studiens planeringsskede begrunda vilka rättigheter för registrerade som är förknippade med personuppgifternas behandlingsgrund. Undersökningsobjektet ska informeras om vilka av hens personuppgifter som behandlas, vilka rättigheter hen har och hur de kan användas. Den personuppgiftsansvarige ska sträva efter att underlätta användningen av den registrerades rättigheter.

När den registrerade tar kontakt gällande sina rättigheter, måste den personuppgiftsansvarige utan onödigt dröjsmål svara den registrerade, dock senast inom en månad från mottagandet av begäran. I svaret ska den personuppgiftsansvarige redogöra för de åtgärder som denne vidtagit med anledning av begäran. Om antalet begäran är många eller om de är komplicerade, kan den personuppgiftsansvarige i sitt svar meddela att mer tid behövs för handläggningen. I sådana fall kan den utsatta tiden förlängas med högst två månader. Förlängningen av den utsatta tiden ska motiveras. Den registrerades utnyttjande av rättigheterna är i regel kostnadsfritt.

Det är endast sällan möjligt att göra undantag från den registrerades rättigheter. De personer som undersöks ska informeras om sina rättigheter och begränsningen av rättigheterna i ett så tidigt skede som möjligt. Om den personuppgiftsansvarige vägrar att tillmötesgå den registrerades begäran, ska den underrätta den registrerade om detta senast inom en månad från det att begäran tagits emot. Vägran ska motiveras. Den personuppgiftsansvarige ska också underrätta den registrerade om möjligheten att framföra klagomål till tillsynsmyndigheten och att använda andra rättsmedel.

Den registrerades rättigheter och begränsning av dem

Utgångspunkten i historisk och vetenskaplig forskning är att den registrerade har rätt till rättigheter i enlighet med den valda behandlingsgrunden. Den registrerade har i regel möjlighet att påverka behandlingen av personuppgifter i studien genom rättigheterna som hör till behandlingsgrunden.

Ibland är forskningsprojektet av sådan karaktär att genomförandet av det undantagsvis förutsätter begränsning av den registrerades rättigheter, som är förknippade med behandlingsgrunden. Begränsningen gällande den registrerades rättigheter kan bli föremål för begrundande redan i planeringen av studien eller senare då forskningsprojektet redan är i gång. Det går att göra undantag från olika rättigheter på olika grunder. Vissa undantagsgrunder förutsätter åtgärder redan innan behandlingen av personuppgifterna inleds.

Undantag från den registrerades rättigheter förutsätter alltid prövning från fall till fall. Det måste finnas ett motiverat skäl till undantaget. Den registrerades rättigheter får inte begränsas mer än vad som är nödvändigt med tanke på studien. Bara det att genomförandet av den registrerades rättigheter genererar merarbete och kräver resurser av den personuppgiftsansvarige möjliggör inte undantag från den registrerades rättigheter. När den personuppgiftsansvarige gör undantag från den registrerades rättigheter, måste hen kunna påvisa att undantaget sker i enlighet med dataskyddslagstiftningen. Den personuppgiftsansvarige ska även underrätta den registrerade om att hen, om hen vill, kan föra ärendet gällande begränsningen av rättigheterna för utredning till dataombudsmannen.

Personen som undersöks ska på förhand ges tillräckligt med information om rättigheterna och de särskilda begränsningarna, som den personuppgiftsansvarige får utnyttja. Eventuell begränsning av en rättighet får inte komma som en överraskning för den registrerade när hen försöker utnyttja rättigheten.

Det är tillåtet att underlåta sig att informera undersökningsobjektet om begränsningen av rättigheterna endast om meddelandet skulle äventyra forskningsändamålet och man har vidtagit erforderliga skyddsåtgärder. Dessutom kan ett undantag från informeringen göras om det finns någon annan lagstadgad grund till det.

En förutsättning för undantaget är även alltid att personuppgifterna för övrigt behandlas i enlighet med dataskyddsbestämmelserna. Den personuppgiftsansvarige ska särskilt observera den betonade skydds- och minimeringsskyldigheten förknippad med vetenskaplig forskning. De erforderliga skyddsåtgärderna beror på de fallspecifika omständigheterna för behandlingen av personuppgifter, men skyddsåtgärderna kan till exempel vara konsekvensbedömning gällande dataskydd, pseudonymisering av personuppgifter, minimering av insamlade personuppgifter och förvaringstiden samt tekniska och organisatoriska åtgärder för att trygga skydd av hög kvalitet.  

Behandlingsåtgärder som vidtas i forskningssyften förutsätter sällan identifiering av den registrerade. I studien strävar man efter att minimera behandlingen av personuppgifter så snabbt som möjligt, ofta genom att pseudonymisera eller anonymisera uppgifterna. Den personuppgiftsansvarige har inte skyldighet att förvara, införskaffa eller behandla ytterligare uppgifter om den registrerade för identifieringen, om detta är nödvändigt endast för att efterleva dataskyddsförordningen.

Syftet med minimeringen av uppgifter är dock inte att försämra den registrerades rättigheter. Den registrerade ska kunna utnyttja sina dataskyddsrättigheter genom att ge nödvändiga ytterligare uppgifter för identifiering. Den personuppgiftsansvarige ska kunna precisera vilka ytterligare uppgifter den behöver för att genomföra den registrerades rättigheter. Om den personuppgiftsansvarige inte kan specificera de nödvändiga ytterligare uppgifterna, förhindrar det i sak användningen av den registrerades uppgifter. Det lönar sig dock att komma ihåg att den personuppgiftsansvarige har skyldighet att underlätta den registrerades utnyttjande av rättigheterna.

Till historiska och vetenskapliga studier samt statistikföring fås uppgifter ofta för andra ändamål från etablerade register, till exempel befolkningsdatasystemet eller patientregistret. Även om den registrerades rättigheter har på lagstadgade grunder begränsats i historisk och vetenskaplig forskning, gäller begränsningarna inte behandlingen av personuppgifter som sker i det ursprungliga syftet. Den registrerade kan utnyttja sina dataskyddsrättigheter gällande forskningsregistrets ursprungliga datakälla i den utsträckning som det ursprungliga användningsändamålet och behandlingsgrunden tillåter. Studiens personuppgiftsansvarige ska svara sakligt på begäran som gäller den registrerades rättigheter och för eventuella undantag ska det alltid finnas en lagstadgad grund. Studiens personuppgiftsansvarige kan inte överföra ansvaret för genomförandet av de registrerades rättigheter till datakällans personuppgiftsansvarige.

Härnäst går vi igenom de undantag till de registrerades rättigheter som baseras på behandling av personuppgifter i vetenskapliga eller historiska forskningssyften.

Undantag från den registrerades rättigheter, då behandlingen utförs i vetenskapliga eller historiska forskningssyften

Den registrerades rätt att få information om behandlingen av sina personuppgifter

När uppgifterna samlas in direkt från undersökningsobjektet

Undersökningsobjektet har rätt att få information om behandlingen av sina personuppgifter. När personuppgifterna samlas in direkt från den registrerade, kan personuppgiftsansvarige göra undantag från skyldigheten att informera endast då den registrerade redan fått information om behandlingen av personuppgifterna.

Den personuppgiftsansvarige ska underrätta den registrerade om hen avser att behandla personuppgifter, som ursprungligen samlats in för ett annat ändamål, till exempel i historiska eller vetenskapliga forskningssyften. Informeringen ska ske innan den fortsatta behandlingen inleds.

När uppgifterna fås annanstans ifrån

När uppgifterna om den registrerade fås annanstans ifrån än den registrerade själv, är det möjligt att göra undantag från informeringen under vissa förutsättningar. Uppgifter om den registrerade till historisk eller vetenskaplig forskning kan till exempel fås med myndigheternas tillstånd från deras personregister.

Fall där undantag är möjligt

1. Tillhandahållandet av uppgifterna visade sig vara omöjligt

• Detta är en så kallad allt eller ingenting-situation, eftersom saker och ting antingen är omöjliga eller inte. Om den personuppgiftsansvarige åberopar detta undantag, måste den kunna påvisa vilka faktorer som i verkligheten förhindrar att den registrerade kan tillhandahållas uppgifterna. Om hindren upphör inom en tid och tillhandahållandet av uppgifterna till den registrerade återigen är möjligt, ska den personuppgiftsansvarige omedelbart tillhandahålla uppgifterna. I praktiken kan den personuppgiftsansvarige endast sällan påvisa att tillhandahållandet av uppgifterna till den registrerade är omöjligt.

2. Tillhandahållandet av uppgifterna skulle kräva oskäligt besvär

• Den personuppgiftsansvarige kan bedöma huruvida tillhandahållandet av uppgifterna orsakar oskäligt besvär.  Den personuppgiftsansvarige ska jämföra det besvär som tillhandahållandet av uppgifterna ger upphov till med hurdana verkningar orsakas för den registrerade om hen inte tillhandahålls uppgifterna. I bedömningen ska hänsyn tas till antalet registrerade, hur gamla uppgifterna är och eventuella godkända och erforderliga skyddsåtgärder. Den personuppgiftsansvarige ska dokumentera bedömningen i enlighet med ansvarsskyldigheten.

Exempel:  
Historieforskare, som strävar efter att fastställa släktlinjer på basis av efternamn, får tillgång till ett omfattande datamaterial, som består av personuppgifter om 20 000 registrerade.  Materialet har sammanställts 50 år tidigare och har inte uppdaterats sedan dess. Materialet innehåller heller inte några kontaktuppgifter. För att de registrerade ska få uppgifter i enlighet med skyldigheten att informera, ska forskarna försöka spåra alla 20 000 registrerade. Med beaktande av databasens storlek och särskilt dess ålder, skulle det orsaka oskäligt besvär för forskarna att tillhandahålla uppgifterna.

3. Skyldigheten att informera skulle hindra uppnåendet av forskningsändamålet eller försvåra det i omfattande utsträckning

• För att utnyttja detta undantag måste den personuppgiftsansvarige påvisa att tillhandahållandet av endast uppgifter som hänför sig till skyldigheten att informera i sig skulle förhindra uppnåendet av målen med studien.

Undantag från skyldigheten att informera förutsätter dessutom att den personuppgiftsansvarige utarbetar en konsekvensbedömning. Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen.

Den personuppgiftsansvarige ska även offentligt tillhandahålla uppgifter i enlighet med skyldigheten att informera, även om de inte behöver tillhandahållas den registrerade personligen. I praktiken kan den personuppgiftsansvarige berätta om behandlingen av personuppgifterna till exempel på sin egen webbplats, med en annons i en dagstidning eller affischer som sätts upp på väggen på verksamhetsstället. Den personuppgiftsansvarige ska bedöma sättet att göra uppgifterna offentliga från fall till fall.

Den registrerades rätt att få tillgång till uppgifterna

En registrerad har rätt att av den personuppgiftsansvarige få en bekräftelse på att denne behandlar personuppgifter som gäller hen. Om uppgifter om en registrerad behandlas, ska den personuppgiftsansvarige ge hen en kopia av de personuppgifter som behandlas. Om den registrerade lämnar begäran i elektronisk form, ska uppgifterna om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat. Läs mer om rätten till tillagång till uppgifter

Undantag kan vid behov göras från denna rättighet om

1. behandlingen av uppgifterna grundar sig på en ändamålsenlig forskningsplan,
2. det finns en ansvarig person eller en grupp som ansvarar för forskningen, och
3. personuppgifterna används och lämnas ut endast för historisk eller vetenskaplig forskning eller ett annat förenligt ändamål och verksamheten också i övrigt bedrivs så att uppgifter om bestämda personer inte röjs för utomstående.

Nödvändigheten att göra undantag ska prövas från fall till fall. Ett undantag från den registrerades rättigheter är möjligt enbart i den utsträckning som
1) sådana rättigheter sannolikt förhindrar uppnåendet av dessa särskilda ändamål eller försvårar det i hög grad och
2) sådana undantag är nödvändiga för att uppfylla dessa ändamål.

Den personuppgiftsansvarige ska från fall till fall pröva om det är nödvändigt att göra undantag från granskningsrätten och om motiverade grunder föreligger för detta. För att utnyttja detta undantag måste den personuppgiftsansvarige påvisa att genomförandet av granskningsrätten skulle förhindra uppnåendet av ålen med studien eller försvåra det i hög grad.

Om man vill göra undantag från granskningsrätten vid behandling av särskilda personuppgifter eller personuppgifter som gäller domar i brottmål eller förseelser, ska den personuppgiftsansvarige, utöver uppfyllandet av ovan nämnda krav, utarbeta en konsekvensbedömning gällande dataskyddet enligt artikel 35 i dataskyddsförordningen. Konsekvensbedömningen ska tillhandahållas skriftligt för kännedom till dataombudsmannen innan behandlingen inleds.

Om den personuppgiftsansvarige har grund till att begränsa granskningsrätten, kan utnyttjandet av andra rättigheter också begränsas, till exempel då det inte finns någon möjlighet att bedöma uppgifternas riktighet. Man bör även komma ihåg att utlämningen av uppgifter för vetenskaplig forskning syns i uppgifterna i registret som fungerat som datakälla, till exempel patientregistret eller kreditupplysningsregistret. I sådana fall kan den registrerade få information om personuppgifterna som behandlas från den ursprungliga datakällan. Den registrerade kan begära att uppgifterna om hen raderas ur forskningsregistret, även om hen inte har granskningsrätt till det ifrågavarande registret.

Den registrerades rätt att rätta uppgifterna

En registrerad har rätt att begära att den personuppgiftsansvarige rättar inexakta och felaktiga personuppgifter som gäller hen. Den registrerade har också rätt att få bristfälliga personuppgifter kompletterade.

Undantag kan vid behov göras från denna rätt om

1. behandlingen av uppgifterna grundar sig på en ändamålsenlig forskningsplan,
2. det finns en ansvarig person eller en grupp som ansvarar för forskningen, och
3. personuppgifterna används och lämnas ut endast för historisk eller vetenskaplig forskning eller ett annat förenligt ändamål och verksamheten också i övrigt bedrivs så att uppgifter om bestämda personer inte röjs för utomstående.

Nödvändigheten att göra undantag ska prövas från fall till fall. Ett undantag från den registrerades rättigheter är möjligt enbart i den utsträckning som
1) sådana rättigheter sannolikt förhindrar uppnåendet av dessa särskilda ändamål eller försvårar det i hög grad och
2) sådana undantag är nödvändiga för att uppfylla dessa ändamål.

Den personuppgiftsansvarige ska från fall till fall pröva om det är nödvändigt att göra undantag från rätten och om motiverade grunder föreligger för detta. För att utnyttja detta undantag måste den personuppgiftsansvarige påvisa att genomförandet av rätten till att rätta uppgifterna skulle förhindra uppnåendet av målen med studien eller försvåra det i hög grad.

Uppgifternas korrekthet kan dock direkt påverka även forskningsresultatens korrekthet och tillförlitlighet, vilket innebär att också den som bedriver forskningsprojektet kan ha intresse av att rätta uppgifterna. Det kan dock förekomma situationer där det uppstår olika synpunkter på korrektheten i de insamlade uppgifterna om undersökningsobjektet. I sådana situationer måste undantagsgrunderna analyseras från fall till fall.

Om man vill göra undantag från rätten att rätta uppgifter vid behandling av särskilda personuppgifter eller personuppgifter som gäller domar i brottmål eller förseelser, ska den personuppgiftsansvarige, utöver uppfyllandet av ovan nämnda krav, utarbeta en konsekvensbedömning gällande dataskyddet enligt artikel 35 i dataskyddsförordningen. Konsekvensbedömningen ska tillhandahållas skriftligt för kännedom till dataombudsmannen innan behandlingen inleds.

Den registrerades rätt till borttagning av uppgifter och bli bortglömd

Den registrerade har rätt att kräva borttagning av sina uppgifter när hen

• återkallar sitt samtycke
• utnyttjar sin rätt att motsätta sig behandlingen
• anser att uppgifterna är onödiga med tanke på studien eller
• upplever att uppgifterna har på annat sätt behandlats i strid med lagen i studien.

Ibland avbryter undersökningsobjektet studien till exempel genom att hoppa av möten förknippade med forskningsprojektet. Detta ålägger inte ännu den personuppgiftsansvarige att ta bort uppgifterna ur studien. Den personuppgiftsansvarige kan fortsätta behandla personuppgifterna inom ramarna för studien, såvida undersökningsobjektet inte framför en uttrycklig begäran om att uppgifterna tas bort.

Undantag från rätten till borttagning av uppgifter eller att bli bortglömd kan göras i fall där borttagningen av uppgifterna sannolikt skulle förhindra behandling i vetenskapliga eller historiska forskningssyften eller försvåra det i omfattande utsträckning. För att utnyttja detta undantag måste den personuppgiftsansvarige med hjälp av fallspecifika analyser påvisa hur borttagningen av uppgifterna skulle förhindra uppnåendet av det vetenskapliga forskningsändamålet eller försvåra det i omfattande utsträckning.

En hänvisning på allmän nivå om den inverkan som borttagningen av uppgifterna skulle ha på forskningsresultatens tillförlitlighet är inte i sig en tillräcklig grund för att begränsa den registrerades rättigheter gällande borttagning av uppgifter. Undantaget och dess oundgänglighet ska motiveras med tanke på den aktuella studien.

Vid bedömningen av forskningsresultaten ska det observeras att korrektheten påverkas av många olika saker ända från studiens frågeskede. Om den registrerades rätt att ta bort sina uppgifter genomförs i studien, kan forskaren ersätta de saknade uppgifterna och korrigera korrektheten i forskningsresultaten till exempel genom att rapportera metoderna och eventuella ändringar i forskningsplanen, genom att göra ytterligare rekryteringar samt använda beräkningssätt, som strävar efter att neutralisera effekterna av de saknade uppgifterna. Det hur lätt korrektheten i forskningsresultaten äventyras med anledning av borttag av en enskild persons uppgifter beror på den fullständiga forskningsplanen och grunden till begränsningen ska vägas mot detta.

Den registrerades rätt att begränsa behandlingen av uppgifter

När behandlingen av personuppgifter begränsas, får personuppgifterna, utöver förvaringen, endast behandlas under noggrant fastställda förutsättningar, såsom med den registrerades samtycke. Undersökningsobjektet har rätt att begränsa behandlingen av personuppgifter till exempel när den personuppgiftsansvariges behandlingsgrund är berättigat intresse eller att den registrerade motsätter sig behandlingen av uppgifterna och det utreds om den personuppgiftsansvariges berättigade grunder åsidosätter den registrerades grunder. Begränsningen kan genomföras till exempel genom att överföra valda uppgifter till ett annat behandlingssystem eller genom att förhindra användarnas åtkomst till uppgifterna.

Det är möjligt att göra undantag från rätten att begränsa behandlingen av uppgifter om

1. behandlingen av uppgifterna grundar sig på en ändamålsenlig forskningsplan,
2. det finns en ansvarig person eller en grupp som ansvarar för forskningen, och
3. personuppgifterna används och lämnas ut endast för historisk eller vetenskaplig forskning eller ett annat förenligt ändamål och verksamheten också i övrigt bedrivs så att uppgifter om bestämda personer inte röjs för utomstående.

Nödvändigheten att göra undantag ska prövas från fall till fall. Ett undantag från den registrerades rättigheter är möjligt enbart i den utsträckning som
1) sådana rättigheter sannolikt förhindrar uppnåendet av dessa särskilda ändamål eller försvårar det i hög grad och
2) sådana undantag är nödvändiga för att uppfylla dessa ändamål.

Om man vill göra undantag från rätten att rätta uppgifter vid behandling av särskilda personuppgifter eller personuppgifter som gäller domar i brottmål eller förseelser, ska den personuppgiftsansvarige, utöver uppfyllandet av ovan nämnda krav, utarbeta en konsekvensbedömning gällande dataskyddet enligt artikel 35 i dataskyddsförordningen. Konsekvensbedömningen ska tillhandahållas skriftligt för kännedom till dataombudsmannen innan behandlingen inleds.

Den registrerades rätt att motsätta sig behandlingen av uppgifter

När uppgifter behandlas för vetenskapliga eller historiska forskningssyften eller statistiska syften, kan den registrerade göra en invändning mot behandlingen utifrån en grund som anknyter till den personliga situationen, förutom om behandlingen är nödvändig för att utföra en uppgift som gäller det allmänna intresset. Om den registrerade motsätter sig behandlingen av sina uppgifter, får den personuppgiftsansvarige inte längre behandla personuppgifterna, såvida det inte på annat sätt finns en grund till att göra undantag från rätten att motsätta sig behandlingen.

Begränsningen av rätten att motsätta sig behandlingen kan vara motiverad också på grund av skäl förknippade med själva forskningsprojektet. Dataskyddslagen förutsätter att man i begränsningen av rätten att motsätta sig behandlingen i vetenskaplig och historisk forskning efterlever förfaringssättet som föreskrivs i § 31, oberoende av vilken behandlingsgrunden för personuppgifterna är (t.ex. uppgift i enlighet med det allmänna intresset). I sådana fall är undantag från rätten att motsätta sig behandlingen möjlig om

1. behandlingen av uppgifterna grundar sig på en ändamålsenlig forskningsplan,
2. det finns en ansvarig person eller en grupp som ansvarar för forskningen, och
3. personuppgifterna används och lämnas ut endast för historisk eller vetenskaplig forskning eller ett annat förenligt ändamål och verksamheten också i övrigt bedrivs så att uppgifter om bestämda personer inte röjs för utomstående.

Nödvändigheten att göra undantag ska prövas från fall till fall. Ett undantag från den registrerades rättigheter är möjligt enbart i den utsträckning som
1) sådana rättigheter sannolikt förhindrar uppnåendet av dessa särskilda ändamål eller försvårar det i hög grad och
2) sådana undantag är nödvändiga för att uppfylla dessa ändamål.

Den personuppgiftsansvarige ska från fall till fall pröva om det är nödvändigt att göra undantag från rätten att motsätta sig behandlingen och om motiverade grunder föreligger för detta. För att utnyttja detta undantag måste den personuppgiftsansvarige påvisa att genomförandet av rätten att motsätta sig behandlingen skulle förhindra uppnåendet av ålen med studien eller försvåra det i hög grad.

Om man vill göra undantag från rätten att motsätta sig behandlingen av särskilda personuppgifter eller personuppgifter som gäller domar i brottmål eller förseelser, ska den personuppgiftsansvarige, utöver uppfyllandet av ovan nämnda krav, utarbeta en konsekvensbedömning gällande dataskyddet enligt artikel 35 i dataskyddsförordningen. Konsekvensbedömningen ska tillhandahållas skriftligt för kännedom till dataombudsmannen innan behandlingen inleds.

Vid sidan av den allmänna skyldigheten att informera ska det observeras att den personuppgiftsansvarige ska uttryckligen underrätta om rätten att motsätta sig behandlingen, då man för första gången är i kontakt med undersökningsobjektet. Informationen om rätten att motsätta sig behandlingen ska presenteras tydligt och separat från övrig informering.

Övriga begränsningsgrunder

Begränsningsgrunder för genomförandet av den registrerades rättigheter kan även återfinnas annorstädes i lagstiftningen. Till exempel finns det i dataskyddslagen allmänna begränsningsgrunder gällande skyldigheten att informera (33 §) och granskningsrätten (34 §).

Inom forskningsverksamhet kan det vara motiverat att begränsa granskningsrätten till exempel på grund av att utlämningen av uppgifterna skulle kunna orsaka allvarlig fara för den registrerades eller någon annans rättigheter. I forskningssyfte kan man samla in mycket konfidentiella uppgifter, vilket innebär att det är viktigt att man vid behov förmår att bedöma förutsättningarna för genomförandet av rättigheterna även ur synvinkeln för undersökningsobjektets egen säkerhet och förtroende. Denna synvinkel kan det finnas skäl att begrunda till exempel då en person som deltar i studien är en annan än den person som vill utnyttja dataskyddsrättigheterna (t.ex. minderåriga undersökningsobjekt).

Tillämpligheten för de allmänna begränsningsgrunderna som ingår i dataskyddslagen kan också bedömas i ett senare skede då en begäran inkommer från den registrerade, även om begränsningarna inte har genomförts innan studien inleds på ovan nämnda sätt.