Kort juridisk sammanfattning
En kort juridisk sammanfattning över de mest väsentliga delarna för kommunernas rätt lämna registerdata för forskningssyfte och IFAU:s rätt att samla in och hålla registerdata.
Rätt att leverera data
Som grund ska personuppgifter samlas in för särskilda ändamål och inte senare behandlas på ett sätt som är oförenligt med dess ursprungliga ändamål. Ytterligare behandling för exempelvis vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska dock inte anses vara oförenlig med det ursprungliga ändamålet för insamlandet av personuppgifter (GDPR, Artikel 5.1 b.). Dock får endast relevanta uppgifter användas i detta syfte. Så kallad uppgiftsminimering ska tillämpas vilket innebär att endast uppgifter som behövs för ändamålet får behandlas (Artikel 5.1 c.). Forskare får endast efterfråga sådana uppgifter som anses relevanta för forskningen (se nedan om etikprövning).
Den data som lämnas ut får inte förvaras i en form som möjliggör identifiering av den enskilda individen längre tid än nödvändigt (Artikel 5.1 e. (offentlig organisation) eller f. (privat organisation)). Här gäller vissa undantag för forskning enligt Artikel 89, under förutsättning att tekniska och organisatoriska skyddsåtgärder tas. I fallet med insamling av registerdata för forskningsprojekt kommer skyddsåtgärder som pseudonymisering i enlighet med Artikel 89.1 och Artikel 4.5 att göras, vilket innebär att behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. SCB kommer byta ut personnummer och annan identifierbar personlig information mot löpnummer (slumpmässigt nummer).
Vidare anses behandling av personuppgifter i enlighet med Artikel 6.1 e, laglig om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Här ses forskning som ett allmänt intresse (se SoU 1997:39 avsnitt 12.5.1.7).
Samtycke med berörd individ behövs inte då ”ett av följande villkor är uppfyllt” i Artikel 6.1 e och f, uppgift av allmänt intresse. För att inhämta samtycke från varje enskild registrerad måste individens identitet röjas för att göra förfrågan om samtycke möjlig vilket således inte är möjlig. Det är heller inte praktiskt genomförbart att samla in samtycke från samtliga individer som deltagit i en kommunal arbetsmarknadsinsats då arbetsinsatsen och kostnaderna inte gör det försvarbart eller ens praktiskt genomförbart.
IFAU:s rätt att hålla data
Inför en datainsamling som denna, etikprövas forskningsprojekt i enlighet med § 6 lag (2003:460) om etikprövning av forskning som avser människor. En etikprövning inom ramen för forskningsprojektet har godkänds vid Regionala etikprövningsnämnden i Uppsala (dnr: 2016-173).
Forskning som innefattar personuppgifter som är känsliga är bara tillåten om den först godkänts av en etikprövningsnämnd. Detta gäller oberoende av varifrån forskningsprojektet fått dataunderlaget: genom utlämnande till IFAU, genom uttag från den forskningsdatabas som finns vid IFAU, eller genom egen insamling direkt från berörda personer.
Behandling av personuppgifter vid IFAU regleras i Lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, SFS 2012:741, i Förordning om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, SFS 2012:742.[1] samt ag 2018:218 dataskydd § 3 (för djupare diskussion se. Prop 2017/18:298. S. 298)
Den som behandlar personuppgifter eller andra dataunderlag på IFAU är ansvarig för att behandlingen i det egna forskningsprojektet sker i enlighet med IFAU:s instruktioner och gällande lagar. Det är exempelvis i lag förbjudet att vidta åtgärder för att söka ta reda på enskilda individers identitet, exempelvis genom bakvägsidentifiering.[2]
Anställda vid IFAU får endast behandla personuppgifter och andra dataunderlag som behövs i arbetet. Detta innebär exempelvis att forskaren/utredaren inte får se personuppgifter innan pseudonymisering om det inte finns något berättigat skäl.
Publicering av statistiska resultat ska ske på ett sådant sätt att individers identitet inte röjs, såvida inte de lämnat sitt samtycke till sådan publicering.
Insamlade data kommer, innan den kommer IFAU till handa, bearbetas hos SCB där data pseudonymiseras, vilket innebär att uppgifter som personnummer och andra identitetskänsliga uppgifter pseudonymiseras innan utlämnande till IFAU.
Offentlighets- och sekretesslagen, OSL, (lag 2009:400) har som grundprincip att det råder sekretess för uppgifter liknande de vi efterfrågar. Genom 24 Kap. 8 §. finns dock undantag gällande uppgifter som behövs för forsknings- eller statistikändamål. Kravet här är att uppgifterna inte går att härleda till enskild individ. Genom pseudonymisering uppfylls det kravet (se tidigare avsnitt).
[1] Gäller automatiserad behandling av personuppgifter inom forskning/utredning vid IFAU
[2] Ges av Lag om personuppgiftsbehandling vid IFAU, SFS 2012:741, § 10. Enligt Lag (2001:99) om den officiella statistiken § 6 och § 26, kan påföljd för bakvägsidentifiering uppgå till fängelse i högst ett år.