Användning av polisens uppgifter i forskningssyfte

På denna webbplats avses med forskningstillstånd skriftligt tillstånd för viss tid av polismyndigheten att använda information som polisen insamlat för vissa forskningssyften. Forskningstillståndet omfattar villkor, begränsningar och skyldigheter som tillståndsmyndigheten anser vara relevanta. 

Ansökan om forskningstillstånd på sidan Blanketter (TO 07 sv)

Personuppgifter är alla uppgifter som anknyter till en identifierad eller identifierbar person och utifrån vilka en person kan identifieras direkt eller indirekt Personuppgifter är också enskilda uppgifter som genom kombinationer med andra uppgifter möjliggör identifiering av personer. Exempel på personuppgifter är fullständigt namn, e-postadress i form av personligt namn, kundnummer, sällsynt yrkesbeteckning, fordons registreringsnummer eller hemkommun eller stadsdel kombinerat med andra uppgifter.

Forskningsmaterial innehåller personuppgifter, om man utifrån det direkt eller indirekt kan identifiera en eller flera personer med beaktande av rimligt sannolikt tillgängliga metoder.

Behandling av personuppgifter innebär till exempel insamling, förvaring, användning, överföring och överlåtelse av personuppgifter. Alla åtgärder som gäller personuppgifter, från planeringen av behandlingen av personuppgifter till utplåning av personuppgifter är behandling av personuppgifter. Vid behandling av personuppgifter ska dataskyddsprinciperna enligt dataskyddslagstiftningen alltid iakttas.

Behandling av personuppgifter förutsätter alltid en behandlingsgrund i lagen. Den rättsliga grunden för behandling av personuppgifter inom forskning kan vara allmänt intresse eller den registrerades samtycke.

Med syftet med behandlingen av personuppgifter avses orsaken till behandlingen av personuppgifter. Inom forskning är syftet med behandlingen av personuppgifter den forskning som definieras i forskningsplanen.

Den personuppgiftsansvarige är en fysisk eller juridisk person som fastställer syftet med och metoderna för behandlingen av personuppgifter. Den organisation som ansvarar för forskningen är i regel personuppgiftsansvarig enligt dataskyddslagstiftningen, om personuppgifter behandlas i forskningsprojektet.

Den personuppgiftsansvarige ansvarar för att dataskyddslagstiftningen iakttas i behandlingen av personuppgifter. Den personuppgiftsansvarige ska till exempel vidta nödvändiga tekniska och organisatoriska åtgärder för att skydda uppgifterna och se till att åtgärderna registreras för att uppfylla kraven enligt ansvarsskyldigheten.

En registrerad är den person som personuppgiften gäller.

Tillgodoseendet av den registrerades rättigheter hör till den personuppgiftsansvariges huvudsakliga skyldigheter. Den personuppgiftsansvarige ska vid behandlingen av personuppgifter vidta relevanta åtgärder för att tillgodose och främja den registrerades dataskyddsrättigheter.

Utgångspunkten är att en registrerad vid vetenskaplig och historisk forskning har tillgång till rättigheter enligt dataskyddsförordningen. Enligt 31 § i dataskyddslagen får undantag vid behov göras från den registrerades rättigheter. Den personuppgiftsansvarige ska pröva nödvändigheten av att göra undantag från fall till fall. Enbart tillgodoseende av skyddsåtgärder som avses i dataskyddslagen berättigar inte till undantag från den registrerades rättigheter.

Särskilda kategorier av personuppgifter som avses i dataskyddsförordningen är uppgifter av vilka uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförbund, hälsorelaterade uppgifter, sexuella läggning eller beteende eller genetiska och biometriska uppgifter för identifiering av personen framgår. Uppgifter som hör till särskilda kategorier av personuppgifter får inom forskning endast behandlas på villkor om vilka föreskrivs i dataskyddslagen. Behandlingen förutsätter skyddsåtgärder som nämns i dataskyddslagen.

Personuppgifter relaterade till fällande domar i brottmål, överträdelser eller därmed sammanhängande säkerhetsåtgärder får behandlas inom forskning endast om förutsättningarna enligt dataskyddslagen uppfylls. Behandlingen förutsätter skyddsåtgärder som nämns i dataskyddslagen.

Beskrivningen av behandlingsåtgärder är en skriftlig beskrivning av bland annat syftet med behandlingen av personuppgifter, registrerade grupper och personuppgiftsgrupper, förvaringstider för uppgifter samt tekniska och organisatoriska säkerhetsåtgärder.

Beskrivningen utgör en väsentlig del av den personuppgiftsansvariges ansvarsskyldighet. Den personuppgiftsansvarige har en skyldighet att upprätta en beskrivning av behandlingsåtgärder till exempel när personuppgifterna består av särskilda personuppgiftsgrupper eller personuppgifter relaterade till fällande domar i brottmål och överträdelser.

Konsekvensbedömningen omfattar en beskrivning av behandlingen av personuppgifter, en bedömning av nödvändigheten av behandlingen, dess proportionalitet och de risker som orsakas av behandlingen av personuppgifter och nödvändiga åtgärder för att ingripa mot risker. Syftet med en konsekvensbedömning är att identifiera, bedöma och hantera de risker som är förknippade med behandlingen av personuppgifter. 

Vid behandling av personuppgifter relaterade till särskilda personuppgiftsgrupper eller till fällande domar i brottmål och överträdelser och då vissa undantag från den registrerades rättigheter görs ska den personuppgiftsansvarige vid behov lämna konsekvensbedömningen i skriftlig form för kännedom till dataombudsmannen innan behandlingen påbörjas. Ytterligare information om konsekvensbedömning finns på dataombudsmannens webbplats.

Begreppet samtycke kan inom forskning ha två olika betydelser. Samtycke som grund för behandling av personuppgifter är inte samma sak som samtycke till att delta i forskning.