prop · GL03108 · 1998-01-01 00:00:00 — Enligt dessa skall ett register hänföras till endera av tre integritetsklasser, där klass 1 motsvarar en mycket hög nivå av ADB- säkerhet, klass 2 en hög nivå och klass 3 motsvarar en grundnivå. Datainspektionens allmänna råd innebär bl.a. i fråga om behörighetskontroll att för såväl integritetklass 1 som 2 gäller att all datoranvändning bör regleras i behörighetskontrollsystem och att alla register och program bör vara skyddade. Lösenord bör kunna bestå av minst sex tecken och bör när som helst kunna bytas ut av användaren, samt ske med automatik . Vid utloggning av terminal bör skärmbilden raderas och automatisk utloggning bör ske om inte terminalen används . Behörighetskontrollsystemet bör medge att detaljerade rapporter tas fram om avvisade försök till inloggning eller åtkomst. De myndigheter som handhar nuvarande register och som kommer att ansvara för hälsodata- eller vårdregister bedriver såvitt regeringen kunnat finna ett aktivt arbete i syfte att vidmakthålla en hög säkerhet. Detta arbete sker bl.a. genom framtagande av egna dataskyddsprogram. Det har även upplysts att några allvarliga försök att på ett otillåtet sätt ta del av uppgifter i personregister inom hälso- och sjukvården inte har förekommit. Hälsodataregister och vårdregister innehåller känsliga uppgifter om enskildas hälsa. Hanteringen av kontroll- och säkerhetsfrågor är därför viktig för att upprätthålla skyddet för integritetskänsliga uppgifter om enskildas förhållanden. Ansvaret för säkerhetsfrågor åvilar främst den personuppgiftsansvarige, men även övriga som i arbetet använder registret har ett ansvar för att säkerheten upprätthålls. Det är därför mycket viktigt att personuppgiftsansvariga utarbetar egna datasäkerhetsprogram. I hälsodataregister ingår uppgifter om enskildas hälsotillstånd av olika känslighetsgrad. Vanligtvis kommer hälsodataregister att hänföras till integritetsklass 2 enligt Datainspektionens klassifikationssystem. Vissa register som innehåller ännu känsligare uppgifter, t.ex. om HIV, kommer att hänföras till integritetsklass 1. I den mån ett vårdregister avser journalföring torde registret vara att hänföra till integritetsklass 1 eftersom uppgifter om kriminalitet och om tvångsingripanden från samhällets sida kan dokumenteras i journalen. De vårdregister som inte avser journalföring torde få hänföras till integritetsklass 2. Utvecklingen på säkerhetsområdet går, liksom inom annan IT, mycket snabbt. Det är naturligt att nya möjligheter att skydda uppgifter tas till vara. En reglering av frågor om kontroll och säkerhet skall vara sådan att den fortlöpande kan anpassas till förändringar i både teknik och datatillämpning. Detta är av avgörande betydelse för att en så hög grad av säkerhet som möjligt skall kunna upprätthållas. bedriver också ett mycket aktivt arbete i dessa avseenden. Säkerhetsfrågor rör ofta sådana områden som behörighetskontrollsystem, förvaring av datamedia, säkerhetkopiering m.m. Det är frågor med klar inriktning på teknik, som lämpar sig mindre väl för en reglering på lag- eller förordningsnivå. Detta talar enligt regeringens uppfattning för att det inte är motiverat att i författning ta in särskilda föreskrifter om ADB- säkerheten. Sådana föreskrifter bör i stället liksom hanteras på myndighetsnivå. 12.3 Skadestånd Regeringens förslag: De bestämmelser om skadestånd som finns i förslaget till personuppgiftslag skall gälla även behandlingar som utförts i strid med lagen om hälsodataregister eller lagen om vårdregister. En föreskrift som anger detta förhållande tas in i lagarna eftersom den föreslagna personuppgiftslagens skadeståndsbestämmelser endast gäller vid behandling som skett i strid med den lagen. förslag innehöll inte någon uttrycklig reglering av skadeståndsskyldigheten utan förutsatte att datalagens regler om skadestånd skulle tillämpas. Remissinstanserna: Ingen remissinstans har yttrat sig i frågan. Skälen för regeringens förslag: Enligt förslaget till personuppgiftslag skall den personuppgiftsansvarige ersätta den registrerade för den skada som en behandling av personuppgifter i strid med den lagen har orsakat. Ersättning skall inte bara betalas för person- och sakskada utan också för ren förmögenhetsskada samt för den kränkning av den personliga integriteten som behandlingen har inneburit. Bestämmelserna innebär bl.a. att ersättningsskyldigheten kan jämkas om den ersättningsskyldige (personuppgiftsansvarige) visar att felet inte berodde på honom eller henne. betänkande innehöll inte någon uttrycklig reglering av skadeståndsskyldigheten utan förutsatte att datalagens regler om skadestånd skulle tillämpas. Vid en jämförelse av regleringen av skadestånd i datalagen och personuppgiftslagen innehåller båda likartade regler om ersättning för ren förmögenhetsskada och kränkning. Skadeståndsansvaret i datalagen är dock strikt till skillnad mot personuppgiftslagens regler som innebär att den ersättningsskyldige har möjlighet att helt eller delvis undangå skadeståndsansvar om han eller hon visar att han eller hon inte är ansvarig för den händelse som orsakade skadan. Å andra sidan är reglerna i förslaget till personuppgiftslag om vad som grundar skadeståndsskyldighet något mer vidsträckta än de som finns i datalagen. Denna utvidgning av området för skadeståndsskyldighet kompenseras i viss mån av de regler om jämkning som ovan nämnts. Regeringen anser att de regler om skadestånd som finns i förslaget till personuppgiftslag är en lämplig avvägning av vilken ersättningsskyldighet som skall åvila en personuppgiftsansvarig som hanterar uppgifter i strid med nu föreslagen lagstiftning. Eftersom personuppgiftslagens regler till skillnad från vad som gäller enligt datalagen, och som förutsattes i betänkandet endast gäller för brott mot den lagen är nödvändigt att i de föreslagna lagarna om hälsodata- och vårdregister införa en bestämmelse om skadeståndsskyldighet som motsvarar regleringen i förslaget till personuppgiftslag. 12.4 Rättelse Regringens förslag: De bestämmelser om rättelse som finns i förslaget till personuppgiftslag skall gälla även behandlingar som utförts i strid med lagen om hälsodataregister eller lagen om vårdregister. En föreskrift som anger detta förhållande tas in i lagen eftersom den föreslagna personuppgiftslagens bestämmelser om rättelse endast gäller vid behandling som skett i strid med den lagen. För rättelse av uppgifter i ett vårdregister som grundar sig på dokumentationsskyldighet enligt patientjournallagen skall denna lag gälla. förslag innehöll inte någon uttrycklig reglering av rättelse utan förutsatte att datalagens och patientjournallagens regler om rättelse skulle tillämpas. Remissinstanserna: Ingen remissinstans har yttrat sig i frågan. Skälen för regeringens förslag: Det är av stor betydelse för att den registrerade skall hysa tilltro till behandlingen av personuppgifter i ett hälsodata- eller vårdregister att han eller hon har möjlighet att få felaktiga uppgifter korrigerade eller utplånade. I likhet med vad som ovan angetts beträffande skadestånd gäller enligt förslaget personuppgiftslagens regler om rättelse endast för uppgifter som behandlats i strid med den lagen. Regeringen anser att en motsvarande reglering skall införas i nu aktuella lagar om hälsodataregister respektive vårdregister. När det gäller vårdregister härrör vissa uppgifter från dokumentationsskyldighet enligt patientjournallagen. Denna lag innehåller även regler om rättelse av uppgifter. I 6 § stadgas att uppgifter i en patientjournal inte får utplånas eller göras oläsliga i andra fall än vad som avses i 17 §. Vid rättelse av en felaktighet i en journalhandling skall det enligt 6 § anges när rättelsen har skett och vem som har gjort den. Vidare skall den ursprungliga uppgiften kvarstå. Enligt 17 § får på ansökan av patienten eller någon annan som omnämns i en patientjournal förordna att journalen helt eller delvis skall förstöras. Förutsättningarna för detta är dels att godtagbara skäl anförs för ansökan, dels att patientjournalen eller den del därav som skall förstöras uppenbarligen inte behövs för patientens vård och dels att det från allmän synpunkt inte finns skäl att bevara journalen. Vid rättelse av uppgifter i vårdregister måste således en samtidig tillämpning ske av reglerna i förslaget till personuppgiftslag och patientjournallagen varvid den sistnämnda lagens regler har företräde. 12.5 Sekretess Regeringens förslag: Någon särskild reglering av sekretessfrågor som avviker från gällande lagstiftning skall inte införas. En hänvisning till aktuella författningar skall dock göras i lagtexten. förslag: Inte heller kommittén anser att det finns behov av särskild sekretesslagstiftning. Kommittén har dock inte föreslagit någon särskild hänvisning i lagtexten. Remissinstanserna: Ingen remissinstans har yttrat sig i denna fråga. Några remissinstanser, däribland Kammarrätten i , har anfört att en reglering som kräver samtidig tillämpning av ett flertal olika författningar kan vara oöverskådlig för den enskilde. Skälen för regeringens förslag: I avsnitt 8.1.3 lämnas en redogörelse för innehållet i sekretesslagen. Denna lag gäller för offentliga myndigheter. På den privata sidan gäller motsvarande regler enligt tillsynslagen och åliggandelagen. Frågan om vilka uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden som en vårdgivare får lämna ut prövas mot bakgrund av bestämmelserna i främst 7 kap. 1 § sekretesslagen vad avser offentligt bedriven vård och vad avser privat bedriven vård för vårdgivaren m.fl. i 6 § tillsynslagen och för hälso- och sjukvårdspersonal i 8 § åliggandelagen. Vad särskilt gäller den offentliga vården skall det dessutom observeras att sekretess även gäller mellan olika verksamhetsgrenar om dessa är att betrakta som självständiga i förhållande till varandra. Dessa grundläggande integritetsskyddsbestämmelser kompletteras av en bestämmelse i 7 § patientjournallagen om vad som brukar kallas inre sekretess. Enligt denna bestämmelse skall varje journalhandling hanteras och förvaras så att ingen obehörig får tillgång till journalen. Detta uttrycks i förarbetena (prop. 1984/85:189 s. 43) på så sätt att det vid vården av en patient på t.ex. en klinik endast är en begränsad del av personalen som behöver tillgång till patientens journal och att respekten för patientens integritet kräver att ingen utanför denna krets får tillgång till journalen. Enligt regeringens mening utgör ovan angiven lagstiftning ett väl avvägt skydd för de uppgifter som kan förekomma i hälsodataregister eller vårdregister. Att ytterligare komplettera dessa regler i nu aktuella lagförslag är därför inte nödvändigt. Frågan om skydd mot okontollerat utlämnande av uppgifter är dock en de frågor som för den enskilde är av mycket stor betydelse. Såsom Kammarrätten i påpekar krävs tillämpning av flera författningar t.ex. vid en fråga om utlämnande på medium för automatiserad behandling och direktåtkomst. Det är därför enligt regerings mening motiverat att i lagtexten införa en uttrycklig erinran om de sekretessregler som skall beaktas. 13 Kostnadseffekter Förslaget till lag om hälsodataregister bygger på att nuvarande centrala personregister skall utgöra hälsodataregister. Regeringen föreslår inte att några nya personregister skall inrättas. De principer som gäller skall tillämpas vid tillskapande av hälsodataregister. Några kostnadsökningar aktualiseras därför inte. Vad avser vårdregistren innebär regeringens förslag inte att vårdgivarna åläggs att använda IT. Liksom tidigare är det respektive vårdgivare som avgör om, när och i vilken omfattning IT skall komma i bruk. Regeringens förslag innebär därför inte i sig någon ökning av de offentliga utgifterna. Förslaget till lag om vårdregister innebär däremot minskade intäkter för Datainspektionen eftersom åtskilliga personregister av de slag som är tillståndspliktiga inte kommer att kräva tillstånd . kommer Datainspektionen att härigenom avlastas motsvarande arbete med tillståndsprövning. Förslaget kan därför betraktas som i stort sett kostnadsneutralt. I praktiken kommer en lagreglering att medföra ett ökat utrymme för Datainspektionen att arbeta med tillsyn. 14 Författningskommentar 14.1 Förslaget till lag om hälsodataregister Lagens tillämpningsområde 1 § Central förvaltningsmyndighet inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister. Den centrala förvaltningsmyndigheten som utför behandlingen av personuppgifter är personuppgiftsansvarig. I paragrafen anges att central förvaltningsmyndighet inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister. I paragrafen anges även att den centrala förvaltningsmyndighet som utför behandlingen av personuppgifter är personuppgiftsansvarig. Paragrafen har utformats i enlighet med Lagrådets förslag. Emellertid har vissa mindre språkliga justeringar skett för att anpassa utformningen till övriga registerlagar. Begreppet behandling av personuppgifter definieras i förslaget till personuppgiftslag. Med behandling avses enligt personuppgiftslagen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med central förvaltningsmyndighet inom hälso- och sjukvården avses myndighet som enligt sin instruktion har ett ansvar för en eller flera verksamheter inom området. Avgränsningen av vad som räknas till hälso- och sjukvård i denna lag är densamma som i lagen om vårdregister. förekommer personregister som kan utgöra hälsodataregister hos , och . Förhållandet till personuppgiftslagen 2 § Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd härav, tillämpas personuppgiftslagen (1998:000) vid behandling av personuppgifter för hälsodataregister. Av förslaget till personuppgiftslag följer att bestämmelser i lagar och förordningar som avviker från personuppgiftslagen gäller framför denna. I 2 § i förevarande lagförslag uttrycks förhållandet mellan personuppgiftslagen och denna lag på det sättet att personuppgiftslagen gäller om inget annat sägs i denna lag eller föreskrifter som meddelats med stöd härav. Detta innebär bl.a. att bestämmelser om information samt bevarande och gallring ges i personuppgiftslagen. Ändamål 3 § Personuppgifter i ett hälsodataregister får behandlas för följande ändamål: 1. framställning av statistik, 2. uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård, och 3. forskning och epidemiologiska undersökningar. I paragrafen anges de ändamål för vilka personuppgifter i ett hälsodataregister får behandlas. Genom ändamålsbestämmelsen anges den yttre ramen för vad uppgifter som finns i hälsodataregistret får användas till. Ändamålsbestämningen har avgörande betydelse för vilka uppgifter som får tas in i registret och hur uppgifterna får behandlas. Bestämmelsen är därför av central betydelse för den personliga integriteten. Det åligger den personuppgiftsansvarige att se till att uppgifter i ett hälsodataregister används på ett sätt som står i överensstämmelse med registrets ändamål. Ett hälsodataregisters ändamål kan vara framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvården samt forskning och epidemiologiska undersökningar. Till följd härav kan exempelvis inte hälsodataregister användas för myndigheters tillsynsfunktion. Uppgifterna i registret kan dock efter anonymisering föras över till ett annat register som kan användas i tillsynsarbete. Detta möjliggörs genom att det nya registret inte är att bedöma som personregister eftersom det har anonymiserats. Regeringen avser att i förordning närmare besluta om ett hälsodataregisters specifika ändamål inom ramen för de huvudändamål som anges i denna paragraf. Ett bemyndigande lämnas därför, på sätt Lagrådet föreslagit, i 12 §. Ett register kan därvid inrättas för endast något eller några av de angivna ändamålen eller för samtliga ändamål. Innehåll 4 § Ett hälsodataregister får innehålla endast de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt 3 §. I paragrafen anges att ett hälsodataregister endast får innehålla de uppgifter som behövs för de ändamål som anges i 3 §. Det är av vikt att registerinnehållet anges klart och så avgränsat som möjligt. Uppgifter som inte kan hänföras till registrets ändamål är inte tillåtna. Regeringen avser att närmare bestämma omfattningen och arten av uppgifter i respektive register genom förordning. Ett bemyndigande lämnas därför, på sätt Lagrådet föreslagit, i 12 §. Innehållet i nuvarande centrala personregister kan därvid tjäna som vägledning. En omständighet som bör beaktas är att samtliga uppgifter i ett hälsodataregister får användas som sökbegrepp. Detta förhållande bör bidra till att omfattningen av uppgifter i ett hälsodataregister i vissa fall kan behöva begränsas. Samkörning 5 § Den som är personuppgiftsansvarig för behandlingen av personuppgifter i ett hälsodataregister får för de ändamål som anges i 3 § hämta personuppgifter till registret genom samkörning. kommer enligt 4 § endast att innehålla uppgifter av vikt för de ändamål som registret inrättats för. Uppgifterna kommer att tillföras registret på olika sätt, t.ex. genom anmälningar i enskilda fall eller genom överföringar avseende en stor mängd individer via lokala eller regionala personregister. Gemensamt för all informationsöverföring är att den sker från vårdgivare och inte från enskilda patienter. Av paragrafen följer att ett hälsodataregister skall kunna tillföras information genom samkörning med andra personregister om informationen behövs för att tillgodose registerändamålet. Skälen för denna reglering har utvecklats i avsnitt 10.6. Genom paragrafen möjliggörs överföring av uppgifter från ett annat hälsodataregister samt från vårdregister och andra lokalt eller regionalt förda personregister inom hälso- och sjukvården. Vidare kan uppgifter hämtas från befolkningsregister förda vid t.ex. Regeringen avser att i förordning närmare ange från vilka register inhämtande får ske och vilka uppgifter som får tillföras hälsodataregister genom samkörning. Ett bemyndigande lämnas därför, på sätt Lagrådet föreslagit, i 12 §. Uppgiftsskyldighet 6 § Den som bedriver verksamhet inom hälso- och sjukvården skall lämna uppgifter till ett hälsodataregister för de ändamål som anges i 3 §. I paragrafen regleras skyldigheten att lämna uppgifter till hälsodataregister. Således anges att den som bedriver verksamhet inom hälso- och sjukvården skall lämna uppgifter från sin verksamhet till hälsodataregister. Uppgiftsskyldigheten gäller för alla som är ansvariga för verksamhet inom den regionala och lokala hälso- och sjukvården, nämligen landsting, kommuner och privata vårdgivare. Som angetts i avsnitt 10.7 åvilar uppgiftsskyldigheten landsting och kommuner inom den offentligt bedrivna vården och inte den enskilde yrkesutövaren. I den mån staten bedriver hälso- och sjukvårdsverksamhet åligger även en uppgiftsskyldighet för staten. Inom den privata vården ansvarar vårdgivaren för att uppgiftsskyldigheten fullgörs på lämpligt sätt. Uppgiftslämnandet från privat verksamhet sker delvis på frivillig grund till och delvis till följd av en författningsgrundad skyldighet till . Förändringen innebär att uppgiftsskyldigheten utvidgas och blir en skyldighet att lämna uppgifter till samtliga hälsodataregister. Bestämmelsen medför emellertid inte någon skyldighet för de centrala förvaltningsmyndigheterna på hälso- och sjukvårdens område att lämna uppgifter till varandra. I 12 § ges ett bemyndigande för regeringen att meddela närmare bestämmelser om uppgiftsskyldigheten. Sökbegrepp 7 § Som sökbegrepp i ett hälsodataregister får användas uppgifter som enligt 4 § får ingå i ett hälsodataregister. I paragrafen regleras bruket av sökbegrepp. I avsnitt 10.8 har redogjorts för varför någon begränsning av sökbegreppen inte har ansetts motiverad. Direktåtkomst 8 § Endast den som är personuppgiftsansvarig får ha direktåtkomst till uppgifter i ett hälsodataregister. I paragrafen införs den nya beteckningen direktåtkomst. Därmed avses detsamma som terminalåtkomst vilket numera får anses vara ett något föråldrat begrepp. En direktåtkomst omfattar vanligen hela registret och den som erhåller en direktåtkomst kan arbeta mot registret med sina frågor. Sådan åtkomst skall såsom utvecklats i avsnitt 10.9 endast tillkomma den personuppgiftsansvarige. Utlämnande på medium för automatiserad behandling 9 § Personuppgifter i ett hälsodataregister får lämnas ut på medium för automatiserad behandling endast om uppgifterna skall användas för de ändamål som anges i 3 §. I paragrafen regleras att uppgifter i ett hälsodataregister får lämnas ut på medium för automatiserad behandling endast om uppgiften skall användas för de ändamål som anges i 3 §. I bestämmelsen regleras således inte frågan om uppgifter över huvud taget med hänsyn till rådande sekretess får lämnas ut från ett hälsodataregister utan endast i vilken form och med vilken teknik åtkomst till uppgifter i ett hälsodataregister får ges. Ett utlämnade måste alltid, vilket erinras om i 10 §, föregås av en sekretess-prövning. Utlämnande på medium för automatiserad behandling har behandlats i avsnitt 10.10. Sekretess 10 § I sekretesslagen (1980:100) finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter. I paragrafen erinras om att sekretesslagens bestämmelser gäller för utlämnade av personuppgifter från ett hälsodataregister. Rättelse och skadestånd 11 § Bestämmelserna i personuppgiftslagen (1998:000) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som meddelats med stöd av lagen. Förslaget till personuppgiftslags bestämmelser om rättelse och skadestånd är utformade så att dessa gäller vid överträdelse av den lagen. Genom förevarande paragraf görs personuppgiftslagens bestämmelser tillämpliga även då personuppgifter behandlas i strid med hälsodataregisterlagen eller föreskrifter som meddelats med stöd av lagen. Bemyndiganden 12 § Regeringen får meddela föreskrifter om 1. vilka myndigheter som får föra hälsodataregister enligt 1 §, 2. begränsning av de i 3 § angivna ändamålen, 3. begränsningar av de uppgifter som ett hälsodataregister enligt 4 § får innehålla, 4. begränsningar av samkörning enligt 5 §, 5. uppgiftsskyldighet enligt 6 §, och 6. begränsningar i rätten att bevara uppgifter. Paragrafen har tillkommit efter förslag från Lagrådet. I paragrafen samlas och preciseras samtliga bemyndiganden som lämnas regeringen. Som Lagrådet anfört utgör p 5 om uppgiftsskyldighet ett rent bemyndigande enligt föreskrifter i 8 kap. 3 och 5 §§ RF. Övriga bemyndiganden i paragrafen avser inte sådana åligganden eller ingrepp som avses i nämnda paragrafer. Detta hindrar dock inte att bemyndigande sker i lagform. Ikraftträdande Denna lag träder i kraft . Om behandling av per- sonuppgifter för ett ändamål som avses i denna lag påbörjats före ikraftträdandet gäller äldre bestämmelser t.o.m. om behandlingen inte omfattas av ett hälsodataregister enligt denna lag. Lagen träder i kraft som personuppgiftslagen. Vissa av nuvarande centrala register grundas enbart på tillstånd av Datainspektionen. Andra register grundas på en förordning, ett regeringsbeslut, ett cirkulär från dåvarande Medicinalstyrelsen respektive en kungörelse. Dessa bestämmelser skall gälla t.o.m. om behandlingen inte omfattas av ett hälsodataregister enligt denna lag.