sou · GRB3126d2 · 2004-01-01 00:00:00 — 5Centrala register på hälso- och sjukvårdens område I finns drygt 20 nationella register som belyser befolk- ningens sjuklighet och vårdutnyttjande ur någon aspekt. Flera av dem innehåller uppgifter om de registrerades personnummer, vilket gör det möjligt att samköra data. Exempel på sådana register är dödsorsaksregistret, cancerregistret, patientregistret och det medi- cinska födelseregistret med missbildningsregistret hos , biverkningsregistret hos och epidemiregistret och tuberkulosregistret hos . Av de här uppräknade registren utgör cancerregistret, patientregistret och det medicinska födelseregistret samt biverkningsregistret s.k. hälsodataregister. Begreppet hälsodata kan definieras som uppgifter från vården om enskildas hälsotillstånd. Ett hälsodataregister är ett personregister som förs av en central statlig förvaltningsmyndighet inom hälso- och sjukvårdens område och som innehåller uppgifter om enskilda patienter insamlade i syfte att tillgodose övergripande samhälleliga ändamål, såsom framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av vården samt forskning. Förutom de centrala hälsodataregistren förekommer ett antal som förs med stöd av personuppgifts- lagen. Under avsnitt 5.2 lämnas en närmare redogörelse för vad ett sådant register kan avse. En närmare redogörelse för det medicinska födelseregistret med missbildningsregistret har lämnats under avsnitt 2. Centrala register på hälso- och sjukvårdens område inrättades i avsikt att skapa ett nationellt register av samma typ som redan fanns i de övriga nordiska länderna. regleras av förordningen (SFS 2001:709) om cancer- register hos . ansvarar för det , som bygger på data som samlats från ett antal regionala register. Dessa förs i syfte att upprätthålla en regional cancerregistrering och -statistik. Syftet med registret är att tillhandahålla ett nationellt, befolknings- baserat cancerregister för att kunna kartlägga cancersjukdomarnas förekomst och förändring över tiden, skapa en bas för klinisk och epidemiologisk forskning samt att möjliggöra internationella jäm- förelser. registreras cirka 42 000 maligna tumörer. innehåller bland annat uppgifter om personnum- mer, kön, hemort vid diagnos, tumörnummer, anmälande sjukhus och klinik, diagnosdatum samt diagnos. Anmälningsplikt åvilar varje vårdansvarig läkare i offentlig och enskild tjänst. Anmälan skall göras av den läkare som tagit ställning till diagnosen av kliniskt och/eller mikroskopiskt fastställd tumör- sjukdom eller av den läkare som utfärdar dödsbevis, om tumörsjuk- domen upptäcks först efter döden. Anmälningsplikt åvilar vidare den för diagnosen ansvarige läkaren, när sjukdomen påvisats i laboratorium. Varje sjukdomsfall skall så- ledes anmälas av såväl den kliniskt ansvarige läkaren som den läkare som ansvarar för den histopatologiska diagnosen. Syftet med denna dubbelregistrering är att öka tillförlitligheten och fullständigheten hos cancerregistret. Uppgiftsskyldigheten till cancerregistret regleras, efter bemyndigande i förordningen, genom föreskrifter och allmänna råd från (SOSFS 2003:13). I likhet med vad som gäller för det medicinska födelseregistret finns i cancerregisterförordningen inget krav på enskild information för de personer som registreras i cancerregistret. är avsett att innehålla uppgifter som kan behandlas för framställning av statistik, uppföljning, utvärdering och kvalitets- säkring inom den slutna hälso- och sjukvården och inom den del av Centrala register på hälso- och sjukvårdens område den öppna vården som inte är primärvård, samt för forskning och epidemiologiska undersökningar. Registret regleras av förordningen om patientregister hos (SFS 2001:707). Behandlingen av personuppgifter i patientregistret får avse patien- ter som vårdats inom den slutna hälso- och sjukvården eller behand- lats av läkare inom öppen vård som inte är primärvård. De uppgifter som får behandlas är bl.a. personnummer, kön, bosättningsort, diagnoser, åtgärder och yttre orsaker till sjukdom eller skada. I förordningen har som ett uttryckligt undantag angetts att för vårdkontakt som innehåller koder för legal eller illegal abort eller därtill sammanhängande diagnoser får uppgifter om personnummer inte behandlas . Uppgiftsskyldighet till registret föreligger för den som bedriver verksamhet inom hälso- och sjukvården. Vissa uppgifter skall också lämnas från . I likhet med vad som gäller för det medicinska födelseregistret finns inget krav på enskild information för de personer som registreras i patientregistret. har som ändamål att genom behandling av personuppgifter bidra till framställning av statistik och forskning. Registret regleras av förordningen (SFS 2001:710) om biverknings- register hos . innehåller personuppgifter avseende patienter som drabbats av läkemedelsbiverkning. Registreringen får endast avse uppgifter om en enskild som uttryckligen har samtyckt till detta, eller om vissa andra förhållanden föreligger, som exempelvis att bi- verkningen misstänks ha orsakat ett dödsfall eller avser biverkningar som kraftigt ökar i frekvens. innehåller bland annat uppgifter om person- nummer, kön, ålder och datum då biverkningen uppträdde, förlopp och bedömning av orsakssamband och uppgift om läkemedlet som misstänks ha orsakat biverkningen. Centrala register på hälso- och sjukvårdens område 5.1.4Förslag till nytt läkemedelsregister hos Utredningen om uppföljning inom läkemedelsområdet har i sitt betänkande Ökad patientsäkerhet på läkemedelsområdet (SOU 2003:52) föreslagit att det nuvarande hälso- och sjukvårdens läke- medelsregister hos ersätts med ett hälsodataregister där personbundna uppgifter om läkemedelsanvändning får tas in utan krav på den berörda personens samtycke. Förslaget har motiverats med att ingen uttömmande kunskap om läkemedel finns när läkemedlet blir tillgängligt för behandling av patienter och att en fortlöpande uppföljning av förskrivning och användning av läkemedlet därför är nödvändig. Studier av risker och effekter på lång sikt av läkemedelsbehandling är särskilt viktiga. Dessa kräver tillgång till individrelaterade uppgifter om patienters läkemedelsköp. Studierna skall bedrivas i syfte att stärka kunskapen om och erfarenheterna av läkemedelsanvändning. Registret föreslås reglerat i en av regeringen utfärdad förordning på samma vis som de övriga centrala hälsodataregistren. Kvalitetsregister inom hälso- och sjukvården har förts sedan 1970- talet. finns ett 50-tal sådana register, både riks- täckande, regionala och lokala. Kvalitetsregistren inrättades för att följa upp effekten av insatt behandling och förändring av behandlingsresultat. Initiativen till registren kommer vanligen från en eller flera läkare inom aktuell specialitet. Verksamheten bygger på ett frivilligt deltagande från olika enheter inom hälso- och sjuk- vården. Uppgiftslämnandet grundar sig på att de enskilda patienterna lämnar sitt samtycke till att deras medicinska data används i registren. Det övergripande syftet med registren är att de skall bidra till att förbättra kunskaper om nyttan av och riskerna med olika typer av medicinska åtgärder och ingrepp. Till skillnad från de centrala hälsodataregistren är de nationella kvalitetsregistren inte detaljreglerade. Eftersom de inte är att betrakta som hälsodataregister är hälsodataregisterlagen inte tillämplig utan registren regleras av personuppgiftslagen. är en statlig utredning (S 2003:03) i färd med att utarbeta förslag till en särskild författningsreglering av inom hälso- och sjukvård. Centrala register på hälso- och sjukvårdens område att överväga om särskild författningsreglering behövs för de regio- nala cancerregistren och för donations- och metadonregistren, samt för blodgivarregistret och vaccinationsregistret, som båda är under uppbyggnad. Frågan om registrering av missbildningar har inte varit föremål för någon särskild utredning tidigare. Utredningen om det ofödda barnet framförde emellertid i slutbetänkandet Den gravida kvinnan och fostret – Två individer (SOU 1989:51) att registreringen av födda missbildade barn borde kompletteras med ett register över missbildade för en tillförlitlig bild av utbredningen av miss- bildningar och missbildningarnas förändring i tiden. I propositionen om abort och fosterdiagnostik (prop. 1994/95:142) uttalades också att det vore önskvärt att ett register över miss- bildade inrättades. Det ansågs emellertid lämpligt att arbetet med att inrätta ett författningsreglerat missbildningsregister fick anstå till dess att frågan om författningsreglering av personregister inom hälso- och sjukvårdens område, som då utreddes av , behandlades. gjorde i betänkandet om hälsodataregister (SOU 1995:95) bedömningen att bland annat uppgiften att upp- täcka förekomsten av nya missbildningar eller sällsynta sjukdomar kräver rikstäckande hälsodataregister, vilka borde föras på central nivå. uttalade som sin uppfattning att något hälsodataregister inte borde inrättas genom en registerlag, utan att ett enskilt hälsodataregister borde inrättas av regeringen enligt de ramar som lagen drar upp. Regeringens beslut borde ges formen av en särskild förordning för varje register och i denna förordning borde tas in bestämmelser som närmare för varje särskilt register reglerar de frågor som anges i lagen men även sådant som inte reg- leras av lagen, t ex vem som skall vara registeransvarig myndighet. arbete resulterade i lagen (1998:54) om hälsodataregister. I denna lag finns bestämmelser om ändamål med registren, innehåll, samkörning m.m. I förarbetena till lagen1 angavs som lämplig författningsmodell för behandling av personuppgifter 1997/98:108 s 44 f inom vården att i lag reglera särskilt viktiga och gemensamma frågor för samtliga hälsodataregister. Det kan röra frågor som enligt grundlagen måste regleras i lag, såsom uppgiftsskyldighet till regist- ren. Även frågor som tar direkt sikte på skyddet för den personliga integriteten, såsom ändamål, innehåll, inhämtande av uppgifter, åt- komst till uppgifter med hjälp av IT och gallring bör regleras i lag. Motiveringen till detta ställningstagande var följande2. De flesta register inom hälso- och sjukvårdens område innehåller uppgifter om enskilda personers hälsa som är av mycket känslig natur. Be- handlingen av personuppgifter kan av den enskilde ibland uppfattas som ett intrång i den personliga integriteten. Arten men även om- fattningen av den behandling av personuppgifter som sker inom hälso- och sjukvården medför enligt regeringens mening att denna är principiellt sett lämpad för författningsreglering. För detta talar också det förhållandet att behandling av personuppgifter bör få ske oavsett den enskildes inställning och att uppgifterna även får användas för andra ändamål än vården av den enskilde patienten. Dessa övergripande integritetsskyddssynpunkter bör inte bedömas av en myndighet från fall till fall utan regleras generellt av stats- makterna. förs de centrala hälsodataregistren vid , däribland det medicinska födelseregistret, enligt förordningar som regeringen har utfärdat med stöd av hälsodataregisterlagen. Rege- ringen har därvid funnit att frågan om hur kunskaper om foster- skador och missbildningar skall kunna förbättras behöver övervägas ytterligare. 1997/98:108 s 38 7 Rättslig reglering av betydelse Grundläggande bestämmelser som gäller behandlingen av person- uppgifter och missbildningsregistreringen återfinns i grundlagen, vari stadgas att varje enskild person har en grundlagsskyddad rätt till personlig integritet (1 kap 2 § 3 stycket regeringsformen) samt att varje medborgare, i den utsträckning som närmare anges i lag, skall skyddas mot att hans personliga integritet kränks genom att upp- gifter om honom registreras med hjälp av ADB (2 kap 3 § regerings- formen). Missbildningsregistreringen i regleras i första hand av hälsodataregisterlagen samt förordningen (2001:707) om medicinskt födelseregister. Behandlingen av personuppgifter regleras också i personuppgiftslagen, som är generellt tillämplig såvida inte avvikande bestämmelser finns i annan lagstiftning. I lagen (1998:543) om hälsodataregister finns regler om IT-använd- ningen inom hälso- och sjukvården. Enligt lagen får hälsodataregister enbart användas för forskning och framställning av statistik samt kvalitetssäkring och utvärdering av hälso- och sjukvård. Samkörning av personuppgifter från centrala hälsodataregister får inte göras för något annat ändamål. Något krav på samtycke till registrering finns inte i hälsodata- registerlagen. Tvärtom har regeringen i förarbetena1 särskilt under- strukit att personuppgifter skall få registreras i hälsodataregister obe- roende av den enskildes samtycke. Den enskilde skall inte heller ha rätt att få uppgifter strukna ur registren. Motiveringen till ställningstagandet är följande. Skyddet för den personliga integriteten förstärks visserligen om enskilda får bestämma 1997/98:108 s 81 ff Rättslig reglering av betydelse om uppgifter om honom eller henne skall få ingå i ett hälsodata- register. Ett visst mått av intrång i integriteten måste emellertid accepteras när det finns ett motstående intresse som väger tyngre. Ett hälsodataregister måste, för att kunna användas för sitt ändamål, vara heltäckande eftersom bortfall av uppgifter beträffande vissa individer kan äventyra hela registrets användbarhet. Det kan dess- utom antas att endast ett fåtal personer skulle utnyttja en eventuell strykningsrätt ur registret. Teoretiskt sett skulle emellertid en larm- rapport i media kunna medföra att ett stort antal registrerade begärde att få bli strukna ur registret. En omständighet att beakta är att det inte kan uteslutas att de personer som skulle utnyttja en möjlighet att bli struken ur registret är sådana vars uppgifter är särskilt väsentliga för de ändamål för vilket behandlingen utförs. Även säkerhetsaspekter och integritetsaspekter kan komma att försämras om den enskilde skulle ges rätt att stå utanför IT-använd- ningen. En hantering med IT kan anses ge ett betydligt bättre skydd mot åtkomst av hälsodata än ett traditionellt pappersbaserat system. Utvecklingen av tillförlitliga behörighetssystem sker fortlöpande. Effekten av att stå utanför hälsodataregistret och i stället finnas i ett manuellt fört register skulle således kunna bli negativ ur integritets- skyddssynpunkt. Någon uttrycklig bestämmelse som reglerar den personuppgifts- ansvariges informationsskyldighet gentemot den enskilde registrerade finns inte i hälsodataregisterlagen. Det anfördes visserligen i för- arbetena2 att skyldigheten att upplysa allmänheten om förekomsten av ett register och dess innehåll är en viktig del i det integritetsskydd som genom författningsreglering byggs upp kring hälsodataregistren. Emellertid hänvisade regeringen till det förslag till personuppgifts- lag3 som då behandlades – och sedermera resulterade i lagstiftning – och som innehöll utförliga bestämmelser om information vid behand- ling av personuppgifter (se nedan avsnitt 7.2.7). Regeringen ansåg därför att någon ytterligare generell reglering av informationsskyldig- heten inte var nödvändig, men att respektive registerförordning närmare borde precisera på vilket sätt informationen skall ges och vilket innehåll informationen skall ha. Hälsodataregisterlagen innehåller en bestämmelse om uppgifts- skyldighet för den som bedriver verksamhet inom hälso- och sjuk- vården. Sådan aktör skall lämna uppgifter till ett hälsodataregister för de ändamål som anges i 3 § (nämligen framställning av statistik, Rättslig reglering av betydelse uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar). I 6 § för- ordningen om medicinskt födelseregister återfinns en motsvarande bestämmelse om uppgiftsskyldighet till detta register. Motiveringen till bestämmelsen är följande. För att ett hälsodataregister skall kunna användas på ett effektivt sätt för sina ändamål krävs att registret innehåller uppgifter om alla de individer som berörs av registret. En bestämmelse om uppgiftsskyldighet är behövlig för att den sekretess- prövning som annars måste ske inför varje enskilt utlämnande av hälsodata skall kunna underlåtas. Rapporteringen av hälsodata kan med hänsyn till kravet på en korrekt och fullständig information inte grundas på ett frivilligt åtagande från vårdgivaren. En inte obetydlig risk för underlåten rapportering t.ex. till följd av hög arbetsbelastning kan därvid uppstå. Det måste därför finnas en skyldighet för vårdgivarna att rapportera uppgifter om de förhål- landen som skall belysas med hjälp av ett hälsodataregister. Detta gäller såväl offentliga sjukvårdshuvudmän som privata vårdgivare. 7.2Personuppgiftslagen (PUL) 7.2.1Lagen och dess tillämpningsområde Inom EU har det ansetts nödvändigt att det finns en hög och gemensam nivå för skyddet mot integritetskränkningar i samband med behandling av personuppgifter för att trygga ett fritt flöde av information mellan medlemsstaterna. I detta syfte har Europa- parlamentets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) antagits . Personuppgiftslagen, som i huvudsak följer dataskyddsdirektivets text och disposition, omfattar all automatiserad behandling av per- sonuppgifter och behandling av personuppgifter i så kallade register. Syftet med lagen är enligt 1 § att skydda män- niskor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen är generellt tillämplig. Av 2 § framgår att avvikande bestämmelser i lag eller förordning gäller framför personuppgifts- lagen. Beslut som eller regeringen har fattat i annan form Rättslig reglering av betydelse än lag eller förordning tar däremot inte över bestämmelserna i aktuell lag. I 10 § PUL anges de grundläggande förutsättningarna för att per- sonuppgifter skall få behandlas. Sådan behandling får endast ske om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att 1.ett avtal med den registrerade skall kunna fullgöras eller åt- gärder som den registrerade har begärt skall kunna vidtas innan ett avtal träffas, 2.den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, 3.vitala intressen för den registrerade skall kunna skyddas, 4.en arbetsuppgift av allmänt intresse skall kunna utföras, 5.den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller 6.ett ändamål som rör ett berättigat intresse hos den personupp- giftsansvarige eller hos en sådan tredje man till vilken personupp- gifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 7.2.3Behandling av känsliga personuppgifter I artikel 8 i dataskyddsdirektivet föreskrivs att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. I fråga om uppgifter som rör hälsa omfattas uppgifter om den registrerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger och alkohol. I personuppgiftslagen återfinns direktivets förbud mot behandling av känsliga personupp- gifter i 13 §. Rättslig reglering av betydelse 7.2.4Undantag från förbudet mot behandling av känsliga personuppgifter I 14–20 §§ PUL finns undantag från förbudet mot behandling av känsliga personuppgifter. Förbudet gäller exempelvis inte om den registrerade har lämnat sitt samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Känsliga personuppgifter får vidare behandlas när det är nödvän- digt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. I stort sett gäller detta fullgörandet av alla skyldigheter och rättigheter för arbetsgivaren beträffande de anställda och deras organisationer. De uppgifter som får behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttryck- lig skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Om den registrerade inte kan lämna sitt samtycke, får känsliga personuppgifter behandlas när det är nödvändigt för att den registre- rades vitala intressen skall kunna skyddas. Innebörden av begreppet vitala intressen är inte entydigt definierat, utan ett sådant intresse kan antingen vara av grundläggande betydelse för den registrerade alternativt vara livsviktigt för honom eller henne. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom ramen för ideella organisationers berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. För att sådan behandling skall vara tillåten förutsätts emellertid att behandlingen endast avser uppgifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regel- bunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades uttryckliga samtycke. Det är tillåtet att behandla känsliga personuppgifter när det är nödvändigt för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Detta gäller när det förhållande som faller in under defini- tionen av känsliga personuppgifter också är en förutsättning för att personen i fråga skall ha rätt till en förmån eller ha en rättslig skyl- dighet gentemot någon annan. Som exempel kan nämnas rätten för en sjuk person att få försäkringsersättning eller skyldigheten för den som tillhör att betala avgift. Förbudet mot behandling av känsliga uppgifter gäller inte när behandlingen är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt admi- Rättslig reglering av betydelse nistration av hälso- och sjukvård. Förbudet gäller inte heller när sådana uppgifter behandlas antingen av någon som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt eller av någon annan person som är under- kastad en liknande tystnadsplikt. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Den bestämmelse som är närmast tillämplig är 19 § där det anges att känsliga personuppgifter får behandlas på sätt som sägs i 10 § om samhällsintresset av det forsknings- eller statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i den enskildes personliga integritet som behandlingen kan inne- bära (se dock nedan om ändringen av 19 §). Regeringen eller den myndighet som regeringen bestämmer (Data- inspektionen) får enligt 20 § meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse, exempelvis folkhälsan. 7.2.5Särskilt om behandling för forsknings- och statistikändamål Behandlingen av personuppgifter för forsknings- och statistikända- mål regleras i 19 §. I samband med antagandet av lagen (SFS 2003:460) om etikprövning av forskning som avser människor (etikprövnings- lagen), vilken träder i kraft , har även beslutat om ändring av 19 § PUL. Denna ändring träder också i kraft . Ändringen innebär att olika regler hädanefter gäller för behandling av personuppgifter för forskningsändamål och för statistikändamål. Sker behandlingen för forskningsändamål gäller att känsliga per- sonuppgifter får behandlas om behandlingen godkänts enligt etik- prövningslagen. De allmänna utgångspunkterna för etikprövningen kan sammanfattas som att forskningen får godkännas endast om den kan utföras med respekt för människovärdet.