sou · GUB382 · 2007-01-01 00:00:00 — personuppgiftshanteringen med vissa specialbestämmelser rörande några för integritetsskyddet viktiga förhållanden. En tydligare reglering genom specialbestämmelser kan också ha den goda effekten att allmänhetens förtroende för registerverksam- heten bevaras på en hög nivå. Av samma skäl kan en reglering i bästa fall motverka bortfall genom att enskilda patienter blir mindre be- nägna att utnyttja den rätt att motsätta sig registrering i ett nationellt eller regionalt kvalitetsregister som vi föreslår nedan, se avsnitt 16.4.5. Mot bakgrund av det sagda föreslås i det följande några bestäm- melser som enbart gäller för nationella och regionala kvalitetsregister. Bestämmelserna omfattar båda typerna av register, eftersom vi inte har funnit någon avgörande skillnad i integritetskänslighet mellan sådana register som förs i samarbete mellan flera vårdgivare inom ett landsting, en sjukvårdsregion eller sådana som omfattar flera eller alla regioner. Inte heller är den omständigheten att ett kvalitets- register får statligt bidrag till stöd för driften av någon nämnvärd betydelse i integritetshänseende. Bestämmelserna för nationella och regionala kvalitetsregister är alltså oberoende av vilka kvalitetsregister som i bidragshänseende är etablerade som . För att särskilja nationella och regionala kvalitetsregister från lokala register bör av patientdatalagen framgå att särbestämmelserna bara gäller för ett kvalitetsregister till vilket personuppgifter samlats in från flera vårdgivare och som möjliggör jämförelser inom hälso- och sjukvården på nationell respektive regional nivå. I lagförslaget används således registerbegreppet för att skilja ut kvalitetssäkringsarbete i särskilt inrättade uppgiftssamlingar från annan kvalitetssäkring som också avses omfattas av lagens tillämp- ningsområde, t.ex. sådan kvalitetssäkring som sker hos en vårdgivare genom sammanställning eller annan bearbetning av personuppgifter som finns i ett elektroniskt journalsystem. När det gäller benämningen kvalitetsregister har vi övervägt om det skulle vara mera lämpligt att använda ett annat begrepp än register för att beskriva de särskilda datoriserade uppgiftssamlingar som här avses. Personuppgiftslagen innehåller inga särbestämmelser för datori- serade register och begreppet register har blivit klart mindre juri- diskt relevant när det gäller elektronisk personuppgiftsbehandling. kritiserades registerbegreppet för att vara otidsenligt, bl.a. för att den tekniska utvecklingen inom IT-området gjort det allt svårare att skilja ett register från ett annat och för att det numera går att med datorhjälp söka och sammanställa uppgifter som över huvud taget inte har organiserats eller systematiserats i förväg. har begreppet databas introducerats som ett juri- diskt begrepp i några registerförfattningar, se t.ex. 2 kap. 1 § lagen (2001:181) om behandling av personuppgifter i skatteförvaltningens verksamhet och 7 § lagen (2002:546) om behandling av personupp- gifter i den arbetsmarknadspolitiska verksamheten. I lagarna sägs att det i den verksamhet, vari personuppgiftsbehandlingen regleras genom respektive lag, får finnas en databas. Databasen utgör därvid en samling personuppgifter som med hjälp av automatiserad be- handling används gemensamt i verksamheten för ändamål som anges i lagarna. I kallas kvalitetsregister för kliniska kvalitets- databaser. Enligt danska definition är en klinisk kvalitetsdatabas ett register, som innehåller utvalda kvantifierbara indikatorer vilka kan belysa delar av eller den samlade kvaliteten av sjukvårdens insatser och resultat för en avgränsad patientgrupp med utgångspunkt i det enskilda vårdförloppet (2001, Kliniska kvalitetsdatabaser 2000, del 1, Bilaga 1, i egen över- sättning). Genom att välja begreppet databas i stället för register när det gäller de uppgiftssamlingar som här avses, skulle patientdatalagen visserligen bättre anpassas till de nyare författningar där det begreppet används för att beskriva särskilda datoriserade uppgiftssamlingar. När det gäller t.ex. webbaserade är vidare databas en mer tekniskt adekvat beskrivning. De uppgiftssamlingar som här avses utgör emellertid register i begreppets traditionella be- märkelse. De karaktäriseras bl.a. av att de dels används för särskilda och förhållandevis begränsade ändamål, dels är väl avgränsade från andra uppgiftssamlingar. De samlade uppgifterna är på förhand be- stämda variabler som systematiserats och organiserats för att senare kunna sammanställas utifrån särskilda kriterier. De databaser som regleras i särskilda registerförfattningar utmärks av att de, utöver mer registerartade uppgifter, innehåller osystematiserade uppgifter, löpande texter, elektroniska dokument av olika slag m.m. som finns inom en myndighets samlade ärendehantering och som är gemen- samt tillgängliga för personalen. Dessa uppgiftssamlingar är alltså inte helt jämförbara med de uppgiftssamlingar som inrättats särskilt för kvalitetssäkring av hälso- och sjukvård. Det juridiska begreppet databas motsvarar inte heller det tekniska begreppet databas. I förarbetena till personuppgiftslagen uttalade regeringen om re- gisterbegreppet att inget hindrar att ett datoriserat register också kallas för det (prop. 1997/98.44 s.39). På grund av det anförda sam- mantaget med att kvalitetsregister är en inarbetad be- nämning på dessa uppgiftssamlingar inom hälso- och sjukvården, har vi ansett att övervägande skäl talar för att använda registerbegreppet för att beskriva uppgiftssamlingarna. Som påpekats tidigare pågår utvecklingsarbete med att integrera elektronisk journalföring med kvalitetsregisterrapportering. I sådana integrerade system är patientdatalagens bestämmelser om journal- föring och annan vårddokumentation tillämpliga på den personupp- giftsbehandling som sker på den lokala kliniken eller annan vårdin- rättning för vårddokumentationsändamål medan särbestämmelserna för nationella och regionala kvalitetsregister är tillämpliga i fråga om den del av hanteringen som utgör eller syftar till central hantering, bearbetning, lagring m.m. i kvalitetsregistret. Vårt förslag: I patientdatalagen regleras uttömmande för vilka ändamål som personuppgifter i ett nationellt eller regionalt kva- litetsregister får behandlas. Personuppgifter får samlas in och behandlas för det över- gripande och primära syftet att systematiskt och fortlöpande ut- veckla och säkra vårdens kvalitet. Insamlade personuppgifter får därutöver även behandlas för ändamålen framställning av statistik eller forskning inom hälso- och sjukvårdsområdet. Personupp- giftsbehandling får vidare ske genom utlämnande till mottagare som skall använda uppgifterna för något av de nämnda ändamålen. Därutöver får utlämnande ske enligt 2 kap. tryckfrihetsförord- ningen samt enligt sådan särskilt föreskriven uppgiftsskyldighet som föreskrivs i lag eller förordning och som avses i 14 kap. 1 § sekretesslagen eller motsvarande bestämmelser i 2 kap. 8 och 9 §§ lagen om yrkesverksamhet på hälso- och sjukvårdens område. För att upprätthålla allmänhetens förtroende för nationella och regio- nala kvalitetsregister är det av avgörande betydelse att det av lagen klart framgår för vilka ändamål personuppgifterna i registren får an- vändas. Redan tidigare, se bl.a. föregående avsnitt och avsnitt 15.4.3, har framgått att det övergripande ändamålet för kvalitetsregistren skall vara kvalitetssäkring, dvs. systematisk och fortlöpande utveck- ling och säkring av vårdens kvalitet (se 31 § hälso- och sjukvårds- lagen och 16 § tandvårdslagen [1985:125]). Såsom angetts i avsnitt 15.4.3 skall det primära syftet vara att följa upp medicinsk och annan kvalitet i själva vårdinsatserna och alltså inte för att kontrollera sjukvårdens kostnadseffektivitet och produktivitet allmänt sett. Med vård avses individinriktad patientverksamhet, dvs. vård, undersökning och behandling inom hälso- och sjukvården. Som kommer att fram- gå i det följande föreslår vi att detta syfte också skall vara bestäm- mande för vilka personuppgifter som över huvud taget får behandlas i nationella och regionala kvalitetsregister. Självklart måste detta primära ändamål i sin tur brytas ner i mer preciserade ändamål som är anpassade för varje särskilt register och det medicinska specialområde eller motsvarande som avses täckas med registret. I avsnitt 16.2 har nämnts några exempel på precise- ringar som är inriktade på vårdkvalitet, såsom att utvärdera skillna- der i diagnostik eller behandlingsmetoder, att identifiera geografiska skillnader i tillgång på vård, jämföra vårdresultat med patientens upplevda tillfredsställelse med vården m.m. Enligt vår mening är det emellertid befogat att för kvalitetssäkring redan insamlade personuppgifter – på motsvarande sätt som sker – får behandlas också för vissa andra, sekundära ändamål, nämligen sådan statistik rörande hälso- och sjukvård som inte är en del av kvalitetssäkringsarbetet samt för forskning inom hälso- och sjukvårdsområdet. Slutligen bör anges som ett ändamål att uppgifter- na i vissa fall får lämnas ut till tredje man, i huvudsak mottagare som skall använda uppgifterna för något av de redan nämnda ändamålen. Av hänsyn till enskildas personliga integritet bör inga andra ändamål vara tillåtna. Vårt förslag om ändamål för nationella och regionala kvalitetsregister skall alltså vara uttömmande. Det innebär att det inte är tillåtet att behandla personuppgifterna också för andra ända- mål även om dessa inte är oförenliga med det ändamål för vilket uppgifterna har samlats in, dvs. Personuppgiftslagens finalitetsprincip gäller alltså inte vid behandling av personuppgifter i nationella eller regionala kvalitetsregister. När det gäller det särskilda ändamålet statistik om hälso- och sjuk- vård kan anmärkas att inrapporterade data sammanställs statistiskt i de återrapporteringar m.m. som framställs i kvalitetssäkringsarbetet. Sådan statistikframställning omfattas av det primära ändamålet kvali- tetssäkring. Det särskilda statistikändamålet tillåter därutöver att personuppgifter behandlas särskilt för att framställa statistik som skall användas för andra ändamål än att förbättra vårdens kvalitet. Det kan röra statistik som framställs för att ge särskilt analys- och beslutsunderlag åt politiker och administratörer vid beräkning av kostnadseffektivitet, produktivitet, administrativ planering och lik- nande. Ett annat exempel är statistik för att informera allmänheten om verksamheten och dess resultat. I praktiken torde det ofta vara flytande gränser mellan de ändamål för vilka statistik framställs. Det särskilda efterkommande ändamålet forskning medger att personuppgifter, som samlats in för kvalitetssäkringsändamål, också skall få används i forskning inom hälso- och sjukvårdsområdet. Med forskning avses även epidemiologiska studier. Det skall dock obser- veras att ändamålet inte utgör något undantag från lagen (2003:460) om etikprövning av forskning som avser människor (etikprövnings- lagen) och dess krav på etikprövning då forskning innefattar be- handling av känsliga personuppgifter m.m. Har den enskilde inte uttryckligen samtyckt till personuppgiftsbehandlingen för ett specifikt forskningsprojekt, krävs godkännande av etikprövningsnämnd vid all forskning avseende personuppgifter i kvalitetsregister. Det sagda gäller oberoende av om forskningen bedrivs av den för registret per- sonuppgiftsansvariga myndigheten eller av annan. Angående gräns- dragningen forskning och kvalitetssäkring, se prop. 2002/03:50 s. 91. I sammanhanget kan nämnas att föresla- git att alla forskningsprojekt avseende känsliga personuppgifter skall etikprövas alldeles oavsett om den enskilde samtyckt till personupp- giftsbehandlingen i forskningsprojektet eller inte (SOU 2005:78). Förslaget bereds i . Slutligen föreslår vi som ett särskilt ändamål en uttrycklig be- stämmelse som med ett undantag uttömmande reglerar när person- uppgifter får behandlas genom att lämnas ut från ett nationellt eller regionalt kvalitetsregister till en extern mottagare för annat än de redan nämnda syftena. Undantaget gäller utlämnande av personuppgifter enligt 2 kap. tryckfrihetsförordningen som givetvis också kan ske utan att det särskilt behöver föreskrivas. Det följer av principen om grundlags företräde framför vanlig lag och anges dessutom uttryckligen i 8 § personuppgiftslagen, som gäller också vid behandling av personupp- gifter enligt den föreslagna lagen. Det är en annan sak att sådant upp- giftsutlämnande på grund av sekretess normalt inte kan ske till annan än den berörde registrerade. Av hänsyn till enskildas integritet bör, enligt vår mening, person- uppgifter få lämnas ut till tredje man bara om mottagaren skall an- vända uppgifterna för att själv bedriva kvalitetssäkring av hälso- och sjukvård, för forskning inom hälso- och sjukvårdsområdet eller för att framställa statistik. Vidare bör personuppgifter kunna lämnas ut om det följer av en särskilt föreskriven uppgiftsskyldighet som avses i 14 kap. 1 § sekretesslagen eller 2 kap. 8 och 9 §§ lagen om yrkes- verksamhet på hälso- och sjukvårdens område. Ett exempel är att uppgifter lämnas ut enligt 43 § personuppgiftslagen i samband med Datainspektionens tillsyn över personuppgiftsbehandlingen eller att uppgifter levereras till hälsodataregister via ett kvalitetsregister. Utrymmet för att lämna ut personuppgifter från kvalitetsregistren är således väsentligen mera snävt än vad vi föreslagit i stort när det gäller personuppgifter inom hälso- och sjukvården där det räcker att utlämnandet sker i överensstämmelse med lag eller förordning, se avsnitt 8.2. Vi menar emellertid att övervägande skäl talar mot att exempelvis tillåta utlämnande med stöd av 15 kap. 5 § sekretesslagen, som föreskriver att en myndighet på begäran av en annan myn- dighet skall lämna ut uppgift som den förfogar över i den mån inte hinder möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Det är nämligen svårt att överblicka vilket uppgiftsutlämnande som en tillämpning av 15 kap. 5 § sekretesslagen kan leda till. Visserligen gäller sekretess för uppgifterna i ett kvali- tetsregister, men man kan inte bortse från att en sedvanlig skade- bedömning enligt sekretesslagen kan leda till att uppgifterna anses kunna lämnas ut till t.ex. en annan myndighet som är verksam inom hälso- och sjukvården eller . Ett annat exempel är att uppgifter lämnas ut till en enskild med förbehåll enligt 14 kap. 9 § sekretesslagen utan att mottagaren har ett forsknings- eller statistik- ändamål avseende uppgifterna. En sådan osäkerhet kring vilket upp- giftsutlämnande från ett nationellt eller regionalt kvalitetsregister som är tillåtet, kan enligt vår mening inte accepteras när det gäller så integritetskänsliga uppgifter som det här är fråga om. Vi förordar alltså större precision och tydlighet när det gäller dessa register. Den av oss förordade modellen att så specifikt beskriva tillåtna ut- lämnanden innebär ett starkt integritetsskydd för den enskilde. Av patientdatalagen framgår alltså tydligt när uppgifter, som är insam- lade för kvalitetssäkring, kan lämnas ut till tredje man. kan man naturligtvis inte helt bortse från att det framgent kan komma att visa sig att andra uppgiftsutlämnanden än dem som vi har reglerat kanske bör få förekomma. I så fall får man då överväga om någon ändring bör göras i de sekundära ändamålen. Det kan dock här erinras om att det kommer att vara möjligt att behandla personuppgifterna för andra ändamål än de här nämnda, om ett särskilt och uttryckligt samtycke till det föreligger från de enskilda registrerade. Det framgår av vårt förslag om verkan av den enskildes uttryckliga samtycke till personuppgiftsbehandling utöver den som tillåts i patientdatalagen, se avsnitt 8.5. Vårt förslag: För sådan personuppgiftsbehandling i nationella och regionala kvalitetsregister som sker på central nivå skall bara en eller flera myndigheter inom landsting eller kommuner få vara personuppgiftsansvariga. Regeringen får i förordning föreskriva att även enskild får vara personuppgiftsansvarig. För den personuppgiftsbehandling som i kvalitetsregisterrap- porteringen deltagande vårdgivare utför, gäller patientdatalagens huvudregel om att varje myndighet inom hälso- och sjukvården eller privata vårdgivare är personuppgiftsansvarig för den person- uppgiftsbehandling som den utför. Vem som är personuppgiftsansvarig för behandling av personupp- gifter i de olika nationella kvalitetsregistren är en komplex fråga. En genomgång av de som finns ger ingen entydig bild av hur det förhåller sig med personuppgiftsan- svaret. Endast i fråga om en del register finns det nämligen uttalad information till registrerade eller andra om vem eller vilka som är personuppgiftsansvariga för behandlingen av personuppgifter i re- gistret. I Datainspektionens tidigare nämnda rapport om nationella kvalitetsregister konstaterades också att det råder en stor osäkerhet hos registerförare om vad som gäller härvidlag. Vanligen anges en sjukvårdshuvudman, ett landsting, som huvud- man för ett register och en viss person som registerhållare eller re- gisteransvarig. Myndigheten, och inte enskilda kliniker eller läkare, torde i dessa fall vara att anse som personuppgiftsansvarig för registret i fråga. förekommer emellertid uppgift om att det är en specia- listförening, dvs. en ideell förening, som äger, driver och ansvarar för ett register. Även en sådan förening kan vara personuppgiftsansvarig för behandlingen av personuppgifter i ett nationellt kvalitetsregister. Inte sällan är det oklart om ett kvalitetsregister förs i en specialist- förenings eller i en eller flera sjukvårdshuvudmäns regi. Det kan här nämnas att personuppgiftslagen i och för sig inte hindrar att ansvaret delas av flera. I praktiken torde det emellertid vara ovanligt att myn- digheter delar personuppgiftsansvar med enskilda. I avsnitt 8.3 har vi föreslagit en grundläggande bestämmelse om personuppgiftsansvar vid behandling av personuppgifter enligt patient- datalagen. Enligt bestämmelsen är varje myndighet inom hälso- och sjukvården eller privata vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som den utför. När det gäller inne- börden av personuppgiftsansvaret hänvisas till avsnitt 8.3. Liksom vid sammanhållen journalföring, se avsnitt 11.6, uppkom- mer emellertid frågor om det finns anledning att därutöver föreslå någon särreglering av personuppgiftsansvaret för nationella och regionala kvalitetsregister med tanke på det samarbete mellan flera aktörer som kvalitetsregisterföringen innebär. En särskild fråga här är också i vad mån specialistföreningar, dvs. ideella föreningar, bör kunna ha ett personuppgiftsansvar för ett kvalitetsregister, ensamt eller delat med inrapporterande myndigheter och privata vårdgivare. I dessa frågor gör vi följande bedömning. Givetvis underlättas den enskildes möjligheter att ta till vara sina rättigheter, om det direkt av lagen framgår vem han eller hon skall vända sig till med klagomål på personuppgiftsbehandlingen i ett kva- litetsregister. Ansvaret för den stora mängden nationella eller re- gionala kvalitetsregister är emellertid i hög grad utspritt inom den praktiserande hälso- och sjukvården. Nya register tillkommer och vissa läggs ibland ner. Kvalitetsregistren är dessutom orga- niserade på olika sätt och har många involverade aktörer som i olika skeden och på olika sätt behandlar de personuppgifter som ingår i eller skall ingå i registren. En detaljreglering av personuppgiftsan- svaret ter sig mot den bakgrunden knappast möjlig. skulle dessutom riskera att låsa fast registerföringen i oflexibla orga- nisationslösningar, som kanske inte passar för alla typer av kvalitets- register eller som inte visar sig vara ändamålsenliga över tiden. Något direkt utpekande av vem som skall vara personuppgiftsansvarig för nationella eller regionala kvalitetsregister föreslås alltså inte. Vi föreslår dock en bestämmelse som anger att endast en eller flera myndigheter inom landsting och kommuner, skall få driva ett nationellt eller regionalt kvalitetsregister, dvs. administrera och han- tera personuppgifterna på den centrala registernivån. Från denna huvudregel föreslås dock att regeringen skall få medge undantag i förordning. Huvudregeln är motiverad av att det framstår som mindre lämpligt att stora samlingar av typiskt sett integritetskänsliga person- uppgifter samlas i enskild verksamhet utan att förutsättningarna för detta närmare övervägs och anges. Det bör dock lämpligen ske i för- fattning på lägre nivå. Inom många verksamheter torde det inte finnas några hinder mot att privata vårdgivare ansvarar för större kvalitets- register, t.ex. inom tandvården. Enligt vår uppfattning bör det dock inte förekomma att specialistföreningar för läkare formellt ansvarar för personuppgiftsbehandlingen. Det är en helt annan sak att den faktiska administrationen och praktiska styrningen kan skötas av en specialistförening inom ramen för ett landstings verksamhet. För den personuppgiftsbehandling som privata eller offentliga vård- givare utför när de samlar in och rapporterar in uppgifter till registret eller annars behandlar registrerade personuppgifter (exempelvis efter hemtagning av uppgifter som man har direktåtkomst till), före- slås emellertid respektive vårdgivare själv vara personuppgiftsansvarig enligt patientdatalagens allmänna huvudregel om personuppgifts- ansvar. Det innebär t.ex. att när en privatpraktiserande vårdgivare fyller i elektroniska blanketter för rapportering till ett kvalitetsregister, som en myndighet inom ett landsting är personuppgiftsansvarig för, är det vårdgivaren och inte som bär personuppgiftsansva- ret för att personuppgifterna hanteras korrekt samt i enlighet med patientdatalagens och sekretesslagens krav. Om vårdgivaren t.ex. i strid mot de sistnämnda lagarna lämnar ut kvalitetsregisteruppgifterna till obehörig tredje man, sker det alltså under vårdgivarens ansvar. För den fortsatta centrala hanteringen av inrapporterade personupp- gifter föreslås emellertid, som sagts, personuppgiftsansvaret vara samlat hos en eller flera myndigheter. Till den centrala hanteringen hör t.ex. ansvaret för säkerhetsfrågor och ansvaret för att felaktiga uppgifter i registret rättas. Det föreslagna uppdelade ansvaret mellan den myndighet som centralt administrerar ett kvalitetsregister och inrapporterande vård- enheter kan hävdas vara mindre integritetsvänlig jämfört med en ordning som innebär att den centrala administratören ensam har ansvaret för all personuppgiftsbehandling som sker inom ramen för ett register. Den enskilde kan ju behöva vända sig både till inrappor- terande vårdgivare och till den centralt personuppgiftsansvariga vård- givaren för att få rätt, om att exempelvis en uppgift skall rättas. Enligt vår mening är det dock rimligt att vårdgivarna – som är skyldiga att kvalitetssäkra sin verksamhet – enligt patientdatalagens huvudregel själva bär det formella ansvaret för den personuppgifts- hantering som de själva utför i samband med registerhanteringen. Den hanteringen har vidare en central administratör normalt inga formella eller praktiska möjligheter att närmare kontrollera utöver de befogenheter som följer av personuppgiftsansvaret. Ett landsting, som åtagit sig ett personuppgiftsansvar för ett kvalitetsregister, är ju en vårdgivare bland alla inrapporterande vårdgivare och har ingen central organisatorisk eller bestämmande funktion visavi andra landsting eller övriga vårdgivare. De nationella och regionala kvalitetsregistrens betydelse för det lokala kvalitetsförbättringsarbetet innebär vidare att vårdgivarna har ett starkt egenintresse av att dessa register förs. Det är bl.a. därför inte heller lämpligt att lösa situationen med att personuppgiftsansvarig offentlig vårdgivare träffar individuella per- sonuppgiftsbiträdesavtal med inrapporterande vårdgivare.