sou · GUB382 · 2007-01-01 00:00:00 — I den mån personuppgifterna behandlas helt eller delvis automatiserat eller ingår i register, innebär ett utlämnande en efterkommande, sekundär personuppgiftsbehandling som i sig måste vara laglig. När det gäller den allmänna hälso- och sjukvården inklusive sådan hälso- och sjukvård som bedrivs av kommunala företag som avses i 1 kap. 9 § sekretesslagen gäller att utlämnande av personuppgifter i allmänna handlingar i enlighet med tryckfrihetsförordningen alltid kan ske utan att sådant utlämnande behöver anges som ett särskilt ändamål för vilket personuppgiftsbehandling är tillåten. Detta följer av principen om grundlags företräde framför vanlig lag och av 8 § personuppgiftslagen som gäller även vid personuppgiftsbehandling enligt patientdatalagen. Eftersom sekretess i allmänhet gäller för upp- gifter i hälso- och sjukvårdens allmänna handlingar som rör patien- ter, krävs givetvis också att sekretessen inte hindrar ett utlämnande. Beträffande den allmänna hälso- och sjukvården följer vidare av 15 kap. 5 § sekretesslagen att en myndighet skall på begäran av annan Grundläggande bestämmelser om personuppgiftsbehandling myndighet lämna ut uppgift som den förfogar över i den mån hin- der inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precise- ring av den allmänna samverkansskyldighet myndigheter emellan som gäller enligt 6 § förvaltningslagen. Bestämmelsen i 15 kap. 5 § sekretesslagen nämns i en kommentar till personuppgiftslagen som exempel på en sådan avvikande bestämmelse som gäller före person- uppgiftslagen till följd av 2 § personuppgiftslagen (se och , Personuppgiftslagen – En kommentar, andra uppl., 2001, s. 45). Det finns även bestämmelser som tillåter eller medger att uppgifter lämnas ut utan hinder av sekretess. I sekretesslagen finns exempel- vis bestämmelser i 14 kap. 2 § som anger att sekretess inte hindrar att myndigheter inom hälso- och sjukvården på eget initiativ lämnar ut personuppgifter i vissa fall. Sekretesslagen innehåller vidare bestäm- melser om att uppgifter utan hinder av sekretess får lämnas till en- skild. Gemensamt för allt detta uppgiftslämnande är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande; alltså ett annat slags uppgiftslämnande än det som grundar sig på den särskilt reglerade uppgiftsskyldighet som avses i 14 kap. 1 § sekretesslagen och 2 kap. 8–11 §§ lagen om yrkesverksamhet på hälso- och sjukvår- dens område. När bestämmelser om sådant annat uppgiftsutlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda en- skilda personers integritet, vid vilken man funnit att uppgiften skall eller får lämnas ut. Det saknas därför anledning att i en integritets- skyddslagstiftning, som den nu föreslagna, generellt förhindra att personuppgifter som finns i hälso- och sjukvården lämnas ut i dessa fall bara därför att dessa numera hanteras med modern informations- teknik i stället för som tidigare på papper. Enligt vår uppfattning bör därför patientdatalagen inte hindra sådant uppgiftslämnade som här avses. Det har, när det gäller personuppgiftsbehandling genom utläm- nande, i olika sammanhang uppstått rättslig osäkerhet kring frågan om förhållandet mellan ändamålsbestämmelser i registerlagar, per- sonuppgiftslagens finalitetsprincip, sekretesslagen och andra bestäm- melser som påbjuder utlämnande eller tillåter att uppgifter lämnas ut utan hinder av sekretess. Förhållandet har bl.a. uppmärksammats av Offentlighets- och sekretesskommittén (OSEK) som i sitt huvud- betänkande med förslag till ny sekretesslag förordat ett klargörande Grundläggande bestämmelser om personuppgiftsbehandling av rättsläget (SOU 2003:99 s. 230). För att undanröja motsvarande osäkerhet på hälso- och sjukvårdens område bör det i patientdatalagen finnas med en ändamålsbestämmelse som medger att personupp- gifter – som behandlas med stöd av något eller några i det föregående behandlade ändamålen – också får behandlas för sådant uppgiftsut- lämnande som sker i överensstämmelse med lag eller förordning. En sådan bestämmelse föreslås således. Vidare föreslås, i samma klargörande syfte, en uttrycklig hänvisning till finalitetsprincipens giltighet även vid personuppgiftsbehandling enligt patientdatalagen. Härigenom tydliggörs att patientdatalagens ändamålsreglering inte är helt uttömmande. Som sagts i förra avsnittet går det inte – på det stora tillämpningsområde som patientdatalagen kommer att ha – att helt överblicka alla de ändamål som redan insam- lade personuppgifter kan komma att användas för. Genom hänvis- ningen till finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen, framgår att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än de som uttryck- ligen anges i patientdatalagen, om de nya ändamålen är förenliga med de tidigare ändamålen. Att eventuella nytillkomna ändamål inte får vara oförenliga med de i lagen angivna ändamålen ger enligt vår mening, tillsammans med bestämmelser om sekretess och tystnads- plikt, ett tillfredsställande integritetsskydd. I sammanhanget kan note- ras att en motsvarande hänvisning till finalitetsprincipen finns i lagen (2003:763) om personuppgiftsbehandling inom socialförsäkringens administration. Det finns alltså ett visst, begränsat utrymme att behandla person- uppgifter för ett nytt ändamål som inte angetts vid insamlingen, nämligen om det nya ändamålet inte är oförenligt med de ursprung- liga ändamålen. har i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39 s. 351) uttalat att vad som är oförenligt med de ursprungliga ändamålen får bestäm- mas genom praxis och de mer preciserade regler som regeringen eller Datainspektionen kan utfärda. Någon utvecklad praxis eller närmare föreskrifter i denna fråga finns emellertid inte . Vad som kan anses förenligt med ett ursprungligt ändamål har diskuterats i tidigare lagstiftningsärenden av främst Socialdatautred- ningen i dess betänkande Behandling av personuppgifter inom social- tjänsten (SOU 1999:109 s. 160). Enligt bör man vid denna oförenlighetsprövning hypotetiskt utgå från hur en registrerad typiskt sett – inte den registrerade i det enskilda fallet – skulle se på saken. Kommer man vid en sådan bedömning fram Grundläggande bestämmelser om personuppgiftsbehandling till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. Insamlade personuppgifter får också behandlas för historiska, statistiska eller vetenskapliga ändamål; det följer av finalitetsprinci- pen. Behandling för forskningsändamål av tidigare insamlade person- uppgifter får således ske enligt patientdatalagen utan att det behöver anges som ett särskilt ändamål. I avsnitt 17 återkommer vi till frågor om användning av personuppgifter, som behandlas enligt patient- datalagen, i medicinsk forskning och annan forskning inom hälso- och sjukvården. Där kommer bl.a. framgå att det krävs ytterligare förutsättningar för att personuppgiftsbehandling för forsknings- ändamål skall vara tillåten, t.ex. patientens uttryckliga samtycke eller etikprövning. I 6 § vårdregisterlagen finns en bestämmelse om samkörning. En- ligt bestämmelsen får uppgifter om en patient som behövs för vård av denne samt uppgifter som behövs för den ekonomiadministration som föranleds av den aktuella vården hämtas till ett vårdregister genom samkörning. Dessutom får patientens läkemedelsförteckning, som förs enligt lagen (2005:258) om läkemedelsförteckning, samt uppgifter om patientens folkbokföringsadress hämtas till ett vård- register genom samkörning. När en förskrivare med direktåtkomst till uppgifter i läkemedelsförteckning hämtar hem uppgifter från förteckningen för att komplettera patientens elektro- niska journal, är det alltså fråga om en samkörning. Vid samkörning med ett vårdregister som förs av en annan vårdgivare måste självklart även bestämmelserna om sekretess och tystnadsplikt i sekretesslagen och lagen om yrkesverksamhet på hälso- och sjukvårdens område iakttas. Vilka förfaranden som omfattas av begreppet samkörning är inte preciserat i lagstiftningen. Samkörning anges i 3 § personuppgifts- lagen som ett av flera exempel på åtgärd som enligt den lagen är att anse som personuppgiftsbehandling. I vissa andra lagar, t.ex. i 5 § lagen (1996:1156) om receptregister, används begreppet sambearbet- ning. Grundläggande bestämmelser om personuppgiftsbehandling Innebörden av de båda begreppen beskrivs i propositionen Be- handling av personuppgifter inom socialförsäkringens administration (prop. 2002/03:135) enligt det följande (s. 58 f.). Med sambearbetning (ofta används begreppet samkörning som syno- nymt med sambearbetning) avses maskinell bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat personregister hos den registeransvarige eller hos annan registeransvarig. Även annan direkt överföring av uppgifter från ett personregister till ett annat om- fattas av bestämmelsen. Ett enklare sätt att uttrycka saken är att med sambearbetning avses att ett personregister tillförs personuppgifter från andra personregister (se Datalagen med kommentarer, och , , 1989, s. 20 och 76). Det bör noteras i sammanhanget att begreppen samkörning och sambearbetning närmast knyter an till den nu upphävda datalagens (1973:289) struktur för reglering av integritetsskyddet. Som huvud- regel krävdes enligt datalagen tillstånd från Datainspektionen, för- fattningsstöd eller den enskildes samtycke till samkörning av olika personregister. Personuppgiftslagen, som ersatt datalagen, innehåller däremot inte några särskilda bestämmelser om sambearbetning av personuppgifter från olika register eller databaser. En sådan person- uppgiftsbehandling särskiljs alltså inte från annan behandling. Enligt personuppgiftslagen är en sambearbetning tillåten så länge den håller sig inom personuppgiftslagens ramar, bl.a. med avseende på att sambearbetningen inte sker för något ändamål som är ofören- ligt med det för vilket uppgifterna samlades in. Finalitetsprincipen i 9 § första stycket d personuppgiftslagen kan alltså sägas ha ersatt särskilda bestämmelser om sambearbetning. Detta har haft till följd att sådana bestämmelser inte ansetts motiverade i nyare lagstiftning, t.ex. i lagen om behandling av personuppgifter inom socialförsäk- ringens administration eller lagen (2002:546) om behandling av per- sonuppgifter i den arbetsmarknadspolitiska verksamheten. Båda de nämnda lagarna saknar motsvarigheter till sina föregående register- lagars bestämmelser om sambearbetning. har det dock ansetts befogat med sådana bestämmelser även i registerlagstiftning som är anpassad till personuppgiftslagens reglering. I 10 och 21 §§ förordningen (2001:637) om behandling av personuppgifter inom finns bestämmelser som för- bjuder hem som drivs av att hämta person- uppgifter från ett annat sådant hem genom samkörning. Motsvarande förbud mot samkörning finns när det gäller boende, en öppen verk- samhet eller annan enhet i privat verksamhet. Grundläggande bestämmelser om personuppgiftsbehandling när det gäller annan samkörning eller samkörning över huvud taget inom finns inte. Vårdregisterlagens bestämmelse om samkörning är inte formule- rad som ett förbud mot viss samkörning eller mot annan samkörning än den i lagen angivna. Huruvida all annan samkörning är förbjuden eller inte är en tolkningsfråga. När det gäller hälso- och sjukvård torde det inte sällan finnas behov av att samköra personuppgifter i olika register eller datasystem. Det saknas enligt vår mening anledning att befara att behandling i form av samkörning av uppgiftssamlingar kommer att ske för ändamål som inte anges i patientdatalagen eller är oförenliga med dessa ändamål. I stället framstår möjligheten till samkörning som en rimlig metod att höja effektiviteten och patientsäkerheten inom hälso- och sjuk- vården. Samkörning kommer dock bara att vara tillåten inom de ramar som ges av patientdatalagen samt sekretesslagen respektive be- stämmelserna om tystnadsplikt i lagen om yrkesverksamhet på hälso- och sjukvårdens område. Sammantaget finns det enligt vår mening inte skäl att införa någon särbestämmelse i patientdatalagen som för- bjuder eller annars begränsar möjligheterna att samköra eller sam- bearbeta personuppgifter som finns inom verksamheten. Inte heller i övrigt ser vi anledning att införa några begränsningar när det gäller sättet att samla in uppgifter i verksamhet som omfattas av patientdata- lagens tillämpningsområde. Får uppgifter behandlas i verksamheten genom att samlas in för något eller några primära ändamål, får insamlandet ske i elektronisk form. Vi lämnar alltså inte något förslag i dessa avseenden. Vårt förslag: I patientdatalagen införs en bestämmelse som anger att en vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som den utför. Med vårdgivare avses även stat- liga myndigheter som bedriver hälso- och sjukvård. I landsting och kommuner är en myndighet personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Grundläggande bestämmelser om personuppgiftsbehandling Enligt definitionen i 3 § personuppgiftslagen är den personuppgifts- ansvarig som ensam eller tillsammans med andra bestämmer ända- målen med och medlen för behandlingen av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas eller vara gemensamt för flera. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på be- handling av personuppgifter iakttas. Vidare innebär personuppgifts- ansvaret en skyldighet att lämna information till den registrerade (23–27 §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till Datainspektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). I lag eller förordning kan bestämmas vem som är personuppgifts- ansvarig. En sådan bestämmelse tar nämligen över regleringen i per- sonuppgiftslagen (2 § personuppgiftslagen). I s.k. registerförfattningar om personuppgiftsbehandling i olika slags verksamheter har det ofta ansetts lämpligt från integritetssynpunkt att på ett tydligt sätt peka ut vem som är personuppgiftsansvarig för den behandling som regleras i de särskilda lagarna. har detta också ansetts nöd- vändigt med tanke på att ändamålen anges i lagen i stället för att be- stämmas av den ifrågavarande myndigheten, bolaget eller liknande. Som exempel på registerförfattningar vari personuppgiftsansvaret anges kan nämnas bl.a. lagen (1998:543) om hälsodataregister, lagen om behandling av personuppgifter i socialförsäkringens administra- tion och lagen om läkemedelsförteckning. När det gäller personuppgiftsbehandling inom hälso- och sjuk- vårdens kärnverksamhet finns dock ingen generell särbestämmelse om personuppgiftsansvar – varken i vårdregisterlagen eller i någon annan författning – som tar över personuppgiftslagens bestämmelser. I stället gäller den allmänna principen att det efter en bedömning av de faktiska omständigheterna i varje enskilt fall får avgöras vem eller vilka som har personuppgiftsansvaret för en viss behandling. Det torde därvid stå klart att det inom den enskilda hälso- och sjuk- vården är vårdgivaren – t.ex. ett aktiebolag eller en stiftelse som driver en hälso- och sjukvårdsverksamhet eller en företagare som bedriver hälso- och sjukvård i en enskild firma – som är person- Grundläggande bestämmelser om personuppgiftsbehandling uppgiftsansvarig för den personuppgiftsbehandling som sker hos vårdgivaren. I allmän verksamhet anses det i praxis normalt vara en myndighet som är personuppgiftsansvarig för personuppgiftsbehandlingen, för- utsatt att organet är så självständigt att det är en förvaltningsmyn- dighet. I flertalet registerförfattningar på det statliga och det kom- munala området som reglerar personuppgiftsansvaret – se t.ex. 11 § förordningen om behandling av personuppgifter inom – har myndigheter i stället för den juridiska personen staten eller kommunen pekats ut som personuppgiftsansvarig. Vi menar att det är den mest lämpliga ordningen att personupp- giftsansvaret inom den allmänna hälso- och sjukvården förläggs på myndighetsnivå. Därmed uppnås en samordning mellan personupp- giftsansvaret och ansvaret för allmänna handlingar enligt tryckfri- hetsförordningen, sekretesslagen och arkivlagen (1990:782). Vilka myndigheter i landsting eller kommuner som är person- uppgiftsansvariga för personuppgiftsbehandling i landstings eller kommuners hälso- och sjukvård kan inte anges generellt utan beror framför allt på hur ansvaret för hälso- och sjukvårdens verksamhet organiserats i respektive landsting eller kommun, se 10 och 18 §§ hälso- och sjukvårdslagen samt 11 § tandvårdslagen. I en kommun kan exempelvis självständiga distriktsnämnder var och en ansvara för verk- samheten i sitt distrikt. Ansvaret kan vidare vara uppdelat mellan beställar- och utförarnämnder. Verksamhetsansvaret kan också vara samlat under en enda nämnd t.ex. en landstingsstyrelse. Även en gemensam nämnd enligt 3 kap. 3 a § kommunallagen (1991:900) eller lagen (2003:192) om gemensam nämnd inom vård- och omsorgsom- rådet kan i princip vara personuppgiftsansvarig (prop. 1996/97:105 s. 59). Drivs verksamheten i ett sådant primär- eller landstingskom- munalt aktiebolag, handelsbolag eller sådan ekonomisk förening eller stiftelse som avses i 1 kap. 9 § sekretesslagen, är det den juridiska personen – dvs. bolaget, föreningen eller stiftelsen – som är person- uppgiftsansvarig. En statlig myndighet som bedriver viss hälso- och sjukvårdsverksamhet vid sidan av sin huvudsakliga verksamhet kan förstås också vara personuppgiftsansvarig, t.ex. Väsentligt för alla de nämnda organen är att det inte är någon an- ställd eller personlig företrädare för vårdgivaren eller myndigheten som är personuppgiftsansvarig; ansvaret har organet som sådant. Detsamma gäller även om organet (myndigheten eller den privata Grundläggande bestämmelser om personuppgiftsbehandling vårdgivaren) bedriver verksamhet i flera skilda vårdinrättningar eller liknande fristående enheter. I och med att ramen för tillåten personuppgiftsbehandling sätts av lagstiftaren genom ändamålsbestämningen i stället för att de över- gripande ändamålen bestäms av vårdgivaren, se avsnitt 8.2, kan man hävda att det finns ett behov av en generell och uttrycklig bestäm- melse om vem som skall vara personuppgiftsansvarig vid behandling av personuppgifter (och uppgifter om avlidna) enligt patientdatalagen. De av oss föreslagna ändamålen skall emellertid ses som övergripan- de ramar. Inom dessa ramar har varje vårdgivare stora möjligheter och krav på sig att närmare precisera eller inskränka ändamålen för olika slags personuppgiftsbehandlingar som sker i den egna verksam- heten. Förhållandena är alltså inte helt desamma som när det gäller t.ex. hälsodataregistren beträffande vilka regeringen detaljreglerat varje hälsodataregisters användningsområde och innehåll. Ett skäl att ändå föreslå en uttrycklig bestämmelse är att det i vårt arbete framkommit att det inom hälso- och sjukvården finns en relativt utbredd osäkerhet om hur det förhåller sig med person- uppgiftsansvar för främst vissa typer av personuppgiftsbehandlingar som inte faller in under vårdregisterlagens tillämpningsområde. Exem- pelvis förekommer i informationsblanketter till patienter att en per- son, t.ex. en verksamhetschef, ibland anges vara personuppgiftsan- svarig för vissa personuppgiftsbehandlingar i en verksamhet trots att verksamheten som sådan helt klart faller under vårdgivarens formella ansvar. Genom en uttrycklig bestämmelse om vem som skall vara personuppgiftsansvarig vid behandling av personuppgifter kan man undvika dylika oklarheter och missförstånd. Vi föreslår därför en sådan bestämmelse. Enligt den föreslagna bestämmelsen skall en vårdgivare vara per- sonuppgiftsansvarig för den behandling av personuppgifter som den utför. Med detta menas den personuppgiftsbehandling som sker inom ramen för vårdgivarens verksamhet och som vårdgivaren ansvarar för. I avsnitt 7.3.2 har vi föreslagit att begreppet vårdgivare definieras i lagen. Genom definitionen klargörs bl.a. att med begreppet vård- givare avses inte den enskilde yrkesutövaren utan den juridiska eller fysiska person som bedriver och ansvarar för hälso- och sjukvårds- verksamheten. Häri ingår bl.a. sådana kommunala företag som avses i 1 kap 9 § sekretesslagen. Vidare har vi föreslagit att det klargörs i definitionen att med en vårdgivare i den statliga vården avses i patientdatalagen inte den juridiska personen staten utan den statliga myndighet som bedriver hälso- och sjukvården. På övriga nivåer är Grundläggande bestämmelser om personuppgiftsbehandling det dock de juridiska personerna, landstingen och kommunerna, som är vårdgivare. Som framgått ovan anser vi emellertid att personupp- giftsansvaret bör förläggas på myndighetsnivå. Vi föreslår därför att i landsting och kommuner skall den myndighet som utför en per- sonuppgiftsbehandling vara personuppgiftsansvarig för den. På några områden, då personuppgiftsbehandling sker gemensamt eller för flera vårdgivares gemensamma räkning vid s.k. samman- hållen journalföring och i nationella eller regionala kvalitetsregister, återkommer vi till frågor om personuppgiftsansvar, se avsnitt 11.6 och 16.4.3. 8.4Personuppgifter som får behandlas Vårt förslag: Endast sådana personuppgifter som behövs för det ändamål för vilket personuppgiftsbehandlingen utförs, får be- handlas enligt patientdatalagen. I lagen klargörs att uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen får behandlas även inom privata vårdgivares verksamhet. I övrigt före- slås inga särbestämmelser om speciella personuppgiftskategorier. Från integritetssynpunkt är det väsentligt att inte andra personupp- gifter behandlas inom hälso- och sjukvården än vad som är befogat utifrån verksamhetens behov och krav. Som tidigare framgått behand- las en mycket stor mängd personuppgifter av alla slag inom patient- datalagens tillämpningsområde. Behoven skiftar givetvis i hög grad beroende på en mängd olika förhållanden, såsom t.ex. vad det är för slags hälso- och sjukvård som bedrivs och hur omfattande vårdgiva- rens verksamhet är. Att närmare specificera vilka personuppgifter som generellt får behandlas i verksamheten ter sig mindre lämpligt. Vi föreslår således inga bestämmelser som konkret anger vilka personuppgifter som får eller inte får behandlas enligt patientdata- lagen. I stället föreslås att ändamålsbestämningen skall styra över vilka personuppgifter som får samlas in och fortsättningsvis behandlas. Alla personuppgifter som behövs för det ändamål för vilket en be- handling utförs får därmed behandlas. Det gäller även sådana person- uppgiftskategorier som särregleras i personuppgiftslagen, dvs. känsliga personuppgifter (13 §), personuppgifter om lagöverträdelser m.m. (21 §) och uppgifter om personnummer (22 §). Vi bedömer nämligen att det skulle innebära tillämpningsproblem och försvåra ett ratio- nellt utnyttjande av IT inom hälso- och sjukvården att föreskriva Grundläggande bestämmelser om personuppgiftsbehandling särskilda förutsättningar för att få behandla dessa slags personupp- giftskategorier.