sou · GUB382 · 2007-01-01 00:00:00 — personuppgiftsansvar, personuppgifter som får behandlas och sök- begrepp – som finns intagna i detta kapitel tillämpas vid sådan be- handling av personuppgifter som är helt eller delvis automatiserad. Bestämmelserna skall tillämpas inte bara på personuppgiftsbehand- ling i särskilda register eller databaser utan omfattar all helt eller delvis automatiserad behandling av personuppgifter som förekommer inom hälso- och sjukvården. Bestämmelserna skall vidare tillämpas på viss behandling i register, nämligen om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Viss vägledning om i vilka fall behandling kan omfattas av patientdatalagen ges i RÅ 2001 ref. 35. Den enskildes inställning till personuppgiftsbehandling 2 § Behandling av personuppgifter som är tillåten enligt denna lag får ut- föras även om den enskilde motsätter sig den. Det gäller dock inte om annat framgår av denna lag, annan lag eller förordning. I 4 kap. 4 §, 6 kap. och 7 kap. 2 § finns bestämmelser om att en person- uppgiftsbehandling inte är tillåten om patienten motsätter sig den eller inte samtycker till den. Paragrafen har behandlats i avsnitt 8.5.3. Enligt paragrafen får som huvudregel personuppgiftsbehandling, som är tillåten enligt patient- datalagen, utföras även om den enskilde motsätter sig den. Bestäm- melsen skall ses mot bakgrund av artikel 14 a i och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som föreskriver att den enskilde åtminstone i vissa fall skall garanteras en rätt att motsätta sig en personuppgiftsbehandling, om inte annat föreskrivs i nationell lagstiftning. Här föreskrivs alltså som huvudregel att personuppgifts- behandling enligt patientdatalagen är tillåten även om den enskilde motsätter sig den. Av paragrafen framgår emellertid att det kan finnas bestämmelser som ger enskilda en möjlighet att med rättslig verkan motsätta sig en personuppgiftsbehandling som i och för sig regleras av patientdatalagen. I andra stycket hänvisas till några sådana bestämmelser i patientdatalagen. I 4 kap. 4 § finns bestämmelser om att en patient har möjlighet att begränsa hälso- och sjukvårdsper- sonalens elektroniska åtkomst till uppgifter om patienten (inre sek- Av 6 kap. framgår att en patient på olika sätt har inflytande över huruvida uppgifter om patienten skall vara tillgängliga vid sam- manhållen journalföring. I 7 kap. 2 § föreskrivs att en patient kan motsätta sig att uppgifter om patienten behandlas i ett nationellt eller regionalt kvalitetsregister. Ytterligare exempel på bestämmelser om att en enskild kan motsätta sig personuppgiftsbehandling enligt patientdatalagen finns i förordningen (1986:198) om provtagning för infektion av HIV. Enligt förordningen kan en patient begära att få vara anonym vid provtagning. Förordningen ger alltså patienten en viss möjlighet att motsätta sig personuppgiftsbehandling av namn och personnummer. 3 § En behandling av personuppgifter som inte är tillåten enligt denna lag får ändå utföras om den enskilde lämnat ett uttryckligt samtycke till behandlingen. Det gäller dock inte om annat framgår av denna lag, annan lag eller förordning. Av 6 kap. 5 § framgår att den enskilde i ett visst fall inte kan samtycka till en behandling av personuppgifter som inte är tillåten enligt denna lag. Regeringen får föreskriva att en behandling av personuppgifter som inte är tillåten enligt denna lag inte heller i andra fall får utföras trots att den enskilde lämnat samtycke till behandlingen. Paragrafen har behandlats i avsnitt 8.5.3. Första stycket innebär ett klargörande av att även sådan personuppgiftsbehandling som i och för sig inte är tillåten enligt patientdatalagen får utföras, om den enskilde uttryckligen har samtyckt till det och inte annat följer av andra bestämmelser i patientdatalagen eller av annan lag eller av för- ordning. Paragrafen kan sägas ge uttryck för principen att en enskilds frivilliga samtycke till en viss personuppgiftsbehandling normalt skall respekteras. Huvudregeln i förevarande paragraf innebär således exempelvis att personuppgifter kan samlas in och behandlas för ett ändamål som inte anges i patientdatalagens ändamålsbestämning (se 4 §), om den enskilde har lämnat ett uttryckligt samtycke till detta. Något skriftligt samtycke från den enskilde fordras i och för sig inte, men det kan vara lämpligt att ha ett sådant för att förebygga eventuella framtida tvister. Huvudregeln gäller dock inte om annat framgår av patientdatalagen, annan lag eller för- ordning. I andra stycket erinras om en sådan föreskrift i patient- datalagen. I andra stycket finns en hänvisning till 6 kap. 5 §, som innebär ett undantag från huvudregeln i första stycket. Av den paragrafen följer att en patient inte kan samtycka till att den som arbetar hos en vård- givare får bereda sig tillgång till personuppgifter som är tillgängliga genom sammanhållen journalföring annat än under de förutsättningar som anges i 6 kap. 3 och 4 §§. Enligt tredje stycket får regeringen föreskriva ytterligare undantag som upphäver verkan av den enskildes samtycke till personuppgifts- behandling i strid mot patientdatalagen. 4 § Personuppgifter får behandlas inom hälso- och sjukvården om det behövs för 1.att fullgöra de skyldigheter som anges i 3 kap. och upprätta annan dokumentation som behövs i och för vården av patienter, 2.administration som rör patienter och som syftar till att bereda vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3.att upprätta annan dokumentation som följer av lag, förordning eller annan författning, 4.att systematiskt och fortlöpande utveckla och säkra kvaliteten i verk- samheten, 5.administration, planering, uppföljning, utvärdering och tillsyn av verk- samheten, eller 6.framställning av statistik rörande hälso- och sjukvård. I 7 kap. 4 och 5 §§ finns särskilda bestämmelser om ändamålen för be- handling av personuppgifter i nationella och regionala kvalitetsregister. Paragrafen har utförligt redovisats i avsnitt 8.2. I paragrafens första stycke anges de primära ändamålen, alltså sådana ändamål som tar sikte på den egentliga kärnverksamheten inom hälso- och sjukvår- den. De primära ändamålen beskriver personuppgiftsbehandlingar som normalt äger rum i varje sjukvårdshuvudmans verksamhet. De angivna ändamålen avser inte bara den individinriktade hälso- och sjukvårdsverksamheten utan också sådana särskilda ändamål som faller vid sidan av den individinriktade verksamheten. Syftet med att ange ändamål är att slå fast en yttersta ram för när personupp- gifter får samlas in och fortsättningsvis behandlas. Utgångspunkten är således att endast sådan personuppgiftsbehandling får äga rum som inryms i något eller några av de uppräknade ändamålen (se dock 5 §). Inom denna ram måste vårdgivaren i allmänhet bestämma mer konkreta och preciserade ändamål. Det följer av 9 § första stycket c personuppgiftslagen (1998:204) om att ändamålen skall vara sär- skilda. Hur långt konkretionen och preciseringen skall sträcka sig får bedömas från fall till fall. Det är naturligtvis skillnad om ett enda gemensamt journal- och patientadministrativt system införs eller om ett tillfälligt uppföljningsregister inrättas. I det sistnämnda fallet bör uttryckligen bestämmas att registret får användas endast som underlag för den aktuella uppföljningen. De ändamål som anges i punkterna 1 och 2 kan beskrivas som vårddokumentation. Att ända- målen tas upp i två punkter och inte i en enda har ingen saklig betydel- se. Det är enbart av språkliga skäl som uppdelningen i två punkter har gjorts. Båda punkterna tar sikte på den individinriktade patient- verksamheten. En viktig bas i denna informationshantering är patientjournalhanteringen och den administration som behövs av patientvården. Med administration i punkt 2 avses såväl patientrela- terad ekonomiadministration som annan administration som behövs för eller föranleds av vård i enskilda fall. Punkt 3 avser annan doku- mentation än vårddokumentation som hälso- och sjukvården är skyldig att utföra enligt olika författningar. Exempel härpå är doku- mentation enligt lagen (1985:12) om kontroll av berusningsmedel på sjukhus och bestämmelsen om rapporteringsskyldighet till vårdgivare i 2 kap. 7 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område (). Det finns vidare en rad författningar som föreskriver att hälso- och sjukvården skall lämna ut uppgifter till olika myndigheter. I allmänhet rör det sig här om utlämnande av uppgifter som primärt har samlats in som vårddokumentation. Uppgifterna kan då normalt tillhandahållas utan någon föregående bearbetning av dem. I dessa fall handlar det endast om en behand- ling för det ändamål som anges i 5 §, alltså behandling för att full- göra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. kan emellertid uppgiftsskyldigheten förutsätta en viss särskild personuppgiftsbehandling där dokumentationen utformas utifrån hur uppgiftsskyldigheten skall fullgöras. I sådana fall är det inte fråga om en ren återanvändning av redan insamlade personuppgifter. Personuppgiftsbehandling av nu beskrivet slag kan bli aktuell exempelvis då uppgiftsskyldighet skall fullgöras enligt 14 kap. 1 § socialtjänstlagen (2001:453) samt 4 och 6 §§ förordningen (2001:707) om patientregister hos . Punkten 4 avser kvalitetssäkring. Kravet på hälso- och sjukvården att kvalitetssäkra framgår av 31 § hälso- och sjukvårdslagen (1982:763), som före- skriver att kvaliteten inom hälso- och sjukvården systematiskt och fortlöpande skall utvecklas och säkras. I 16 § tandvårdslagen (1985:125) finns en motsvarande bestämmelse om kvalitetssäkring när det gäller tandvården. Att kvalitetssäkring tas upp som en sär- skild punkt beror bl.a. på den centrala roll som kvalitetssäkrings- arbetet har inom hälso- och sjukvården. Kvalitetssäkringsarbete kan ske i många former och med olika metoder. En speciell form är verk- samheten med hälso- och sjukvårdens kvalitetsregister, se 7 kap. Punkten 5 innebär att den personuppgiftsansvarige fortlöpande eller vid särskilda tillfällen kan administrera, planera, följa upp, utvärdera och utöva tillsyn av verksamheten på olika nivåer. Den administra- tion och planering som avses här sker på ett mer övergripande plan än vad som avses med den patientadministration som omfattas av ändamålet vårddokumentation (punkterna 1 och 2). Punkten 5 gör det möjligt för hälso- och sjukvården att bedriva verksamhetsupp- följning med individuppgifter, se närmare härom avsnitt 15. Med utvärdering avses analys och värdering av kvalitet, effektivitet och resultat av en verksamhet i förhållande till de mål som bestämts för denna. Personuppgiftsbehandling får också förekomma för att vård- givaren skall kunna bedriva tillsyn av sin verksamhet. Enligt punk- ten 6 får personuppgifter behandlas för statistikändamål. Här åsyftas inte s.k. verksamhetsstatistik, som ryms inom ändamålet i punkt 5, utan annan statistik, exempelvis sådan som landstingen tar fram för att informera befolkningen om hälso- och sjukvårdsverksamheten. För en närmare redovisning av innehållet i de olika punkterna hän- visas till avsnitt 8.2.3. Inget hinder möter mot att samköra personuppgifter i olika re- gister eller datasystem inom hälso- och sjukvården, om samkörningen sker för något eller några av de ändamål som anges i paragrafen. Det- samma gäller om samkörningen sker för ändamål som inte är oför- enliga med de ändamål som anges i första stycket (se 5 §). I andra stycket erinras om att det finns särskilda bestämmelser om ändamålen för behandling av personuppgifter i nationella och regionala kvalitetsregister, se 7 kap. 4 och 5 §§. 5 § Personuppgifter som behandlas för ändamål som anges i 4 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Paragrafen har behandlats i avsnitt 8.2. I paragrafen regleras till en början sådant utlämnande av personuppgifter som redan finns i verk- samheten därför att de har samlats in för primära ändamål, vanligtvis Sådant uppgiftslämnande kan ske med stöd av 14 kap. 1 § sekretesslagen (1980:100), som föreskriver att sekre- tess inte hindrar att uppgift lämnas till en annan myndighet, om upp- giftsskyldighet följer av lag eller förordning. Ett annat exempel är 14 kap. 2 § sekretesslagen, som bl.a. tillåter myndigheter inom hälso- och sjukvården att under vissa förutsättningar lämna ut personuppgif- ter till andra myndigheter. Här kan också nämnas 15 kap. 5 § sekre- tesslagen, som innebär att en myndighet på begäran av en annan myndighet skall lämna ut uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Vidare finns i lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område bestämmelser om utlämnande av uppgifter, se 2 kap. 9 och 11 §§. Självklart skall bestämmelserna i 2 kap. tryckfrihetsförordningen om skyldigheten att lämna ut allmänna handlingar tillämpas före patientdatalagen, se 8 § personuppgiftslagen (1998:204). I paragrafen klargörs vidare genom en uttrycklig hänvisning till personuppgiftslagen (1998:204) att den s.k. finalitetsprincipen gäller även vid personuppgiftsbe- handling enligt patientdatalagen. Att finalitetsprincipen är tillämplig innebär att personuppgifter som redan finns i hälso- och sjukvårds- verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen är förenliga med de tidigare ändamålen. Genom hänvisningen klargörs vidare att insamlade personuppgifter också får behandlas för historiska, statistiska eller vetenskapliga ändamål. Behandling för forsknings- ändamål av tidigare insamlade personuppgifter får således ske utan att det behöver anges som ett särskilt ändamål. Även om sådan personuppgiftsbehandling är tillåten gäller dock lagen (2003:460) om etikprövning av forskning som avser människor och den lagens krav på etikprövning. Personuppgiftsbehandlingen inom forsknings- projekt regleras av personuppgiftslagen. 6 § En vårdgivare är personuppgiftsansvarig för den behandling av per- sonuppgifter som den utför. I landsting och kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför. I 6 och 7 kap. finns särskilda bestämmelser om personuppgiftsansvar. Paragrafen har behandlats i avsnitt 8.3. Enligt första stycket är en vårdgivare ansvarig för den behandling av personuppgifter som vård- givaren utför. Med detta menas den personuppgiftsbehandling som sker inom ramen för vårdgivarens verksamhet och som vårdgivaren ansvarar för. Av definitionen av begreppet vårdgivare i 1 kap. 3 § framgår, när det gäller den hälso- och sjukvård som landstingen och kommunerna ansvarar för, att med vårdgivare avses den juridiska personen som sådan, dvs. och kommunen, inte den eller de myndigheter inom och kommunen som ansvarar för eller utför hälso- och sjukvård. Enligt förevarande paragraf är det emellertid inte eller kommunen som är personuppgifts- ansvarig. I stället är det den myndighet, nämnd, som behandlar per- sonuppgifterna som är personuppgiftsansvarig. När det gäller den enskilda hälso- och sjukvården avses med vårdgivare inte den enskil- de yrkesutövaren utan den juridiska eller fysiska person som bedriver och ansvarar för hälso- och sjukvårdsverksamheten. Definitionen av vårdgivare omfattar också sådana kommunala företag som avses i 1 kap. 9 § sekretesslagen (1980:100), dvs. bolag, föreningar och stif- telser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande. Av andra stycket framgår att det finns särskilda bestäm- melser om personuppgiftsansvar vid sammanhållen journalföring (6 kap. 6 §) och vid personuppgiftsbehandling i nationella och regio- nala kvalitetsregister (7 kap. 7 §). Personuppgifter som får behandlas 7 § Endast sådana personuppgifter som behövs för ändamål som anges i 4 § får behandlas. Även en vårdgivare som inte är myndighet får behandla sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204). Paragrafen har behandlats i avsnitt 8.4. Enligt paragrafen får endast sådana personuppgifter som behövs för ändamål som anges i 4 § samlas in och vidare behandlas med stöd av patientdatalagen. Alla personuppgifter som behövs för det ändamål för vilket en behand- ling utförs får alltså behandlas. Kravet på att personuppgifterna skall behövas för att få behandlas innebär att endast sådana uppgifter som behövs för att uppfylla de aktuella ändamålen med personuppgiftsbe- handlingen får behandlas. Uppgifter som inte behövs för ändamålen får alltså inte behandlas. De personuppgifter som får behandlas enligt paragrafen gäller även sådana personuppgiftskategorier som särregle- ras i personuppgiftslagen (1998:204), dvs. känsliga personuppgifter (13 §), personuppgifter om lagöverträdelser m.m. (21 §) och uppgifter om personnummer (22 §). I paragrafen nämns särskilt sådana person- uppgifter som avses i 21 § personuppgiftslagen. Syftet med detta är att klargöra att även en privat vårdgivare skall kunna behandla per- sonuppgifter av detta slag. När det gäller frågan vilka personuppgifter som får behandlas måste även personuppgiftslagens grundläggande krav på att personuppgifterna skall vara adekvata och relevanta i för- hållande till ändamålen med behandlingen iakttas. Kraven innebär också att inte fler personuppgifter behandlas än vad som är nödvän- digt med hänsyn till ändamålen med behandlingen samt att person- uppgifter som behandlas skall vara riktiga och, om nödvändigt, aktuella (9 § e-g). Ovidkommande eller onödigt många personupp- gifter i förhållande till ändamålen får alltså inte behandlas. Inte heller får uppgifter som direkt pekar ut enskilda, t.ex. personnummer, användas om det är tillräckligt för ändamålet att använda uppgifter som bara indirekt kan härledas till en viss person. Särskilt viktig är bestämmelsen i personuppgiftslagen att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen vid sammanhållen journalföring, som innebär att en vårdgivare under vissa förutsättningar har direktåtkomst till andra vårdgivares vårddokumentation (se 6 kap.). Konstruktionen med direktåtkomst vid sammanhållen journalföring innebär att det normalt inte skall vara nödvändigt att ladda ner kopior av andra vårdgivares journalhandlingar och bifoga dem till den egna journal- föringen. Om en sådan nedladdning och lagring inte bedöms som nödvändig, är den inte tillåten på grund av den aktuella bestämmel- sen i personuppgiftslagen. Begreppen behövs i förevarande para- graf och nödvändig i personuppgiftslagen har i huvudsak samma innebörd. 8 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) eller uppgifter om lagöverträdelser m.m. som avses i 21 § sam- ma lag får inte användas som sökbegrepp. Inte heller får uppgifter om att någon fått bistånd eller andra insatser inom eller varit föremål för åtgärder enligt utlänningslagen (2005:716) användas som sökbegrepp. Det är trots förbudet i första stycket tillåtet att som sökbegrepp an- vända uppgifter som rör hälsa samt uppgifter om att någon varit föremål för tvångsingripande enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Regeringen får föreskriva att ett landsting eller en kommun, utan hinder av vad som anges i första stycket, får använda uppgifter om etnicitet samt att någon fått bistånd eller andra insatser inom eller varit föremål för åtgärder enligt utlänningslagen som sökbegrepp för att göra vissa slags sammanställningar. Paragrafen, som i huvudsak motsvarar 7 § lagen (1998:544) om vård- register, har behandlats i avsnitt 8.6. I första stycket anges som huvud- regel att vissa personuppgifter inte får användas som sökbegrepp. Med sökbegrepp brukar man i den s.k. registerlagstiftningen avse be- grepp som används som urvalskriterier för att söka fram handlingar som innehåller det aktuella begreppet eller för att med begreppet som utgångspunkt göra sammanställningar av olika slag. Till en början nämns känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204). Härmed avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening samt uppgifter som rör sexualliv. Förbjudna sökbegrepp är vidare personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövande, se 21 § personuppgiftslagen. Inte heller får uppgifter om att någon fått bistånd eller andra insatser inom eller att någon varit föremål för åtgärder enligt utlänningslagen (2005:716) användas som sökbegrepp. I andra stycket föreskrivs vissa undantag från förbudet i första stycket. Det är således trots förbudet tillåtet att som sökbegrepp använda uppgifter som rör hälsa samt uppgifter om att någon varit föremål för tvångsingripande enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Upp- gifter som rör hälsa kan behöva användas som sökbegrepp för att man snabbt och effektivt skall kunna finna relevanta journal- anteckningar från en patients tidigare vårdtillfällen. Förutom i det individinriktade arbetet kan det vid t.ex. verksamhetsuppföljningar vara nödvändigt att göra sammanställningar utifrån sökkriterier som diagnoser och liknande. I sådana sammanhang kan det också vara nöd- vändigt att som sökbegrepp använda uppgifter om frihetsberövande inom psykiatrin och rättspsykiatrin. Även vid verksamhetsplane- ring – t.ex. då man undersöker framtida tillströmningar av olika patientkategorier – kan det vara nödvändigt att använda sökbegrepp som rör hälsa. Enligt tredje stycket får regeringen föreskriva att ett landsting eller en kommun får använda uppgifter om etnicitet, uppgifter om att någon fått bistånd eller andra insatser inom eller upp- gifter om att någon varit föremål för åtgärder enligt utlänningslagen (2005:716) som sökbegrepp för att göra vissa slags sammanställ- ningar. Bakgrunden till att etnicitet skall kunna få användas som sökbegrepp är att t.ex. landstingen kan behöva planera, utföra och följa upp hälso- och sjukvård som en del invandrargrupper behöver. Behov kan också uppstå av att använda uppgifter om bistånd och andra insatser inom som sökbegrepp. Sammanställ- ningar som grundar sig på åtgärder enligt utlänningslagen kan be- höva göras för att landstingen skall kunna begära ersättning av staten för vårdinsatser åt asylsökande m.fl. enligt förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asylsökande eller förordningen (2002:1118) om statlig ersättning för asylsökande m.fl. Skyldigheten att föra patientjournal 1 § Vid vård av patienter skall föras patientjournal. Patientjournal skall föras för varje patient och får inte vara gemensam för flera patienter. I 6 kap. finns bestämmelser om direktåtkomst till andra vårdgivares upp- gifter om patienter genom sammanhållen journalföring. Första stycket, som har behandlats i avsnitt 10.4.3, överensstämmer med 1 § första stycket patientjournallagen (1985:562). I andra stycket finns en hänvisning till 6 kap. patientdatalagen, som innehåller be- stämmelser om sammanhållen journalföring. Personer som är skyldiga att föra patientjournal 2 § Skyldig att föra patientjournal är 1.den som enligt 3 kap. lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område har legitimation eller särskilt förordnande att ut- öva visst yrke,