sou · GUB382 · 2007-01-01 00:00:00 — I svensk lagstiftning är skyddet för den enskildes integritet inte absolut, utan den enskilde måste acceptera ett visst mått av intrång till förmån för viktiga allmänna intressen. Det tyngsta skälet till att man tillåter registrering av känsliga personuppgifter i olika typer av myndighetsregister är att det finns stora samhälleliga vinster att göra med hjälp av dessa register. Hälso- och sjukvården är ett område där en god hantering av per- sonuppgifter kan ge stora förbättringar såväl i den dagliga verksam- heten som för forskning och utveckling. Det finns ett flertal regis- ter inom hälso- och sjukvården , vilka omfattas av författ- ningsreglering. Ett av syftena med att författningsreglera ett register- område är att stärka skyddet för den enskildes integritet och att an- passa det i förhållande till personuppgiftslagen. Nuvarande bestämmelser på området I svensk rätt finns inte någon legaldefinition av begreppen person- lig integritet och otillbörligt intrång i denna. Däremot finns bestäm- melser till skydd för den personliga integriteten i lagar och förord- ningar på olika rättsområden. I 1 kap. 2 § fjärde stycket regeringsformen (RF) föreskrivs bland annat att det allmänna skall värna om den enskildes privatliv och familjeliv. I 2 kap. 3 § andra stycket RF anges att varje medborgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. reglerar personuppgiftslagen (1998:204), PUL, närmare skyddet för den enskildes personliga integritet vid behand- ling av personuppgifter. PUL utgör ett genomförande i svensk lag- stiftning av EG-direktivet om personuppgifter (och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter). PUL är subsidiär i för- hållande till avvikande bestämmelser i lag eller förordning. Sådana bestämmelser får dock inte strida mot det underliggande EG- direktivet. Lagen är nu föremål för en översyn. Syftet med denna är att inom ramen för direktivets bestämmelser åstadkomma ett regel- verk som mera tar sikte på missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten än vad den nu- varande lagen gör (dir. 2002:31). Den närmare regleringen av automatiserad behandling av person- uppgifter inom hälso- och sjukvården står lagen (1998:543) om hälsodataregister (hälsodataregisterlagen) och lagen (1998:544) om vårdregister (vårdregisterlagen) för. De infördes som en följd av att man ansåg det nödvändigt att författningsreglera personregister inom hälso- och sjukvården för att skydda den enskildes integritet. Då hälsodataregisterlagen och vårdregisterlagen utarbetades ansåg hälsodatakommittén (SOU 1995:95) att det inte var nödvändigt att författningsreglera även de nationella kvalitetsregistren, främst på grund av att de ofta är tidsbegränsade. Andra viktiga författningar på området är sekretesslagen (1980:100), hälso- och sjukvårdslagen (1982:763), lag (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område samt patient- journallagen (1985:562). Hälso- och sjukvårdssekretessen regleras i 7 kap. 1 § sekretess- lagen och omfattar personuppgifter i de nationella kvalitetsregist- ren i den mån de register förs inom ramen för hälso- och sjukvår- den. Enligt bestämmelsen gäller sekretess för uppgifter om enskilds hälsotillstånd och andra personliga uppgifter om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Enligt 7 kap. 1 § sista stycket får en lands- tingskommunal eller myndighet som bedriver hälso- och sjukvård lämna uppgift till en annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksam- hetsområdet, om det inte kan antas att den enskilde eller honom närstående lider men om uppgiften röjs. I 2 kap. 8 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område finns bestämmelser om tystnadsplikt för hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården. I 9 kap. 4 § sekretesslagen regleras sekretesskyddet för uppgifter som rör enskilds personliga eller ekonomiska förhållanden, vilka före- kommer hos myndighet i dess verksamhet som avser framställning av statistik eller annan därmed jämförbar undersökning. Paragrafen fick en ny lydelse genom en ändring som trädde i kraft (SFS 2001:101). Ändringen var föranledd av en EG-förord- ning (Rådets förordning EG nr 322/97 av om gemenskapsstatistik) och syftade till att anpassa bestämmelserna i sekretesslagen till denna. Den nya utformningen av bestämmelsen innebar en skärpning av sekretessen i vissa avseenden och medförde bland annat att uppgifter om avliden inte längre fick lämnas ut, utom då uppgifterna skall användas för forsknings- eller statistik- ändamål. Författningsreglerade register inom hälso- och sjukvården Hälsodataregistren är rikstäckande, centrala register som förs av centrala förvaltningsmyndigheter. Uppgifter i hälsodataregister får behandlas för att framställa statistik och för att följa upp, utvärdera och kvalitetssäkra hälso- och sjukvården. Uppgifter får även be- handlas för forskning och epidemiologiska undersökningar som den personuppgiftsansvarige utför. Det åligger den personuppgifts- ansvarige att se till att uppgifter i ett hälsodataregister används på ett sätt som överensstämmer med registrets ändamål. Hälsodata- register får endast innehålla de uppgifter som behövs för något eller några av de angivna ändamålen; andra uppgifter är inte tillåtna. Det är endast den personuppgiftsansvarige som får ha direktåtkomst till uppgifterna. Sekretess för dessa uppgifter regleras i 9 kap. 4 § sekre- tesslagen. De personregister som används för dokumentation av vården av patienter och för sådan administration som rör enskilda patienter och som syftar till att bereda vård i enskilda fall utgör vårdregister. Det är den individinriktade verksamheten inom vården som om- fattas av regleringen. Det gäller såväl sjukdomsförebyggande åtgär- der, t.ex. allmänna och riktade hälsokontroller, som egentlig sjuk- vård, t.ex. undersökning och behandling vid ohälsa samt omvård- nad. Endast de som för angivna ändamål behöver tillgång till upp- gifterna har direktåtkomst till dem. För att man skall få ta del av uppgifterna krävs att de är nödvändiga för att man skall kunna ut- föra sitt arbete. Åtkomsten får avse endast de uppgifter som be- hövs för arbetets utförande. började man föra kvalitetsregister inom hälso- och sjukvården. Framför allt har flera nya register skapats och finns det ett 50-tal. Flera av registren har numera rikstäckning efter att tidigare ha varit lokala eller regionala. Kvali- tetsregistren inrättades för att följa upp effekten av insatt behand- ling och förändring av behandlingsresultat och är som sådana mycket värdefulla. Bland annat avsätts medel för utveckling och drift av dessa register för kvalitetsutveckling in- om hälso- och sjukvården i de s.k. Dagmaröverenskommelserna mellan staten och sjukvårdshuvudmännen. De nationella kvalitetsregistren utgör en särskild grupp register som alla har skapats med ambitionen att de skall kunna utvecklas och användas som kvalitetsuppföljningsinstrument på lokal, regio- nal och nationell nivå. Det övergripande syftet med registren är att de skall bidra till att förbättra kunskaper om nyttan av och riskerna med olika typer av medicinska åtgärder och ingrepp. De innehåller unika data för arbetet med kvalitetssäkring på alla nivåer inom hälso- och sjukvården. Registren är även en viktig del i statistik- framställning och forskning inom hälso- och sjukvården. När kvali- tetsregistren används i vardagsvården bidrar de till en förbättrad kvalitet inom den svenska hälso- och sjukvården. Vanligen har initiativet till att skapa ett register kommit från en eller flera läkare inom aktuell specialitet. Verksamheten med registren bygger på ett frivilligt deltagande från ett stort antal olika enheter, inom hälso- och sjukvården. Uppgiftslämnande skall grundas på att de enskilda patienterna lämnar sitt samtycke till att deras medicinska data an- vänds i registren och att de deltagande vårdgivarna finner registret meningsfullt. Registren administreras vid någon klinik eller institu- tion inom ett sjukhus. är personuppgiftsansvarig myndighet. Registren har olika inriktning. Många har tillkommit i syfte att beskriva eventuella skillnader i användningen av olika behandlings- metoder, i fråga om såväl geografisk spridning som de symptom på vilka metoderna används. Register som inrättats har ofta varit inriktade på att belysa skillnader i kvalitet, vård- utnyttjande eller medicinsk praxis. En följd av att registren har tillkommit med olika syften är att innehållet i dem varierar, men oftast innehåller de följande uppgifter. Patientdata: personnummer, ålder, kön, diagnos, symptom, indi- kationer för åtgärder, riskfaktorer, m.m. Åtgärder: operationer, typ av implantat. Effektdata: uppgifter som på något sätt mäter resultatet av in- satsen, t.ex. i form av ökad livslängd, funktionsförmåga, och uppföljning gällande bl.a. vidare vårdbehov, dödlighet, och döds- orsak. Variabler som beskriver komplikationer. Komplementär vård; vård vid andra enheter. För de kvalitetsregister som påbörjades före tillämpades t.o.m. tillstånd som meddelades med stöd av datalagen (1973:289). Att registreringen var frivillig för- utsatte att den enskilde hade lämnat sitt samtycke för att personupp- gifter skulle få registreras. blev PUL tillämplig på samtliga . Datainspektionen har undersökt hanteringen av tio av de nationella kvalitetsregistren för att kontrollera hur dataskyddsreglerna i data- lagen (1973:289) och PUL efterlevs. Resultatet har redovisats i , Datainspektionens Rapport 2002:1. Två centrala frågor var om informationsskyldigheten enligt data- lagen och PUL uppfylls och om samtycke har inhämtats från de registrerade på ett korrekt sätt. Inspektionerna har i flera fall konstaterat att informationsskyldigheten inte uppfylls. Tillstånd meddelade enligt datalagen som ställer krav på samtycke från den som skall registreras följdes endast i begränsad omfattning. Data- inspektionens utredning har visat att det råder osäkerhet hos dem som behandlar känsliga personuppgifter om huruvida det är nöd- vändigt att inhämta patienternas samtycke. Det råder också osäker- het om vem som är registeransvarig eller personuppgiftsansvarig. Detta kan medföra olägenheter för de registrerade, som inte alltid vet vem de skall vända sig till om uppgifterna om dem i registren är felaktiga. Med hänsyn till att det förekommer en omfattande behandling av mycket integritetskänsliga personuppgifter i kvalitetsregistren finns det enligt Datainspektionens uppfattning starka skäl att låta de nationella kvalitetsregistren omfattas av en särskild registerlag- stiftning. Kort om de övriga registren De sex regionala cancerregistren som förs vid olika regionala onko- logiska center samlar in uppgifter inom sin region. De svarar för framtagandet av regional cancerstatistik och gör underlag för vård- program inklusive uppföljnings- och kontrollrutiner för dessa program. Det pågår diskussioner inom hälso- och sjukvården om att inrätta ett vaccinationsregister och ett blodgivarregister. Vaccina- tionsregistret är tänkt att bli ett rikstäckande register som skall inne- hålla uppgifter om i princip alla vaccinationer som görs i landet. Vårdgivaren skall bl.a. kunna få uppgifter från registret inför behandling av en patient där det är nödvändigt att veta om patien- ten har vaccinerats och i så fall när vaccinationen skett. Likaså skall den enskilde kunna få besked om vilka vaccinationer som han eller hon fått och när. Det är både patientsäkerhets- och serviceskäl som motiverar registret. är tänkt att bli ett nationellt register över samtliga blodgivare och innehålla alla uppgifter som finns om deras blod. Registret skulle göra det möjligt för den aktu- ella blodgivarcentralen att snabbt kunna få relevanta fakta om blod- givarens blod, då han eller hon lämnar blod på en annan central än den hon eller han i vanliga fall lämnar på. Dessa uppgifter finns hos den blodgivarcentral som är blodgivarens vanliga blod- givarcentral. Registret bör också kunna bidra till möjligheten att kontrollera att blodgivare inte lämnar blod för ofta genom att lämna blod på flera ställen. hos har funnits och är ett centralt register där alla kan registrera sin inställning till organdonation. för också ett register, metadon- registret, över personer som har varit aktuella inom något av de fyra programmen för metadon underhållsbehandling. Behovet av en författningsreglering av kvalitetsregister samt översyn av övriga aktuella register Författningsreglering av de nationella kvalitetsregistren Redan i propositionen 1990/91:60 om offentlighet, integritet och ADB uttalade regeringen att vissa register hos , landstingen, kommunerna och borde regleras i särskilda registerlagar. En sådan reglering är ett led i en allmän strävan att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av känsliga personuppgifter i vissa myndighetsregister. betonade i sitt betänkande (bet. 1990/91:KU11) vikten av att en författningsreg- lering kommer till stånd i syfte att stärka skyddet för de registrera- des integritet i samband med nödvändig registrering av känsliga uppgifter i myndighetsregister. Dessa uttalanden ledde fram till den reglering som finns av vårdregister och hälsodataregister. I de nationella kvalitetsregistren behandlas en stor mängd känsliga personuppgifter. Datainspektionen har i sin inspektionsverksamhet funnit vissa brister i hanteringen av registren. För att säkerställa att registren bedrivs med nödvändig hänsyn till skyddet för den per- sonliga integriteten bör registren författningsregleras. Lagregler- ingen är också en förutsättning för att bibehålla allmänhetens för- troende för hanteringen av personuppgifter i vården och för att kunna behålla och utveckla de nationella kvalitetsregistren i den ut- sträckning som behövs. Regeringen anser därför att det behövs en författningsreglering av dessa register. Sekretesslagstiftning som berör de nationella kvalitetsregistren De nationella kvalitetsregistren behöver ofta få ut uppgifter från vid , om avlidna. Genom lagändring i 9 kap. 4 § sekretesslagen (SFS 2001:101) upphörde denna möjlighet, vilket har orsakat problem vid förandet av kvali- tetsregistren. Ett avgörande från Kammarrätten i illu- strerar problemet. Kammarrätten i avslog i en dom , mål nr 4060-2002, klagandens begäran att få ut uppgifter från Social- styrelsen om avlidnas dödsdatum och dödsorsak med hänvisning till att uppgifterna inte ansågs behövas för forsknings- och stati- stikändamål och därmed omfattades av absolut sekretess. kom från Thoraxkliniken i och uppgifterna var avsedda att användas för insamling och analys i , ett av de s.k. nationella kvalitetsregistren. Då kvalitetsregister således varken hänförs till forsknings- eller statistikändamål kan registren inte längre få ut dessa uppgifter. Upp- gifter om dödsorsak är ofta en avgörande förutsättning för kvali- tetsregistrens funktion som kvalitets- och uppföljningsinstrument. Uppgift om dödsdatum går att inhämta från andra källor som inte omfattas av absolut sekretess, som exempelvis folkbokföringsre- gistret. Översyn av övriga register De regionala cancerregistren, blodgivarregistren och vaccinations- registret, men i viss mån också donationsregistret och metadon- registret kommer att innehålla eller innehåller redan en stor mängd känsliga personuppgifter. Det är därför särskilt viktigt att de ingår i den översyn av området som utredaren får i uppdrag att utföra. Utredaren skall kartlägga de register för uppföljning och kvalitets- säkring som finns i hälso- och sjukvården och i annan medicinsk verksamhet. En fråga är vilka krav som skall ställas för att ett regis- ter skall anses vara ett nationellt kvalitetsregister. I uppdraget ingår således att lämna förslag till hur dessa skall definieras. Utredaren skall föreslå hur behandlingen av personuppgifter i inom hälso- och sjukvården eller annan medicinsk verksamhet skall författningsregleras. Utredaren skall särskilt beakta vilka uppgifter som skall få registre- ras och vad som skall krävas vid behandling av uppgifterna. Utgångs- punkten bör, liksom , vara att den enskilde skall lämna ett ut- tryckligt och informerat samtycke till behandlingen av person- uppgifterna, dock skall utredaren analysera konsekvenserna av att registreringen inte alltid blir heltäckande om samtycke krävs. Ut- redaren skall göra en lämplig avvägning mellan enskildas behov av skydd för den personliga integriteten å ena sidan och nyttan för samhället av de nationella kvalitetsregistren å den andra. skall även överväga för vilka ändamål uppgifterna får behandlas, vad som skall gälla för register av olika livslängd, för bevarande av upp- gifterna samt vem som skall få åtkomst till uppgifterna. Här avses om uppgifterna bör få överföras dels mellan verksamheter inom hälso- och sjukvården inklusive den enskilda vården, dels mellan hälso- och sjukvården och myndigheter eller andra organisationer. I utredarens uppdrag ingår att analysera om och i vilken utsträck- ning uppgifter skall kunna lämnas och registreras för verksamhet som bedrivs av andra än landsting. Utredaren skall också granska om sekretessregleringen, främst bestämmelsen i 9 kap. 4 § sekretesslagen, utgör hinder för att upp- gifter skall kunna lämnas till respektive lämnas ut från kvalitets- registren. Om så är fallet skall utredaren överväga om, och i så fall i vilken utsträckning, uppgifter bör få lämnas till respektive från registren. I sistnämnda fall skall utredaren lämna förslag som gör sådant uppgiftsutlämnande möjligt. Om utredaren stöter på andra problem med anledning av gällande sekretessbestämmelser, skall utredaren även se över dessa samt lämna förslag till lösning på problemen. Utredaren skall överväga om övriga register, som de regionala cancerregistren, donationsregistret och metadonregistret behöver författningsregleras. Detta gäller också de register man planerar att inrätta, som vaccinationsregistret och blodgivarregistret. Om ut- redaren anser det nödvändigt, skall han också lämna förslag till så- dan författning. Utredaren skall beakta de författningar som existerar och som påverkar behandlingen av personuppgifter på området såsom personuppgiftslagen (1998:204) och det underliggande EG-direk- tivet om personuppgifter, sekretesslagen (1980:100), patientjour- nallagen (1985:562) och hälso- och sjukvårdslagstiftningen i övrigt. Utredaren skall, i förekommande fall, föreslå följdändringar i andra lagar och förordningar. Hälso- och sjukvården utförs av även andra än landstingen, bl.a. av privata aktörer. En del av dem är små företag som också kan ha intresse av att utveckla vårdens kvalitet och därför själva vill föra kvalitetsregister. Detta kan också gälla för övriga register som är i fråga. För dessa aktörer är det särskilt viktigt att de administrativa konsekvenserna av en författningsreglering inte går utöver de in- tressen regleringen avser att skydda. Detta är en omständighet som utredaren skall beakta i en särskild analys av konsekvenserna av reglers effekter för små företags villkor. Utredaren skall, när det gäller förslagens konsekvenser för små företag, samråda med för regelgranskning (NNR). Utredaren bör samråda med Datainspektionen. Uppdraget skall redovisas . Tilläggsdirektiv till Utredningen om författ- inom hälso- och sjukvården, m.m. (S 2003:03) Beslut vid regeringssammanträde . Den särskilda utredaren skall se över hur behandlingen av person- uppgifter inom hälso- och sjukvården regleras samt lämna förslag till en väl fungerande och sammanhängande reglering av området. Utredaren skall vid utformningen av sina förslag göra en avväg- ning mellan enskildas behov av skydd för den personliga integrite- ten och nyttan för samhället och patientsäkerheten. Utredaren skall inom ramen för uppdraget överväga frågor som rör för vilka ändamål personuppgifter skall få behandlas, överföring av uppgifter både mellan olika organisatoriska vård- enheter inom den offentliga hälso- och sjukvården, samt mellan den offentliga hälso- och sjukvården och verksamhet som bedrivs av andra än landsting. Utredaren skall i sina överväganden utgå från att all journalhanter- ing i huvudsak skall vara elektronisk. Formerna för den enskilde patientens möjlighet att ta del av uppgifter om sig själv via Internet bör också utredas. Utredaren skall särskilt se över bestämmelserna i patientjournal- lagen (1985:562) och lagen (1998:544) om vårdregister samt lämna förslag till ändringar i dessa eller till en ny författningsreglering. Utredaren skall också utreda frågor kring den överföring och det utbyte av personuppgifter som förekommer i det internationella samarbetet beträffande uppgifterna i kvalitetsregistren. Utredaren skall vid behov lämna förslag till bestämmelser om detta. I utredarens uppdrag ingår också att se över frågan om Läke- medelsverket skall få föra ett register för uppföljning av läkemedels ändamålsenlighet. Utredaren skall överväga hur ett sådant register skall regleras. Utredaren får vidare i uppdrag att göra en generell översyn av lagen (1996:1156) om receptregister och anpassa den till övrig lagstiftning inom området. Behandlingen av personuppgifter skall regleras med beaktande av personuppgiftslagen (1998:204). Utredaren skall göra en översyn av aktuella bestämmelser i lagen (1998:543) om hälsodataregister och sekretesslagen (1980:100). Utredaren skall också göra en översyn av andra bestämmelser på hälso- och sjukvårdens område som berörs av uppdraget, t.ex. lagen (1998:531 ) om yrkesverksamhet på hälso- och sjukvårdens område. Utredaren skall lämna förslag till nödvändiga ändringar i även dessa författningar. Den översyn av författningarna som skall göras och de förslag som lämnas skall utgå från syftet att skapa en sammanhållen reglering av hanteringen av personuppgifter inom hälso- och sjukvården. Utredaren skall redovisa uppdraget . IT-utvecklingen inom hälso- och sjukvården Hanteringen av datalagring och informationsflöden inom hälso- och sjukvårdssektorn har undergått en genomgrip- ande förändring. Från att tidigare ha varit en helt och hållet pappers- baserad hantering, har den tekniska utvecklingen medfört att en övervägande och ständigt växande andel av allt informationsutbyte nu sker i elektronisk form. En ökad användning av IT-stöd inom hälso- och sjukvården skapar helt nya möjligheter för sektorn att använda befintliga resurser på ett mer effektivt sätt. Genom att digitalisera en rad administrativa processer och därigenom effektivisera hanteringen av exempelvis provsvar, remisser och journalföring, kan stora personella och eko- nomiska resurser frigöras för sjukvårdshuvudmännen. Den ökade användningen av IT-stöd inom hälso- och sjukvården utgör därmed ett kraftfullt verktyg för att minska vårdpersonalens administrativa börda och som en konsekvens stärka sektorns kärnverksamhet, vilket är till stor vinst såväl för patienter och anhöriga som vårdpersonal och sjukvårdshuvudmän. I detta sammanhang bör också vikten av att beakta frågor om IT- säkerhet för att skydda de registrerades integritet särskilt uppmärk- sammas i utredningsarbetet. Ett nytt arbetssätt och en ökad digitalisering av hälso- och sjuk- vårdssektorn medför också nya utmaningar. Dels aktualiseras tidi- gare okända juridiska frågeställningar, dels uppstår en diskussion om de tekniska hinder som fortfarande existerar mellan olika vård- givare. Tre initiativ för att lösa problemställningarna ovan bör i detta sammanhang särskilt nämnas. beslutade regeringen att tillsätta en IT-politisk strategigrupp med uppdrag att främja informationssamhällets fort- satta utveckling i .