sou · GUB382 · 2007-01-01 00:00:00 — Det gäller exempelvis i fråga om beräkning av ersättningens storlek. Skillnaden mellan de särskilda bestämmelserna i personuppgifts- lagen och bestämmelserna i skadeståndslagen består främst i att ersättning enligt personuppgiftslagen kan utgå för ren förmögen- hetsskada och för kränkning av den personliga integriteten även om brottslig gärning inte har begåtts. En annan viktig skillnad är att personuppgiftslagens skadeståndsbestämmelse bygger på ett i prin- cip strikt skadeståndsansvar medan skadeståndsskyldighet enligt skadeståndslagen förutsätter åtminstone ett oaktsamt handlande från skadevållarens sida. Skadeståndsbestämmelserna i personuppgiftslagen gäller bara vid behandling av personuppgifter i strid mot bestämmelserna i den lagen. De är alltså inte tillämpliga vid behandling av personuppgifter i strid mot andra författningar. Av det skälet föreskrivs i 14 § vårdregister- Allmänna frågor och bestämmelser lagen att bestämmelserna i personuppgiftslagen om skadestånd gäller vid behandling av personuppgifter enligt vårdregisterlagen. Enligt vår uppfattning bör ett skadeståndsansvar motsvarande det som gäller enligt personuppgiftslagen finnas även vid sådan be- handling av personuppgifter som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier och som utförs i strid med patientdatalagen. I sistnämnda lag skall därför göras en hänvisning till personuppgiftslagens bestämmelser om skadestånd. I fråga om andra personuppgifter som hanteras i strid mot patientdatalagen gäller de allmänna skadeståndsreglerna i skadeståndslagen. Dessa regler kan också bli tillämpliga om bestämmelserna i patientdatalagen som avser verksamhetsregleringen inte följs; exempelvis att någon anteckning inte görs om att en patient anser att en uppgift i en journal är oriktig eller missvisande, se 3 kap. 7 § patientdatalagen. Vårt förslag: När det gäller bevarande och gallring av journal- handlingar skall, såsom tidigare föreslagits, patientjournallagens bestämmelser härom föras över oförändrade till patientdatalagen. I fråga om bevarande och gallring av journalhandlingar vid sam- manhållen journalföring, se avsnitt 11.7. När det gäller bevarande och gallring av andra allmänna hand- lingar än journalhandlingar skall arkivlagens bestämmelser gälla. Det behövs ingen bestämmelse om detta i patientdatalagen. I fråga om bevarande och gallring av personuppgifter i ett nationellt eller regionalt kvalitetsregister, se avsnitt 16.4.8. I fråga om bevarande och gallring av personuppgifter som inte är allmänna handlingar (och inte heller journalhandlingar) gäller personuppgiftslagen. Det behövs ingen uttrycklig bestäm- melse om detta i patientdatalagen. Enligt 9 § första stycket i personuppgiftslagen skall den personupp- giftsansvarige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behand- lingen. Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål än vad som sagts. Personuppgifterna får dock i sådana fall inte bevaras under en längre Allmänna frågor och bestämmelser tid än vad som behövs för dessa ändamål. måste personuppgifterna avidentifieras eller utplånas. Personuppgiftslagens bestämmelser hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Grundläggande bestämmelser om bevarande och gallring av all- männa handlingar hos myndigheter finns i arkivlagen (1990:782). De bestämmelser som gäller för kommunala myndigheters arkiv gäller även för arkiv hos sådana juridiska personer som avses 1 kap. 9 § sekretesslagen, dvs. aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller landsting utövar ett rättsligt be- stämmande inflytande. I arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet. Det i lagen angivna syftet med arkivbild- ningen är att myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens behov. En myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (minnesanteckningar, utkast och kon- cept) som myndigheten beslutar skall tas hand om för arkivering. Upptagningar för automatisk databehandling som är tillgängliga för flera myndigheter, så att de där utgör allmänna handlingar, skall dock bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Huvudregeln enligt arkivlagen är att allmänna handlingar skall be- varas. Enligt 10 § arkivlagen får emellertid gallring ske. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser. Med gallring avses traditionellt att vissa handlingar sorteras ut ur sitt sammanhang och sedan förstörs. När det gäller gallring av elektro- niska upptagningar innebär detta normalt att viss information rade- ras från databäraren, dvs. det fysiska underlaget. Det är dock inte nödvändigt att den egentliga information som finns på ett elektroniskt medium verkligen förstörs för att det skall vara fråga om gallring. Tvärtom kan ett visst material gallras genom att den elektroniskt lagrade informationen överförs till en pappersutskrift, varefter den raderas från det elektroniska mediet. Även om alla uppgifter då fortfarande kan tyckas finnas kvar på papper, så har olika sökmöjlig- heter eller möjligheter att göra sammanställningar eller kontroller av Allmänna frågor och bestämmelser handlingars autencitet – t.ex. elektroniska signaturer – gått förlorade, vilket medför att materialet har gallrats. Innebörden av att ett visst material har gallrats, är alltså att möjligheten att få fram information ur materialet på något sätt har försämrats. har definierat gallring som förstöring av allmänna handlingar och uppgifter i allmänna handlingar. Förstöring av sådana handlingar/uppgifter i samband med överföring till annan databärare räknas som gallring om överföringen medför informationsförlust, förlust av möjliga informationssammanställningar, förlust av sök- möjligheter eller förlust av möjligheter att fastställa informationens autenticitet (RA-FS 1994:2 och RA-FS 2003:2). Vid gallring skall alltid beaktas att arkiven utgör en del av kultur- arvet och att det arkivmaterial som återstår skall kunna tillgodose arkivbildningens syften. En myndighet får inte på egen hand avgöra vad som skall gallras ur dess arkiv. för sådana myndig- heter meddelas av kommunfullmäktige respektive landstingsfullmäk- tige. För vissa typer av handlingar är dock rätten att meddela gall- ringsföreskrifter inskränkt genom lag eller förordning, t.ex. genom bestämmelser i patientjournallagen eller andra författningar om minsta bevarandetid för journalhandlingar (se vidare nedan). I fråga om bevarande av patientjournaler finns särskilda regler i bl.a. 8 § patientjournallagen (1985:562). – som gäller såväl allmän som enskild hälso- och sjukvård – skall en journalhandling bevaras efter det den sista uppgiften fördes in i handlingen. Regeringen, eller den myndighet regeringen bestämmer, får föreskriva att vissa slags journalhandlingar skall be- varas . Så har också skett i förordningen (1986:203) om förlängd bevarandetid för vissa journalhandlingar inom hälso- och sjukvården.TPF2FPT Längre bevarandetider kan också vara föreskrivna i andra lagar. I t.ex. 6 kap. 4 § och 7 kap. 6 § lagen (2006:351) om genetisk integritet m.m. föreskrivs att uppgifter om spermagivare vid inse- mination och givare av ägg eller spermier vid befruktning utanför kroppen skall antecknas i en särskild journal, som skall bevaras . Som redovisats i avsnitt 10.4.9 har möjlighet att i vissa fall besluta att patientjournaler inom enskild hälso- och sjuk- 2TP PT Som redovisats i avsnitt 10.4.7 föreslås i promemorian Genomförande av EG-direktivet om mänskliga vävnader och celler (Ds 2005:40) att regeringen eller den myndighet regeringen bestämmer skall få föreskriva att vissa slags journalhandlingar skall bevaras . För- slagen i promemorian har remissbehandlats och bereds inom . Allmänna frågor och bestämmelser vård skall tas om hand. Sådana omhändertagna journaler skall enligt 12 § andra stycket patientjournallagen bevaras från det att de kom in till arkivmyndigheten. I 8 § andra stycket patientjournallagen anges att för journalhand- lingar som utgör allmänna handlingar gäller utöver patientjournal- lagen arkivlagen samt de bestämmelser som meddelas med stöd av arkivlagen. Bestämmelsen innebär att när den minsta tiden för be- varande har löpt ut beträffande sådana journaler som är allmänna handlingar träder arkivlagens huvudregler om bevarande och gallring in. Som nämnts tidigare innebär dessa en presumtion för bevarande men medgivande till gallring på bestämda villkor. Vårdregisterlagen innehåller inte några avvikande bestämmelser om bevarande och gallring. I stället anges i 10 § vårdregisterlagen att utöver vad som följer av personuppgiftslagen finns särskilda bestäm- melser om bevarande och gallring i patientjournallagen. Som redovisats tidigare finns de grundläggande bestämmelserna om bevarande av journalhandlingar i patientjournallagen. Vi har i av- snitt 10.4.7 föreslagit att dessa skall föras över oförändrade till patient- datalagen. Det innebär alltså att journalhandlingar inom såväl allmän som enskild hälso- och sjukvård skall bevaras den minsta tid som anges i patientdatalagen eller i författningar som har meddelats med stöd av lagen. Längre bevarandetider kan, såsom framgått tidigare, vara föreskrivna i andra lagar. Efter utgången av den minsta tiden för bevarande får sådana handlingar gallras. Därvid skall bestämmel- serna i 9 § första stycket i och tredje stycket personuppgiftslagen beaktas (se vidare nedan). Om journalhandlingarna utgör allmänna handlingar måste dock bestämmelserna i arkivlagen och de bestäm- melser som meddelas med stöd av arkivlagen beaktas. I fråga om bevarande och gallring av journalhandlingar vid sam- manhållen journalföring, se avsnitt 11.7. Beträffande bevarande och gallring av andra allmänna handlingar än journalhandlingar gäller arkivlagens bestämmelser. Någon hän- visning till arkivlagens bestämmelser behöver inte göras (jfr prop. 1997/98:108 s. 80). Av 8 § andra stycket personuppgiftslagen följer nämligen uttryckligen att lagen inte hindrar att en myndighet bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Allmänna frågor och bestämmelser I fråga om bevarande och gallring av personuppgifter i ett nationellt eller regionalt kvalitetsregister, se avsnitt 16.4.8. När det slutligen gäller personuppgifter som inte är allmänna handlingar (och inte heller journalhandlingar) så följer av 9 § första stycket i och tredje stycket personuppgiftslagen att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas eller så länge uppgifterna därefter behövs för historiska, statistiska eller veten- skapliga ändamål. måste uppgifterna avidentifieras eller utplånas. Enligt vår uppfattning saknas anledning att föreslå någon härifrån avvikande bestämmelse. Eftersom 9 § personuppgifts- lagen gäller även då personuppgifter behandlas enligt patientdata- lagen, behövs ingen uttrycklig bestämmelse om detta. 18.4Säkerheten vid behandling och tillsynsmyndighetens befogenheter Vårt förslag: Personuppgiftslagens bestämmelser om säkerheten vid behandling och tillsynsmyndighetens befogenheter skall gälla också när personuppgifter behandlas enligt patientdatalagen. Där- utöver skall i patientdatalagen anges vilka säkerhetsåtgärder som i vissa fall skall vidtas, se avsnitt 12.4. Datainspektionen skall vara tillsynsmyndighet även då per- sonuppgifter behandlas enligt patientdatalagen. Tillsynen över att journalföring sker på föreskrivet sätt skall dock alltjämt utövas av . I 30 och 31 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet för att garantera säkerheten för personuppgifter som behandlas. Enligt 30 § får ett personuppgiftsbiträde och den eller de per- soner som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Av dataskyddsdirektivet framgår inte hur utförliga instruktioner som den personuppgiftsansvarige måste lämna sina medhjälpare. har dock fram- hållit att den personuppgiftsansvarige i princip bär ansvaret för att instruktionerna är så tydliga att otillåten behandling inte kommer att utföras (SOU 1997:39 s. 408). Allmänna frågor och bestämmelser Om det i lag eller annan författning finns särskilda bestämmelser om behandling av personuppgifter i det allmännas verksamhet, skall dessa gälla i stället (30 § tredje stycket). Enligt personuppgifts- lagens förarbeten avses särskilt bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 136). Enligt 31 § skall den personuppgiftsansvarige vidta lämpliga tek- niska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna, och hur pass känsliga de behandlade personuppgifterna är. Personuppgiftslagen föreskri- ver således inte någon konkret säkerhetsåtgärd som skall eller bör vidtas utan ger en kortfattad och allmänt hållen uppräkning av de faktorer som skall beaktas av den personuppgiftsansvarige. Avsikten är, enligt personuppgiftslagens förarbeten, att regeringen eller den myndighet som regeringen bestämmer skall meddela de närmare före- skrifter om säkerhetsåtgärder som behövs (a. prop. s. 92). Enligt 50 § b personuppgiftslagen får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandling av per- sonuppgifter. Regeringen har i personuppgiftsförordningen (16 §) bemyndigat Datainspektionen att meddela sådana föreskrifter. Några föreskrifter har ännu inte meddelats. Däremot har Datainspektionen gett ut allmänna råd om säkerhet för personuppgifter. Personuppgiftslagen innehåller vidare vissa bestämmelser om till- synsmyndighetens befogenheter. Enligt 3 § personuppgiftslagen är tillsynsmyndigheten den myndighet som regeringen utser att utöva tillsyn. Regeringen har i 2 § personuppgiftsförordningen utsett Data- inspektionen att vara tillsynsmyndighet enligt personuppgiftslagen. Av 32 § personuppgiftslagen följer att tillsynsmyndigheten i en- skilda fall får besluta om vilka säkerhetsåtgärder som den personupp- giftsansvarige skall vidta enligt 31 §. har också rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behand- lingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av person- uppgifter (43 §). har vidare vissa möjligheter att förelägga vite och att förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än att lagra dem (44 och 46 §§). har också möjlighet att Allmänna frågor och bestämmelser hos domstol ansöka om att personuppgifter som har behandlats på ett olagligt sätt skall utplånas (47 §). Enligt vår uppfattning bör personuppgiftslagens bestämmelser om säkerheten vid behandling av personuppgifter och tillsynsmyndig- hetens befogenheter gälla även när personuppgifter behandlas enligt patientdatalagen. Det bör i sammanhanget framhållas att den personuppgiftsbehand- ling som sker inom hälso- och sjukvården avser integritetskänsliga personuppgifter om enskilda. Det medför att höga krav måste ställas på de säkerhetsåtgärder som skall vidtas för att skydda personupp- gifterna och att en sårbarhetsanalys måste göras för att identifiera riskerna. Hög kvalitet på tekniska skyddsåtgärder såsom säkra funk- tioner för behörighetskontroll, loggning, kommunikation, säkerhets- kopiering m.m. måste förutsättas. Minst lika viktigt är administrativa rutiner för hanteringen av personuppgifter och att personalen kon- tinuerligt utbildas och informeras om säkerhetsfrågor. Vanligtvis brukar säkerhetsfrågor inte regleras i lag eller förord- ning utan hanteras på myndighetsnivå. Vi har dock i avsnitt 12.4 föreslagit att det i patientdatalagen skall införas bestämmelser som innebär en skyldighet för vårdgivare att bestämma villkor för tilldel- ning av behörighet för åtkomst till patientuppgifter, som förs helt eller delvis automatiserat, att genomföra åtgärder som innebär att åtkomst till sådana patientuppgifter dokumenteras och kan kontrol- leras samt att genomföra systematiska och återkommande kontroller av att obehörig åtkomst till sådana uppgifter inte förekommer. De föreslagna bestämmelserna innebär en konkretisering av person- uppgiftslagens bestämmelser om teknisk och administrativ säkerhet till skydd för personuppgifterna. Som framgått har regeringen utsett Datainspektionen att vara tillsynsmyndighet enligt personuppgiftslagen. Det finns dock inget som hindrar att regeringen utser olika tillsynsmyndigheter för skilda områden, t.ex. en särskild tillsynsmyndighet för den behand- ling av personuppgifter som sker inom hälso- och sjukvården. Så har emellertid inte skett och enligt vår uppfattning saknas anledning att nu överväga en sådan ordning. Datainspektionen skall alltså vara tillsynsmyndighet även då personuppgifter behandlas enligt patient- datalagen. Allmänna frågor och bestämmelser Detta tillsynsansvar omfattar dock inte det som faller in under tillsynsansvar. skall enligt 6 kap. lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område utöva tillsyn över hälso- och sjukvården och dess personal. Tillsynen skall främst syfta till att förebygga skador och eliminera risker i hälso- och sjukvården. Tillsynen är således inriktad på patientsäker- heten. Bestämmelserna om patientjournalföring är av central betydelse för patientsäkerheten. Tillsynen över att journalföring sker på sätt som föreskrivs i patientdatalagen skall alltså utövas av . Att behandlingen av personuppgifter i elektroniska journaler sker i överensstämmelse med patientdatalagen faller däremot in under Data- inspektionens tillsynsansvar. Detta innebär att Datainspektionens tillsyn bl.a. skall omfatta frågor som rör åtkomsten till personupp- gifter inom hälso- och sjukvården och informationen till de registre- rade. Datainspektionens tillsyn skall också omfatta frågor som rör informationssäkerhet. Vi är medvetna om att det inte är möjligt att dra någon skarp gräns mellan Datainspektionens och tillsynsansvar, men vi förutsätter att myndigheterna samverkar i dessa frågor. Vår bedömning: Några ytterligare delegationsbestämmelser ut- över de som vi tidigare föreslagit behövs inte. Vi har tidigare i betänkandet föreslagit olika bemyndiganden för regeringen, eller i vissa fall den myndighet regeringen bestämmer, att utfärda olika föreskrifter. Sålunda har vi i avsnitt 8.5 föreslagit att regeringen skall få före- skriva att en behandling av personuppgifter som inte är tillåten enligt patientdatalagen inte heller i andra fall får utföras trots att den en- skilde lämnat samtycke till behandlingen. I avsnitt 8.6 har vi föreslagit att regeringen skall få föreskriva att ett landsting eller en kommun får använda uppgifter om etnicitet samt att någon fått bistånd eller andra insatser inom eller varit föremål för åtgärder enligt utlänningslagen som sök- begrepp för att göra vissa slags sammanställningar. Vi har i avsnitt 10.4.4 föreslagit att regeringen, eller den myndig- het som regeringen bestämmer, skall få meddela föreskrifter om undantag från kravet på att journalanteckningar skall signeras. Allmänna frågor och bestämmelser har vi i avsnitt 10.4.10 gjort bedömningen att det beträffande regle- ringen av patientjournalföringen inte behövs några delegations- bestämmelser utöver de som finns i patientjournallagen. Dessa bestämmelser innebär att regeringen, eller den myndighet som regeringen bestämmer får föreskriva undantag från kraven på jour- nalens innehåll, nämligen i fråga om journalspråket och kravet på att i journalen anteckna patientens identitet. Bestämmelserna innebär vidare att regeringen, eller den myndighet som regeringen bestäm- mer, får meddela ytterligare föreskrifter om journalhandlings inne- håll, utformning och hantering. Slutligen bemyndigas regeringen att meddela särskilda föreskrifter om patientjournaler i krig, vid krigsfara eller under sådana utomordentliga förhållanden som är föranledda av att det är krig utanför gränser eller av att har varit i krig eller krigsfara. Vidare har vi i avsnitt 12.4 föreslagit att regeringen, eller den myn- dighet som regeringen bestämmer, skall få meddela närmare före- skrifter om tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat och om dokumentation och kontroll av elektronisk åtkomst till patientuppgifter. I avsnitt 13.3 har vi föreslagit att regeringen, eller den myndighet som regeringen bestämmer, skall få meddela föreskrifter om de krav på säkerhetsåtgärder som skall gälla vid enskilds direktåtkomst till sina uppgifter. Vidare har vi i avsnitt 11.6 föreslagit att regeringen få skall med- dela föreskrifter om personuppgiftsansvar när det gäller övergri- pande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen journalföring. I avsnitt 16.4.3 har vi föreslagit att regeringen skall få föreskriva att även enskild får vara personuppgiftsansvarig för sådan person- uppgiftsbehandling i nationella och regionala kvalitetsregister som sker på central nivå. Vi har även föreslagit att en arkivmyndighet inom en kommun eller ett landsting skall få föreskriva att person- uppgifter i ett nationellt eller regionalt kvalitetsregister som förs inom kommunen eller får bevaras för historiska, statistiska och vetenskapliga ändamål. I avsnitt 12.4 har vi föreslagit att regeringen, eller den myndighet som regeringen bestämmer, skall få meddela närmare föreskrifter om den information som en vårdgivare skall ge till patienten om den direktåtkomst och elektroniska åtkomst som förekommit till patientens uppgifter. Allmänna frågor och bestämmelser Enligt vår bedömning saknas behov av några ytterligare delega- tionsbestämmelser utöver de som vi tidigare föreslagit. 18.6Utlämnande av journalhandling som har samband med vävnadsprov i biobank Vårt förslag: Patientjournallagens bestämmelse om att en jour- nalhandling som rör en viss patient skall lämnas ut på begäran av den som fått tillgång till kodat humanbiologiskt material om patienten från en biobank flyttas till biobankslagen. Patientjournallagens 16 § reglerar patientens rätt att få del av journal- handlingar inom enskild hälso- och sjukvård (se avsnitt 13.2). I sam- band med införandet av lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (biobankslagen) infördes ett nytt andra stycke i bestämmelsen. Enligt detta stycke skall en journalhandling som rör en viss patient också lämnas ut på begäran av den som fått tillgång till kodat humanbiologiskt material om den patienten från en bio- bank enligt 4 kap. 1 § biobankslagen, om patienten samtyckt till utlämnandet. Vidare upplyses om att det i fråga om vissa känsliga personuppgifter finns föreskrifter i personuppgiftslagen. Frågan om utlämnande prövas på samma sätt som frågor om utlämnande av journalhandling på begäran av patienten enligt 16 § första stycket patientjournallagen, dvs. av den som är ansvarig för journalhand- lingen.