sou · GUB382 · 2007-01-01 00:00:00 — Hälso- och sjukvårdens ansvars- nämnd är en annan statlig myndighet som prövar anmälningar mot hälso- och sjukvårdspersonal i samband med undersökning, vård och behandling av patienter. Både och hanterar integritetskänsliga uppgifter om patienter i sina verksam- heter. Även vid andra statliga myndigheter, t.ex. universitet och andra forskningshuvudmän, förekommer behandling av personuppgifter om patienter i en inte obetydlig omfattning. En fråga är hur omfat- tande patientdatalagens tillämpningsområde skall vara i fråga om vems personuppgiftsbehandling som regleras av lagen. Härmed samman- hänger också frågan om vilken eller vilka slags verksamheter som skall regleras av patientdatalagens bestämmelser om personuppgifts- behandling. Utgångspunkten här bör enligt vår uppfattning vara att patient- datalagen skall koncentreras till att omfatta personuppgiftsbehand- ling i den individinriktade patientvården inom hälso- och sjukvården. Till denna kärnverksamhet hör åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos enskilda oberoende av om den verksamheten sker enligt hälso- och sjukvårdslagen, tandvårds- lagen, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård, smittskyddslagen eller någon annan lagstiftning. Hit hör t.ex. även insemination, abort, sterilisering, kastrering, omskärelse och transplantationsingrepp på givare, blodgivning och annan liknande patientverksamhet som innefattar vård, undersökning eller behand- ling. Härigenom avgränsas tillämpningsområdet i förhållande till personuppgiftsbehandling hos sådana andra myndigheter m.fl. som agerar inom hälso- och sjukvårdssektorn men som inte bedriver patientvård, såsom , , och för att ta några exempel. Även verksamhet vid sjukvårdhuvudmännens läkemedels- kommittéer och patientnämnder faller utanför patientdatalagens tillämpningsområde. Det sagda innebär att det är vårdgivares personuppgiftsbehandling som regleras av lagen. Vi föreslår att begreppet vårdgivare definieras i patientdatalagen. Med vårdgivare avses – med ett undantag – i patientdatalagen en fysisk eller juridisk person som yrkesmässigt bedriver hälso- och sjukvård. En vårdgivare kan vara en fysisk person som bedriver hälso- och sjukvård i en enskild firma eller ett aktie- bolag, en stiftelse, ett handelsbolag eller liknande. Sådana kommu- nala företag som avses i 1 kap. 9 § sekretesslagen är egna juridiska personer och utgör självständiga vårdgivare. Inom den allmänna hälso- och sjukvården hos sjukvårdshuvudmännen är det den juri- diska personen eller kommunen som är vårdgivare. Hos dessa vårdgivare är det dock personuppgiftsbehandlingen hos den nämnd eller annan myndighet som utövar ledningen av eller utför den faktiska hälso- och sjukvården som regleras av lagen. Härmed avses exempelvis både s.k. beställar- och utförarnämnder i ett lands- ting eller en kommun. Undantaget i patientdatalagen från huvudregeln om att vårdgivaren skall vara en juridisk eller fysisk person avser individinriktad hälso- och sjukvård som tillhandahålls av statliga myndigheter. Sådan hälso- och sjukvård bedrivs parallellt med annan verksamhet som utgör myndighetens huvuduppgift, t.ex. hos universitet och högskolor, , Kriminalvården eller Totalförsvarets plikt- Vi menar därför att det är naturligt att behandla dessa statliga myndigheter som separata vårdgivare i patientdatalagens mening. Till den ovan beskrivna kärnverksamheten – individinriktad patient- vård – hör ett ansvar att administrera och att i olika avseenden ut- veckla verksamheten. Även i den verksamheten behöver vårdgivare behandla personuppgifter, oftast samma uppgifter som samlats in i patientvården. Även denna personuppgiftsbehandling bör regleras av patientdatalagen. Däremot anser vi att personuppgiftsbehand- lingen i den rent administrativa verksamheten utan nära koppling till patientverksamheten – t.ex. i personaladministrationen, material- försörjningen m.m. – bör falla utanför patientdatalagens tillämpnings- område. I våra direktiv anges att regleringen också skall omfatta forskning inom hälso- och sjukvården. Genom våra förslag ovan om att det bara är vårdgivares personuppgiftsbehandling som skall regleras av patientdatalagen, faller delar av den medicinska forskningen och annan vårdrelaterad forskning utanför tillämpningsområdet, nämli- gen i den mån denna bedrivs av andra huvudmän än vårdgivare. Sjuk- vårdshuvudmännen bedriver emellertid själva i betydande omfattning medicinsk och annan forskning inom hälso- och sjukvården. I 26 b § hälso- och sjukvårdslagen åläggs sjukvårdshuvudmännen ett ansvar för att medverka vid genomförande av kliniskt forskningsarbete på hälso- och sjukvårdens område samt av folkhälsovetenskapligt forsk- ningsarbete. När det gäller den s.k. patientnära eller kliniska forsk- ningen som förekommer hos vårdgivare, bedrivs den inte sällan in- tegrerat med patientvården. Såsom närmare beskrivs i avsnitt 17 utgör forskning respektive patientvård emellertid självständiga verksam- hetsgrenar i förhållande till varandra. Förutsättningarna för behand- ling av bl.a. känsliga personuppgifter för forskningsändamål är föremål för särreglering i lagen (2003:460) om etikprövning av forskning som avser människor. Den särskilda personuppgiftsbehandling som föranleds av forsk- ningen i den patientnära forskningen bör enligt vår uppfattning inte regleras av patientdatalagen. Härmed avses dokumentation som en- bart sker i forskningssyfte och heller inte har någon betydelse för vården. Sådan personuppgiftsbehandling kommer även fortsättnings- vis att regleras av personuppgiftslagen. Till den del den patientnära forskningen innefattar patientjournalföring eller annan dokumen- tation som hör till vården, regleras den informationshanteringen dock av patientdatalagen. Motsvarande bör gälla för den kliniska utbildningen av t.ex. bli- vande läkare och sjuksköterskor. Det har inte varit möjligt att inom ramen för vårt uppdrag närmare granska förutsättningarna för att använda uppgifter om patienter i teoretisk eller praktisk hälso- och sjukvårdsutbildning. Vi vill emellertid framhålla att utbildningsverk- samhet i allt väsentligt är en egen verksamhetsgren också då den bedrivs inom en och samma myndighet som bedriver hälso- och sjukvård. Utbildningsverksamheten som sådan ingår alltså inte i patientdatalagens tillämpningsområde. I den utsträckning studenter emellertid deltar i den faktiska patientvården såsom praktikanter, omfattas deras arbete, om än i utbildningssyfte, av patientdatalagens tillämpningsområde. Det innebär bl.a. att vårdgivare i sådana fall skall kunna låta studenterna få ta del av och även kunna föra anteck- ningar i elektroniska patientjournaler i nödvändig omfattning. Nor- malt torde detta förutsätta såväl patientens samtycke som att prakti- kantens åtgärder sker under en handledares uppsikt och ledning. När det därefter gäller vilken slags personuppgiftsbehandling som skall regleras av patientdatalagen gör vi följande överväganden. Vid behandling av personuppgifter i vårdgivarnas verksamhet före- kommer en i det närmaste oöverblickbar mängd olika slags datori- serade register. Det förekommer vidare andra elektroniska system för hantering av personuppgifter som inte kan sägas ha organiserats och systematiserats på sätt som gör att man kan tala om register. Utvecklingen går alltmer mot att olika funktioner integreras i stora elektroniska system för hantering av både ett flertal strukturerade uppgiftssamlingar och annan mer ostrukturerad information. På grund av denna informationstekniska utveckling har det blivit allt svårare att fastställa såväl när ett register inrättats som vad som är ett register i förhållande till ett annat. Det har också vid tillämpning av vårdregisterlagen uppstått en hel del oklarheter om vad som kan sägas ingå i ett vårdregister eller inte. Det har i sin tur medfört svårig- heter att bedöma dels hur personuppgifter som finns elektroniskt lagrade i verksamheten får användas, dels vilken lag – personupp- giftslagen eller vårdregisterlagen – som är tillämplig på en enskild personuppgiftsbehandling. Problemen gäller framför allt när individ- bunden information om patienter används för sådana sekundära ändamål som avses i 4 § vårdregisterlagen. Genom personuppgiftslagens införande har begreppet register kommit att spela en underordnad roll vid elektronisk behandling av personuppgifter. All elektronisk behandling av personuppgifter omfattas av personuppgiftslagens bestämmelser alldeles oavsett om personuppgifterna ingår i register eller inte. I stället har det blivit av avgörande betydelse att personuppgifter skall samlas in för uttryck- ligt angivna ändamål och sedan inte användas för något annat ända- mål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Mot bakgrund av den komplexa IT-struktur som vuxit fram inom hälso- och sjukvården menar vi att övervägande skäl talar för att patientdatalagens reglering av personuppgiftsbehandling skall omfatta inte bara personuppgiftsbehandling i särskilda register eller databaser utan på samma sätt som personuppgiftslagen omfatta all helt eller delvis automatiserad behandling av personuppgifter i kärn- verksamheten. Vidare bör även behandling i register eller för registerföring omfattas. Ledning för bedömning av vilken hantering som omfattas kan sökas i förarbeten, doktrin och praxis rörande personuppgiftslagens bestämmelser, se t.ex. RÅ 2001 ref. 35. Såsom framgått av föregående avsnitt kommer även patientjournal- lagens bestämmelser om dokumentation m.m. i patientjournaler att föras in i patientdatalagen. I denna del kommer patientdatalagen att bli tillämplig även på behandling av personuppgifter som inte ingår eller är avsedda att ingå i register. Detta skall uttryckligen framgå av lagen. I hälso- och sjukvårdens verksamhet förekommer en mängd upp- gifter om avlidna. Som redovisats i det föregående är varken person- uppgiftslagen eller vårdregisterlagen tillämpliga på dessa uppgifter. Däremot gäller patientjournallagens bestämmelser i tillämpliga delar, t.ex. skall skyldigheten att föra patientjournal även i fortsättningen omfatta patient som avlider. Vi menar därutöver att uppgifter om avlidna patienter kan vara integritetskänsliga och att därför även sådana uppgifter bör omfattas av lagens bestämmelser om person- uppgiftsbehandling i tillämpliga delar, t.ex. när det gäller för vilka ändamål uppgifter om avlidna får användas eller när det gäller vilken elektronisk åtkomst som får förekomma till uppgifter om avlidna. 7.3.3Patientdatalagens förhållande till annan lagstiftning Personuppgiftslagen gäller vid helt eller delvis automatiserad be- handling av personuppgifter och vid behandling av person- uppgifter, om uppgifterna ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen innehåller vissa definitioner och grundläggande förutsätt- ningar för när behandling av personuppgifter är tillåten. I lagen finns vidare bl.a. bestämmelser om information till den registrerade, om säkerhet vid behandlingen, om rättelse av uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen och om skadestånd. Personuppgiftslagen är generellt tillämplig på behandling av per- sonuppgifter. Det är emellertid möjligt att meddela avvikande bes- tämmelser i lag eller förordning som gäller i stället för personupp- giftslagens bestämmelser. En förutsättning är dock att de avvikande bestämmelserna inte strider mot bestämmelserna i tets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Avseende de bestämmelser som inte skall avvika från personupp- giftslagen har det förekommit olika lösningar i tidigare lagstiftnings- ärenden. En metod är att konstruera den särskilda författningen så att den genom särreglering endast kompletterar personuppgiftslagen. Den särskilda författningen kommer då att gälla utöver personuppgifts- lagen, vilket innebär att när reglering saknas i den särskilda författ- ningen kommer personuppgiftslagens bestämmelser att vara tillämp- liga. Nackdelen med denna lösning är att lagtillämparen kan ha svårt att få en överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga. Metoden används bl.a. i vårdregisterlagen. En annan metod är att reglera de bestämmelser som avviker från personuppgiftslagen särskilt i specialförfattningen och uttryckligen hänvisa till de lagrum i personuppgiftslagen som skall vara tillämp- liga. Fördelarna med denna metod är att lagstiftningen blir mer över- skådlig, tydlig och lättillämpad än om inga hänvisningar görs till personuppgiftslagen. Metoden har emellertid fått kritik av Lagrådet som bl.a. ansett att lagstiftningstekniken är riskfylld, med hänsyn såväl till svårigheten att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagarna som till möjligheten att vid kom- mande lagändringar hänvisningarna till personuppgiftslagen blir fel- aktiga eller ofullständiga (prop. 2000/01:33 s. 345). Metoden används dock i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Som skäl härför anförde regeringen att denna lagstiftningsteknik redan användes i regleringen av Tull- verkets fiskala verksamhet och att det fanns ett inte obetydligt värde i att använda samma typ av lagstiftningsteknik för behandling av personuppgifter i myndighetens hela verksamhet, utom i den rent administrativa verksamhet som i princip regleras av enbart person- uppgiftslagen. Regeringen menade vidare att risken att inte kunna överblicka att dataskyddsdirektivet till fullo blir genomfört i prin- cip inte gjorde sig gällande på det aktuella ärendet eftersom Tull- verkets brottsbekämpande verksamhet delvis ligger utanför direktivets tillämpningsområde (prop. 2004/05:164 s. 48). Dessa skäl gör sig emellertid inte gällande i fråga om den före- slagna patientdatalagen. Som framgått tidigare används den först- nämnda lagstiftningstekniken i bl.a. vårdregisterlagen. Vidare omfattas hälso- och sjukvård av dataskyddsdirektivets tillämpningsområde. Mot bakgrund av de påtalade riskerna med den senare lagstiftnings- tekniken anser vi att patientdatalagen i förhållande till personuppgifts- lagen bör enbart omfatta de särbestämmelser och förtydliganden som det bedöms föreligga behov av när det gäller sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta innebär t.ex. att de begrepp som används i patientdatalagen, t.ex. behandling (av personuppgifter) och personuppgifter har den innebörd som framgår av definitioner i 3 § personuppgiftslagen utan att detta särskilt behöver anges. Även 9 § personuppgiftslagen om grundläggande krav på den personuppgiftsansvariges behandling av personuppgifter gäller också då personuppgifter behandlas enligt patientdatalagen. Vi återkommer i det följande till vilka ytterligare bestämmelser i personuppgiftslagen som skall tillämpas vid behand- ling som regleras i patientdatalagen. I lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (bio- bankslagen) regleras hur humanbiologiskt material, med respekt för den enskilda människans integritet, skall få samlas in, förvaras och användas för vissa ändamål. Med biobank avses i lagen biologiskt material från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. Lagen är tillämplig på en biobank som inrättats i i en vårdgivares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Lagen gäller också för vävnadsprover från en biobank som inrättats i en vårdgivares hälso- och sjukvårdsverk- samhet men som har lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och som även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Lagen är däremot inte tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas än cirka . Sparas proverna är lagen emeller- tid tillämplig även på dessa prover (prop. 2001/02:44 s. 68 f.). I biobankslagen regleras även den s.k. PKU-biobanken, vilken innehåller vävnadsprover från nyfödda barn. Regleringen innebär bl.a. att den vårdgivare som regeringen bestämmer () får med hjälp av automatiserad behandling eller annan behandling av personuppgifter föra ett särskilt register för screening av prover från nyfödda barn för vissa ämnesomsättningsrubbningar (). Biobankslagen är subsidiär i förhållande till andra lagar. Bestäm- melserna om har dock företräde framför bestämmel- ser i annan lag (1 kap. 4 §). I förarbetena till biobankslagen behandlas frågan om vävnads- prover i biobanker och förhållandet till personuppgiftslagen (a. prop. s. 31). Av personuppgiftslagen följer att all information som kan hänföras till en levande individ är personuppgifter. Det som krävs är att en fysisk person kan identifieras med hjälp av informationen. Regeringen gör bedömningen att med den definition av en biobank som anges i lagen – att en biobank utgörs av mänskligt material vars ursprung skall kunna spåras till en viss individ – är en biobank med material från levande personer att anse som personuppgifter enligt personuppgiftslagen. Regeringen övergår därefter till frågan huruvida själva förvaringen av vävnadsprover i en biobank utgör en sådan delvis automatiserad eller behandling av personuppgifter som regleras i person- uppgiftslagen. Vävnadsprover förvaras t.ex. i parafinklossar vilka har ett identifieringsnummer. Övriga uppgifter om provgivarna såsom personnummer m.m. förvaras i anslutning till vävnadsproverna i register eller patientjournaler. Identifieringsnumret är nödvändigt för att vävnadsproverna skall kunna härledas till personuppgifterna i registren. Mot bakgrund av hur vävnadsprover och patientupp- gifter förvaras gör regeringen bedömningen att själva förvaringen av vävnadsproverna i en biobank inte kan anses utgöra en delvis automatiserad behandling. Vidare gör regeringen bedömningen att eftersom det endast finns ett kriterium för sökning (identifierings- numret) kan vävnadsprover i en biobank inte anses tillgängliga för sökning på ett sådant sätt att vävnadsproverna omfattas av person- uppgiftslagens bestämmelser om behandling av personupp- gifter. De personuppgifter om provgivarna som finns i register eller annan form i anslutning till proverna utgör inte en del av biobanken (a. prop. s. 34 f.). För dessa uppgifter gäller i stället bl.a. personupp- giftslagen. Om uppgifterna behandlas i ett vårdregister, gäller även vårdregisterlagens bestämmelser. Våra förslag innebär att patientdatalagens bestämmelser skall tillämpas vid personuppgiftsbehandling som sker i en vårdgivares hälso- och sjukvårdsverksamhet och som avser personuppgifter som förvaras i anslutning till vävnadsprover i en biobank. När det gäller behandling av personuppgifter i så kommer dock denna alltjämt att regleras av biobankslagen. Förhållandet till lagen om läkemedelsförteckning I lagen (2005:258) om läkemedelsförteckning anges att skall för vissa i lagen angivna ändamål utföra automatiserad be- handling av personuppgifter i ett särskilt register över köp av för- skrivna läkemedel (läkemedelsförteckning). Själva registreringen av uppgifter i förteckningen sker utan patien- tens medgivande. Tillgång till uppgifterna får däremot ges till för- skrivare och farmaceut endast efter uttryckligt samtycke från den registrerade. Om samtycke inte kan lämnas, får uppgifterna i för- teckningen lämnas ut till förskrivare om det är nödvändigt för att den registrerade skall kunna få vård eller behandling som han eller hon oundgängligen behöver. Förskrivare av läkemedel får använda förteckningen för att åstad- komma en säker framtida förskrivning av läkemedel för den regi- strerade och för att bereda den registrerade vård och behandling. Förskrivare får även använda uppgifterna för att komplettera den registrerades patientjournal. Vidare får förteckningen användas av farmaceut på apotek för att underlätta den kontroll som skall genomföras innan ett läkemedel lämnas ut till den registrerade från apotek. Förteckningen får även användas av de registrerade för att underlätta deras läkemedelsanvändning. Uppgifterna i läkemedelsförteckningen får lämnas till förskrivare, farmaceut och den registrerade på medium för automatiserad behand- ling. Förskrivare och farmaceut får ha direktåtkomst till uppgifter i läkemedelsförteckningen. Den registrerade får ha direktåtkomst till uppgifter om sig själv. Utlämnandet av uppgifter i en läkemedels- förteckning till förskrivare inom hälso- och sjukvården skall även fortsättningsvis regleras av lagen av läkemedelsförteckning och alltså inte av patientdatalagen. Den fortsatta behandlingen av uppgifterna inom hälso- och sjukvården kommer däremot att regleras av patient- datalagen. I 6 § vårdregisterlagen anges att patientens läkemedelsförteckning får hämtas till ett vårdregister genom samkörning. Bestämmelsen reglerar hur (genom samkörning) uppgifterna i patientens läkemedels- förteckning får tillföras patientens journal när det är tillåtet för för- skrivaren att ta del av läkemedelsförteckningen. Denna fråga kommer fortsättningsvis att regleras av patientdatalagen (se avsnitt 8.2.4). Frågan om när det är tillåtet att ta del av läkemedelsförteckningen regleras däremot i lagen om läkemedelsförteckning. Förhållandet till lagen om genetisk integritet m.m. Lagen (2006:351) om genetisk integritet m.m., som trädde i kraft , är en samlad lag för genetisk undersökning och in- formation inom hälso- och sjukvården och medicinsk forskning samt genterapi m.m. Den reglerar även befruktning utanför kroppen, insemination och kommersialisering av humanbiologiskt material. När en genetisk undersökning görs på begäran av en enskild eller i samband med en allmän hälsoundersökning är patientjournallagen tillämplig. Sådana undersökningar kommer således att omfattas av patientdatalagens bestämmelser. m.m. ersätter bl.a. lagen (1984:1140) om insemination och lagen (1988:711) om befruktning utanför kroppen. De tidigare bestämmelserna i 3 § lagen om insemination och 6 § lagen om befruktning utanför kroppen om att uppgifter om givaren skall antecknas i en särskild journal, som skall bevaras , har förts över till 6 kap. 4 § respektive 7 kap. 6 § lagen om genetisk integritet m.m. Dessa bestämmelser utgör särregler i för- hållande till patientjournallagen och gäller alltså utöver sistnämnda lags grundläggande bestämmelser om journalföring. På motsvarande sätt skall dessa särregler gälla utöver patientdatalagens bestämmelser. Förhållandet till lagen om blodsäkerhet Lagen (2006:496) om blodsäkerhet (blodsäkerhetslagen), som trädde i kraft , grundar sig på och rådet direktiv /98/EG av om fastställande av kvali- tets- och säkerhetsnormer för insamling, kontroll, framställning, förvaring och distribution av humanblod och blodkomponenter och ändring av direktiv /83/EG. Lagen är tillämplig på blodverksamhet som bedrivs vid blod- centraler. Med blodverksamhet avses i lagen insamling och kontroll av blod och blodkomponenter avsedda att användas vid transfusion eller läkemedelstillverkning, samt framställning, förvaring och distri- bution av blod och blodkomponenter när de är avsedda att användas vid transfusion.