sou · GUB382 · 2007-01-01 00:00:00 — Vi befarar dessutom att de enskilda landstingen kan vara tveksamma till att åta sig ett personuppgiftsansvar som omfattar alla deltagande vårdgivares personuppgiftsbehandling i samband med ett nationellt eller regionalt kvalitetsregister. Den aspekten har betydelse för kvalitetsregistrens framtid, eftersom förandet av kvalitetsregister inte är en obliga- torisk verksamhet för landstingen. Mot bakgrund av det anförda anser vi att övervägande skäl talar för det föreslagna uppdelade personuppgiftsansvaret. Vårt förslag: I patientdatalagen förtydligas att det bara är sådana uppgifter som behövs för det primära ändamålet kvalitetssäkring av vård som får tas in i ett nationellt eller regionalt kvalitets- register. Vidare anges att den registrerades personnummer eller namn får behandlas i ett nationellt eller regionalt kvalitetsregister en- dast om det för kvalitetssäkringsändamålet inte är tillräckligt att behandla kodade personuppgifter eller personuppgifter som endast indirekt utpekar den registrerade. Känsliga personuppgifter som avses i 13 § personuppgiftslagen och som inte rör hälsa samt personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag får behandlas endast om rege- ringen, eller den myndighet som regeringen bestämmer, i enskilda fall medger det. Enligt våra direktiv skall vi föreslå vilka uppgifter som skall få tas in i ett nationellt kvalitetsregister. Att närmare precisera i detalj vilka personuppgifter som får behandlas i alla de sinsemellan olika natio- nella kvalitetsregistren ter sig emellertid som en omöjlighet, i vart fall på lagstiftningsnivå. Enligt vår uppfattning bör emellertid några begränsningar införas av hänsyn till enskildas personliga integritet. Den första begränsningen innebär att det bara är personuppgifter som behövs för ändamålet kvalitetssäkring av hälso- och sjukvårds- verksamhet som får samlas in och fortsättningsvis behandlas. Det kan påpekas att tolkningen av vad som behövs för ändamålet kvali- tetssäkring av hälso- och sjukvårdsverksamhet kan ske inom ganska vida ramar. Exempelvis ser vi inget hinder mot att uppgifter om vårdens kostnadseffektivitet i form av Kostnad Per Patient (), nyckeltal och liknande behandlas parallellt med uppgifter om be- handlingsresultat m.m. Personuppgifter som inte direkt behövs för kvalitetssäkringsändamål utan enbart skulle vara bra att ha i framtida forskningsprojekt får dock inte samlas in. För förtroendet för verk- samheten är det väsentligt att det inte uppstår misstankar hos allmän- heten om att kvalitetsregisterföringen i själva verket handlar om att bygga upp forskningsdatabaser inom hälso- och sjukvården. Vidare föreslår vi att nationella och regionala kvalitetsregister i första hand skall bygga på användningen av kodade personuppgifter eller indirekt utpekande personuppgifter (t.ex. ålder, kön och hem- ort i kombination med sjukdomsrelaterade uppgifter) i stället för direkt utpekande personuppgifter. Som exempel på skäl som kan göra behandling av personnummer tillåten kan nämnas att registerupp- gifterna skall samköras med andra register för kvalitetssäkringsända- mål. Ett annat skäl kan vara att patienter avses följas upp över och att identifiering av patienter som påbörjar förnyad behand- ling, omoperation eller liknande är väsentlig för uppföljningen. Uppgifter om hälsa (fysisk eller psykisk) är känsliga personupp- gifter enligt 13 § personuppgiftslagen och måste naturligtvis få be- handlas i nationella och regionala kvalitetsregister. Däremot finns det från integritetssynpunkt skäl att inskränka utrymmet för behandling av andra känsliga personuppgifter som avses i 13 § personuppgifts- lagen liksom uppgifter om lagöverträdelser m.m. som avses i 21 § samma lag. Vi föreslår att sådana uppgifter skall få behandlas i natio- nella eller regionala kvalitetsregister bara om regeringen – eller efter vidaredelegation Datainspektionen efter samråd med – i enskilda fall tillåter det. Normalt torde det i en del särskilda register vara klart motiverat att behandla uppgifter om t.ex. ras, etniskt ursprung, sexualliv eller ett tvångsomhändertagande. De närmare förutsättningarna bör dock inte anges i författning utan i beslut i enskilda fall rörande ett visst kvalitetsregister. Här kan erinras om att vårt förslag i avsnitt 8.5 om verkan av den enskilde registrerades uttryckliga samtycke, medför att dessa slags uppgifter med ett sådant samtycke får registreras i ett kvalitetsregister redan utan särskilt stöd i ett särskilt beslut. I dessa fall kan inte nog understrykas att det i information till den enskilde klart bör framgå att ett uttryckligt sam- tycke omfattar just dessa slags personuppgiftskategorier. Enligt vår mening är det förenligt med och rådets direktiv /46/EG av om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) att i nationell lagstiftning uppställa en begränsning för behandling i sär- skilda register av vissa personuppgiftskategorier på det sätt som här föreslagits. Vårt förslag: I patientdatalagen införs en bestämmelse som – till skillnad från vad som gäller enligt personuppgiftslagen – ger patienten en rätt att slippa bli registrerad i ett nationellt eller regionalt kvalitetsregister. Denna rätt gäller även efter en re- gistrering. I sådant fall skall uppgifter om patienten strykas. utplånas, ur registret. Enligt våra direktiv bör utredningen ha som utgångspunkt att den enskilde skall lämna ett uttryckligt och informerat samtycke till be- handling av personuppgifter i . Vi skall dock analysera konsekvenserna av att registreringen inte alltid blir heltäckande, om samtycke krävs. Inledningsvis kan i denna fråga sägas att behandling av personuppgifter i kvalitetsregister och framför allt inrapportering från vårdgivare till ett nationellt eller ett regionalt kvalitetsregister omfattar inte bara rättsliga frågeställningar om reg- leringen av personuppgiftsbehandlingen. Även sekretessfrågor aktua- liseras. Vi kommer dock att behandla sekretessfrågorna särskilt i avsnitt 16.5. Redan här kan emellertid sägas att regleringarna inte är helt samordnade, inte minst i fråga om betydelsen av den registre- rades inställning. I detta avsnitt behandlas dock bara regleringen av personuppgiftsbehandlingen. Av det tidigare sagda, om att personuppgiftsbehandlingen i natio- nella kvalitetsregister nu är tillåten enligt personuppgiftslagen även utan den registrerades samtycke, följer att en uttrycklig särbestäm- melse är nödvändig, om vi föreslår att ett samtyckeskrav skall införas. En särskild fråga som måste övervägas i samband härmed är frågan om hur ett samtyckeskrav förhåller sig till dataskyddsdirektivet. Dataskyddsdirektivet är till sin karaktär inget minimidirektiv. Det innebär bl.a. att medlemsstaterna inte får föreskriva ett mer långt- gående skydd för den personliga integriteten vid behandling av per- sonuppgifter än vad som följer av direktivet (jämför artikel 1 punkt 2, se även SOU 1997:39 s. 110). Enligt direktivet skall medlemsstater- na föreskriva att personuppgifter får behandlas utan samtycke, om det är nödvändigt för att utföra en arbetsuppgift som är av allmänt intresse (artikel 7 e). Likaså skall medlemsstaterna föreskriva att känsliga personuppgifter får behandlas utan samtycke, om det är nöd- vändigt med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård (artikel 8 punkt 3). Någon uttrycklig bestämmelse som anger att medlemsstaterna får göra inskränkningar i fråga om just dessa behandlingar av hänsyn till enskildas integritet finns inte (jfr artikel 13). Det kan alltså inte anses självklart att införandet av ett generellt samtyckeskrav är förenligt med vad direktivet förutsätter i fråga om det fria flödet av personuppgifter mellan medlemsstaterna. Enligt vår bedömning bör dataskyddsdirektivet dock inte tolkas så snävt. Vi menar alltså att direktivet inte i och för sig utgör hinder mot att föreskriva den registrerades samtycke som förutsättning för behandling av personuppgifter i nationella eller regionala kvalitets- register. Vi har genomfört en särskild undersökning av hur frågan om samtycke och information hanteras vid förandet av de nuvarande nationella kvalitetsregistren. Undersökningen har skett genom att en skriftlig förfrågan skickats ut till ett knappt sextiotal registerföra- re. Skriftligt svar har inkommit från knappt två tredjedelar av de tillfrågade. I fråga om de flesta synes som förutsättning tillämpas att patienterna accepterar den ifrågavarande personuppgiftsbehandlingen. Det förekommer emellertid också att inrapportering till och behandling av personuppgifter i registren sker utan att patientens inställning därtill klargörs. Svaren ger sammantaget en splittrad bild av huruvida samtycke till registrering i inhämtas eller inte. Patienternas frivilliga deltagande i de nationella kvalitetsregistren anförs ofta, men långt ifrån alltid, som en förutsättning för registerföringen. I flera av registren, som anger frivillig medverkan som en förutsättning för registerföringen, inhämtas dock inte något sådant samtycke som uppfyller personupp- giftslagens krav på ett uttryckligt eller annan form av samtycke. I stället förekommer ofta s.k. tyst samtycke som i princip innebär att patienten, efter att ha fått information om registret och att deltagan- det däri är frivilligt, underlåter att lämna besked om att han eller hon motsätter sig personuppgiftsbehandlingen i registret. Rent gene- rellt synes bortfall i registreringen på grund av patienternas val att inte ingå vara försumbart eller i flera fall obefintligt, i synnerhet bland de register som åberopar att registreringen är frivillig för patienten men där särskilt samtycke inte inhämtas. Detta stämmer väl överens med vad vår enkätundersökning bland allmänheten visat om att det finns en klar majoritet som är positivt inställd till att vara med och bidra med sina personuppgifter till kvalitetsförbättrande uppfölj- ning av vården. har vår kartläggning dock inte visat exempel på att re- gistrering sker i strid mot patientens uttryckliga vilja. övrigt knappast varit förenligt med annan reglering, t.ex. i sekre- tesslagen. I de kvalitetsregister vari t.ex. patienttillfredsställelse mäts genom patientenkäter eller det annars finns moment som förutsätter patientens aktiva medverkan är man naturligtvis också beroende av att patienten frivilligt lämnar och låter dessa uppgifter registreras. I undersökningen har det framkommit att det för många natio- nella kvalitetsregister skulle medföra stora problem, om ett för- fattningsreglerat krav på samtycke införs som en förutsättning för personuppgiftsbehandlingen i registren. Problemen sammanhänger särskilt med att inhämtande av samtycke från patienterna skulle vara förenat med olägenheter av olika slag för inrapporterande kliniker m.fl. Det har från flera registerförare framhållits att ett samtyckes- krav skulle innebära en väsentligt ökad resursåtgång för hälso- och sjukvården, resurser som vårdgivaren har svårigheter att avvara från den sjukvårdande verksamheten. Inte minst på grund därav skulle ett samtyckeskrav medföra ett så stort bortfall i registreringen att registrens betydelse för kvalitetssäkringsarbetet och till och med fortsatta drift äventyras. En sådan utveckling är naturligtvis inte önskvärd. Vårdgivare är enligt 31 § hälso- och sjukvårdslagen skyldiga att kvalitetssäkra sin verksamhet. Analyser av sammanställda personuppgifter i vårddoku- mentationen är en viktig, dock inte obligatorisk, metod i denna verk- samhet vars samhällsnytta torde vara obestridlig. En hög täcknings- grad är helt avgörande för tillförlitligheten i registren. Häremot kan dock anföras att det inte heller är helt tillfreds- ställande från integritetssynpunkt att patienter enligt gällande rätt inte har något inflytande över om uppgifter om dem skall få behandlas inom hälso- och sjukvårdens kvalitetssäkringsarbete som sker i för ändamålet särskilt inrättade register som samlar uppgifter från flera olika vårdgivare. Uppgifterna är inte sällan av känslig art och bara den omständigheten att ömtåliga uppgifter finns i ett register kan upplevas som besvärande för den enskilde. Det sagda gäller oavsett om registret förs på nationell eller regional nivå och oaktat att till- gång till uppgifterna i registren regelmässigt är starkt begränsad till ett fåtal personer. Kvalitetsuppföljning är vidare en verksamhet som sker i enlighet med hälso- och sjukvårdslagen. I 2 a § samma lag betonas patientens medbestämmanderätt. Det kan alltså hävdas att det är mer i hälso- och sjukvårdslagens anda att registerföringen för- utsätter att den enskilde inte har något emot den, särskilt med tanke på att vårdgivarens deltagande i registerföringen inte är en direkt för- fattningsreglerad skyldighet. Vår undersökning bland allmänheten visar också att en majoritet menar att patienten bör ha ett inflytande i detta avseende. Mot bakgrund av det anförda föreslår vi en bestämmelse som – med avvikelse från 12 § andra stycket personuppgiftslagen – ger den registrerade rätt att motsätta sig personuppgiftsbehandlingen förut- satt att denna sker i ett särskilt inrättat kvalitetsregister som förs nationellt eller regionalt. Något krav på samtycke i den mening som avses i personupp- giftslagen såsom förutsättning för personuppgiftsbehandlingen före- slås alltså inte. Genom den föreslagna bestämmelsen uppnår man i stället en ordning där ett slags opt out-modell eller, om man så vill, ett tyst samtycke i praktiken gäller för personuppgiftsbehandling i kvalitetsregister. Givetvis bör denna ordning kombineras med krav på att den registrerade blir grundligt informerad om behandlingen och om sin rätt att motsätta sig den. Detta alternativ torde undan- röja några av de negativa konsekvenserna av ett författningsreglerat samtyckeskrav som påtalats i det föregående som den en- skilde patientens integritetsskydd förbättras avsevärt i förhållande till nu gällande rätt enligt personuppgiftslagen. Såsom utvecklas nedan anser vi att förslaget är förenligt med dataskyddsdirektivet. Någon särskild rätt att enbart motsätta sig personuppgiftsbehand- ling för ändamål som är sekundära föreslås inte här. Det bör dock anmärkas att det av 3 och 6 §§ etikprövningslagen följer att forsk- ning som innefattar behandling av känsliga personuppgifter som avses i 13 § personuppgiftslagen eller personuppgifter om lagöverträdelse m.m. som avses i 21 § personuppgiftslagen skall etikprövas, om forsk- ningspersonen inte har lämnat sitt uttryckliga samtycke till behand- lingen inom det ifrågavarande forskningsprojektet. Sådan forskning som baseras på känsliga personuppgifter m.m. i kvalitetsregister är alltså bara tillåten om antingen den enskilde uttryckligt samtyckt till den ifrågavarande behandlingen för forskningsändamålet eller per- sonuppgiftsbehandlingen har godkänts i ett etikprövningsförfarande. Våra förslag sätter alltså inte etikprövningslagen ur spel när det gäller forskning baserad på personuppgifter i kvalitetsregister. Detta gäller såväl den personuppgiftsansvarige vårdgivarens egen forsk- ning som tredje mans forskning. Av 12 § första stycket personuppgiftslagen följer att personupp- giftsbehandling som har sitt rättsliga stöd i ett av den registrerade lämnat samtycke, får fortsätta i fråga om redan insamlade uppgifter även efter det att samtycket återkallas. Däremot får inte nya person- uppgifter samlas in och behandlas. Enligt vår mening bör en annan ordning tillämpas när det gäller registrering i nationella och regionala kvalitetsregister. Vi föreslår således att registrerade skall ha en rätt att få sina personuppgifter utplånade ur registret, dvs. Förslaget motiveras främst av att den registrerades rätt i annat fall riskerar att inte sällan bli rent illusorisk. Detta med tanke på att per- sonuppgiftsbehandling kan komma att påbörjas även innan den re- gistrerade informerats om registret, t.ex. på grund av att den registre- rades hälsotillstånd har hindrat att information lämnas, se nedan avsnitt 16.4.6. När det gäller frågan hur förslaget förhåller sig till dataskydds- direktivet följer av direktivets artikel 14 a att den registrerade skall tillförsäkras rätten att – bl.a. då personuppgifter får behandlas utan samtycke för att en arbetsuppgift av allmänt intresse skall kunna utföras (artikel 7 e – när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen före- skriver något annat. När invändningen är berättigad får den behand- ling som påbörjats av den registeransvarige inte längre avse dessa uppgifter.) Vi har i avsnitt 8.5.3 föreslagit det förtydligandet i patientdatalagen att huvudregeln är att personuppgiftsbehandling med stöd av patientdatalagen får utföras även om den enskilde mot- sätter sig den. Vårt förslag när det gäller nationella och regionala kvalitetsregister är ett undantag från denna huvudregel. Mot bakgrund av bl.a. dataskyddsdirektivets artikel 14 a bedömer vi att undantaget är förenligt med dataskyddsdirektivet. Det torde inte vara nödvän- digt att föreskriva någon prövning av huruvida den enskildes invänd- ningar är berättigade eller inte (jfr dataskyddsdirektivets artikel 14 a). Behandlingen gäller i allmänhet uppgifter om hälsa, vilka är känsliga enligt såväl personuppgiftslagen som direktivet. Det bör därmed kunna anses ligga i sakens natur att den registrerade kan ha berät- tigade skäl att motsätta sig behandlingen. Slutligen bör noteras att den omständigheten att det inte uppställs krav på särskilt samtycke till registrering givetvis inte innebär att vårdgivare inte får tillämpa en ordning där samtycke, uttryckligt eller inte, inhämtas. I många fall är det i hög grad lämpligt att inhämta samtycke från patienten. Våra förslag utgör en ramlag vari de yttre gränserna för den tillåtna personuppgiftsbehandlingen anges. Inom ramen överlåts det åt vårdgivarna att göra bedömningar såsom t.ex. om det för ett visst register är etiskt lämpligt med en ordning som innebär att uttryckligt samtycke till registrering i kvalitetsregister inhämtas. I sammanhanget kan påpekas att det ligger i vårdgivarnas långsiktiga intresse att patienternas och allmänhetens förtroende för informationshanteringen inte naggas i kanten. Det har i utredningen gjorts gällande att patienternas rätt att mot- sätta sig behandling av personuppgifter i nationella eller regionala kvalitetsregister kommer att medföra problem att bygga upp kvali- tetsregister inom psykiatrin, särskilt inom tvångsvård enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Det har sagts oss att patienter inom dessa om- råden kan antas komma att i en inte obetydlig omfattning motsätta sig registrering. Vi har emellertid inte haft möjligheter att närmare utreda just detta område inom hälso- och sjukvården på sätt som ger tillräckligt stöd för att föreslå ett undantag för just detta område. Det är vidare ett område där särskilt integritetskänslig information kan antas ha betydelse som variabler i ett kvalitetsregister varför ett undantag från den huvudregel om patientens medbestämmanderätt som vi föreslår måste noga övervägas. Sådana överväganden bör i så fall göras efter utredning i särskild ordning. Vårt förslag: Den enskilde skall informeras om personuppgifts- behandlingen i ett nationellt eller regionalt kvalitetsregister. Denna informationsskyldighet följer av patientdatalagens allmänna be- stämmelse om information som skall lämnas den enskilde och av personuppgiftslagen. Därutöver föreslår vi att den registrerade sär- skilt skall upplysas om sin rätt att när som helst få uppgifter om sig själv utplånade från registret. Vidare skall den enskilde informe- ras om i vilken utsträckning personuppgiftsbehandlingen avser uppgifter inhämtade från annan källa än patientjournalen eller patienten själv, t.ex. om uppgifter inhämtas genom samkörning med andra register. Dessutom föreslår vi att den registrerade sär- skilt skall informeras om till vilka kategorier av mottagare person- uppgifter kan komma att lämnas ut, t.ex. att det kan bli aktuellt att uppgifterna lämnas ut för forskningsändamål. Informationen skall lämnas innan personuppgiftsbehandlingen påbörjas eller, om det inte är möjligt, så snart det kan ske. Vår kartläggning av de nationella kvalitetsregistren ger vid handen att patienter som registreras i normalt får skriftlig information om det aktuella registret. informationen varierar emellertid. I många fall synes personuppgifts- lagens krav på information som obligatoriskt och självmant skall lämnas till den registrerade inte helt uppfyllas. Exempelvis är det en mycket vanlig brist att det saknas upplysning om vem som är per- sonuppgiftsansvarig för behandlingen i registret, en i sammanhanget mycket viktig upplysning för att patienten skall kunna göra gällande sin rätt. Datainspektionen har också vid sin tillsyn av ett tiotal natio- nella kvalitetsregister funnit bristfälligheter när det gäller informa- tionens utformning. I avsnitt 18.1 behandlar vi allmänna frågor om information som skall lämnas till patienten då personuppgifter behandlas enligt patient- datalagen. Dessa bestämmelser gäller givetvis även när personuppgifter behandlas i nationella och regionala kvalitetsregister. Det är här viktigt att framhålla att det av patientdatalagens allmänna bestäm- melse om information följer att särskild information om kvalitets- registerföringen i fråga måste ges till den enskilde, inte minst i fråga om att klargöra för patienten att registreringen är frivillig. Därför är det också viktigt att informationen lämnas före registreringen, vilket vi föreslår uttryckligen skall framgå i patientdatalagen. Som närmare kommer att utvecklas i avsnitt 18.1 uppstår inte sällan situationer inom hälso- och sjukvården då information inte kan lämnas på ett tidigt stadium, t.ex. då patientens hälsotillstånd omöjliggör att information lämnas om en personuppgiftsbehandling. Det kan exempelvis bero på att patienten är medvetslös eller alltför fysiskt eller psykiskt medtagen för att kunna ta till sig information av det slag som här avses. Enligt vår uppfattning bör sådana situa- tioner inte förhindra att personuppgiftsbehandlingen ändå påbörjas. I annat fall torde t.ex. integrering av elektronisk journalföring och rapportering till kvalitetsregister i många fall försvåras eller till och med omöjliggöras. I stället föreslår vi att informationen i en sådan situation skall lämnas så snart det kan ske. Undantag föreslås där- för – när det gäller nationella och regionala kvalitetsregister – gälla i situationer då informationen inte kan lämnas på ett så tidigt stadium. På grund härav behöver patienten även informeras om sin rätt att när som helst begära att uppgifter utplånas ur registret Vidare föreslås att patienten särskilt skall upplysas för det fall per- sonuppgiftsbehandlingen avser uppgifter inhämtade från annan källa än patientjournalen eller patienten själv, t.ex. om uppgifter inhämtas genom samkörning med andra register. Vidare föreslår vi att patien- ten särskilt skall informeras om huruvida och i så fall till vilka kate- gorier av mottagare personuppgifter lämnas ut, t.ex. att det kan bli aktuellt att uppgifterna lämnas ut för forskningsändamål. Hur informationen skall ges bör överlåtas åt varje personuppgifts- ansvarig att bestämma. Något rättsligt krav på att informationen skall ges i viss form, muntlig eller skriftlig, föreslås alltså inte. Det finns dock anledning att understryka vikten av att den personupp- giftsansvarige utarbetar rutiner för hur informationsskyldigheten skall fullgöras.