sou · GUB382 · 2007-01-01 00:00:00 — Den föreslagna ordningen är, menar vi, godtagbar från integritetssynpunkt, inte minst mot bakgrund av att de integri- tetskänsliga uppgifterna kringgärdas av en sträng sekretess som är ägnad att förhindra obehörig insyn och spridning. Det bör noteras att personuppgiftslagens grundläggande krav på att personuppgifterna skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter be- handlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen samt att personuppgifter som behandlas skall vara riktiga och, om nödvändigt, aktuella gäller även vid behandling enligt patientdatalagen (9 § e–g personuppgiftslagen). Ovidkom- mande eller onödigt många personuppgifter i förhållande till ända- målen får alltså inte behandlas. Dessa krav innebär en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas. Kan en arbetsuppgift inom hälso- och sjukvården ut- föras på ett tillfredsställande sätt även om en personuppgift utelämnas, t.ex. personnummer, eller avidentifieras, är kraven enligt patientdata- lagen och 9 § e och f personuppgiftslagen inte uppfyllda; person- uppgiften behövs inte. Prövning av om en personuppgift behövs för en viss behandling eller inte måste göras kontinuerligt och inte bara då den samlas in och registreras. Även vid en senare hantering skall personuppgiften behövas för ändamålet med just den senare hante- ringen. Det sagda innebär t.ex. att även om en uppgift om en patients namn eller fullständiga personnummer behövs för ändamålet vård- dokumentation, så kanske just dessa uppgifter inte behövs vid en senare behandling för ett annat ändamål. Beträffande en personuppgiftskategori föreslår vi dock en uttryck- lig bestämmelse i patientdatalagen, nämligen i fråga om personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den. Enligt 21 § personuppgiftslagen får bara myndigheter behandla sådana uppgifter. Det sagda gäller även om en enskild registrerad skulle samtycka till att annan än myndighet behandlar uppgiften. Hos privata vårdgivare måste en journalförare kunna notera t.ex. att en patient, som vårdas för sitt alkoholmissbruk, har dömts för rattfylleri. Det kan vidare vara viktigt för privata vårdgivare att för olika ändamål kunna behandla en personuppgift om att en patient tvångsvårdats med stöd av särskild lagstiftning eller omfattas av ett beslut om förvar enligt utlänningslagen (2005:716) etc. Så torde anses gälla redan nu i fråga om vårdregister hos privata vårdgivare. Grundläggande bestämmelser om personuppgiftsbehandling Vi menar emellertid att lagstiftningen vinner i tydlighet med ett klar- görande i fråga om vad som gäller för just denna personuppgifts- kategori. I avsnitt 10.4.4 och i avsnitt 16.4.4 återkommer vi till frågor om vilka personuppgifter som får behandlas när det gäller vissa specifika uppgiftssamlingar, nämligen patientjournaler och kvalitetsregister. 8.5Den enskildes inställning till personuppgiftsbehandlingen Våra förslag: I patientdatalagen förtydligas att personuppgifts- behandling enligt lagen får ske även om den enskilde motsätter sig personuppgiftsbehandlingen. Undantag från denna huvud- regel kan gälla enligt lag eller förordning. Vissa undantag följer av patientdatalagen. Vidare föreskrivs att även sådan personuppgiftsbehandling som går utöver vad patientdatalagen tillåter får utföras, om den en- skilde registrerade uttryckligen samtycker till det och inte annat följer av andra bestämmelser i patientdatalagen eller av annan lag eller förordning. Ett undantag följer av patientdatalagen, se av- snitt 11.3.6. Vidare föreslås att regeringen får meddela ytterligare undantag. Både i personuppgiftslagen och i dataskyddsdirektivet – som genom sitt medlemskap i är förpliktat att rätta sig efter – tillmäts den enskilde registrerades inställning till personuppgiftsbehandling som regel en central och avgörande betydelse. Båda regelverken innehåller bestämmelser som berör frågor om verkan av att den en- skilde registrerade dels samtycker till, dels motsätter sig en person- uppgiftsbehandling. Vårdregisterlagen saknar uttryckliga bestäm- melser i dessa frågor. Under vårt arbete har det i olika sammanhang framförts från aktörer inom hälso- och sjukvården att avsaknaden av tydliga be- stämmelser i vårdregisterlagen leder till en hel del osäkerhet i den parallella tillämpningen av vårdregisterlagen och personuppgiftslagen. Den sistnämnda lagen gäller i den mån vårdregisterlagen saknar särbestämmelser. Särskilt osäker är man i fråga om vilket utrymme Grundläggande bestämmelser om personuppgiftsbehandling som finns att behandla personuppgifter med den enskilde registre- rades uttryckliga samtycke till personuppgiftsbehandlingen. En reglering av förutsättningarna för personuppgiftsbehandling inom hälso- och sjukvården bör, menar vi, så långt möjligt vara klar- görande i fråga om vad som gäller i dessa avseenden. Efter en redo- görelse för den nuvarande regleringen, redovisar vi vår analys av gällande rätt och våra överväganden om hur frågeställningarna bör behandlas i patientdatalagen. Redan här kan framhållas att det inte finns något hinder mot att lämna förslag till bestämmelser som av- viker från personuppgiftslagen, så länge som förslagen är förenliga med dataskyddsdirektivet. Det följer bl.a. av den uttryckliga bestäm- melsen i 2 § personuppgiftslagen om att avvikande bestämmelser i annan lag eller förordning gäller före personuppgiftslagen. Behandling av personuppgifter är enligt personuppgiftslagen tillåten, om den enskilde registrerade har lämnat sitt samtycke till behand- lingen (10 § personuppgiftslagen). Samtycke definieras i 3 § person- uppgiftslagen såsom varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått informa- tion, godtar behandling av personuppgifter som rör honom eller henne. Kravet på att samtycket skall vara särskilt innebär t.ex. att en registrerad inte kan lämna ett giltigt generellt samtycke till per- sonuppgiftsbehandling som inte är preciserad till något eller några ändamål. Dessutom krävs att den registrerade först har informerats om behandlingen. Att samtycket skall vara en otvetydig viljeyttring anses innebära att det inte får råda någon tvekan om att den registre- rade godtar personuppgiftsbehandlingen. framhöll angående detta rekvisit att s.k. hypotetiskt samtycke inte kan godtas hur välgrundad gissningen (hypotesen) än är (SOU 1997:39 s. 342). Inte heller kan en registrerad som inte utnyttjar en rätt att motsätta sig en personuppgiftsbehandling anses ha genom sin passivitet sam- tyckt till behandlingen. Däremot torde s.k. konkludent handlande kunna grunda ett giltigt samtycke enligt personuppgiftslagen (se bl.a. bet. 2000/01:KU19 s. 19). Konkludent handlande kan t.ex. innebära att en registrerad lämnar efterfrågade personuppgifter efter att ha fått information om den tilltänkta behandlingen och om att Grundläggande bestämmelser om personuppgiftsbehandling uppgiftslämnandet är frivilligt. Om personuppgiftslagens krav på samtyckets utformning är uppfyllt, följer det av personuppgifts- lagens huvudregel i 10 § att personuppgiftsbehandlingen är tillåten. Även känsliga personuppgifter får behandlas med den enskilde registrerades samtycke till personuppgiftsbehandlingen. Samtycket skall dock vara uttryckligt. (15 § personuppgiftslagen). I annat fall gäller det generella förbudet i 13 § personuppgiftslagen mot att be- handla känsliga personuppgifter. Att samtycket skall vara uttryckligt innebär dock inget krav på att det skall vara skriftligt eller att det skall dokumenteras. Muntligt samtycke är tillräckligt. Huruvida kon- kludent handlande i vissa fall kan anses utgöra ett uttryckligt sam- tycke är en omdiskuterad fråga. Enligt uppgift från Datainspektionen accepteras konkludent samtycke av inspektionen då en enskild, efter att ha fått tydlig information om personuppgiftsbehandlingen, fri- villigt lämnar känsliga personuppgifter i enkätsvar. När det gäller övriga personuppgiftskategorier kan nämnas att samtycke utan vidare gör behandling av personnummer eller över- föring av personuppgifter till land utanför EU eller EES, dvs. till tredje land, tillåten (22 § respektive 34 § personuppgiftslagen). Undantag för samtycke finns dock inte från förbudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller admi- nistrativa frihetsberövanden (21 § personuppgiftslagen). Återkallar den registrerade ett lämnat samtycke, får ytterligare per- sonuppgifter om denne inte behandlas såvida inte någon annan be- stämmelse som tillåter behandlingen är tillämplig. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket (12 § första stycket per- sonuppgiftslagen). Som redan framgått av tidigare avsnitt finns emellertid tämligen stora möjligheter att även utan samtycke behandla personuppgifter inom hälso- och sjukvården. Flera av de rekvisit som gör personupp- giftsbehandling utan samtycke tillåten enligt 10 § personuppgiftslagen är ofta för handen, t.ex. punkten b) att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet (patientjournalföring) eller punkten d) att en arbetsuppgift av allmänt intresse skall kunna ut- föras. När det gäller känsliga personuppgifter följer dessutom av 18 § första stycket personuppgiftslagen att sådana uppgifter får behandlas utan den registrerades samtycke för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av Grundläggande bestämmelser om personuppgiftsbehandling hälso- och sjukvård. Enligt andra stycket samma paragraf gäller dessutom att den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får behandla känsliga per- sonuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått käns- liga uppgifter från verksamhet inom hälso- och sjukvården. I de fall personuppgiftslagen tillåter personuppgiftsbehandling utan den registrerades samtycke, har den registrerade ingen rätt att med rättslig verkan motsätta sig personuppgiftsbehandlingen. Det följer av 12 § andra stycket personuppgiftslagen. Personuppgiftslagen är den lag varigenom dataskyddsdirektivet genomförts i vår nationella lagstiftning. I allt väsentligt överens- stämmer således regleringen i dataskyddsdirektivet med den redovisade regleringen i personuppgiftslagen, bl.a. när det gäller verkan av att en enskild registrerad samtycker till en personuppgifts- behandling, kraven på samtyckets utformning samt utrymmet till personuppgiftsbehandling utan den registrerades samtycke. Några bestämmelser i dataskyddsdirektivet har emellertid inte sin direkta motsvarighet i personuppgiftslagen. De bestämmelser som är av sär- skilt intresse i detta sammanhang är främst de som återfinns i direktivets artikel 8.2 a och artikel 14 a. I artikel 8.2 a föreskrivs i princip detsamma som i 15 § person- uppgiftslagen, nämligen att det generella förbudet mot att behandla känsliga personuppgifter inte gäller om den registrerade uttryckligen samtycker till personuppgiftsbehandlingen. Enligt artikeln får dock medlemsstater i sin nationella lagstiftning föreskriva att förbudet mot att behandla känsliga personuppgifter inte kan upphävas genom den registrerades samtycke. Enligt artikel 14 a i dataskyddsdirektivet skall den registrerade tillförsäkras rätten att – i vart fall då personuppgifter får behandlas utan samtycke därför att en arbetsuppgift av allmänt intresse skall kunna utföras eller i samband med myndighetsutövning eller efter en intresseavvägning (artikel 7 e och f, jämför 10 § d–f personupp- giftslagen) – när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som Grundläggande bestämmelser om personuppgiftsbehandling påbörjats av den registeransvarige inte längre avse dessa uppgifter. Genom den tidigare berörda bestämmelsen i 12 § andra stycket personuppgiftslagen har registrerade uttryckligen fråntagits denna rätt såvitt gäller personuppgiftsbehandling med stöd av personupp- giftslagen. Den enskilde kan alltså inte med rättslig verkan motsätta sig personuppgiftsbehandling som är tillåten enligt personuppgifts- lagen, t.ex. i fråga om hälso- och sjukvårdens behandling av käns- liga personuppgifter utan den registrerades samtycke med stöd av 18 § och 10 § personuppgiftslagen. Vårdregister får föras oberoende av patientens inställning till per- sonuppgiftsbehandlingen. Den enskilde registrerades samtycke till personuppgiftsbehandlingen krävs alltså inte. Något uttryckligt klar- görande av detta förhållande finns dock inte i vårdregisterlagen. Det anses följa av lagens bestämmelser om förutsättningarna för att be- handla personuppgifter i vårdregister. Regeringen uttalade i lagens förarbeten att en enskilds samtycke inte krävs för att personuppgifter skall få registreras i ett vårdregister. Vidare angavs att den enskilde inte heller skall ha rätt att få uppgifter strukna ur ett vårdregister (se prop. 1997/98:108 s. 82 f.). Uttalandena ger vid handen att avsikten varit att den enskilde inte med rättslig verkan skall kunna motsätta sig någon personuppgifts- behandling enligt vårdregisterlagen, inte heller t.ex. att uppgifter i elektroniska journaler används för ändamålet uppföljning eller över- gripande administration. Man kan fråga sig om det har någon rättslig betydelse att vård- registerlagen saknar en uttrycklig reglering om att den enskilde inte med rättslig verkan kan motsätta sig personuppgiftsbehandling enligt vårdregisterlagen. Möjligen kan redan lagens ordalydelse anses – mot bakgrund av förarbetsuttalandena – innebära att den enskilde inte har någon sådan rätt. Grundläggande bestämmelser om personuppgiftsbehandling Vad skall gälla om den enskilde motsätter sig personuppgiftsbehandlingen? Lagrådet har i några lagstiftningsärenden rörande särlagar för myn- digheters behandling av personuppgifter förordat att bestämmelser intas i lagarna som uttryckligen anger att den registrerade inte har rätt att motsätta sig personuppgiftsbehandlingen enligt särlagarna, se t.ex. prop. 2000/01:33 s. 346 och lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet eller lagen om behandling av personuppgifter inom socialförsäkringens administra- tion. Lagrådet, och senare även regeringen, har därvid åberopat ett behov av en uttrycklig reglering mot bakgrund av vad artikel 14 a i dataskyddsdirektivet föreskriver om att den enskilde åtminstone i vissa fall skall garanteras en rätt att motsätta sig en personuppgifts- behandling, om inte annat föreskrivs i nationell lagstiftning, se ovan. I de fall sådana bestämmelser finns i särlagar kan det emellertid noteras att dessa särlagar avviker från personuppgiftslagen genom att tillåta ytterligare möjligheter att utan samtycke behandla person- uppgifter, t.ex. känsliga sådana, än vad som ges i personuppgiftslagen. Så är enligt vår bedömning inte fallet när det gäller personuppgifts- behandling enligt vårdregisterlagen vid en jämförelse med vad 10, 18 och 22 §§ personuppgiftslagen möjliggör på hälso- och sjukvår- dens område. Förhållandet på vårdregisterlagens tillämpningsområde avviker alltså från de nämnda särlagarna. Eftersom personuppgifts- lagen gäller i den mån vårdregisterlagen saknar bestämmelser, torde det sagda innebära att bestämmelsen i 12 § andra stycket person- uppgiftslagen – om att den enskilde inte har rätt att motsätta sig en personuppgiftsbehandling som är tillåten enligt personuppgiftslagen – gälla också vid personuppgiftsbehandling enligt vårdregisterlagen. Klart utläsbart hur det förhåller sig med denna sak är det förvisso inte, vilket är otillfredsställande från såväl lagteknisk som integritets- mässig synpunkt. Enligt vår uppfattning bör lagtexten vara klargörande på denna punkt. Vi föreslår därför en uttrycklig bestämmelse i patientdatalagen som anger att personuppgiftsbehandling, som är tillåten enligt lagen, som huvudregel får utföras även om den enskilde registrerade mot- sätter sig den. I det följande kommer vi emellertid att föreslå att patienter i vissa fall skall kunna motsätta sig en personuppgiftsbe- handling eller att ett samtycke krävs. Detta bör framgå redan i Grundläggande bestämmelser om personuppgiftsbehandling patientdatalagens grundläggande bestämmelser om personuppgifts- behandling. Regleringen av hälso- och sjukvårdens verksamhet är omfattande och komplex. Det kan därför inte uteslutas att bestämmelser i annan lag eller förordning direkt eller indirekt ger enskilda en möjlighet att med rättslig verkan motsätta sig en personuppgiftsbehandling som i och för sig regleras av patientdatalagen. Även sådana bestämmelser bör gälla före patientdatalagens huvudregel. En sådan bestämmelse är förordningen (1986:198) om provtagning för infektion av HIV enligt vilken en patient kan begära att få vara anonym vid prov- tagning. I sådant fall gäller ingen skyldighet att föra in uppgift om patientens identitet i patientjournalen, se 3 § andra stycket 1 patient- journallagen. Förordningen ger alltså indirekt patienten en möjlighet att motsätta sig personuppgiftsbehandling av namn och person- nummer. Vad skall gälla om den enskilde samtycker till en personuppgifts- behandling? En fråga som över huvud taget inte behandlats i vårdregisterlagens förarbeten eller uttryckligen reglerats i den lagen är i vad mån per- sonuppgiftsbehandling som inte klart stöds av vårdregisterlagens bestämmelser är förbjuden även om den enskilde lämnar sitt uttryck- liga samtycke till personuppgiftsbehandlingen. Ett samtycke gör i princip alltid personuppgiftsbehandling tillåten enligt såväl person- uppgiftslagen som dataskyddsdirektivet (här bortses från vad som gäller uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen). Som framgått ovan är dock EU-medlemsstaterna oförhindrade att åtminstone i fråga om känsliga personuppgifter upp- häva verkan av den enskildes samtycke i detta avseende (artikel 8.2 a i dataskyddsdirektivet). Personuppgiftslagen – vars övergripande syfte är att skydda enskilda mot kränkningar av deras personliga integritet (1 §) – gäller som sagts om inget annat följer av vårdregisterlagen. Frågan är då vad som kan anses följa av vårdregisterlagen. Enligt vår uppfattning är det av avgörande betydelse huruvida vårdregister- lagen anses utgöra ett sådant upphävande som avses i artikel 8.2 a dataskyddsdirektivet. under utredningsarbetet har frågor uppkommit om vilken betydelse det kan ha om den enskilde uttryckligen samtycker Grundläggande bestämmelser om personuppgiftsbehandling till en personuppgiftsbehandling inom hälso- och sjukvården. Många av de projektverksamheter avseende IT-användning som drivs på olika nivåer inom hälso- och sjukvården, baseras på att patienter uttryckligen samtycker till personuppgiftsbehandlingen inom pro- jekten. I dessa fall åberopas i allmänhet personuppgiftslagen till stöd för personuppgiftsbehandlingen när vårdregisterlagen inte ger direkt stöd för informationshanteringen. En fråga som ofta ställs är i vad mån den enskilde kan samtycka till att personuppgifter om honom eller henne i ett vårdregister samkörs med andra register än sådana som vårdregister enligt 6 § vårdregisterlagen får samköras med. En annan fråga som i ett fall prövats rättsligt är om vårdgivare får ge en patient elektronisk tillgång, direktåtkomst, till personuppgifter om sig själv i ett vårdregister. Fallet rörde ett landsting som avsåg ge de patienter som ansökte om det elektronisk tillgång till vissa patientjournaluppgifter m.m. De närmare omständigheterna kring fallet behandlas i avsnitt 3.3.2. Här skall bara anges att länsrätten fann detta stå i strid mot vårdregisterlagen, eftersom den lagen föreskriver att endast den som behöver det för att kunna utföra sitt arbete får ha direktåtkomst till ett vårdregister, se 8 § vårdregister- lagen. Vi är emellertid tveksamma till om 8 § vårdregisterlagen bör tolkas som en sådan bestämmelse i nationell lagstiftning som upp- häver verkan av att den enskilde registrerade samtycker till en person- uppgiftsbehandling; att ge enskilda registrerade direktåtkomst till personuppgifter om sig själva är nämligen att se som en personupp- giftsbehandling i sig. Det är, menar vi, en alltför vidsträckt tolkning av vårdregisterlagen i förhållande till vad som följer av person- uppgiftslagens och dataskyddsdirektivets bestämmelser om när personuppgiftsbehandling är tillåten. I sammanhanget kan noteras att frågan inte berördes i vårdregisterlagens förarbeten. Däremot poängterades i förarbetena betydelsen från integritetssynpunkt med bestämmelsen om direktåtkomst. Särskilt angavs att bestämmelsen kan sägas motsvara 7 § patientjournallagen om inre sekretess och 2 a § hälso- och sjukvårdslagen om att vården skall bygga på respekt för patientens självbestämmande och integritet (prop. 1997/98:108 s. 76 och 99). Enligt vår uppfattning kan ifrågasättas om det är rimligt att tolka lagstiftning – som syftar till att skydda enskildas personliga integritet – såsom in dubio innebärande ett absolut förbud mot sådan person- uppgiftsbehandling som den enskilde registrerade uttryckligen sam- tycker till eller önskar, ja kanske t.o.m. ställer krav på. Grundläggande bestämmelser om personuppgiftsbehandling gäller detta i sådan lagstiftning som, i avsaknad av särbestämmelser, kompletteras av personuppgiftslagens bestämmelser enligt vilka ut- tryckligt samtycke med något undantag utgör laglig grund för per- sonuppgiftsbehandling. Det sagda menar vi inte bara gäller i fråga om direktåtkomst utan även i fråga om andra bestämmelser i vårdregisterlagen. I förarbetena till personuppgiftslagen berördes frågan om arti- kel 8.2 a i dataskyddsdirektivet och möjligheterna att i lagstiftning bestämma att förbudet mot behandling av känsliga personuppgifter inte kan upphävas genom den registrerades samtycke. Frågan upp- kom med anledning av att en remissinstans, Arbetarskyddsstyrelsen, föreslagit att regeringen eller Datainspektionen skulle få möjlighet att i särskilda fall förbjuda behandling även om det finns samtycke. Enligt regeringens uppfattning finns det, när någon har lämnat ett frivilligt samtycke till en viss personuppgiftsbehandling, inte något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgiftsansvarige är överens om. Därför föreslogs inte någon sådan möjlighet som Arbetarskyddsstyrelsen föreslagit (prop. 1997/98:44 s. 69). Vi menar att regeringens resonemang – som får anses ha principiell karaktär – har bäring även på personuppgiftsbehandling inom hälso- och sjukvården och att det alltså finns anledning att tillåta även så- dan personuppgiftsbehandling som avviker från patientdatalagens bestämmelser, om den registrerade lämnar sitt uttryckliga samtycke till personuppgiftsbehandlingen, se avsnitt 8.5.2 ovan angående vilka krav som ställs på ett giltigt samtycke. Med ett uttryckligt samtycke kan t.ex. personuppgifter samlas in och behandlas för ett ändamål som inte anges i patientdatalagens ändamålsbestämning. Visserligen kan som ett skäl emot förslaget anföras att en enskild patient ofta befinner sig i ett utsatt läge eller annars i en svag posi- tion i sina kontakter med hälso- och sjukvården. Han eller hon kan därför komma att samtycka till en personuppgiftsbehandling utan att vara helt på det klara med konsekvenserna.