sou · GUB382 · 2007-01-01 00:00:00 — Regleringen gäller dels den personuppgiftsansvariges skyldighet att självmant lämna information till den registrerade i samband med att personuppgifterna samlas in (23–25 §§), dels den personuppgifts- ansvariges skyldighet att lämna information på den registrerades begäran (26 §). Gemensamt för båda fallen är att bestämmelser om sekretess och tystnadsplikt alltid går före skyldigheten att lämna information (27 §). Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna (23 § per- sonuppgiftslagen). Huvudregeln bör vara att den registrerade får informationen innan han eller hon lämnar uppgifter eller uppgifterna annars samlas in från honom eller henne (och , Personuppgiftslagen – En kommentar, 2001, andra uppl., s. 187). I Datainspektionens allmänna råd om information till registrerade en- ligt personuppgiftslagen anges att personuppgifter bör hanteras som om de var insamlade från den registrerade själv även när de lämnas av en legal ställföreträdare, t.ex. när en vårdnadshavare lämnar uppgifter om sitt underåriga barn. Om personuppgifterna har samlats in från någon annan källa än den registrerade, t.ex. genom samkörning, överföring av register eller via andra personer, skall den personuppgiftsansvarige enligt 24 § personuppgiftslagen som huvudregel självmant lämna den registre- rade information om behandlingen av uppgifterna när de registreras, dvs. när de matas in i en dator eller sorteras in i ett manuellt register som omfattas av personuppgiftslagen. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Från informationsskyldigheten i 24 § finns några undantag. Infor- mation behöver inte lämnas, om det finns bestämmelser om registre- randet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Vidare behöver information inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. I 25 § personuppgiftslagen anges vilken information som skall lämnas självmant. Informationen enligt 23 eller 24 §§ skall omfatta Allmänna frågor och bestämmelser uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i sam- band med behandlingen, såsom information om mottagarna av upp- gifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Enligt 25 § andra stycket personuppgiftslagen behöver informa- tion inte lämnas om sådant som den registrerade redan känner till, t.ex. på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. Bestämmelsen – som gäller oavsett om uppgifterna har samlats in från den registrerade själv eller från någon annan källa – innebär att i de fall den personuppgiftsansva- rige avser att fortlöpande samla in uppgifter om den registrerade, behöver information inte lämnas varje gång nya uppgifter samlas in, om den registrerade en gång har fått fullständig information och således redan känner till informationen (prop. 1997/98:44 s. 78). Informationen skall lämnas till den registrerade. I Datainspek- tionens tidigare nämnda allmänna råd om information anges att även om den registrerade är underårig eller har god man eller förvaltare bör information lämnas till den registrerade om han eller hon själv kan tillgodogöra sig informationen. Är så inte fallet bör informa- tionen i stället kunna lämnas till den underåriges vårdnadshavare eller i förekommande fall till en god man eller förvaltare. Informationen måste inte lämnas skriftligen utan kan även lämnas muntligen. Det är den personuppgiftsansvarige som har bevisbördan för att den registrerade har fått den information som krävs. Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalender- år gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig infor- mation – ett s.k. registerutdrag – lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen, och till vilka mottagare eller katego- rier av mottagare som uppgifterna lämnas ut. I paragrafens andra stycke finns bestämmelser dels om den registrerades ansökan, dels om efter ansökan som den personuppgiftsansva- rige skall lämna information. Från skyldigheten att lämna information enligt 26 § gäller undan- tag för personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Med löpande text avses text som inte har strukturerats Allmänna frågor och bestämmelser så att sökning av personuppgifter underlättas. De nämnda undan- tagen gäller inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller veten- skapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . I 27 § personuppgiftslagen finns en bestämmelse om undantag från informationsskyldigheten i 23–26 §§ vid sekretess och tystnads- plikt. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller, enligt 27 §, inte bestämmelserna i 23–26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretess- lagen vägra att lämna ut uppgifter till den registrerade. Bestämmelser om sekretess och tystnadsplikt gäller således alltid före skyldigheten att lämna information. träder nya bestämmelser i personuppgiftslagen i kraft.TPF1FPT De nya bestämmelserna innebär bl.a. att personuppgifts- lagens bestämmelser om information till den registrerade (23–26 §§) inte behöver tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sam- manställning av personuppgifter, s.k. ostrukturerat material. Vidare införs i personuppgiftslagen en uttrycklig bestämmelse om att en myndighets beslut om information enligt 26 § får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överkla- gande till kammarrätten. Föreskrifterna skall inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om vilken information som skall läm- nas till registrerade och hur informationen skall lämnas (50 § e person- uppgiftslagen). Regeringen har i 16 § 5 personuppgiftsförordningen (1998:1191) bemyndigat Datainspektionen att meddela sådana före- skrifter. Några föreskrifter har emellertid ännu inte utfärdats. Där- emot har, såsom tidigare framgått, allmänna råd om information till registrerade enligt personuppgiftslagen getts ut av Datainspektionen. I lagen (1998:544) om vårdregister (vårdregisterlagen) finns en särskild bestämmelse om information. Enligt 11 § skall den som är personuppgiftsansvarig för ett vårdregister se till att den registrera- 1TP PT Se prop. 2005/06:173, bet. 2005/06:KU37, rskr. 2005/06:254 och SFS 2006:398. Allmänna frågor och bestämmelser de får information om behandlingen. Informationen skall innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålet med registret, vilken typ av uppgifter som ingår i registret, den upp- giftsskyldighet som följer av lagen (1998:543) om hälsodataregister (hälsodataregisterlagen), de sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att ta del av uppgifter enligt 26 § per- sonuppgiftslagen, rätten till rättelse av oriktiga eller missvisande uppgifter, rätten till skadestånd vid behandling av personuppgifter i strid med vårdregisterlagen, vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automa- tiserad behandling, vad som gäller i fråga om bevarande och gallring, samt om registreringen är frivillig eller inte. Det krävs inte att vårdpersonalen i varje enskilt fall lämnar en muntlig information om att dokumentationen sker i ett vårdregister utan informationsskyldigheten kan enligt lagens förarbeten fullgöras genom t.ex. broschyrer eller anslag vid vårdinrättningar (prop. 1997/98:108 s. 81 och 100). Uppgiftsskyldigheten enligt hälsodataregisterlagen innebär att per- sonuppgifter som samlats in i en vårdgivares verksamhet lämnas vidare till centrala förvaltningsmyndigheter inom hälso- och sjukvården. Enligt 6 § nämnda lag skall nämligen den som bedriver verksamhet inom hälso- och sjukvården lämna uppgifter till ett hälsodataregister för vissa i lagen angivna ändamål. Dessa ändamål är framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar. Våra förslag innebär att personuppgiftsbehandling enligt patientdata- lagen som huvudregel skall få ske även om den enskilde motsätter sig behandlingen (se avsnitt 8.5). Mot den bakgrunden är det från integritetssynpunkt angeläget att den registrerade får utförlig infor- mation om personuppgiftsbehandlingen. Informationen behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med personuppgiftsbehandlingen. Information är även viktig för att skapa en nödvändig grund för allmänhetens förtroende för be- handlingen. I 25 § personuppgiftslagen anges vilken information som den personuppgiftsansvarige självmant skall lämna till den registrerade. Enligt vår uppfattning bör denna informationsskyldighet preciseras. Allmänna frågor och bestämmelser En sådan precisering medför att det blir tydligare för såväl den per- sonuppgiftsansvarige som den registrerade vilken information som skall lämnas. Vi föreslår därför att det i patientdatalagen förs in en särskild bestämmelse om vilken information som den personupp- giftsansvarige skall lämna. Vid utformandet av bestämmelsen har vi utgått från vårdregisterlagens bestämmelse om information. Vissa tillägg behöver dock göras. Skyldighet för vårdgivare att lämna ut uppgifter till myndigheter följer inte enbart av hälsodataregisterlagen utan även av andra författ- ningar. Vi har i avsnitt 8.2 redogjort för några sådana bestämmelser. Den information som den personuppgiftsansvarige skall lämna bör därför inte inskränka sig till upplysningar om den uppgiftsskyldighet som följer av hälsodataregisterlagen, utan avse även sådana före- skrifter om uppgiftsskyldighet som kan bli aktuella. Våra förslag i avsnitt 12.4 innebär att patienter ges rätt att begära att vårddokumentation spärras från tillgänglighet för andra vård- enheter alternativt vårdprocesser utanför den till vilken uppgifterna hör. De innebär vidare att en patient har rätt att få information om den direktåtkomst och elektroniska åtkomst som förekommit till uppgifter om honom eller henne. Som framhålls i det avsnittet är det väsentligt att den allmänna information som den personuppgifts- ansvarige skall lämna även omfattar dessa rättigheter. I fråga om upplysningar om rätten till rättelse av oriktiga eller missvisande uppgifter och om rätten till skadestånd görs hänvisningar till relevanta bestämmelser i personuppgiftslagen. Därutöver behövs enligt vår mening en särskild bestämmelse i det fall den personuppgiftsansvarige deltar i ett sammanhållet journal- föringssystem. Vi har i avsnitt 11.3 redogjort för våra överväganden i fråga om patientens inflytande vid sådan journalföring. Våra för- slag innebär att patienten vid varje vårdepisod skall ha en möjlighet att motsätta sig att patientuppgifter görs tillgängliga för utomståen- de vårdgivare. Detta förutsätter att patienten har infor- merats om vad sammanhållen journalföring innebär och om att han eller hon kan motsätta sig att hans eller hennes patientuppgifter görs tillgängliga för andra vårdgivare genom sammanhållen journalföring. Informationen måste – utan undantag – lämnas innan uppgifterna görs tillgängliga i den sammanhållna journalföringen. Vi har i avsnitt 16.4.6 behandlat frågan vilken ytterligare infor- mation som skall lämnas när det gäller personuppgiftsbehandling i ett nationellt eller regionalt kvalitetsregister. Allmänna frågor och bestämmelser Hur informationen skall ges bör överlåtas åt varje personuppgifts- ansvarig att bestämma. Något rättsligt krav på att informationen skall ges i viss form, muntlig eller skriftlig, föreslås alltså inte. Det finns dock anledning att understryka vikten av att den personupp- giftsansvarige skapar rutiner för hur informationsskyldigheten skall fullgöras. Säkra rutiner ligger i den personuppgiftsansvariges intresse, eftersom den personuppgiftsansvarige har bevisbördan för att obli- gatorisk information faktiskt har lämnats till en registrerad. Liksom tidigare bör inte krävas att vårdpersonalen i varje enskilt fall lämnar en muntlig information om personuppgiftsbehandlingen, utan in- formationsskyldigheten bör kunna fullgöras genom t.ex. broschyrer och anslag i väntrummen. Som ett komplement bör information även kunna lämnas på vårdgivarens webbplats. När det gäller hur information om sammanhållen journalföring bör lämnas, se avsnitt 11.3.3, och om personuppgiftsbehandling i nationella och regionala kvalitetsregister, se avsnitt 16.4.6. Det åligger också den personuppgiftsansvarige att tillse att infor- mation är utformad på ett sätt som kan förstås av den registrerade. När det gäller t.ex. patienter som inte talar svenska bör den person- uppgiftsansvarige se till att någon översätter informationen eller att det finns skriftliga informationsblanketter på flera språk. Inom hälso- och sjukvården är det vanligt att patientens hälso- tillstånd omöjliggör att information lämnas till patienten om en per- sonuppgiftsbehandling. Det kan exempelvis bero på att patienten är medvetslös eller alltför fysiskt eller psykiskt medtagen för kunna tillgodogöra sig information av det slag som här avses. saknar dessa patienter legala ställföreträdare, t.ex. en god man eller förvaltare, som i stället skulle kunna erhålla informationen. I sådana fall bör informationen, på motsvarande sätt som gäller i fråga om information om själva vården, kunna lämnas till någon patienten när- stående (jfr 2 b § andra stycket hälso- och sjukvårdslagen [1982:763]). Så fort det är möjligt bör dock även patienten själv informeras om personuppgiftsbehandlingen. Givetvis måste uppgifter beträffande en patient som behöver akut vård kunna journalföras elektroniskt även om det inte finns någon närstående på plats som i samband med inhämtandet av uppgifter kan informeras om personuppgiftsbehand- lingen. Uppgifterna får däremot inte göras tillgängliga för andra vårdgivare genom sammanhållen journalföring. Att beakta i sammanhanget är att en närstående till en vuxen per- son inte kan samtycka till en personuppgiftsbehandling (se dock de i avsnitt 11.3.4 nämnda författningsförslagen från utredningen Allmänna frågor och bestämmelser om förmyndare, gode män och förvaltare, SOU 2004:112). Enligt definitionen av samtycke i 3 § personuppgiftslagen skall det vara den registrerade som blir informerad och genom en otvetydig vilje- yttring godtar behandlingen av sina personuppgifter. Som framgått tidigare innebär dock våra förslag att personuppgiftsbehandling enligt patientdatalagen som huvudregel skall få ske även om den enskilde motsätter sig behandlingen. I övrigt skall personuppgiftslagens bestämmelser om information gälla. Detta behöver inte särskilt anges i patientdatalagen, eftersom personuppgiftslagens bestämmelser gäller om inget annat sägs (se avsnitt 7.3.3). Fr.o.m. kommer även bestämmel- serna i personuppgiftslagen om överklagande av myndighets beslut om information enligt 26 § personuppgiftslagen att gälla vid person- uppgiftsbehandling enligt patientdatalagen, dock inte i fråga om beslut som har meddelats före ikraftträdandet. 18.2Personuppgiftslagens regler om rättelse och skadestånd Vårt förslag: Personuppgiftslagens bestämmelser om rättelse skall gälla vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda krite- rier och som sker enligt patientdatalagen. I sistnämnda lag skall göras en hänvisning till personuppgiftslagens regler om rättelse. När det gäller rättelse av uppgifter i journalhandlingar skall patientdatalagens bestämmelser ha företräde. Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyl- dig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av den lagen. Att en uppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje Allmänna frågor och bestämmelser man annat än med stöd av 2 kap. tryckfrihetsförordningen (3 § per- sonuppgiftslagen). Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Det är i princip den personuppgifts- ansvarige som själv väljer korrigeringsmetod, dvs. om de aktuella personuppgifterna skall rättas, blockeras eller utplånas. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrige- ringsmetoder inte kan användas (prop. 1997/98:44 s. 132). Sker rättelse skall den personuppgiftsansvarige också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägen- het för den registrerade skulle kunna undvikas genom en under- rättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats. Personuppgiftslagens bestämmelser om rättelse av personuppgifter är endast tillämpliga när uppgifter behandlats i strid med den lagen eller föreskrifter som har utfärdats med stöd av den lagen. Har per- sonuppgifter behandlats på något sätt som endast står i strid med någon annan författning kan alltså inte rättelse ske med stöd av per- sonuppgiftslagens regler. Av den anledningen föreskrivs i 13 § vård- registerlagen att personuppgiftslagens bestämmelser om rättelse skall gälla även då personuppgifter behandlats i strid med vårdregisterlagen. Detta gäller dock inte om åtgärderna skulle strida mot bestämmel- serna i patientjournallagen. I patientjournallagen finns särskilda regler om rättelse av uppgifter i journalhandlingar. I 6 § stadgas att uppgifter i en journalhandling inte får utplånas eller göras oläsliga i andra fall än som avses i 17 §. Vid rättelse av en felaktighet skall det anges när rättelsen har skett och vem som har gjort den. Enligt 17 § får på ansökan av patienten eller någon annan som omnämns i en patientjournal förordna att journalen helt eller delvis skall förstöras. Förutsättning för detta är dels att godtagbara skäl anförs för ansökan, dels att patientjournalen eller den del därav som skall förstöras uppenbar- ligen inte behövs för patientens vård och dels att det från allmän syn- punkt uppenbarligen inte finns skäl att bevara journalen. Som fram- går av avsnitt 10.4.6 och 10.4.8 föreslår vi att dessa bestämmelser skall föras över oförändrade till patientdatalagen. Som nämnts tidigare träder nya bestämmelser i personuppgifts- lagen i kraft . En uttrycklig bestämmelse införs då om att en myndighets beslut om rättelse och underrättelse till tredje man enligt 28 § personuppgiftslagen får överklagas hos allmän Allmänna frågor och bestämmelser Prövningstillstånd krävs vid överklagande till kammarrätten. Föreskrifterna skall inte tillämpas i fråga om över- klagande av beslut som har meddelats före ikraftträdandet. Enligt vår uppfattning bör den registrerade vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller där upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier i princip ha samma möjlighet att få personuppgifter rättade vid behandling av personuppgifter i strid mot patientdatalagen som vid behandling i strid mot personuppgiftslagen. I patientdatalagen skall därför i fråga om sådan personuppgiftsbe- handling göras en hänvisning till personuppgiftslagens bestämmelser om rättelse. När det gäller rättelse av uppgifter i journalhandlingar skall dock de från patientjournallagen till patientdatalagen överförda bestäm- melserna gälla framför personuppgiftslagens bestämmelser. De först- nämnda bestämmelserna innebär att uppgifter inte får utplånas eller göras oläsliga annat än om förordnat om journalför- störing. Skyldigheten att rätta felaktiga uppgifter följer däremot av personuppgiftslagen. Det bör i sammanhanget noteras att det enligt 9 § första stycket h personuppgiftslagen är ett grundläggande krav på den personupp- giftsansvarige att vid behandling av personuppgifter se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I 9 § första stycket e och g person- uppgiftslagen ställs vidare krav på den personuppgiftsansvarige att se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de personupp- gifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Den personuppgiftsansvarige måste således – oberoende av bestäm- melsen i 28 § personuppgiftslagen om skyldigheten att vidta rättelse på den registrerades begäran – självmant vara aktiv för att se till att behandlade uppgifter är korrekta. Dessa krav, liksom andra grund- läggande krav i 9 § första stycket personuppgiftslagen, gäller även då personuppgifter behandlas enligt patientdatalagen (se avsnitt 7.3.3). Fr.o.m. kommer även bestämmelserna i person- Allmänna frågor och bestämmelser uppgiftslagen om överklagande av beslut om rättelse att gälla vid personuppgiftsbehandling enligt patientdatalagen, dock inte i fråga om beslut som har meddelats före ikraftträdandet. Vårt förslag: Personuppgiftslagens bestämmelser om skadestånd skall gälla vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och som utförts i strid mot patientdatalagen. I sist- nämnda lag skall göras en hänvisning till personuppgiftslagens regler om skadestånd. Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Skadeståndsbestämmelserna i personuppgiftslagen gäller framför de allmänna bestämmelserna om skadestånd i skadeståndslagen (1972:207). I den mån en fråga inte är reglerad i personuppgiftslagen skall dock bestämmelserna i skade- ståndslagen tillämpas.