sou · GUB382 · 2007-01-01 00:00:00 — Förbudet mot att behandla känsliga personuppgifter gäller inte heller när ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet behandlar person- uppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Endast om den registrerade uttryckligen har samtyckt till det får dock känsliga personuppgifter lämnas ut till tredje man från en sådan ideell organisation (17 §). Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål, om behandlingen är nöd- vändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård eller om uppgifterna omfattas av sjukvårdssekretess (18 §). Slutligen undantas viss behandling för forsknings- och statistikändamål från förbudet mot behandling av känsliga personuppgifter (19 §). Regeringen, eller den myndighet som regeringens bestämmer, får om det behövs med hänsyn till ett viktigt allmänt intresse medge ytterligare undantag från förbudet att behandlad känsliga uppgifter (20 §). Central lagstiftning för informationshanteringen inom hälso- och sjukvården Det är enligt personuppgiftslagen förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 §). Regeringen eller den myndig- het som regeringen bestämmer (Datainspektionen) får dock besluta om undantag från förbudet. Uppgifter om personnummer och samordningsnummer får enligt 22 § personuppgiftslagen behandlas bara om den registrerade sam- tycker till det eller när det är klart motiverat med hänsyn till ända- målet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna (23 §). Har uppgifterna samlats in från en annan källa skall den registrerade informeras när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen inte ges förrän upp- gifterna lämnas ut . I de fall uppgifter samlas in från någon annan än den registrerade krävs inte att information lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker 24 §). Finns det i lag eller annan författning särskilda be- stämmelser om registreringen eller utlämnandet av personuppgifter behöver inte heller information lämnas då uppgifter samlas in från annan källa än den registrerade. När information skall lämnas skall den enligt 25 § omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behand- lingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Enligt 26 § är den personuppgiftsansvarige härutöver skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande be- handlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare uppgifterna läm- nas ut, s.k. registerutdrag. Under förutsättning att uppgifterna inte har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska Central lagstiftning för informationshanteringen inom hälso- och sjukvården eller vetenskapliga ändamål behöver information dock inte lämnas beträffande personuppgifter som behandlas i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör min- nesanteckning eller liknande. Undantaget för löpande text som inte fått sin slutliga utformning gäller dock inte om personuppgifterna behandlats . Bestämmelserna om informa- tionsskyldighet gäller inte om sekretess eller tystnadsplikt för upp- gifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller ankny- tande föreskrifter skall på begäran av den registrerade rättas, utplå- nas eller blockeras av den personuppgiftsansvarige (28 §). Den sist- nämnde kan också vara skyldig att underrätta tredje man till vilken uppgifterna har lämnats ut. Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får be- handla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige (31 §). Om det i lag eller annan författning finns vissa särskilda bestämmelser om behandlingen av personupp- gifter i det allmännas verksamhet, t.ex. om tystnadsplikt och sekre- tess, skall dessa tillämpas. Den personuppgiftsansvarige skall enligt 31 § vidta lämpliga tek- niska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade uppgifterna är. Det är enligt 33 § förbjudet att utan samtycke från den registre- rade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av person- uppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Frågan om ett land har en adekvat skydds- nivå skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Det finns en rad undantag från förbudet angivna direkt i per- sonuppgiftslagen (34 §). Har den registrerade samtyckt till det får personuppgifter överföras utan hinder av huvudregeln. Central lagstiftning för informationshanteringen inom hälso- och sjukvården tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Vidare får överföring ske om den är nödvändig för att ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, för att ett sådant avtal mellan den personuppgiftsan- svarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras eller vitala intressen för den registrerade skall kunna skyddas. Regeringen får meddela föreskrifter om undantag från förbudet för överföring till vissa stater och om att en överföring är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen, eller den myn- dighet som regeringen bestämmer, får vidare meddela föreskrifter om undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Slutligen får regeringen och, efter dele- gation, Datainspektionen besluta om undantag från förbudet i vissa enskilda fall. Behandling av personuppgifter som är helt eller delvis automatise- rad omfattas enligt 36 § personuppgiftslagen av anmälningsskyldig- het. Den personuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller serie av sådana behandlingar med samma eller liknande ändamål genomförs. Rege- ringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otill- börligt intrång i den personliga integriteten. Anmälningsskyldighet för behandlingar föreligger inte heller om den personuppgiftsansva- rige tillsätter ett personuppgiftsombud som anmälts till tillsyns- myndigheten (37 §). I har Datainspektionen tilldelats uppgiften att vara tillsyns- myndighet. Med rollen som tillsynsmyndighet följer vissa befogen- heter, såsom rätt att få tillgång till behandlade personuppgifter och tillträde till lokaler med anknytning till behandlingen (43 §). Data- inspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter som har behandlats på ett olagligt sätt skall utplånas (43–45 §§). Den personuppgiftsansvarige skall enligt 48 § ersätta den registre- rade för skada och kränkning av den personliga integriteten som en Central lagstiftning för informationshanteringen inom hälso- och sjukvården behandling av personuppgifter i strid med lagen har orsakat. Ersätt- ningsskyldigheten kan dock i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan enligt personuppgiftslagen dömas till böter eller fängelse (49 §). Det gäller i vissa fall vid lämnande av osann uppgift i information till den registrerade eller i anmälan eller information till tillsynsmyndigheten. Vidare gäller straffansvaret den som behand- lar känsliga personuppgifter m.m. i strid med personuppgiftslagen, för över personuppgifter till tredje land i strid med lagen eller låter bli att göra föreskriven anmälan till tillsynsmyndigheten. Den 1 januari 2007TPF1FPT träder nya bestämmelser i personuppgifts- lagen i kraft. De nya bestämmelserna innebär att sådan behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter (s.k. ostruk- turerat material) undantas från de flesta av personuppgiftslagens hanteringsregler. För sådant material gäller i stället att behandling inte får utföras, om den innebär en kränkning av den registrerades personliga integritet. Bestämmelserna innebär vidare att gärningar som begås av oaktsamhet av normalgraden är straffbara. Lagen (1998:544) om vårdregister (vårdregisterlagen) reglerar auto- matiserad behandling av personuppgifter i vårdregister. Vårdregisterlagen är en speciallag som kompletterar men inte er- sätter personuppgiftslagen. Personuppgiftslagen gäller därför i de delar som vårdregisterlagen saknar bestämmelser (2 §). Personupp- giftslagen gäller dock inte i den mån avvikande bestämmelser finns i annan lag eller förordning. Enligt 1 § vårdregisterlagen får den som bedriver vård utföra auto- matiserad behandling av personuppgifter i vårdregister. Med vård av- ses vård enligt hälso- och sjukvårdslagen, tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård och lagen (1991:1129) om rättspsykiatrisk vård samt smittskydd enligt smittskyddslagen (2004:168). 1TP PT Se prop. 2005/06:173, bet. 2005/06:KU37, rskr. 2005/06:254 och SFS 2006:398. Central lagstiftning för informationshanteringen inom hälso- och sjukvården Vårdregisterlagen omfattar register som förekommer inom vårdens individinriktade verksamhet. Inom hälso- och sjukvården förs även andra register med mer övergripande syften såsom framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvården. Ett exempel på sådana register är kvalitetsregister. Per- sonuppgiftslagen (1998:204) är tillämplig på behandling av person- uppgifter i sådana register. Personuppgifter i ett vårdregister får enligt lagen behandlas för dokumentation av vården av patienter eller för sådan administration som rör patienter och som syftar till att bereda vård i enskilda fall (3 § vårdregisterlagen). Behandling av personupp- gifter får även utföras för den ekonomiadministration som föranleds av vård i enskilda fall. Personuppgifter som härrör från det individ- inriktade vårdarbetet och som har registrerats i ett vårdregister får även behandlas för framställning av statistik, uppföljning, utvärdering, kvalitetssäkring och administration på verksamhetsområdet och upp- giftsutlämnande som föreskrivs i lag eller förordning (4 §). Ett vårdregister får innehålla dels uppgifter som skall ingå i en patientjournal, dels andra uppgifter som antecknas i och för vården av patienter eller som behövs för den ekonomiadministration som föranleds av vård i enskilda fall (5 §). Uppgifter om en patient som behövs för vård av denne samt upp- gifter som behövs för den ekonomiadministration som föranleds av den aktuella vården får hämtas till ett vårdregister från andra vård- register genom samkörning. Dessutom får patientens läkemedelsför- teckning samt uppgifter om patientens folkbokföringsadress hämtas till registret genom samkörning (6 §). Personuppgifter som avses i 13 § eller 21 § personuppgiftslagen får inte användas som sökbegrepp i ett vårdregister. Inte heller får upp- gifter om att någon fått ekonomisk hjälp eller vård inom socialtjäns- ten eller varit föremål för åtgärd enligt utlänningslagen (2005:716) användas som sökbegrepp (7 §). Trots detta förbud är det tillåtet att som sökbegrepp använda uppgifter om sjukdom och hälsotillstånd samt uppgifter om att någon varit föremål för tvångsingripande enligt lagen om psykiatrisk tvångsvård eller lagen om rättspsykiatrisk vård. Direktåtkomst till uppgifter i ett vårdregister får endast den ha som behöver tillgång till uppgifterna för att kunna utföra sitt arbete. Uppgifterna skall behövas för något av de ändamål för vilka ett vård- register får användas. Åtkomsten får endast avse de uppgifter som behövs för arbetets utförande (8 §). Personuppgifter i ett vårdregister får lämnas ut på medium för automatiserad behandling, om de skall användas för ändamål för vilka Central lagstiftning för informationshanteringen inom hälso- och sjukvården vårdregister får föras. Detsamma gäller om uppgifterna skall användas för framställning av statistik, administration på verksamhetsområdet, uppföljning, utvärdering eller kvalitetssäkring eller om uppgifterna skall lämnas på grund av uppgiftsutlämnande som föreskrivs i lag eller förordning (9 §). I vårdregisterlagen finns därutöver bestämmelser om vilken in- formation om personuppgiftsbehandlingen som måste lämnas till en registrerad (11 §). När det gäller patientjournalhandlingar som ingår i ett vårdregister finns hänvisningar till bestämmelser i patientjournallagen om beva- rande och gallring, om begränsningar i fråga om utlämnande av per- sonuppgifter och om begränsningar i skyldigheten att vidta rättelse m.m. Hänvisningar finns också till sekretesslagen och, i fråga om rättelse och skadestånd, till personuppgiftslagen. Hälsodataregister är personregister som förs av central förvalt- ningsmyndighet inom hälso- och sjukvården för ändamål av mer övergripande karaktär som inte syftar till användning för den indi- vidinriktade vården. Genom lagen (1998:543) om hälsodataregister (hälsodataregisterlagen) ges en central förvaltningsmyndighet inom hälso- och sjukvården möjlighet att föra automatiserad behandling av personuppgifter i hälsodataregister (1 §). Med central förvalt- ningsmyndighet inom hälso- och sjukvården avses myndighet som enligt sin instruktion har ett ansvar för en eller flera verksamheter inom området. Hälsodataregisterlagen är, liksom vårdregisterlagen, en speciallag som kompletterar men inte ersätter personuppgiftslagen. Enligt 3 § hälsodataregisterlagen får personuppgifter i ett hälso- dataregister behandlas för framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård, samt forsk- ning och epidemiologiska undersökningar. Ett hälsodataregister får endast innehålla uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas (4 §). Den som bedriver verksamhet inom hälso- och sjukvården åläggs i lagen en skyldighet att lämna uppgifter till ett hälsodataregister för de ändamål som registret har (6 §). Hälsodataregisterlagen innebär att det under vissa förutsättningar är tillåtet att föra hälsodataregister. I lagen preciseras dock inte vissa Central lagstiftning för informationshanteringen inom hälso- och sjukvården specifika ändamål för vilka behandling får ske. Detta sker i stället genom föreskrifter som regeringen meddelar med stöd av lagen. Enligt bemyndiganden i lagen får regeringen meddela föreskrifter om bl.a. vilka myndigheter som får föra hälsodataregister samt begränsningar av de angivna ändamålen och av de uppgifter som ett hälsodataregis- ter får innehålla. Regeringen har i anledning av dessa bemyndiganden utfärdat förordningen (2001:707) om patientregister hos Socialstyrel- sen, förordningen (2001:708) om medicinskt födelseregister hos , förordningen (2001:709) om cancerregister hos Social- styrelsen förordningen (2005:363) om läkemedelsregister hos Social- styrelsen samt förordningen (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården. Se även 4 kap. 4 § läkemedelsförordningen (2006:272). Uppgifter inom den allmänna hälso- och sjukvården omfattas av sekretesslagens (1980:100) bestämmelser. Sekretess gäller i förhållande till såväl enskilda (fysiska eller juri- diska personer) som andra myndigheter. Uppgifter som skyddas av sekretess får inte lämnas från en myndighet till en enskild eller annan myndighet utan stöd i sekretesslagen. Enligt 1 kap. 3 § första och andra styckena gäller sekretesslagen därutöver i vissa fall inom en myndighet. Enligt bestämmelsen får en sekretessbelagd uppgift inte röjas för en annan verksamhetsgren inom samma myndighet, om verksamhetsgrenarna är att betrakta som självständiga i förhållande till varandra. Enligt 7 kap. 1 c § första stycket gäller sekretess inom hälso- och sjukvården och i annan medicinsk verksamhet för uppgift om en- skilds hälsotillstånd och andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Sekretessen gäller därmed med ett s.k. omvänt skaderekvisit och presumtionen är alltså för sekretess. I 7 kap. 1 c § sista stycket första meningen finns ett undantag från den annars gällande presumtionen för sekretess. Där föreskrivs att en myndighet inom ett landsting eller en kommun som bedriver hälso- och sjukvård får lämna uppgifter till en annan sådan myndig- het för forskning och framställning av statistik eller för administra- tion på verksamhetsområdet med tillämpning av ett rakt skaderekvisit. Presumtionen är här för att uppgiften får lämnas ut. Central lagstiftning för informationshanteringen inom hälso- och sjukvården endast om det kan antas att den enskilde eller dennes närstående lider men om uppgiften röjs. Sekretessen enligt 1 c § gäller också i förhållande till den vård- och behandlingsbehövande själv i fråga om uppgift om hans eller hennes hälsotillstånd, om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne (7 kap. 3 §). Sekretess gäller inom hälso- och sjukvården och i annan medi- cinsk verksamhet samt inom för anmälan eller annan utsaga av enskild om någons hälsotillstånd eller andra personliga förhållanden, om det kan antas att fara uppkommer för att den som gjort anmälan eller avgivit utsagan eller någon honom eller henne närstående utsätts för våld eller annat allvarligt men om uppgiften röjs (7 kap. 6 §). I sekretesslagen finns särskilda undantagsbestämmelser som inne- bär att en uppgift får lämnas ut trots att sekretess gäller för uppgiften. Dessa bestämmelser berörs närmare i avsnitt 11.5.1. Offentlighets- och sekretesskommittén (OSEK) har i sitt huvud- betänkande Ny sekretesslag (SOU 2003:99) lämnat förslag till en ny sekretesslag. Flera av kommitténs förslag har betydelse för upp- giftsutbytet inom hälso- och sjukvården eller mellan hälso- och sjuk- vården och andra verksamheter. Dessa förslag redovisas senare i detta betänkande i anslutning till frågeställningar som rör vårt upp- drag, se t.ex. avsnitt 11.5.2, 12.3 och 14.3. OSEK:s förslag bereds inom . 4.8Lagen om yrkesverksamhet på hälso- och sjukvårdens område Lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område innehåller bestämmelser om skyldigheter för hälso- och sjuk- vårdspersonal. Därutöver finns bl.a. behörighets- och legitimations- regler samt bestämmelser om disciplinpåföljd m.m., Hälso- och sjuk- vårdens ansvarsnämnd () och tillsyn. Hälso- och sjukvårdspersonal är en benämning på den personal som fullgör sjukvårdsuppgifter i allmän eller enskild hälso- och sjukvård och tandvård. Till hälso- och sjukvårdspersonalen hör enligt lagen alla som har legitimation för yrke inom hälso- och sjukvården. Dessa är bl.a. läkare, sjukgymnaster, tandläkare och tandhygienister. Lagen är alltså tillämplig inom såväl allmän som enskild hälso- och sjukvård. Central lagstiftning för informationshanteringen inom hälso- och sjukvården Med hälso- och sjukvård enligt nämnda lag avses sådan verk- samhet som omfattas av hälso- och sjukvårdslagen, tandvårdslagen, lagen (2001:499) om omskärelse av pojkar samt verksamhet inom detaljhandel med läkemedel (1 kap. 2 §). Med vårdgivare avses i lagen fysisk eller juridisk person som yrkesmässigt bedriver hälso- och sjukvård (1 kap. 3 §). Med hälso- och sjukvårdspersonal avses bl.a. den som har legiti- mation för yrke inom hälso- och sjukvården, personal som är verk- sam vid sjukhus och andra vårdinrättningar och som medverkar i hälso- och sjukvård av patienter och den som i annat fall vid hälso- och sjukvård av patienter biträder en legitimerad yrkesutövare (1 kap. 4 §). I 2 kap. finns bestämmelser om skyldigheter för hälso- och sjuk- vårdspersonal. Den som tillhör hälso- och sjukvårdspersonalen skall utföra sitt arbete i överensstämmelse med vetenskap och beprövad erfarenhet. En patient skall ges sakkunnig och omsorgsfull hälso- och sjukvård som uppfyller dessa krav. Vården skall så långt som möjligt utformas och genomföras i samråd med patienten. Patienten skall visas omtanke och respekt (1 §). Vidare skall den som har ansvaret för hälso- och sjukvården av en patient se till att patienten ges individuellt anpassad information om sitt hälsotillstånd och om de metoder för undersökning, vård och behandling som finns. Om informationen inte kan lämnas till patien- ten skall den i stället lämnas till en närstående till patienten (2 §). När det finns flera behandlingsalternativ som står i överensstäm- melse med vetenskap och beprövad erfarenhet skall den som har ansvaret för hälso- och sjukvården av en patient medverka till att patienten ges möjlighet att välja det alternativ som han eller hon föredrar (2 a §). Den som tillhör hälso- och sjukvårdspersonalen bär själv ansvaret för hur han eller hon fullgör sina arbetsuppgifter (5 §). Den som tillhör hälso- och sjukvårdspersonalen får överlåta en arbetsuppgift till någon annan endast när det är förenligt med kravet på en god och säker vård. Den som överlåter en arbetsuppgift till någon annan svarar för att denne har förutsättningar att fullgöra uppgiften (6 §). Lagen innehåller även särskilda bestämmelser om tystnadsplikt inom enskild hälso- och sjukvård. Enligt 2 kap. 8 § får den som till- hör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra