sou · GVB348 · 2008-01-01 00:00:00 — Trots att behandlingen av per- sonuppgifter i dessa allmännyttiga verksamheter uppvisar stora lik- heter med behandling av personuppgifter för statistik, forskning eller nationell uppföljning och kvalitetssäkring, erbjuds ett mer begränsat integritetsskydd än det som gäller för uppgifter i hälsodataregister. Dessa skillnader tycks inte vara motiverade av några principiellt grundade intresseavvägningar, utan får antas sammanhänga med vad som har bedömts vara den enklaste lösningen från fall till fall. Sammanfattningsvis saknar regelsystemet fortfarande i vissa delar sådana genomtänkta och konsekventa överväganden som behövs för en tillfredsställande avvägning mellan skydd av den personliga integriteten å ena sidan och nyttan för samhället och patientsäker- heten den å andra sidan. Författningsreglering av nationella kvalitets- register inom hälso- och sjukvården, m.m. Beslut vid regeringssammanträde . En särskild utredare tillkallas för att utarbeta förslag till en särskild författningsreglering av inom hälso- och sjukvården. Författningen skall bl.a. innehålla bestämmelser om vilka uppgifter som skall få tas in i registret och vad som skall krävas för detta. Sådana krav kan gälla t.ex. om samtycke från den uppgifterna avser är nödvändigt, vad uppgifterna skall få användas till, vem som skall få tillgång till dem samt vad som skall gälla för register av olika livslängd och för bevarande av uppgifterna. Vid utarbetandet av en sådan reglering skall utredaren beakta bestämmelserna om skydd för den personliga integriteten vid behandling av personuppgifter i personuppgiftslagen (1998:204) och och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG-direktivet om personuppgifter). Utredaren skall även överväga om särskild författningsreglering behövs för de regionala cancerregistren och för donations- och meta- donregistren, samt för blodgivarregistret och vaccinationsregistret, som båda är under uppbyggnad. Om utredaren anser att en särskild författningsreglering är nödvändig, skall han utarbeta ett förslag till en sådan. Frågan om registrering av känsliga personuppgifter inom vården innefattar svåra avvägningar mellan skyddet för den personliga integri- teten å ena sidan och viktiga samhällsintressen å den andra. skyddet för den personliga integriteten skall vara är en omdisku- terad fråga – uppfattningen om vad som upplevs som intrång i den personliga integriteten varierar mellan olika individer och tillfällen. Begreppet kan sägas bestå av flera delar, varav bland andra följande två är aktuella i detta sammanhang. Den första är att den enskilde bör tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter. Den andra är att den enskilde bör ha rätt och möjlig- het att själv bestämma i vilka sammanhang uppgifter om honom eller henne får utnyttjas och i så fall hur. I svensk lagstiftning är skyddet för den enskildes integritet inte absolut, utan den enskilde måste acceptera ett visst mått av intrång till förmån för viktiga allmänna intressen. Det tyngsta skälet till att man tillåter registrering av känsliga personuppgifter i olika typer av myndighetsregister är att det finns stora samhälleliga vinster att göra med hjälp av dessa register. Hälso- och sjukvården är ett område där en god hantering av per- sonuppgifter kan ge stora förbättringar såväl i den dagliga verksam- heten som för forskning och utveckling. Det finns ett flertal regis- ter inom hälso- och sjukvården , vilka omfattas av författ- ningsreglering. Ett av syftena med att författningsreglera ett register- område är att stärka skyddet för den enskildes integritet och att an- passa det i förhållande till personuppgiftslagen. Nuvarande bestämmelser på området I svensk rätt finns inte någon legaldefinition av begreppen person- lig integritet och otillbörligt intrång i denna. Däremot finns bestäm- melser till skydd för den personliga integriteten i lagar och förord- ningar på olika rättsområden. I 1 kap. 2 § fjärde stycket regeringsformen (RF) föreskrivs bland annat att det allmänna skall värna om den enskildes privatliv och familjeliv. I 2 kap. 3 § andra stycket RF anges att varje medborgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. reglerar personuppgiftslagen (1998:204), PUL, närmare skyddet för den enskildes personliga integritet vid behand- ling av personuppgifter. PUL utgör ett genomförande i svensk lag- stiftning av EG-direktivet om personuppgifter (och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter). PUL är subsidiär i för- hållande till avvikande bestämmelser i lag eller förordning. Sådana bestämmelser får dock inte strida mot det underliggande EG- direktivet. Lagen är nu föremål för en översyn. Syftet med denna är att inom ramen för direktivets bestämmelser åstadkomma ett regel- verk som mera tar sikte på missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten än vad den nu- varande lagen gör (dir. 2002:31). Den närmare regleringen av automatiserad behandling av person- uppgifter inom hälso- och sjukvården står lagen (1998:543) om hälsodataregister (hälsodataregisterlagen) och lagen (1998:544) om vårdregister (vårdregisterlagen) för. De infördes som en följd av att man ansåg det nödvändigt att författningsreglera personregister inom hälso- och sjukvården för att skydda den enskildes integritet. Då hälsodataregisterlagen och vårdregisterlagen utarbetades ansåg hälsodatakommittén (SOU 1995:95) att det inte var nödvändigt att författningsreglera även de nationella kvalitetsregistren, främst på grund av att de ofta är tidsbegränsade. Andra viktiga författningar på området är sekretesslagen (1980:100), hälso- och sjukvårdslagen (1982:763), lag (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område samt patient- journallagen (1985:562). Hälso- och sjukvårdssekretessen regleras i 7 kap. 1 § sekretess- lagen och omfattar personuppgifter i de nationella kvalitetsregist- ren i den mån de register förs inom ramen för hälso- och sjukvår- den. Enligt bestämmelsen gäller sekretess för uppgifter om enskilds hälsotillstånd och andra personliga uppgifter om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Enligt 7 kap. 1 § sista stycket får en lands- tingskommunal eller myndighet som bedriver hälso- och sjukvård lämna uppgift till en annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksam- hetsområdet, om det inte kan antas att den enskilde eller honom närstående lider men om uppgiften röjs. I 2 kap. 8 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område finns bestämmelser om tystnadsplikt för hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården. I 9 kap. 4 § sekretesslagen regleras sekretesskyddet för uppgifter som rör enskilds personliga eller ekonomiska förhållanden, vilka före- kommer hos myndighet i dess verksamhet som avser framställning av statistik eller annan därmed jämförbar undersökning. Paragrafen fick en ny lydelse genom en ändring som trädde i kraft (SFS 2001:101). Ändringen var föranledd av en EG-förord- ning (Rådets förordning EG nr 322/97 av om gemenskapsstatistik) och syftade till att anpassa bestämmelserna i sekretesslagen till denna. Den nya utformningen av bestämmelsen innebar en skärpning av sekretessen i vissa avseenden och medförde bland annat att uppgifter om avliden inte längre fick lämnas ut, utom då uppgifterna skall användas för forsknings- eller statistik- ändamål. Författningsreglerade register inom hälso- och sjukvården Hälsodataregistren är rikstäckande, centrala register som förs av centrala förvaltningsmyndigheter. Uppgifter i hälsodataregister får behandlas för att framställa statistik och för att följa upp, utvärdera och kvalitetssäkra hälso- och sjukvården. Uppgifter får även be- handlas för forskning och epidemiologiska undersökningar som den personuppgiftsansvarige utför. Det åligger den personuppgifts- ansvarige att se till att uppgifter i ett hälsodataregister används på ett sätt som överensstämmer med registrets ändamål. Hälsodata- register får endast innehålla de uppgifter som behövs för något eller några av de angivna ändamålen; andra uppgifter är inte tillåtna. Det är endast den personuppgiftsansvarige som får ha direktåtkomst till uppgifterna. Sekretess för dessa uppgifter regleras i 9 kap. 4 § sekre- tesslagen. De personregister som används för dokumentation av vården av patienter och för sådan administration som rör enskilda patienter och som syftar till att bereda vård i enskilda fall utgör vårdregister. Det är den individinriktade verksamheten inom vården som om- fattas av regleringen. Det gäller såväl sjukdomsförebyggande åtgär- der, t.ex. allmänna och riktade hälsokontroller, som egentlig sjuk- vård, t.ex. undersökning och behandling vid ohälsa samt omvård- nad. Endast de som för angivna ändamål behöver tillgång till upp- gifterna har direktåtkomst till dem. För att man skall få ta del av uppgifterna krävs att de är nödvändiga för att man skall kunna ut- föra sitt arbete. Åtkomsten får avse endast de uppgifter som be- hövs för arbetets utförande. började man föra kvalitetsregister inom hälso- och sjukvården. Framför allt har flera nya register skapats och finns det ett 50-tal. Flera av registren har numera rikstäckning efter att tidigare ha varit lokala eller regionala. Kvali- tetsregistren inrättades för att följa upp effekten av insatt behand- ling och förändring av behandlingsresultat och är som sådana mycket värdefulla. Bland annat avsätts medel för utveckling och drift av dessa register för kvalitetsutveckling in- om hälso- och sjukvården i de s.k. Dagmaröverenskommelserna mellan staten och sjukvårdshuvudmännen. De nationella kvalitetsregistren utgör en särskild grupp register som alla har skapats med ambitionen att de skall kunna utvecklas och användas som kvalitetsuppföljningsinstrument på lokal, regio- nal och nationell nivå. Det övergripande syftet med registren är att de skall bidra till att förbättra kunskaper om nyttan av och riskerna med olika typer av medicinska åtgärder och ingrepp. De innehåller unika data för arbetet med kvalitetssäkring på alla nivåer inom hälso- och sjukvården. Registren är även en viktig del i statistik- framställning och forskning inom hälso- och sjukvården. När kvali- tetsregistren används i vardagsvården bidrar de till en förbättrad kvalitet inom den svenska hälso- och sjukvården. Vanligen har initiativet till att skapa ett register kommit från en eller flera läkare inom aktuell specialitet. Verksamheten med registren bygger på ett frivilligt deltagande från ett stort antal olika enheter, inom hälso- och sjukvården. Uppgiftslämnande skall grundas på att de enskilda patienterna lämnar sitt samtycke till att deras medicinska data an- vänds i registren och att de deltagande vårdgivarna finner registret meningsfullt. Registren administreras vid någon klinik eller institu- tion inom ett sjukhus. är personuppgiftsansvarig myndighet. Registren har olika inriktning. Många har tillkommit i syfte att beskriva eventuella skillnader i användningen av olika behandlings- metoder, i fråga om såväl geografisk spridning som de symptom på vilka metoderna används. Register som inrättats har ofta varit inriktade på att belysa skillnader i kvalitet, vård- utnyttjande eller medicinsk praxis. En följd av att registren har tillkommit med olika syften är att innehållet i dem varierar, men oftast innehåller de följande uppgifter. xPatientdata: personnummer, ålder, kön, diagnos, symptom, indi- kationer för åtgärder, riskfaktorer, m.m. xÅtgärder: operationer, typ av implantat. xEffektdata: uppgifter som på något sätt mäter resultatet av in- satsen, t.ex. i form av ökad livslängd, funktionsförmåga, och uppföljning gällande bl.a. vidare vårdbehov, dödlighet, och döds- orsak. xVariabler som beskriver komplikationer. xKomplementär vård; vård vid andra enheter. För de kvalitetsregister som påbörjades före tillämpades t.o.m. tillstånd som meddelades med stöd av datalagen (1973:289). Att registreringen var frivillig för- utsatte att den enskilde hade lämnat sitt samtycke för att personupp- gifter skulle få registreras. blev PUL tillämplig på samtliga . Datainspektionen har undersökt hanteringen av tio av de nationella kvalitetsregistren för att kontrollera hur dataskyddsreglerna i data- lagen (1973:289) och PUL efterlevs. Resultatet har redovisats i , Datainspektionens Rapport 2002:1. Två centrala frågor var om informationsskyldigheten enligt data- lagen och PUL uppfylls och om samtycke har inhämtats från de registrerade på ett korrekt sätt. Inspektionerna har i flera fall konstaterat att informationsskyldigheten inte uppfylls. Tillstånd meddelade enligt datalagen som ställer krav på samtycke från den som skall registreras följdes endast i begränsad omfattning. Data- inspektionens utredning har visat att det råder osäkerhet hos dem som behandlar känsliga personuppgifter om huruvida det är nöd- vändigt att inhämta patienternas samtycke. Det råder också osäker- het om vem som är registeransvarig eller personuppgiftsansvarig. Detta kan medföra olägenheter för de registrerade, som inte alltid vet vem de skall vända sig till om uppgifterna om dem i registren är felaktiga. Med hänsyn till att det förekommer en omfattande behandling av mycket integritetskänsliga personuppgifter i kvalitetsregistren finns det enligt Datainspektionens uppfattning starka skäl att låta de nationella kvalitetsregistren omfattas av en särskild registerlag- stiftning. Kort om de övriga registren De sex regionala cancerregistren som förs vid olika regionala onko- logiska center samlar in uppgifter inom sin region. De svarar för framtagandet av regional cancerstatistik och gör underlag för vård- program inklusive uppföljnings- och kontrollrutiner för dessa program. Det pågår diskussioner inom hälso- och sjukvården om att inrätta ett vaccinationsregister och ett blodgivarregister. Vaccina- tionsregistret är tänkt att bli ett rikstäckande register som skall inne- hålla uppgifter om i princip alla vaccinationer som görs i landet. Vårdgivaren skall bl.a. kunna få uppgifter från registret inför behandling av en patient där det är nödvändigt att veta om patien- ten har vaccinerats och i så fall när vaccinationen skett. Likaså skall den enskilde kunna få besked om vilka vaccinationer som han eller hon fått och när. Det är både patientsäkerhets- och serviceskäl som motiverar registret. är tänkt att bli ett nationellt register över samtliga blodgivare och innehålla alla uppgifter som finns om deras blod. Registret skulle göra det möjligt för den aktu- ella blodgivarcentralen att snabbt kunna få relevanta fakta om blod- givarens blod, då han eller hon lämnar blod på en annan central än den hon eller han i vanliga fall lämnar på. Dessa uppgifter finns hos den blodgivarcentral som är blodgivarens vanliga blod- givarcentral. Registret bör också kunna bidra till möjligheten att kontrollera att blodgivare inte lämnar blod för ofta genom att lämna blod på flera ställen. hos har funnits och är ett centralt register där alla kan registrera sin inställning till organdonation. för också ett register, metadon- registret, över personer som har varit aktuella inom något av de fyra programmen för metadon underhållsbehandling. Behovet av en författningsreglering av kvalitetsregister samt översyn av övriga aktuella register Författningsreglering av de nationella kvalitetsregistren Redan i propositionen 1990/91:60 om offentlighet, integritet och ADB uttalade regeringen att vissa register hos , landstingen, kommunerna och borde regleras i särskilda registerlagar. En sådan reglering är ett led i en allmän strävan att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av känsliga personuppgifter i vissa myndighetsregister. betonade i sitt betänkande (bet. 1990/91:KU11) vikten av att en författningsreg- lering kommer till stånd i syfte att stärka skyddet för de registrera- des integritet i samband med nödvändig registrering av känsliga uppgifter i myndighetsregister. Dessa uttalanden ledde fram till den reglering som finns av vårdregister och hälsodataregister. I de nationella kvalitetsregistren behandlas en stor mängd känsliga personuppgifter. Datainspektionen har i sin inspektionsverksamhet funnit vissa brister i hanteringen av registren. För att säkerställa att registren bedrivs med nödvändig hänsyn till skyddet för den per- sonliga integriteten bör registren författningsregleras. Lagregler- ingen är också en förutsättning för att bibehålla allmänhetens för- troende för hanteringen av personuppgifter i vården och för att kunna behålla och utveckla de nationella kvalitetsregistren i den ut- sträckning som behövs. Regeringen anser därför att det behövs en författningsreglering av dessa register. Sekretesslagstiftning som berör de nationella kvalitetsregistren De nationella kvalitetsregistren behöver ofta få ut uppgifter från vid , om avlidna. Genom lagändring i 9 kap. 4 § sekretesslagen (SFS 2001:101) upphörde denna möjlighet, vilket har orsakat problem vid förandet av kvali- tetsregistren. Ett avgörande från Kammarrätten i illu- strerar problemet. Kammarrätten i avslog i en dom , mål nr 4060-2002, klagandens begäran att få ut uppgifter från Social- styrelsen om avlidnas dödsdatum och dödsorsak med hänvisning till att uppgifterna inte ansågs behövas för forsknings- och stati- stikändamål och därmed omfattades av absolut sekretess. kom från Thoraxkliniken i och uppgifterna var avsedda att användas för insamling och analys i , ett av de s.k. nationella kvalitetsregistren. Då kvalitetsregister således varken hänförs till forsknings- eller statistikändamål kan registren inte längre få ut dessa uppgifter. Upp- gifter om dödsorsak är ofta en avgörande förutsättning för kvali- tetsregistrens funktion som kvalitets- och uppföljningsinstrument. Uppgift om dödsdatum går att inhämta från andra källor som inte omfattas av absolut sekretess, som exempelvis folkbokföringsre- gistret. Översyn av övriga register De regionala cancerregistren, blodgivarregistren och vaccinations- registret, men i viss mån också donationsregistret och metadon- registret kommer att innehålla eller innehåller redan en stor mängd känsliga personuppgifter. Det är därför särskilt viktigt att de ingår i den översyn av området som utredaren får i uppdrag att utföra. Utredaren skall kartlägga de register för uppföljning och kvalitets- säkring som finns i hälso- och sjukvården och i annan medicinsk verksamhet. En fråga är vilka krav som skall ställas för att ett regis- ter skall anses vara ett nationellt kvalitetsregister. I uppdraget ingår således att lämna förslag till hur dessa skall definieras. Utredaren skall föreslå hur behandlingen av personuppgifter i inom hälso- och sjukvården eller annan medicinsk verksamhet skall författningsregleras. Utredaren skall särskilt beakta vilka uppgifter som skall få registre- ras och vad som skall krävas vid behandling av uppgifterna. Utgångs- punkten bör, liksom , vara att den enskilde skall lämna ett ut- tryckligt och informerat samtycke till behandlingen av person- uppgifterna, dock skall utredaren analysera konsekvenserna av att registreringen inte alltid blir heltäckande om samtycke krävs. Ut- redaren skall göra en lämplig avvägning mellan enskildas behov av skydd för den personliga integriteten å ena sidan och nyttan för samhället av de nationella kvalitetsregistren å den andra. skall även överväga för vilka ändamål uppgifterna får behandlas, vad som skall gälla för register av olika livslängd, för bevarande av upp- gifterna samt vem som skall få åtkomst till uppgifterna. Här avses om uppgifterna bör få överföras dels mellan verksamheter inom hälso- och sjukvården inklusive den enskilda vården, dels mellan hälso- och sjukvården och myndigheter eller andra organisationer. I utredarens uppdrag ingår att analysera om och i vilken utsträck- ning uppgifter skall kunna lämnas och registreras för verksamhet som bedrivs av andra än landsting. Utredaren skall också granska om sekretessregleringen, främst bestämmelsen i 9 kap. 4 § sekretesslagen, utgör hinder för att upp- gifter skall kunna lämnas till respektive lämnas ut från kvalitets- registren. Om så är fallet skall utredaren överväga om, och i så fall i vilken utsträckning, uppgifter bör få lämnas till respektive från registren. I sistnämnda fall skall utredaren lämna förslag som gör sådant uppgiftsutlämnande möjligt. Om utredaren stöter på andra problem med anledning av gällande sekretessbestämmelser, skall utredaren även se över dessa samt lämna förslag till lösning på problemen. Utredaren skall överväga om övriga register, som de regionala cancerregistren, donationsregistret och metadonregistret behöver författningsregleras. Detta gäller också de register man planerar att inrätta, som vaccinationsregistret och blodgivarregistret. Om ut- redaren anser det nödvändigt, skall han också lämna förslag till så- dan författning. Utredaren skall beakta de författningar som existerar och som påverkar behandlingen av personuppgifter på området såsom personuppgiftslagen (1998:204) och det underliggande EG-direk- tivet om personuppgifter, sekretesslagen (1980:100), patientjour- nallagen (1985:562) och hälso- och sjukvårdslagstiftningen i övrigt. Utredaren skall, i förekommande fall, föreslå följdändringar i andra lagar och förordningar. Hälso- och sjukvården utförs av även andra än landstingen, bl.a. av privata aktörer. En del av dem är små företag som också kan ha intresse av att utveckla vårdens kvalitet och därför själva vill föra kvalitetsregister. Detta kan också gälla för övriga register som är i fråga. För dessa aktörer är det särskilt viktigt att de administrativa konsekvenserna av en författningsreglering inte går utöver de in- tressen regleringen avser att skydda. Detta är en omständighet som utredaren skall beakta i en särskild analys av konsekvenserna av reglers effekter för små företags villkor. Utredaren skall, när det gäller förslagens konsekvenser för små företag, samråda med för regelgranskning (NNR). Utredaren bör samråda med Datainspektionen. Uppdraget skall redovisas . Tilläggsdirektiv till Utredningen om författ- inom hälso- och sjukvården, m.m. (S 2003:03) Beslut vid regeringssammanträde . Den särskilda utredaren skall se över hur behandlingen av person- uppgifter inom hälso- och sjukvården regleras samt lämna förslag till en väl fungerande och sammanhängande reglering av området. Utredaren skall vid utformningen av sina förslag göra en avväg- ning mellan enskildas behov av skydd för den personliga integrite- ten och nyttan för samhället och patientsäkerheten. Utredaren skall inom ramen för uppdraget överväga frågor som rör xför vilka ändamål personuppgifter skall få behandlas, xöverföring av uppgifter både mellan olika organisatoriska vård- enheter inom den offentliga hälso- och sjukvården, samt xmellan den offentliga hälso- och sjukvården och verksamhet som bedrivs av andra än landsting. Utredaren skall i sina överväganden utgå från att all journalhanter- ing i huvudsak skall vara elektronisk. Formerna för den enskilde patientens möjlighet att ta del av uppgifter om sig själv via Internet bör också utredas. Utredaren skall särskilt se över bestämmelserna i patientjournal- lagen (1985:562) och lagen (1998:544) om vårdregister samt lämna förslag till ändringar i dessa eller till en ny författningsreglering. Utredaren skall också utreda frågor kring den överföring och det utbyte av personuppgifter som förekommer i det internationella samarbetet beträffande uppgifterna i kvalitetsregistren.