sou · GVB348 · 2008-01-01 00:00:00 — En självklar utgångspunkt för be- dömningen av vad som är myndigheternas behov är de uppdrag som respektive myndighet givits av riksdag och regering, företrädesvis i de författningar som reglerar myndigheternas verksamhet. En annan förutsättning är att tydliga och överskådliga ändamål för de olika per- sonuppgiftsbehandlingar som förekommer hos en myndighet måste fastställas, bl.a. därför att de registrerade måste kunna överblicka hur uppgifterna om dem används. Som direktiven får tolkas synes de bygga på förutsättningen att samtliga de redovisade behoven skulle kunna tillgodoses genom det system som utvecklat under namnet SVEVAC. Som redovisats ovan är emellertid SVEVAC i princip endast en internetbaserad tjänst för journalföring/lagring av uppgifter om vaccinationer på en server som tillhandahålls av Smittskyddsinstitut- et. Det förekommer således inte någon egentlig analysverk- samhet baserad på uppgifter som journalförts med användning av SVEVAC. Uppgifter om vaccinationer som registrerats i SVEVAC används emellertid för att dokumentera antal givna vaccinationer. Anslutningen till SVEVAC bland vårdgivarna måste dessutom betecknas som begränsad. De ovan redovisade behoven förutsätter i princip en nationell heltäckande dokumentation av vaccinationer av ett helt annat slag än vad som är möjligt att uppnå inom ramen för SVEVAC. Detta gäller även vid en bedömning . Omfattningen när det gäller vilka typer av vaccinationer som re- gistreringen skall eller bör omfatta torde dessutom skilja sig åt när det gäller respektive behov. har således förklarat sig i vart fall ha behov av uppgifter i fråga om vaccinationer som regleras av Social- styrelsen genom föreskrifter, allmänna råd eller rekommendationer. Närmare bestämt föreskrifter om vaccinationer av barn (SOSFS 2006:22), allmänna råd (SOSFS 1997:21) Vaccination mot Influensa, allmänna råd (SOSFS 1994:21) Vaccination mot pneumokocker, rekom- mendationer för profylax mot hepatit B, Profylax med vaccin och immunglobulin – före och efter exposition och re- kommendationer för preventiva insatser mot tuberkulos. Läke- medelsverkets ansvar för uppföljning av biverkningar av vacciner och ändamålsenlighet omfattar å andra sidan alla i godkända vacciner samt, framgent, vacciner för vilka det beviljats s.k. licens. Licensbeslut i fråga om vacciner kan komma att meddelas bl.a. vid en pandemi. I sådana fall föreligger ett särskilt behov av möjligheter till övervakning av biverkningar och ändamålsenlighet när vaccinet distribueras till allmänheten. Även karaktären på de uppgifter som är erforderliga för respek- tive myndighets syften skiljer sig dessutom åt på olika sätt. Enligt vad som framkommit i vårt arbete med denna fråga har inriktningen i arbetet med SVEVAC baserats på att skulle registrera samtliga de personuppgifter som rör biverkningar eller prövning av läkemedels ändamålsenlighet som skulle behövas för de åligganden som gäller för och antingen inom behandla dessa för den andra myndighetens räkning eller lämna ut uppgifterna till sistnämnda myndighet för vidare behandling där. Det i direktiven berörda ändamålet att utvär- dera säkerheten vid användning av vaccin faller emellertid i första hand inom ramen för verksamhetsområde. Såvitt framkommit har skälet för inrättandet av en sådan ordning som planerats inom varit att man utgått från den utformning som varit tilltänkt för SVEVAC i det läge då en analysdatabas faktiskt tillskapats. Enligt vår uppfattning finns det, bl.a. mot bakgrund av vad som redovisats ovan, inte några sådana skäl som skulle motivera ett sådant upplägg. Det ter sig som en i integritetshänseende olämplig lösning att skall förfoga över mer eller mindre känsliga personuppgifter som primärt insamlas för att tillgodose behovet av uppgifter hos eller andra myndigheter eller vårdgivare. Vi vill understryka att ett sådant förfarande också kan innebär komplicerade problem när det gäller bedömningen i sekretessfrågor. Som konstaterats ovan bör utgångspunkten vara att de person- uppgifter av den karaktär som är aktuell i detta fall och som behövs för verksamhet insamlas av denna myndighet och att endast denna myndighet bör förfoga över dessa. I den utsträckning som nuvarande regelverk behöver kompletteras för att Läkemedels- verket skall kunna få in de uppgifter som myndigheten behöver för sin verksamhet med säkerhetsövervakning och prövning av läke- medels, i detta fall vacciner, ändamålsenlighet bör detta beaktas. Detta torde närmast innebära att de eventuella kompletteringar som kan komma i fråga skall ta sikte på att uppgiftsflödet till Läkemedels- verket skall ske via det hälsodataregister som i läkemedelsförordning- en inrättats för verksamhet. I linje med detta bör även ett eventuellt hälsodataregister som inrättas för behov som konstateras föreligga hos endast innehålla de personuppgifter som är nödvändiga för de ändamål som avser Smitt- skyddsinstitutets åligganden. Vi återkommer nedan till dessa frågor. När det gäller behovet av ett register med fullständig dokumen- tation av individers under livet erhållna vaccinationer kan inlednings- vis konstateras att den primära användaren av sådan dokumentation inte kommer att vara utan antingen de re- gistrerade själva eller olika vårdgivare. SVEVAC kan i detta avseende endast uppfylla kraven om den registrerade endast anlitat sådana vårdgivare som dokumenterat givna vaccinationer i SVEVAC. Dokumentationen torde således i de flesta fall bli mycket brist- fällig i förhållande till syftet. Intill dess att SVEVAC anpassats till ett kommande system för sammanhållen journalföring torde dess- utom den faktiska tillgängligheten för såväl de registrerade som andra vårdgivare vara mycket begränsad. Sammantaget kan alltså konstateras att inga av de i direktiven berörda behoven på ett tillfredsställande sätt kan tillgodoses genom SVEVAC-systemet. Vi lämnar således inga förslag som i egentlig mening direkt berör detta system. Däremot vill vi erinra om vår ovan redovisade bedömning att om den programvara för journalföring även framgent skall användas inom hälso- och sjukvården, så bör den anpassas till de förslag till reglering av journalföring som vi lämnat i vårt huvudbetänkande, förutsatt att våra förslag faktiskt genomförs. Nedan redovisar vi våra bedömningar i de frågor som direktiven i övrigt berör. 4.4.3.1Smittskyddsinstitutets uppgifter och ansvar uppgifter och ansvar när det gäller vaccina- tioner följer i första hand av bestämmelserna i förordningen (1996:609) med instruktion för . Av dessa följer att är central förvaltningsmyndighet med uppgift att bevaka det epidemiologiska läget i fråga om smitt- samma sjukdomar bland människor och främja skyddet mot sådana sjukdomar. har dessutom bl.a. ansvar för att xfölja och analysera det epidemiologiska läget nationellt och internationellt i fråga om smittsamma sjukdomar och skyddet mot dessa, xlämna och andra berörda information om det epidemiologiska läget och föreslå åtgärder som detta kan för- anleda, xfölja och analysera immunitetsläget i utvalda befolkningsgrupper efter genomförda vaccinationsprogram och föreslå vaccinations- åtgärder, xta initiativ till åtgärder som medför ett gott skydd i landet mot smittsamma sjukdomar, även i kris och krig. I smittskyddslagen (2004:168) anges att ansvarar för samordning av smittskyddet på nationell nivå och skall ta de initiativ som krävs för att upprätthålla ett effektivt smittskydd. skall även följa och vidareutveckla smittskyddet. Smittskyddsinstitut- et skall enligt lagen som expertmyndighet följa och analysera det epidemiologiska läget nationellt och internationellt och föreslå åt- gärder för att landets smittskydd skall fungera effektivt. I lagen åläggs även varje landsting ett ansvar för att behövliga smittskyddsåtgär- der vidtas inom landstingsområdet. 4.4.3.2Ändamål – beräkning av täckningsgrad och vaccineffekt De tilltänkta ändamål för personuppgiftsbehandling som i detta sammanhang redovisats av är: a) Beräkning av täckningsgrad genom att individuppgifter om vaccina- tion sambearbetas med uppgifter ur befolkningsregistret om antal indi- vider i målgruppen för vaccination. Det är alltså i detta fall helt enkelt fråga om att räkna fram en enkel kvot avseende hur stor andel i en viss population som erhållit en viss vaccination. Vaccin aktiverar kroppens immunförsvar till att bryta ned eller inaktivera virus eller bakterier. Vaccinationer har främst en roll i förebyggande av sjukdom. Vacciner ger den enskilde vaccinerade individen ett visst mått av skydd. För de vaccin som skyddar mot infektioner som sprids från människa till människa tillkommer ett skydd, s.k. flockimmunitet, som orsakas av att smittspridning av- bryts eller dämpas när det finns av en hög nivå av immunitet i be- folkningen. Flockimmunitet leder till att vi genom att vaccinera oss inte bara skyddar oss själva utan vi bidrar även till att skydda andra. Ur folkhälsosynpunkt är det önskvärt att uppnå en så hög immunitet i befolkningen att smittspridning upphör. Det är därför av vikt att täckningsgraden kan fastställas för olika vaccin. Avsikten är dock inte att alla typer av vaccinationer skall omfattas. De typer av vaccin som i första hand har för avsikt att på det aktuella sättet beräkna täckningsgrad för är vaccina- tioner som ges av barnavårdscentralen och inom skolhälsovården i enlighet med föreskrifter om vaccinationer av barn (SOSFS 2006:22) samt vaccinationer som ges mot influensa i enlig- het med allmänna råd (SOSFS 1997:21) Vaccination mot Influensa. sker beräkning av täckningsgrad för barnvaccinationer- na genom inrapportering av uppgifter i aggregerad form från barna- vårdscentraler och skolhälsovård. Syftet är att identifiera områden eller enskilda barnavårdscentraler eller skolor där anslutningen till det svenska barnvaccinationsprogrammet är lägre än normalt samt att studera trender i anslutningsfrekvensen. Av olika skäl är emeller- tid enligt denna rapportering bristfällig, sär- skilt vad avser rapporteringen från skolhälsovården. Andra metoder för beräkning av täckningsgrad som används, såsom skattningar be- räknade på distribuerade vaccindoser, enkätundersökningar etc. har enligt allvarliga brister när det gäller möjlig- heter till jämförbarhet mellan olika mätningar, fördröjning av tillgång till uppgifter, mätfel av olika slag och innebär svårigheter att göra fördjupad analys. Någon nationell rapportering av täckningsgrad för vaccinationer mot influensa finns inte. Täckningsgrad uppskattas utifrån underlag sammanställda på olika sätt. Underlaget för beräkning av täcknings- grad för influensavaccinationer varierar mellan olika landsting. Upp- gifter är följaktligen inte jämförbara. I flertalet landsting redovisas inte uppgifter på kommun- eller vårdgivarnivå. Frånvaron av nämnar- data, dvs. population som andelen vaccinerade skall beräknas utifrån, gör det enligt svårt att följa vaccineffekt. Enligt beredskapsplanering för en pandemisk influensa in- går det i uppdrag att före en pandemi övervaka vaccinationstäckning bland de medicinska riskgrupper som rekom- menderas vaccination enligt föreskrift SOSFS 1997:21. Vidare skall under en pandemi genomföra en fördjupad övervakning av influensavaccinationstäckningen bland de grupper som särskilt prioriteras under pandemins olika faser. Det ter sig enligt vår uppfattning i ett integritetsperspektiv som en fullt godtagbar och relevant verksamhet, att med hjälp av auto- matiserad behandling av personuppgifter beräkna täckningsgrad för olika vaccin på det ovan beskrivna sättet. b) Beräkning av vaccineffekt genom sambearbetning mellan individ- uppgifter om vaccination med uppgifter ur SmiNet om anmälda fall av den sjukdom som individen vaccinerats mot. I detta fall handlar det om att på en övergripande folkhälsonivå kon- statera huruvida det finns bristfälligheter när det gäller effekten hos de vaccin som ges mot vissa sjukdomar (vaccinsvikt), beträffande vilka det enligt smittskyddslagen finns en särskild skyldighet att an- mäla konstaterade fall till och som omfattas av rekommendationer för vaccinationsprogrammet för barn- och skolhälsovård (stelkramp, difteri, polio, kikhosta, Haemophilus influenzae typ b, mässling, påssjuka och röda hund samt – för barn från identifierade riskgrupper – tuberkulos och serumgulsot). För att kunna bedöma effekt av vaccination och t.ex. ta fram underlag för belysning av behov av påfyllnadsdos, krävs att uppgifter om individers vaccinationer kan kombineras med uppgifter om fall av dessa individers sjukdomar mot vilka vaccination givits. Avsikten är inte att skall göra en farmako- logisk granskning av orsaken, vilket i förekommande fall faller på , utan att identifiera och med epidemiologisk metod (studier på gruppnivå) analysera och mäta bristande vaccineffekt. Enligt 2 kap. 5 § smittskyddslagen skall en behandlande läkare som misstänker eller konstaterar fall av allmänfarlig sjukdom eller annan anmälningspliktig sjukdom, utan dröjsmål anmäla detta till smitt- skyddsläkaren i det landsting där den anmälande läkaren har sin yrkes- verksamhet och till . Anmälan skall göras även beträffande annan sjukdom som är eller som misstänks vara smitt- sam, om sjukdomen har fått en anmärkningsvärd utbredning inom ett område eller uppträder i en elakartad form. Anmälningsskyldig- heten gäller även läkare vid laboratorium som utför mikrobiologisk diagnostik, den som är ansvarig för ett sådant laboratorium, och läkare som utför obduktion. En anmälan enligt 5 § skall innehålla uppgifter om den smittades eller misstänkt smittades namn, person- nummer eller samordningsnummer samt adress, den sannolika smitt- källan, de sannolika smittvägarna, de åtgärder som läkaren vidtagit för att hindra smittspridning och andra uppgifter av betydelse för smittskyddet. Uppgifterna behandlas i IT- stöd SmiNet (SmiNet består av flera databaser som används för analyser). Det kan i detta sammanhang vara värt att notera att särskild registerlagstiftning saknas för verk- samhet. Denna personuppgiftsbehandling torde således endast reg- leras i personuppgiftslagen. Såvitt kan bedömas är en verksamhet som endast inbegriper be- räkning av täckningsgrad och skyddseffekt i enlighet med vad som beskrivs ovan av närmast statistisk karaktär. När det gäller vaccina- tioner som omfattas av rekommendationer finns också – på grund av den omfattning av spridningen av de aktuella vaccinerna som följer av myndigheternas rekommendation och in- tresset av att på ett effektivt sätt motverka spridningen av de aktuella sjukdomarna – ett särskilt intresse av att följa upp användningen av vaccinationsverksamheten. Det är i dessa fall särskilt angeläget att snabbt få ett grepp om situationen, om det t.ex. visar sig att säker- heten är bristfällig eller önskad täckningsgrad inte uppnås tillräckligt snabbt. Att inrätta ett hälsodataregister hos angivna ändamålen framstår i ett integritetsperspektiv som en i sig godtagbar åtgärd. Vi vill dock framhålla vikten av att inga andra personuppgifter behandlas i ett sådant hälsodataregister än vad som är nödvändigt med hänsyn till ändamålen. Detta innebär att ett betydligt färre antal uppgifter än vad som registreras i journalföringssystemet SVEVAC skulle få behandlas. 4.4.3.3Närmare om ett hälsodataregister Om ett hälsodataregister skulle inrättas för tillgodoseende av de aktuella ändamålen, så medför detta enligt 6 § lagen om hälsodata- register att en särskild uppgiftsskyldighet kommer att gälla för de vårdgivare som givit en sådan vaccination som skall omfattas av re- gistret. Det ankommer enligt 12 § på regeringen att i föreskrifter närmare ange ramarna för uppgiftsskyldigheten. Under förutsättning att ett tillräckligt skydd för integriteten och respekten för den enskildes inställning kan upprätthållas är det rimligt att hänsyn till såväl folkhälso- som säkerhetsintressen får väga över och den enskilde får acceptera att uppgifter om honom eller henne används för de nu berörda ändamålen. En sådan avvägning är fullt förenlig med personuppgiftslagens och dataskyddsdirektivets reg- lering. Utifrån de ställningstaganden som rått när det gäller reg- lering av behandling av personuppgifter inom hälso- och sjukvården framstår det som om övervägande skäl talar för att ett hälsodata- register enligt lagen om hälsodataregister inrättas hos för tillgodoseende av de aktuella ändamålen, dvs. beräkning av täckningsgrad och vaccineffekt. är en sådan central förvaltningsmyndighet inom hälso- och sjukvården som en- ligt lagen får utföra automatiserad behandling av personuppgifter i hälsodataregister. Naturligtvis bör i enlighet med lagen vara personuppgiftsansvarig för de behandlingar som myndigheten utför. De ändamål för vilka personuppgifter i ett hälsodataregister får behandlas är enligt 3 § hälsodataregisterlagen: 1.framställning av statistik, 2.uppföljning, utvärdering och kvalitetssäkring av hälso- och sjuk- vård, och 3.forskning och epidemiologiska undersökningar. Som berörts ovan är det vid beräkning av täckningsgrad och skydds- effekt enligt vår bedömning närmast fråga om statistisk verksamhet. Det handlar således endast om att dokumentera vissa fakta i aggre- gerad form. Det bör dock observeras att när det gäller beräkning av såväl täckningsgrad som skyddseffekt, så krävs att de uppgifter som så- lunda lämnats av olika vårdgivare till hälsodataregistret sambearbetas med uppgifter från befolkningsregister respektive Smittskydds- institutets IT-stöd SmiNet för att ändamålen skall kunna uppfyllas. Såvitt kan bedömas bör detta emellertid inte utgöra något problem utifrån regleringen i hälsodataregisterlagen. Enligt 5 § lagen om hälsodataregister får även den som är personuppgiftsansvarig för behandlingen av personuppgifter i ett hälsodataregister till registret inhämta personuppgifter från andra register för de ändamål som an- ges i 3 §. Av 8 § följer att endast den som är personuppgiftsansvarig får ha direktåtkomst till uppgifter i ett hälsodataregister. Detta får sägas innebära att andra myndigheter inte kommer att ha direktåtkomst till analysdatabasen om inte en särskild undantagsbestämmelse införs. Däremot får personuppgifter i ett hälsodataregister enligt 9 § lämnas ut på medium för automatiserad behandling hos exempelvis en annan myndighet om uppgifterna skall användas för de ändamål som anges i 3 §. Exempelvis skulle information om uppmärksammade fall av ute- bliven effekt för ett vaccin kunna översändas till . Detta förutsätter dock att hinder för något sådant inte föreligger enligt sekretesslagen. Eftersom det i sådana fall skulle kunna gälla sekretess för uppgifterna enligt såväl 7 kap. 1 c § som 9 kap. 4 § sekretesslagen torde det krävas en särskild bestämmelse om uppgifts- skyldighet för sådana uppgifter skall kunna lämnas ut till . Det kan i sådant fall vara relevant att i en bestämmelse om ändamålen för hälsodataregistret hos ta in en punkt som avser sådana utläm- nanden. Avsikten är att hälsodataregister skall inrättas av regeringen genom en särskild förordning (se 12 § p. I de förordningar genom vilka hälsodataregister inrättats har också meddelas föreskrifter om be- gränsningar av ändamålen i förhållande till vad som anges i 3 §, be- gränsningar av de uppgifter som ett hälsodataregister enligt 4 § får innehålla, begränsningar av samkörning enligt 5 §, uppgiftsskyldighet enligt 6 §, och begränsningar i rätten att bevara uppgifter. 4.4.3.4Frågor om sekretess m.m. För de personuppgifter som inhämtats till SmiNet hos i enlighet med bestämmelserna i smittskyddslagen gäller hälso- och sjukvårdssekretess enligt 7 kap. 1 c § sekretesslagen efter- som verksamhet enligt smittskyddslagen anses falla inom den indi- viduellt inriktade hälso- och sjukvården. Förutsatt att ändamålen för det aktuella hälsodataregistret hos är begränsade till de i princip rent statistiskt inriktade ändamålen beräkning av täckningsgrad respektive skyddseffekt torde vidare de personupp- gifter som används i denna verksamhet omfattas av s.k. statistik- sekretess enligt 9 kap. 4 § sekretesslagen. Verksamheten som avses bedrivas med hälsodataregistret som bas torde dessutom utgöra en s.k. självständig verksamhetsgren enligt sekretesslagen. En sekretess- gräns mellan denna verksamhet och övriga delar torde alltså gälla. Om en uppgiftsskyldighet som preciseras i förordning skall gälla för vårdgivarna, innebär detta ett sekretessgenombrott som ger rättsligt stöd för överföring av personuppgifter till . 4.4.3.5Ännu inte förutsättningar för författningsreglering Enligt vår uppfattning måste arbete när det gäller inrättandet av ett hälsodataregister bedömas befinna sig på planeringsstadiet. Således föreligger alltjämt oklar- heter när det gäller omfattningen av vilka vaccinationer som skall omfattas av registreringen och vilka uppgifter om dessa som skall behandlas. Likaledes framstår det ännu som oklart hur omfattande en eventuell uppgiftsöverföring från till Läke- medelsverket skulle behöva vara. Inte heller kan det anses vara helt klarlagt i vilken utsträckning de aktuella behoven som påtalats i direktiven skulle kunna tillgodoses på något annat sätt. Detta gör sammantaget det inte möjligt att nu lämna förslag till en författnings- reglering av förutsättningarna för ett hälsodataregister. Än mindre är det möjligt att bedöma konsekvenserna av en reglering när det gäller vilka vårdgivare som skulle omfattas och vad en uppgiftsskyl- dighet skulle innebära för dem. Sak samma gäller uppskattningen av kostnader för inrättande och drift av hälsodataregistret. har för övrigt för egen del bedömt att man är redo att hantera ett hälsodataregister av den aktuella omfattningen först . Därtill kommer att det framstår som en allmänt otillfredsställande lösning att i författning endast reglera den verksamhet som skulle bedrivas med användning av ett hälsodataregister, som övriga behandling av personuppgifter endast regleras genom personuppgiftslagen, trots att myndighetens verk- samhet exempelvis genom SmiNet inbegriper en omfattande behand- ling av ytterst integritetskänsliga personuppgifter. 4.4.4Läkemedelsverkets behov av uppgifter 4.4.4.1Läkemedelsverkets uppgifter och ansvar åligganden kan sammanfattningsvis sägas inne- fatta ett ansvar för att läkemedel som används i är effektiva och säkra under hela sin livscykel. Detta innebär alltså att myndig- heten har ett ansvar som omfattar dels att läkemedlen har den effekt som förutsatts vid godkännande, dels att användningen av ett läke- medel inte kan medföra några oacceptabla risker genom biverkning- ar. Vaccin är självklart läkemedel i läkemedelslagstiftningens mening. När det gäller säkerhetsövervakning, dvs. insamling, analys och annan uppföljning av uppgifter om misstänkta biverkningar av läke- medel som sker efter det att ett godkännande har beviljats, ligger det övergripande ansvaret för de behandlingar av personuppgifter som denna verksamhet påfordrar på , även om innehavarna av godkännanden också måste fullgöra vissa sådana åligganden. En särskild reglering av denna verksamhet, som alltså allmänt be- nämns säkerhetsövervakning, är intagen i dels läkemedelslagen (1992:859), dels läkemedelsförordningen (2006:272). För att följa upp läkemedel i användning vidtar en rad olika åtgärder. Signaler om misstänkta läkemedelsbiverkningar inhämtas i från flera källor. Den som innehar ett godkännande för försäljning har ett omfattande ansvar för inhämtning, analys och vidarerapportering av uppgifter om biverkningar till . Den som bedriver verksamhet inom hälso- och sjukvården samt veterinärer skall enligt tillämpad praxis till rappor- tera alla misstänkta biverkningar av nya läkemedel som inte står upp- tagna som "vanliga" biverkningar i . Vidare skall samtliga all- varliga biverkningar, samtliga oförutsedda biverkningar samt sådana biverkningar som verkar öka i frekvens inrapporteras. Denna rapportering från hälso- och sjukvården brukar benämnas spontan- rapportering.