sou · GVB348 · 2008-01-01 00:00:00 — Den personuppgiftsbehandling som sker i de regionala cancerregistren är enligt vår bedömning tillåten enligt patientdata- lagens bestämmelser. 7.5.1Behovet av ytterligare särreglering Vårt förslag: Personuppgiftsbehandlingen i de regionala cancer- registren skall särregleras i förhållande till patientdatalagen. Särregleringen bör intas i förordning. Regeringen skall därför i patientdatalagen bemyndigas att meddela vissa föreskrifter om personuppgiftsbehandlingen i de regionala cancerregistren. Enligt våra ursprungliga direktiv (dir. 2003:42) skall vi överväga om det behövs en särskild författningsreglering av de regionala cancer- registren som förs vid onkologiska centrum. Om vi anser att en sådan reglering är nödvändig, skall vi utarbeta förslag till reglering. Det kan således noteras att det inte ingår i vårt uppdrag att ifråga- sätta existensen av de regionala cancerregistren eller det organiserade sättet att fullgöra uppgiftsskyldigheten till det nationella cancer- registret via de regionala registren. Som framgått av föregående avsnitt kommer personuppgifts- behandlingen i dessa register att omfattas av den föreslagna patient- datalagens allmänna särreglering i förhållande till personuppgifts- lagen. Frågan är nu huruvida och i så fall i vilken utsträckning det finns anledning att föreslå ytterligare särreglering för de regionala cancerregistren. I de regionala cancerregistren samlas känsliga personuppgifter som härrör från ett flertal vårdgivares patientverksamhet. Enligt vår mening får de därför anses som särskilt integritetskänsliga. Detta talar för att personuppgiftshanteringen i de regionala cancerregistren bör kringgärdas av vissa specialbestämmelser rörande några för integritetsskyddet viktiga förhållanden. En sådan särreglering har för övrigt skett i den föreslagna patientdatalagen beträffande bl.a. de kvalitetsregister som de onkologiska centrumen för. För en särreglering av de regionala cancerregistren i förhållande till den föreslagna patientdatalagens allmänna reglering talar också att det råder viss oklarhet om för vilka ändamål de onkologiska centrumen får använda personuppgifterna i de regionala cancer- registren utöver att vidarebefordra dem i bearbetat skick till Social- styrelsens cancerregister. Genom en författningsreglering av för vilka ändamål personuppgifterna får behandlas undanröjs sådana oklarheter som användningsområdet för uppgifterna stra- mas upp i förhållande till vad vårt förslag till möjlig- gör. Vi föreslår alltså att personuppgiftsbehandlingen i de regionala cancerregistren skall särregleras i förhållande till patientdatalagen. Den särreglering som då blir aktuell avser, som vi utvecklar nedan, begränsningar av ändamålen för personuppgiftsbehandlingen och av de personuppgifter som får behandlas samt vem som skall vara personuppgiftsansvarig. Särregleringen av de regionala cancerregistren skulle kunna ske genom att särbestämmelserna tas in i patientdatalagen på samma sätt som gjorts beträffande de nationella och regionala kvalitets- registren. Därigenom skulle tanken på en sammanhängande reglering av personuppgiftsbehandlingen inom hälso- och sjukvården upp- rätthållas. riskerar regleringen i patientdatalagen att bli svåröverskådlig om all särreglering tas in i den lagen. När det gäller den nu aktuella särregleringen skulle denna avse en ganska smal och begränsad verksamhet. Med tanke härpå och på den relativt detaljera- de reglering, som kommer att föreslås i det följande, framstår det som lämpligast att särregleringen av de regionala cancerregistren i stället intas i en särskild förordning om regionala cancerregister såsom vi föreslår i det följande. Alternativt kan särregleringen tas in i en patientdataförordning som ansluter till den föreslagna patient- datalagen och innehåller samtliga de föreskrifter som regeringen meddelar i frågor som omfattas av den lagen. Det bör framhållas att den föreslagna nya förordningen om regionala cancerregister reglerar enbart personuppgiftsbehandling- en vid de onkologiska centrumens verksamhet med regionala cancer- register. Den personuppgiftsbehandling som utförs inom den kliniska verksamheten eller av patologer m.fl. i samband med inrapportering- en till regionala cancerregister faller utanför förordningens tillämp- ningsområde och regleras i stället av den föreslagna patientdatalagens allmänna bestämmelser. Inte heller regleras de onkologiska centrumens behandling av personuppgifter vid sidan av cancerregistren genom denna för- ordning. Exempelvis behandlar, såsom beskrivits i det föregående, onkologiska centrum personuppgifter i nationella eller regionala kvalitetsregister rörande cancersjukdomar vilka förs separat från de regionala cancerregistren. Den personuppgiftsbehandlingen regleras alltså inte av den föreslagna förordningen utan av patientdatalagens särbestämmelser om nationella och regionala kvalitetsregister. Vårt förslag till anger en yttersta ram för vård- givares behandling av personuppgifter inom hälso- och sjukvården och kommer, som framgått tidigare, att vara tillämplig även be- träffande personuppgiftsbehandlingen i de regionala cancerregistren. Den föreslagna förordningen om regionala cancerregister bör inne- hålla bestämmelser om vem som är personuppgiftsansvarig samt – i förhållande till patientdatalagen – inskränkande bestämmelser om ändamål för personuppgiftsbehandlingen och vilka personuppgifter som får behandlas. Enligt 8 kap. 5 § regeringsformen gäller bl.a. att föreskrifter om kommunernas befogenheter och om deras åligganden meddelas genom lag. Från kravet på lagform för sådana föreskrifter görs vissa undantag i 8 kap. 7 § regeringsformen. Enligt denna paragraf kan regeringen utan hinder av 8 kap. 5 § regeringsformen efter bemyn- digande i lag genom förordning meddela föreskrifter i vissa ämnen. Hit hör bl.a. skydd för personlig integritet vid behandling av per- sonuppgifter. Enligt vår bedömning omfattas de föreskrifter som vi anser bör ingå i en förordning om regionala cancerregister dels av bestämmel- serna i 8 kap. 5 § regeringsformen, dels av det delegeringsbara om- rådet i 8 kap. 7 § regeringsformen. Vi föreslår därför att regeringen i patientdatalagen bemyndigas att meddela vissa föreskrifter beträf- fande personuppgiftsbehandlingen i de regionala cancerregistren. 7.5.2Närmare om innehållet i särregleringen Vårt förslag: I cancerregisterförordningens bestämmelse om vård- givares uppgiftsskyldighet (6 §) skall anges att uppgiftsskyldig- heten som huvudregel skall fullgöras genom att den uppgifts- skyldige lämnar uppgifterna till ett regionalt cancerregister och att den som för det regionala cancerregistret skall vidarebefordra uppgifterna till . Någon ändring i och för sig av uppgiftsskyldigheten till Social- styrelsens cancerregister finner vi inte skäl att föreslå. Det ingår inte i vårt uppdrag att överväga den frågan. Däremot föreslår vi ett författningsreglerat obligatorium att fullgöra denna uppgiftsskyldig- het via de regionala cancerregistren, i vart fall som huvudregel. Där- med åstadkommer man en reglering av den ordning som i praktiken gäller medan syftet med uppgiftsskyldigheten förblir oförändrat, nämligen att förse med nationellt heltäckande uppgifter. Vi föreslår således att det i cancerregisterförordningens bestäm- melse om vårdgivares uppgiftsskyldighet uttryckligen anges att denna uppgiftsskyldighet skall fullgöras genom att uppgifterna inrappor- teras till ett regionalt cancerregister för senare vidarebefordran till . Närmare om hur detta skall gå till föreslås även fortsättningsvis få meddela föreskrifter om. Från huvudregeln om rapportering via regionala cancerregister föreslår vi att skall få meddela undantag, såsom t.ex. skett i fråga om viss basalcellscancer (se 10 § i före- skrifter och allmänna råd om uppgiftsskyldighet till cancerregistret vid ). När det gäller den rättsliga betydelsen i sekretesshänseende av den föreslagna författningsregleringen, se avsnitt 7.6.1. Vårt förslag: Den hälso- och sjukvårdsmyndighet i det landsting som ett onkologiskt centrum administrativt sett tillhör skall vara personuppgiftsansvarig för centrumets regionala cancerregister. Den föreslagna patientdatalagen innehåller en grundläggande be- stämmelse om personuppgiftsansvar vid behandling av personuppgift- er enligt patientdatalagen. Enligt bestämmelsen är varje vårdgivare personuppgiftsansvarig för den behandling av personuppgifter som den utför. Med detta menas den personuppgiftsbehandling som sker inom ramen för vårdgivarens verksamhet och som vårdgivaren ansvarar för. Av patientdatalagens definition av begreppet vårdgivare följer att det är den juridiska eller fysiska person som bedriver och ansvarar för hälso- och sjukvårdsverksamheten som är person- uppgiftsansvarig. I landsting och kommuner är det dock den hälso- och sjukvårdsmyndighet som utför en personuppgiftsbehandling som är personuppgiftsansvarig för den. Fråga är nu om det finns anledning att föreslå någon särreglering av personuppgiftsansvaret för de regionala cancerregistren. Som framgått tidigare är ansvaret för de onkologiska centrumens verksamhet inte organiserat på samma sätt i de olika sjukvårds- regionerna. Patientdatalagens bestämmelse om personuppgiftsansvar innebär att i de fall det onkologiska centrumet sorterar under en samverkans- nämnd kommer hälso- och sjukvårdsnämnderna eller motsvarande nämnder i de i sjukvårdsregionen ingående landstingen att vara personuppgiftsansvariga för behandlingar av personuppgifter i det regionala cancerregistret. Sorterar det onkologiska centrumet i stället under en gemensam nämnd är det denna nämnd som är person- uppgiftsansvarig. På motsvarande sätt är det kommunalförbund som ett av de onkologiska centrumen sorterar under personuppgifts- ansvarigt för dess personuppgiftsbehandling i det regionala cancer- registret. Patientdatalagens bestämmelse innebär vidare att varje vårdgivare är personuppgiftsansvarig för sin inrapportering av per- sonuppgifter till det regionala cancerregistret. Vi menar att det från integritetssynpunkt är angeläget att det av författningen uttryckligen framgår till vilket organ den enskilde registrerade kan vända sig för att göra sina rättigheter gällande eller annars framföra synpunkter på den personuppgiftsbehandling som rör honom eller henne. Personuppgiftsansvaret bör, i enlighet med vårt förslag till , förläggas på myndighetsnivå. Vi före- slår således att den hälso- och sjukvårdsmyndighet i det landsting som ett onkologiskt centrum administrativt sett tillhör skall vara personuppgiftsansvarig för centrumets regionala cancerregister. En- ligt vår uppfattning är det praktiskt och rimligt att ansvaret kon- centreras till den hälso- och sjukvårdsmyndigheten. Visserligen innebär detta att den myndigheten i värdlandstinget blir ansvarig för uppgifter i registret som härrör från andra i sjukvårdsregionen ingående landsting. Det menar vi emellertid inte torde innebära några större olägenheter i praktiken. Vårt förslag innebär vidare att vårdgivarna i enlighet med bestäm- melserna i den föreslagna patientdatalagen är personuppgiftsansvariga för den personuppgiftsbehandling som själva inrapporteringen till det regionala cancerregistret innebär. Vårt förslag: I förordningen skall regleras uttömmande för vilka ändamål personuppgifter i de regionala cancerregistren får be- handlas. Personuppgifter får samlas in och behandlas för det primära syftet att fullgöra vidarerapportering av personuppgifter enligt 6 § cancerregisterförordningen och att efterforska canceranmäl- ningar som skulle ha gjorts. Insamlade personuppgifter får där- utöver även behandlas för framställning av cancerstatistik inom sjukvårdsregionen, kvalitetssäkring av hälso- och sjukvård inom cancerområdet, framställning och uppföljning av vårdprogram rörande cancersjukdomar, forskning inom hälso- och sjukvårds- området, utlämnande från ett onkologiskt centrum till den som skall använda uppgifterna för vård av den person som uppgiften rör eller för ärftlighetsutredningar av enskilda personer, utläm- nande från ett onkologiskt centrum till den som skall använda uppgifterna för forskning inom hälso- och sjukvårdsområdet samt fullgörande av annan uppgiftsskyldighet som följer av lag eller förordning än den enligt 15 kap. 5 § sekretesslagen. I cancerregisterförordningens bestämmelse om ändamål för behandling av personuppgifter (3 §) läggs kvalitetssäkring av in- satser för att förebygga cancersjuklighet till som tillåtet ändamål. Vidare ändras begränsningen av forskning och epidemiologiska undersökningar inom cancerområdet till inom hälso- och sjuk- vårdsområdet. Användningen av de regionala cancerregistren är i och för sig för- enlig med ändamålsbestämmelserna i den föreslagna patientdata- lagen. Enligt vår mening bör det dock av särregleringen klart framgå för vilka ändamål personuppgifter i de regionala cancerregistren skall få behandlas. Av hänsyn till enskildas personliga integritet bör inga andra ändamål vara tillåtna. Våra förslag om ändamål för regionala cancerregister skall alltså vara uttömmande. Det innebär att det inte är tillåtet att behandla personuppgifterna också för andra ändamål även om dessa inte är oförenliga med det ändamål för vilket uppgifterna har samlats in. Personuppgiftslagens finalitets- princip gäller alltså inte vid behandling av personuppgifter i de regionala cancerregistren. Även om ändamålsbestämmelsen är uttömmande kan utlämnande enligt 2 kap. tryckfrihetsförordningen ske utan att det särskilt be- höver föreskrivas. Det följer av principen om grundlags företräde framför vanlig lag och anges dessutom uttryckligen i 8 § person- uppgiftslagen, som också gäller vid behandling enligt patientdata- lagen. Det är en annan sak att sådant uppgiftsutlämnande på grund av sekretess normalt inte kan ske till annan än den berörde registre- rade. Vidare kommer det att vara möjligt att behandla personuppgifterna för andra ändamål än de som anges i särregleringen, om den en- skilde registrerade uttryckligen har samtyckt till det. Detta följer av patientdatalagens bestämmelser om den enskildes inställning till personuppgiftsbehandling, se även avsnitt 7.5.2.6. Det primära ändamålet för personuppgiftsbehandlingen i de regionala cancerregistren är förstås att bearbeta canceranmälningarna för den senare vidarerapporteringen till nationella cancer- register. Denna hantering är att se som ett led i fullgörandet av upp- giftsskyldigheten enligt cancerregisterförordningen. har upplyst att det förekommer att personer har rapporterats avlidna i cancer till dödsorsaksregistret (se vidare om detta register i avsnitt 7.6.2) utan att någon canceranmälan har gjorts och att de således inte finns registrerade i det nationella cancer- registret. I sådana fall måste de canceranmälningar som skulle ha gjorts efterforskas för att registret skall bli heltäckande. I fråga om sådana anmälningar som skulle ha gjorts via det regionala cancerregistret bör, enligt vår mening, efterforskningen göras av det onkologiska centrumet, som efter det att anmälan kommit in kan bearbeta och vidarerapportera uppgifterna till på sedvanligt sätt. Därigenom säkerställs också att innehållet i varje regionalt cancer- register även fortsättningsvis kommer att motsvara innehållet i det avseende sin region. Uppgifter om avlidna utgör inte personuppgifter enligt definitionen i personuppgiftslagen och lagen är därför inte tillämplig i fråga om behandling av sådana uppgifter. Bestämmelserna i den föreslagna patientdatalagen, bl.a. sådana som avser ändamål, gäller däremot även uppgifter om avlidna. Ändamålsbestämmelsen i förordningen om regionala cancerregister – som ju utgör en inskränkande bestäm- melse i förhållande till patientdatalagens ändamålsbestämmelse – bör därför uttryckligen ange efterforskning av canceranmälningar som skulle ha gjorts som ett primärt ändamål. Bestämmelsen innefattar även sådan efterforskning som onkologiska centrum gör hos t.ex. den kliniska verksamheten av canceranmälningar rörande vissa patienter som motsvarar de anmälningar avseende dessa patienter som centrumen fått från t.ex. patologer. När det gäller hur de insamlade uppgifterna i övrigt får behandlas kan påpekas att gränserna ändamålen emellan inte är skarpa. Det kommer med andra ord ofta att inträffa att personuppgiftsbehand- ling kan ske med stöd av flera ändamål . Detta utgör enligt vår mening inget författningstekniskt problem och torde inte heller innebära några tillämpningsproblem. Ändamålsbestämmelserna avser dels sådan personuppgiftsbehand- ling som behövs för de onkologiska centrumens egen verksamhet, dels personuppgiftsbehandling i form av utlämnande från ett onko- logiskt centrum. Framställning av cancerstatistik inom sjukvårdsregionen De onkologiska centrumen har bl.a. till uppgift att ansvara för viss regional cancerstatistik, dvs. statistik inom sjukvårdsregionen, samt att bistå med statistiskt material till epidemiologisk forskning (se allmänna råd om samordning av den onkologiska sjukvården – onkologiska centras roll och uppgifter, s. 13 f.). Stati- stiken framställs bl.a. utifrån uppgifter i de regionala cancerregistren. Verksamheten bör därför omfattas av en särskild ändamålsföreskrift. Kvalitetssäkring av hälso- och sjukvård inom cancerområdet Såsom nämnts tidigare används regionala cancerregister bl.a. direkt i kvalitetsuppföljningen av regionens cancersjukvård. Vidare samkörs de onkologiska centrumens kvalitetsregister med de regionala cancer- registren. Dessa varianter av kvalitetssäkring är viktiga för cancer- sjukvården och verksamheten bör omfattas av en särskild ända- målsföreskrift. När det gäller kvalitetssäkring har uppmärksammat utredningen på ett problem när det gäller det nationella cancer- registret. Enligt hälsodataregisterlagen får personuppgifter i ett hälsodataregister behandlas för bl.a. uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård. I cancerregisterförordning- en har detta ändamål inskränkts till uppföljning och utvärdering av insatser för att förebygga cancersjuklighet. Kvalitetssäkring finns således inte med som tillåtet ändamål. Detta framstår som svår- förklarligt. Eftersom begreppen uppföljning, utvärdering och kva- litetssäkring flyter in i varandra, uppstår gränsdragningsproblem. Kvalitetssäkring av hälso- och sjukvården är dessutom en angelägen uppgift. Vi föreslår därför att kvalitetssäkring av insatser för att före- bygga cancersjuklighet läggs till som tillåtet ändamål i cancerregister- förordningen. Framställning och uppföljning av vårdprogram rörande cancer- sjukdomar Även denna verksamhet är, liksom framställning av regional cancer- statistik, en uppgift som de onkologiska centrumen har enligt allmänna råd. Det är tveksamt om utarbetande och uppföljning av vårdprogram för cancersjukdomar sker på ett sätt som alltid är självständigt i förhållande till ändamålet kvalitets- säkring. Att det skulle uppstå några tillämpningsproblem med att ändamålen ibland överlappar varandra är dock inte troligt. Forskning inom hälso- och sjukvårdsområdet Vid samtliga onkologiska centrum bedrivs forskning utifrån person- uppgifter i de regionala cancerregistren. Verksamheten bör omfattas av en särskild ändamålsföreskrift. Med forskning avses även epide- miologiska undersökningar. När det gäller detta ändamål har vi frågat oss om man bör före- skriva samma begränsning av det tillåtna utrymmet för person- uppgiftsbehandlingen som enligt cancerregisterförordningen gäller för det . Enligt cancerregisterförordningen skall forskningen (och de epidemiologiska undersökningarna) ske inom cancerområdet. Enligt vår uppfattning talar den enskildes intresse av integritetsskydd starkt för att också användningsområdet för de regionala cancerregistren begränsas på motsvarande sätt. För att inte hindra mer tvärvetenskapliga forskningsprojekt rörande hälso- och sjukvård som inbegriper också andra än cancerforskare (exempelvis mer allmäninriktad forskning om vård i livets slut- skede) anser vi dock att en viss utvidgning är befogad. Vi föreslår därför en begränsning till forskning inom hälso- och sjukvårds- området. Av samma orsak föreslår vi att den aktuella begränsningen i 3 § cancerregisterförordningen ändras. Att notera är att ändamålet inte utgör något undantag från etik- prövningslagen och dess krav på etikprövning då forskning inne- fattar behandling av känsliga personuppgifter m.m. Har den enskilde inte uttryckligen samtyckt till personuppgiftsbehandlingen för ett specifikt forskningsprojekt, krävs godkännande av etikprövnings- nämnd vid all forskning avseende personuppgifter i regionala cancer- register. Det sagda gäller oberoende av om forskningen bedrivs av den för registret personuppgiftsansvarige eller av annan. Angående gränsdragningen forskning och kvalitetssäkring, se prop. 2002/03:50 s. 91. I sammanhanget kan nämnas att föreslagit att alla forskningsprojekt avseende känsliga personuppgifter skall etikprövas alldeles oavsett om den enskilde samtyckt till per- sonuppgiftsbehandlingen i forskningsprojektet eller inte (se SOU 2005:78). Förslaget bereds inom . Utlämnande från ett onkologiskt centrum till den som skall använda uppgifterna för vård av den person som uppgiften rör eller för ärftlighets- utredningar av enskilda personer Som framgått tidigare förekommer det relativt ofta att man från den kliniska verksamheten begär ut personuppgifter rörande en en- skild registrerad i ett regionalt cancerregister, eftersom uppgiften behövs för vården av den registrerade. Vidare förekommer det att uppgifter i regionala cancerregister lämnas ut för ärftlighetsutred- ningar av enskilda personer. Utlämnanden från ett onkologiskt centrum för dessa syften bör omfattas av en särskild ändamåls- föreskrift. Utlämnande från ett onkologiskt centrum till den som skall använda uppgifterna för forskning inom hälso- och sjukvårdsområdet Personuppgifter i regionala cancerregister bör få lämnas ut från ett onkologiskt centrum om mottagaren själv skall använda uppgifter- na för forskning inom hälso- och sjukvårdsområdet. Givetvis utgör inte heller detta ändamål något undantag från etikprövningslagen och dess krav på etikprövning då forskning innefattar behandling av känsliga personuppgifter m.m. Fullgörande av annan uppgiftsskyldighet som följer av lag eller förord- ning än den enligt 15 kap. 5 § sekretesslagen Personuppgifter bör även kunna lämnas ut om det följer av en sär- skilt föreskriven uppgiftsskyldighet som avses i 14 kap. 1 § sekretess- lagen eller 2 kap. 8 och 9 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Ett exempel är att uppgifter lämnas ut enligt 43 § personuppgiftslagen i samband med Datainspektionens tillsyn över personuppgiftsbehandlingen. Utrymmet för att lämna ut personuppgifter från de regionala cancerregistren har begränsats på samma sätt som skett i patient- datalagen beträffande de nationella och regionala kvalitetsregistren. 7.5.2.4Personuppgifter som får behandlas Vårt förslag: Endast sådana personuppgifter som anges i 4 § cancerregisterförordningen och uppgifter om en tumörs löpnum- mer får behandlas i ett regionalt cancerregister. Även uppgifter om dödsorsak och dödsdatum får behandlas. De personuppgifter som får behandlas i ett regionalt cancerregister bör begränsas till vad som behövs för inrapporteringen till Social- styrelsens . Detta bör uttryckligen framgå av vår särreglering genom en hänvisning till cancerregisterförord- ningens motsvarande bestämmelse. Givetvis bör registren också få innehålla uppgifter om tumörens löpnummer, dvs. den för såväl regionala cancerregister som det centrala registerinformationen. Vi har tidigare föreslagit att uppgifter i ett regionalt cancerregister skall få behandlas för att efterforska canceranmälningar som skulle ha gjorts. Vid sådana efterforskningar kan det bli nödvändigt att använda uppgifter om dödsorsak och dödsdatum. Sådana uppgifter bör därför få behandlas i ett regionalt cancerregister.