sou · GXB332 · 2009-04-17 00:00:00 — Enligt förarbetena ska endast de som behöver sådan åtkomst för sitt arbete inom hälso- och sjukvården få ha sådan elektronisk åtkomst till journalhandlingar och andra personuppgifter som behandlas enligt patientdatalagen. Regeringen framhöll därefter att det inte fanns skäl att föreslå bestämmelser om gränsöverskridande direktåtkomst för utlämnande av uppgifter från hälso- och sjukvård till socialtjänst. Regeringen betonade att en närmare analys och genomgång av förhållandena på området vård och omsorg lämpligen bör göras i särskild ordning och hänvisade härvid till vårt pågående arbete. Av förarbetena framgår vidare slopandet av de särskilda begränsningarna i fråga om annat elektroniskt utlämnande än direktåtkomst. Enligt regeringen undanröjer det förslaget vissa av de rättsliga hinder som finns när det gäller uppgiftslämnande från hälso- och sjukvård till socialtjänst. Regeringen betonade dock att det sagda bara gäller sättet för överföringen och framhöll att andra bestämmelser reglerar om uppgifterna alls får lämnas från hälso- och sjukvård till socialtjänst, bl.a. i sekretesslagen. Angående verksamhetsuppföljning framfördes i nämnda för- arbeten9 bl.a. följande. har bl.a. vid samråd med företrädare för och Kommuner och Landsting samt med Nationell psykiatrisamordning funnit att nuvarande lagstiftning försvårar samverkan mellan kommun och landsting när det främst gäller äldre och de med psykiska funktionshinder eller sjukdom vilka behöver stöd och insatser i form av både hälso- och sjukvård och socialtjänst. Utredningen framhöll att bristande legala möjligheter till gemensam verksamhetsuppföljning baserad på personuppgifter, enligt Social- 9 A.a. s. 174. Utbyte av personuppgifter mellan och hälso- och sjukvården styrelsen och Kommuner och Landsting, utgör en tillbaka- hållande faktor när det gäller skapande av gemensamma nämnder eller andra former av samverkansorgan över huvudmannagränser. har huvudmännen i andra författningar ålagts ett ansvar att samverka och tillsammans skapa ett förbättrat omhänder- tagande av dessa patientkategorier. De legala kraven på samverkan går inte ihop med de legala förutsättningarna för samverkan. Enligt vad utredningen erfarit finns ett behov av att utforma en ny lagstiftning för behandling av personuppgifter inom vård och omsorg. Såväl sekretesslagstiftningen som vårdregisterlagen begränsar landstingens och kommunernas möjligheter att göra gemensamma uppföljningar av sådana insatser som involverar både hälso- och sjukvård och socialtjänst. Regeringen hänvisade även i frågan om att förbättra landstingens och kommunernas möjligheter att göra gemensamma uppföljningar av sådana insatser som involverar både hälso- och sjukvård och socialtjänst till vårt pågående arbete. Något förslag till lagreglering på området föreslogs därmed inte heller i denna del. 9.5Behandling av personuppgifter vid gemensam verksamhetsuppföljning mellan socialtjänst och hälso- och sjukvård 9.5.1Behandling av personuppgifter inom Inom omfattas behandlingen av personuppgifter av ändamålen i lagen (2001:453) om behandling av personuppgifter inom (SoLPUL).10 9.5.2Behandling av personuppgifter inom hälso- och sjukvården Inom hälso- och sjukvården omfattas behandlingen av person- uppgifter av ändamålen i patientdatalagen (2008:355).11 I samband med patientdatalagens ikraftträdande upphörde lagen (1998:455) om vårdregister (vårdregister- 10Angående ändamålen och förarbetena till lagen, se 5.4 kap. 11Se vidare 5.4.3 kap. Utbyte av personuppgifter mellan och hälso- och sjukvården Skäl föreligger därmed att inledningsvis beakta vårdregister- lagens ändamålsbestämmelser. (SOU 2006:82) har i sitt huvud- betänkande (SOU 2006:82 s. 421 ff.) redogjort härför och bl.a. anfört följande. Vårdregisterlagens ändamålsbestämmelser hindrar inte ett utlämnande till för fortsatt behandling enligt lagen om behandling av personuppgifter inom (SoLPUL). -- Av förarbetena till vårdregisterlagen framgår att lagen inte är avsedd att reglera i vad mån person- uppgifter i ett vårdregister över huvud taget får lämnas ut till en extern mottagare. Den frågan avgörs efter en prövning enligt sekretesslagen (prop. 1997/98:108 s. 77 f. och 88). Däremot utgör 9 § vårdregisterlagen ett hinder mot att lämna ut personuppgifter elektroniskt från ett vårdregister hos ett landsting till en kommun som avser att efter mottagandet behandla uppgifterna med stöd av SoLPUL. Även 6 § vårdregisterlagen – som föreskriver att uppgifter får hämtas till ett vårdregister genom samkörning från andra vårdregister bara om de behövs i vården eller i ekonomi- administrationen av vården samt även från folkbokförings- databasen, annat befolkningsregister eller patientens läkemedels- förteckning – torde begränsa landstingens möjligheter att delta i gemensam verksamhetsuppföljning på vård och omsorgsområdet som innefattar personuppgiftsbehandling från både hälso- och sjukvård och socialtjänst. har vidare betonat att utredningens direktiv inte givit något mandat i fråga om utredning av social- tjänstverksamhet, varför någon närmare analys angående ifall socialtjänstsekretessen eller bestämmelserna i m.m. utgör hinder för gemensamma verksamhetsuppföljningar på området vård och omsorg inte har gjorts. Utredningen har dock vidare framhållit att utredningen enligt direktiven särskilt ska beakta landstingens möjligheter till uppföljning av sin samverkan med kommunerna kring vissa patientkategorier såsom psykiskt sjuka och äldre. Mot bakgrund härav har inte heller i den efterföljande propositionen (prop. 2007/08:126, m.m.) tagits in någon bestämmelse om gemensam verksamhetsuppföljning. I propositionen har dock som nämnts ovan regeringen betonat behovet av förbättrade möjligheter att göra gemensamma uppfölj- Utbyte av personuppgifter mellan och hälso- och sjukvården ningar av sådana insatser som involverar både hälso- och sjukvård och socialtjänst.12 9.6Sekretess vid gemensam verksamhets- uppföljning mellan hälso- och sjukvård och socialtjänst Bestämmelserna om sekretess vid gemensam verksamhets- uppföljning mellan hälso- och sjukvård och socialtjänst har redogjorts för i 8.10 kap. 12 Se vidare 9.4.4 kap. 10Övergripande frågor och principer 10.1Skyddet för den personliga integriteten De grundläggande bestämmelserna till skydd för den personliga integriteten finns i regeringsformen (RF). Redan i 1 kap. 2 § RF slås fast att det allmänna ska värna om den enskildes privatliv. Denna intention kommer till uttryck i stora delar av den lag- stiftning som reglerar det allmännas handlande gentemot enskilda och även enskildas handlande gentemot varandra. Som exempel på sådan lagstiftning kan nämnas sekretesslagen (1980:100). Av stor betydelse är även rätten för enskilda att enligt 2 kap. tryckfrihets- förordningen ta del av allmänna handlingar (handlingsoffentlighet). Härigenom garanteras enskilda insyn i och kontroll av den offentliga förvaltningen, vilket kan vara positivt från integritets- synpunkt. Offentligheten kan emellertid även innebära nackdelar från integritetssynpunkt, eftersom enskilda tvingas acceptera att uppgifter om dem kan vara åtkomliga för andra personer. I 2 kap. 3 § andra stycket RF finns en särskild bestämmelse som avser integritetsskyddet vid automatiserad behandling av personuppgifter. Där sägs att varje medborgare, i den utsträckning som närmare anges i lag, ska skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Den författning som har som syfte att i första hand uppfylla RF:s intentioner i fråga om integritetsskydd i datoriserad verksamhet är personuppgiftslagen (1998:204). Härutöver finns särskilda registerförfattningar som reglerar en stor del av den offentliga verksamheten. Integritetsskyddande bestämmelser om utlämnande av personuppgifter finns även i sekretesslagen. Övergripande frågor och principer Det är inte möjligt att exakt definiera vad som avses med personlig integritet. Uppfattningen om vad som är en rent personlig sfär varierar mellan olika personer. Dessutom förändras inställningen till den personliga integriteten över tiden. Det kan också konstateras att varken svensk lagstiftning eller doktrin inne- håller någon enhetlig definition av begreppet personlig integritet. När det gäller information om det personliga kan det också ha betydelse i vilket sammanhang uppgifterna används om den enskilde uppfattar det som att hans integritet har kränkts eller inte. I detta sammanhang kan bl.a. hänvisas till Integritetsskydds- kommitténs betänkanden 2007:22 och 2008:03, där kommittén bl.a. anför följande.1 Det är svårt att genom en positiv och heltäckande beskrivning fånga in begreppet personlig integritet, även om man begränsar sig till vad samhället bör erkänna som skyddsvärt. De flesta länders rätts- ordningar saknar av detta skäl en sådan beskrivning. Inte heller innehåller en heltäckande positiv definition av vad som innefattas i det i konventionen använda begreppet respekt för privat- och familjeliv, hem och korrespondens. Substansen i denna rättighet mejslas i stället fram genom domstolsavgöranden i enskilda fall. Av allt att döma finns det emellertid enighet om att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad behandling av person- uppgifter. Det gäller arten av de personuppgifter som samlas in och registreras, för vilka ändamål detta görs, hur och av vem upp- gifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. bör beaktas att rätten till personlig integritet inte är absolut, utan från tid till annan är föremål för inskränkningar i någon utsträckning. En väl fungerande samhällsorganisation kommer alltid att medföra intrång i enskildas personliga integritet. Avgörande är i föreliggande sammanhang vad som kan tolereras respektive vad som inte kan accepteras därför att det utgör ett otillbörligt intrång i den personliga integriteten. Enligt vår mening kan stora informationsmängder, som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid en myndighets verksamhet medföra en påtaglig risk för att enskilda 1 SOU 2008:03 s. 14. Övergripande frågor och principer personer utsätts för icke acceptabla intrång i den personliga integriteten. Det är även vår mening att risken för intrång ökar ju informationen lagras. Risk för intrång är ännu större vid utbyte av information mellan myndigheter. 10.1.2Skydd för enskilds integritet inom De regler som rör skyddet för den enskildes integritet på social- tjänstens område finns främst i sekretesslagen och personuppgifts- lagen, lagen (2001:454) om behandling av personuppgifter inom och i den materiella lagstiftningen t.ex. socialtjänst- lagen (2001:453). användning av datorer för att i sina verksamheter behandla en omfattande mängd personuppgifter kan i och för sig utgöra ett hot mot den personliga integriteten. Detta måste beaktas vid utformningen av den lagstiftning som ska reglera behandlingen av personuppgifter inom . Vid bedömningen av hur integritetsintressena ska tas till vara måste emellertid hänsyn också alltid tas till de speciella förhåll- anden som gäller för den särskilda verksamhet som bedriver. I utredningens direktiv har ställts krav på att utreda och ta fram regler för att förbättra möjligheterna att framställa statistik och att genomföra verksamhetsuppföljningar, bl.a. genom att använda personnummerbaserad information i stället för mängd- uppgifter. Från integritetssynpunkt ska ett inhämtande av person- nummerbaserade uppgifter för att användas i statistikproduktionen och/eller i genomförandet av verksamhetsuppföljning jämföras med att statistiken och verksamhetsuppföljningen leder till ett bättre underlag för bedömningar och beslut avseende dess verksamhet. Detta leder i sin tur i slutändan till en bättre kvalitet i socialtjänstverksamhetens insatser vilket i sin tur är till gagn för den enskilde. Insatserna inom ska vara av god kvalitet och kvaliteten i verksamheten ska systematiskt och fortlöpande utvecklas och säkras (3 kap. 3 § socialtjänstlagen). verksamhet måste kunna bedrivas på ett effektivt och ändamålsenligt sätt. Detta hindrar emellertid inte att nödvändig respekt visas för enskildas personliga integritet vid myndigheternas behandling av personuppgifter. En författningsreglering av en myndighets behandling av personuppgifter måste således beakta å Övergripande frågor och principer ena sidan befogade integritetsintressen och å andra sidan samhällets ständiga strävan efter en effektiv verksamhet hos . verksamhet präglas också i allt större utsträckning av samverkan med andra myndigheter – främst med hälso- och sjukvården – vilket innebär att bestämmelser som möjliggör informationsutbyte är av stor betydelse för den enskildes integritet. Som i all annan offentlig verksamhet, eller i andra sammanhang där en stor mängd personuppgifter behandlas, är det från integri- tetssynpunkt av grundläggande betydelse att behandlingen av personuppgifter endast sker för särskilt fastställda ändamål.2 Med tydliga ändamål för vilka behandling av personuppgifter får ske kan den enskilde på ett enkelt sätt få en tydlig bild av om uppgifter om honom eller henne behandlas eller inte, och om så sker i vilken omfattning detta kan komma att medföra intrång i hans eller hennes personliga integritet. Även andra faktorer har emellertid betydelse, t.ex. behandling av känsliga personuppgifter och spridning av information till utomstående. I fråga om vilka som får ta del av uppgifter intar omfattningen av myndigheters och andras direktåtkomst till elektroniskt lagrad information en särställning. Sådan åtkomst har ansetts särskilt integritetskänslig. Härutöver ska även särskilt beaktas den i utredningen diskuterade gemensamma verksamhetsuppföljningen mellan och hälso- och sjukvården. Hantering av personuppgifter i detta sammanhang är än mer känslig ur en integritetssynvinkel. Vi kommer att behandla de olika integritetsaspekterna efterhand som vi redovisar vår inställning i de olika sakfrågorna. Redan här bör emellertid slås fast att vi anser det viktigt att en författnings- reglering av behandling av personuppgifter inom utformas på ett sådant sätt att integritetsskyddet för enskilda inte urholkas. 2 Närmare angående ändamålen i lagen om behandling av personuppgifter inom social- tjänsten, se 5.4 kap. Övergripande frågor och principer Vårt förslag: Behandling av personuppgifter inom ska alltjämt författningsregleras särskilt. Allmänna bestämmelser om integritetsskydd inom området för automatiserad behandling av personuppgifter finns, som nämnts tidigare i personuppgiftslagen. Denna lag gäller generellt för all behandling av personuppgifter, såvida det inte finns en särskild registerförfattning som gäller för viss behandling av person- uppgifter. Integritetsproblemen kan dock vara av skiftande art för olika offentliga verksamheter. Det går inte att generellt lösa alla problem och fullt ut beakta alla frågeställningar genom att använda sig av personuppgiftslagens bestämmelser, utan det behövs ofta en särskild författningsreglering. En sådan registerförfattning innebär en specialreglering i förhållande till personuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den eller bådadera. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformningen av integritetsskyddet vad gäller särskilt känsliga register. Sådan författningsreglering av personregister har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag.3 Särskilda registerförfattningar finns hos en rad olika myndigheter däribland hos den till närliggande hälso- och sjukvården genom Patientdatalagen (2008:355). har det av Informationsutbytesutredning påtalats att registerförfattningarna bör ses över för att skapa förutsättningar för ett samordnat och enhetligt regelverk som främjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrång i den personliga integriteten (jfr SOU 2007:45 s. 393). Särskild författningsreglering bör enligt vår uppfattning tillämpas endast om det finns beaktansvärda skäl för det. Vi anser att de situationer då så normalt är fallet generellt kan pekas ut, nämligen 3 Se prop. 1990/91:60 s. 56 ff. och prop. 1997/98:44 s. 41, bet. 1990/91:KU11 s. 11 och bet. 1997/98:KU18 s. 43 samt även rskr. 1997/98:180. Övergripande frågor och principer –när en nödvändig behandling över huvud taget inte är tillåten enligt personuppgiftslagen, t.ex. i fråga om behandling av vissa känsliga personuppgifter, –när personuppgiftslagen visserligen reglerar ett visst förhållande, men det finns anledning att avvika från och precisera den regleringen, t.ex. i fråga om hur länge uppgifter får bevaras, –när personuppgiftslagens bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser, t.ex. i fråga om vem som är personuppgiftsansvarig, –när det finns anledning att begränsa möjligheterna till behandling av uppgifter av integritetsskäl, t.ex. i fråga om myndigheters registrering av och åtkomst till stora eller känsliga uppgiftsmängder, samt –när det finns anledning att vara särskilt tydlig gentemot allmänheten t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar. Med hänsyn främst till omfattningen och arten av verksamheten, dess inriktning med ingripande myndighetsutövning samt känsliga personuppgifter som behöver användas, finns det av såväl effektivitets- som integritetsskyddsskäl alltjämt behov av en särskild författningsreglering angående person- uppgiftsbehandling som avviker från personuppgiftslagen och erbjuder ett kompletterande integritetsskydd. 10.3Lag, förordning eller myndighetsföreskrifter Vårt förslag: De grundläggande principerna för behandling av personuppgifter inom ska regleras i lag. Kompletterande bestämmelser ska meddelas av regeringen eller den myndighet regeringen bestämmer. Vi konstaterar i det föregående avsnittet att behandling av person- uppgifter inom alltjämt bör författningsregleras särskilt. En viktig fråga är om sådan författningsreglering bör ske i form av lag, i förordning eller myndighetsföreskrifter. Vi har som utgångspunkt i bedömningen att grundläggande frågor bör regleras Övergripande frågor och principer i lag, medan detaljfrågor lämpligen bör regleras i förordning. Eftersom en stor mängd uppgifter som hanteras av är av känslig natur är det av vikt att dessa uppgifter behandlas på ett sådant sätt att vederbörlig hänsyn tas till de registrerades personliga integritet. Frågor om regleringen av personregister har behandlas av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll ska regleras särskilt i lag.4 Denna uppfattning har även regeringen givit uttryck för.5 Enligt vår mening är den automatiserade behandling av personuppgifter som förekommer inom av sådan karaktär och omfattning att de grundläggande principerna för behandlingen alltjämt bör slås fast i lag. Vad vi anser måste framgå av lag är främst sådana grundläggande bestämmelser som anger för vilka ändamål personuppgifter får behandlas, personuppgiftsansvar, i vilken omfattning och till vem uppgifter får lämnas ut i elektronisk form och under vilka förutsättningar vissa känsliga personuppgifter får behandlas. 1990/91:KU11 s. 11 och 1997/98:KU8 s. 48. 5Se bl.a. prop. 1990/91. 11Författningsreglering av behandling av uppgifter 11.1Lagstiftningens systematik och allmänna tillämpningsområde m.m. Vårt förslag: Den gällande lagen (2001:454) om behand- ling av personuppgifter inom ska upphöra att gälla. och ersättas med en ny lag om behandling av personuppgifter inom . Lagen ska utgå från personuppgiftslagens (1998:204) tillämpningsområde, begrepp och terminologi. I lagen ska anges de undantag, preciseringar och förtydliganden i förhållande till personuppgiftslagen som är motiverade. I vårt uppdrag ingår att se över hur behandlingen av person- uppgifter inom regleras samt lämna de förslag till författningsändringar som vi kan anse behövliga för att åstadkomma en välfungerande och sammanhållen reglering av området. Denna reglering ska syfta till att förbättra möjligheterna att inom a) framställa statistik, b) göra verksamhets- uppföljningar samt c) säkerställa kvaliteten på vård, omsorg och insatser. Regleringen ska omfatta all behandling av personuppgifter som är nödvändig för klientrelaterade arbetsuppgifter, uppföljning, utvärdering, kvalitetssäkring, administration, planering, fram- ställning av statistik, forskning och tillsyn. Principiellt viktiga frågor bör regleras i lag, medan detaljfrågor kan regleras i förordningsform. Författningsreglering av behandling av uppgifter och regeringen har i flera sammanhang uttalat att ett myndighetsregister som behandlar känsliga uppgifter om ett stort antal personer bör regleras i lag.1 Det finns ingen enhetlig systematik bland de s.k. register- författningar som gäller inom skilda myndighetsområden. Den systematik som väljs är beroende av olika faktorer, t.ex. hur omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för personuppgiftslagen. Mot bakgrund av den lagstiftningsteknik för moderna registerlagar som är allmänt vedertagen föreslår vi att vårt författnings- förslag ska gälla i stället för personuppgiftslagen. Lagen är vidare generellt tillämplig på all behandling av uppgifter, oavsett om behandlingen av uppgifter sker hos en enskild tjänsteman eller i ett register eller en databas där uppgifter och handlingar är gemensamt tillgängliga i verksamheten. Det innebär att lagens bestämmelser ska tillämpas på all behandling av uppgifter inom , oavsett om det gäller e-posthantering, enkel ordbehandling eller förandet av omfattande gemensamma personregister. Enligt utredningens direktiv ska betänkandet från bl.a. Patient- datautredningen (SOU 2006.82) särskilt beaktas. Vid genom- gången i 2 kap. angående mål, syften och organisa- tion kan man konstatera att verksamhetsområdet socialtjänst ligger mycket nära verksamhetsområdet hälso- och sjukvård. Även vid den internationella utblick som utredningen har gjort i 18 kap. kan man se att de olika verksamhetsområdena kan tangera och ibland gå in i varandra. När det gäller författningsstrukturen såväl som bestämmelser- nas materiella innehåll har vi därför valt att försöka utforma en lagstiftning för behandling av uppgifter inom som, i åtminstone centrala delar, stämmer överens med den författnings- reglering angående behandling av personuppgifter som föreligger inom hälso- och sjukvården. Detta framstår, enligt vår bedömning, som än mer aktuellt att göra när andra delar av våra förslag i utredningen verkar för ett utökat utbyte av uppgifter mellan och hälso- och sjukvården (jfr 10 kap.) Skäl föreligger därför att beakta utformningen av patientdatalagen (2008:355) i det fortsatta arbetet med utarbetandet av en ny lag om behandling av personuppgifter inom . 1 Se bet. 1990/91:KU11 s. 11, bet. 1997/98:KU18 s. 43, prop. 1990/91:60 s. 58, prop. 1997/98:44 s. 40 och rskr. 1997/98:180. SOU 2009:32 Författningsreglering av behandling av uppgifter Den nya lagen (2009:000) om behandling av personuppgifter inom (SoLPUL) som vi föreslår innehåller bestäm- melser om lagens tillämpningsområde (1–3 §§), definition av socialtjänst (4 §), förhållandet till personuppgiftslagen (5–6 §§), ändamål för personuppgiftsbehandling (7 §), personuppgiftsansvar (8 §), behandling av känsliga personuppgifter (9 §), sökbegrepp (10 §), utlämnande av uppgifter på medium för automatiserad behandling (11 §) samt bevarande och gallring av personakter (12 §). I de följande avsnitten redogörs för huvuddelen av innehållet i lagen.