sou · GYB381 · 2010-11-29 00:00:00 — En risk med ett spärregister är att det kan användas som ett argument inför etikprövningsnämnderna att de ska godkänna forskning i större utsträckning än vad som är befogat. Förekomsten av ett spärregister skulle kunna ge bilden av att alla som är negativt inställda till forskning har låtit registrera sig där och att det därför alltid skulle saknas anledning att inhämta samtycke från provgivarna vid ny forskning på tidigare insamlade prover. En sådan inställning kan kritiseras av två skäl. För det första kommer det att finnas i vart fall några personer som är negativt inställda men som inte har anmält sig till registret. Ska dessa behöva ta risken för sin underlåtenhet själva? För det andra kan provgivarna inte föreställa sig alla typer av forskning som kan komma i fråga för proverna. Att man inte är negativt inställd till forskning i allmänhet innebär inte med nödvändighet att man kommer att vara positivt inställd till det specifika forsknings- projektet. Vidare innebär ett system med både en rätt att motsätta sig bevarande av de enskilda vävnadsproverna och ett spärregister att även de som en gång för alla uttryckligen har motsatt sig bevarande för forskningsändamål kommer att möta informationen om självbestämmanderätten och erbjudandet att utöva denna rätt varje gång de ska lämna vävnadsprover. Det kan ge den registrerade ett intryck av att hälso- och sjukvården inte har förstått den anmälan han eller hon har gjort eller inte tagit den på allvar, även om det bara handlar om att provtagande vårdpersonal inte har möjlighet att kontrollera registeruppgifterna. Detta kan skapa osäkerhet, oro och irritation i stället för att leda till ökad trygghet. Det blir också ineffektivt för såväl forskningen som administrationen av registren att använda sig av två olika register. Systemet med spärregister har alltså såväl fördelar som nack- delar. Sammantaget anser utredningen att nackdelarna överväger och föreslår därför inte något sådant system. Även om utredningen alltså inte föreslår något sådant spärregister anser utredningen att det ska vara möjligt att anmäla till att inga registrerade vävnadsprover ska få användas för forskning. ska då registrera denna inställning för vart och ett av provgivarens prover i registret. Registreringen kommer inte att omfatta de prover som är registrerade i andra biobanksregister och den kommer inte heller att omfatta framtida prover. Motsvarande ska gälla för andra biobanksregister. En sådan registrering är enligt utredningens mening mindre känslig för provgivarna än ett särskilt spärregister. 13Biobankernas behandling av personuppgifter 13.1Direktiven för utredningsuppdraget i denna del I utredningsdirektiven behandlas frågan om behandling av person- uppgifter i samband med de krav på kvalitet, spårbarhet och säkerhet som bör ställas. I direktiven anges att detta fordrar en annan typ av registerbestämmelser än de som finns (dir. 2008:71 s. 12–13). I direktiven anges också att gränsdrag- ningen mot personuppgiftslagen (1998:204) ska uppmärksammas särskilt (s. 15). behandlade också frågan om reglering av person- uppgiftsbehandling i sin rapport följer upp tillämpningen av biobankslagen. Styrelsen anförde att det är nödvändigt att biobankslagen kompletteras med bestämmelser om biobanksregister och personuppgiftsbehandling, som gör det möjligt att skydda integritet, hälsa, kvalitet i vård och behandling samt forskning och klinisk prövning med användning av humanbiologiskt material (s. 43). Utredningen har ett allmänt uppdrag att överväga och, om det är lämpligt, lämna förslag när det gäller det som tagits upp i (dir. 2008:71 s. 15). I den nuvarande biobankslagen finns endast några få bestämmelser om behandling av personuppgifter. För det första finns det en bestämmelse i 2 kap. 6 § biobanks- lagen om att ska föra ett automatiserat register över Biobankernas behandling av personuppgifter Registret ska användas för tillsyn, i forskningen och för framställning av statistik. Vidare anges det i bestämmelsen att registret ska innehålla uppgifter angående förhållanden för vilka det föreligger anmälningsskyldighet enligt 2 kap. 5 § i lagen, att registret inte får innehålla uppgifter om enskilda människor från vilka vävnadsprov har tagits samt att är person- uppgiftsansvarig för registret. För det andra får, enligt 5 kap. 4 § biobankslagen och 2 § förordningen (2002:746) om biobanker i hälso- och sjukvården m.m., föra ett särskilt register för screening av vävnadsprover från nyfödda barn för vissa ämnes- omsättningsrubbningar (). Det anges vidare att är personuppgiftsansvarig för registret. För det tredje anges det i 6 kap. 2 § sista stycket biobankslagen att bestämmelserna i personuppgiftslagen om rättelse och skade- stånd gäller vid behandling av personuppgifter enligt biobankslagen eller föreskrifter som har meddelats med stöd av lagen. Reglerna om behandling av personuppgifter har sin bas i Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivets bestämmelser har genomförts i bl.a. genom personuppgiftslagen, som utgör kärnan i den svenska regleringen av personuppgifter. Personuppgiftslagen gäller, enligt dess 5 §, för helt eller delvis automatiserad behandling av personuppgifter och dessutom för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Även automatiserad behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter (s.k. ostrukturerat material) undantas dock enligt 5 a § från de flesta av personuppgiftslagens Biobankernas behandling av personuppgifter För sådana uppgifter gäller i stället att behandling inte får utföras, om den innebär en kränkning av den registrerades personliga integritet. I 8 § anges att personuppgiftslagen inte gäller om en tillämpning av lagen skulle strida mot en myndighets skyldighet att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen. Enligt 2 § personuppgiftslagen gäller lagen dessutom inte i den utsträckning det finns avvikande bestämmelser i annan lag eller förordning. Det finns ett stort antal s.k. registerlagar, som reglerar främst myndigheters behandling av personuppgifter i sin verksamhet. Personuppgiftslagen innehåller endast generella regler och det förutsattes när lagen kom till att det skulle införas särskilda bestämmelser för mer speciella områden. Bestämmelserna i biobankslagen om behandling av personuppgifter är exempel på särreglering i förhållande till personuppgiftslagen. I 3 § personuppgiftslagen finns ett antal definitioner av olika begrepp som används i lagen. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Grundläggande krav på behandlingen av personuppgifter Enligt 9 § personuppgiftslagen ska den personuppgiftsansvarige se till att behandlingen av personuppgifter uppfyller vissa grund- läggande krav, enligt följande. Personuppgifter ska behandlas bara om det är lagligt. Behandlingen ska alltid ske på ett korrekt sätt och i enlighet med god sed. Biobankernas behandling av personuppgifter Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter än som är nödvändigt med hänsyn till ändamålen med behandlingen får inte behandlas. De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, om det inte behövs för historiska, statistiska eller vetenskapliga ändamål. Myndigheternas arkivering och bevarande av allmänna handlingar hindras inte av lagen. Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får enligt huvudregeln användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Denna begränsning gäller dock inte för en myndighets användning av personuppgifter i allmänna handlingar, vilket anges i 8 § andra stycket. När behandling av personuppgifter är tillåten I 10 § personuppgiftslagen anges förutsättningar för när en behandling av personuppgifter är tillåten. Minst en av dessa förutsättningar måste föreligga för att en behandling ska vara tillåten enligt lagen. Behandlingen är tillåten om den registrerade har lämnat samtycke till behandlingen. Finns det inget samtycke kan en behandling ändå vara tillåten, om den är nödvändig för någon av ett antal uppräknade syften. Detta gäller om behandlingen är nödvändig för att a) ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, Biobankernas behandling av personuppgifter b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den person- uppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Strängare regler gäller för behandling av vissa typer av personuppgifter. I 13 § personuppgiftslagen anges att det i princip är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Dessa olika slag av uppgifter kallas med en samlingsbeteckning känsliga personuppgifter. Från det principiella förbudet mot behandling av känsliga personuppgifter finns det en rad undantag. Sådana uppgifter får enligt 15 § personuppgiftslagen behandlas med den registrerades uttryckliga samtycke eller när denne offentliggjort uppgifterna på ett tydligt sätt. Känsliga personuppgifter får vidare enligt 16 § behandlas i vissa fall om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, om det är nödvändigt för att den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt samtycke eller om det är nödvändigt för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. I 18 § personuppgiftslagen finns en bestämmelse om behandling av känsliga personuppgifter för hälso- och sjukvårdsändamål. Det finns dock en betydligt mer genomgripande reglering av person- uppgiftsbehandling i hälso- och sjukvården i patientdatalagen (2008:355), som behandlas i det följande. Känsliga personuppgifter får dessutom, enligt 19 § person- uppgiftslagen, behandlas för forskningsändamål, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning Biobankernas behandling av personuppgifter som avser människor (etikprövningslagen). Känsliga personuppgifter får vidare behandlas för statistikändamål, om behandlingen är nödvändig på visst sätt och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Dessa förutsättningar ska anses uppfyllda om behandlingen har ett forskningsetiskt godkännande. Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Sådana personuppgifter får dock behandlas om behandlingen har godkänts av etikprövnings- nämnd. Regeringen eller Datainspektionen får besluta om undantag från förbudet. Uppgifter om personnummer och samordningsnummer får enligt 22 § personuppgiftslagen behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Information till den registrerade, m.m. Om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige, enligt 23 §, i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Har uppgifterna samlats in från en annan källa än den registrerade ska denne enligt 24 § personuppgiftslagen informeras när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen inte ges förrän uppgifterna lämnas ut . Det krävs inte heller att information lämnas om det är omöjligt eller skulle innebära en oproportioner- ligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, ska dock information lämnas senast i samband med att så sker. När information ska lämnas ska den enligt 25 § omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålen med behandlingen och all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med Biobankernas behandling av personuppgifter Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked huruvida personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ända- målen med behandlingen och till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut (registerutdrag). Normalt behöver information dock inte lämnas beträffande personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter ska enligt 28 § på begäran av den registrerade rättas, blockeras eller utplånas av den personuppgifts- ansvarige. Denne kan också vara skyldig att underrätta tredje man till vilken uppgifterna har lämnats ut. I 31 § personuppgiftslagen anges att lämpliga tekniska och organisatoriska åtgärder ska vidtas för att skydda de person- uppgifter som behandlas. Åtgärderna ska, enligt bestämmelsen, åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna, och hur känsliga de behandlade person- uppgifterna är. I 33–35 §§ personuppgiftslagen finns särskilda bestämmelser om överföring av personuppgifter till länder utanför EU och EES. En närmare redogörelse för dessa bestämmelser finns i avsnitt 15.2.4. Den personuppgiftsansvarige ska enligt 48 § personuppgifts- lagen ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Den som uppsåtligen eller av grov oaktsamhet bryter mot vissa bestämmelser i personuppgiftslagen kan enligt 49 § dömas till böter eller fängelse. Det gäller i vissa fall vid lämnande av osann uppgift i information till den registrerade eller i anmälan eller information Biobankernas behandling av personuppgifter Vidare gäller straffansvaret den som behandlar känsliga personuppgifter m.m. i strid med person- uppgiftslagen, för över personuppgifter till tredje land i strid med lagen eller låter bli att göra föreskriven anmälan till Datainspektionen. 13.2.3Patientjournaler och annan behandling av personuppgifter i hälso- och sjukvården Vid vård av patienter ska det enligt 3 kap. 1 § patientdatalagen föras patientjournal. Därutöver finns det vissa andra register som förs inom hälso- och sjukvården. Här ska det redogöras för de centrala reglerna om behandling av personuppgifter inom hälso- och sjukvården. Personuppgifter får enligt 2 kap. 4 § patientdatalagen behandlas inom hälso- och sjukvården om det behövs för 1.att fullgöra skyldigheten att föra patientjournal och upprätta annan dokumentation som behövs i och för vården av patienter, 2.administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3.att upprätta annan dokumentation som följer av lag, förordning eller annan författning, 4.att systematiskt och fortlöpande utveckla och säkra kvaliteten 5.administration, planering, uppföljning, utvärdering och tillsyn av verksamheten, eller 6.att framställa statistik om hälso- och sjukvården. Personuppgifter som behandlas för sådana ändamål får enligt 2 kap. 5 § patientdatalagen också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Dessutom gäller enligt samma bestämmelse att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. En vårdgivare får enligt 2 kap. 7 § patientdatalagen behandla endast sådana personuppgifter som behövs för de ändamål som anges i 2 kap. 4 §. Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen får endast behandlas om det är absolut nödvändigt för ett sådant ändamål. Även en vårdgivare som inte är statlig myndighet, landsting eller kommun får under dessa Biobankernas behandling av personuppgifter förutsättningar behandla uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen. En patientjournal får enligt 3 kap. 5 § patientdatalagen innehålla endast de uppgifter som behövs för de ändamål som anges i 2 kap. 4 § första stycket 1 och 2 samma lag. ska enligt 3 kap. 6 § patientdatalagen innehålla de uppgifter som behövs för en god och säker vård av patienten. Om uppgifterna finns tillgängliga, ska en journal enligt bestämmelsen alltid innehålla 1.uppgift om patientens identitet, 2.väsentliga uppgifter om bakgrunden till vården, 3.uppgift om ställd diagnos och anledning till mera betydande åtgärder, 4.väsentliga uppgifter om vidtagna och planerade åtgärder, och 5.uppgift om den information som lämnats till patienten och om de ställningstaganden som gjorts i fråga om val av behandlings- alternativ och om möjligheten till en förnyad medicinsk bedömning. ska vidare enligt denna regel innehålla uppgift om vem som har gjort en viss anteckning i journalen och när anteckningen gjordes. Dessutom får en patientjournal enligt 3 kap. 7 § i lagen innehålla de uppgifter som enligt lag eller annan författning ska antecknas i en patientjournal. I 4 kap. 1 § patientdatalagen finns en bestämmelse om inre sekretess. Där anges att den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Enligt 4 kap. 2 § ska vårdgivarna bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. I 4 kap. 3 § anges att vårdgivarna ska se till att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Vårdgivarna ska, enligt bestämmelsen, göra systema- tiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Enligt 8 kap. 5 § är vårdgivarna skyldiga att på begäran av en patient lämna information om den direktåtkomst och elektroniska åtkomst till uppgifter om patienten som förekommit. Biobankernas behandling av personuppgifter Inom hälso- och sjukvården förs dessutom kvalitetsregister. Med detta menas en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska möjliggöra jämförelse inom hälso- och sjuk- vården på nationell eller regional nivå (7 kap. 1 § patientdatalagen). Till skillnad från vad som gäller för patientjournaler får personuppgifter enligt 7 kap. 2 § patientdatalagen inte behandlas i nationella och regionala kvalitetsregister om den enskilde motsätter sig det. I nationella och regionala kvalitetsregister får personuppgifter behandlas för registrens huvudsakliga ändamål att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Personuppgifter som behandlas för dessa ändamål får också behandlas för ändamålen 1.framställning av statistik, 2.forskning inom hälso- och sjukvården, 3.utlämnande för vissa ändamål, och 4.fullgörande av viss uppgiftsskyldighet. Personuppgifterna får inte användas för något annat ändamål (7 kap. 4-6 §§ patientdatalagen). Endast sådana personuppgifter som behövs för ändamålet att utveckla och säkra vårdens kvalitet får behandlas i de nationella och regionala kvalitetsregistren. En enskilds personnummer eller namn får behandlas endast om det inte är tillräckligt för ändamålet att använda kodade personuppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde. Känsliga personuppgifter som avses i 13 § personuppgiftslagen och som inte rör hälsa samt uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen får behandlas endast om regeringen eller den myndighet som regeringen bestämmer i enskilda fall medger det (7 kap. 8 § patientdatalagen). Reglerna om blodsäkerhet och vävnadssäkerhet presenteras allmänt i kapitel 12. Den regleringen omfattar även ett flertal bestämmelser om behandling av personuppgifter, som anges här. I 16 § lagen (2006:496) om blodsäkerhet (blodsäkerhetslagen) anges ett krav på den som har tillstånd att bedriva blodverksamhet