prop · H003163 · 2013-05-24 00:00:00 — Justitiekanslern () ifrågasätter om en ordning som innebär att det ska vara vårdnadshavaren som lämnar samtycke, lämnar uppgifter och medverkar till upptagningar m.m. är förenlig med dataskyddsdirektivet. JK ifrågasätter vidare om inte förslagen från utredningen om besluts- oförmögna personers ställning i hälso- och sjukvård, socialtjänst och forskning som ska redovisas borde inväntas. Skälen för regeringens bedömning: Ett barns vårdnadshavare har enligt rätt och skyldighet att bestämma i barnets person- liga angelägenheter (6 kap. 11 § ). Barnets vårdnadshavare ska i takt med barnets stigande ålder och utveckling ta allt större hänsyn till barnets synpunkter och önskemål. Står barnet under vårdnad av två vårdnadshavare utövas vårdnaden av dem tillsammans (6 kap. 13 § ). Med den registrerade avses enligt 3 § personuppgiftslagen den som en personuppgift avser (jfr artikel 2 a dataskyddsdirektivet). Enligt 10 § personuppgiftslagen är behandling av personuppgifter tillåten bara under vissa förutsättningar. En sådan är att den registrerade har lämnat sitt samtycke till behandlingen. Den som faktiskt kan tillgodogöra sig information och som faktiskt kan avge en frivillig viljeyttring kan lämna ett rättsligt giltigt samtycke. Frågan om när någon har uppnått sådan ålder och mognad att han eller hon förstår vad samtycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare har antagits kunna lämna samtycke för den som inte kan bli informerad eller avge en viljeyttring (SOU 1997:39 s. 342, jfr och , Personuppgiftslagen en kommentar, 4:e uppl. s. 109). Datainspektionen har ansett att den som fyllt normalt är kapabel att själv ta ställning till samtyckesfrågan (Datainspektionen informerar Samtycke enligt personuppgiftslagen Personuppgiftslagen innehåller alltså inte någon särskild reglering som tar sikte på underåriga. Det finns ytterligare exempel på register- författningar som innehåller bestämmelser enligt vilka en viss behandling av personuppgifter förutsätter den registrerades samtycke för att vara tillåten, men som inte innehåller någon särskild reglering om samtycke som tar sikte på underåriga. Sådana exempel är patientdatalagen (2008:355) och lagen (2012:741) om behandling av personuppgifter vid utvärdering. I lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (bio- bankslagen) finns det däremot en uttrycklig reglering om samtycke när det gäller underåriga dels när det gäller lämnande av vävnadsprover (3 kap. 2 § och 5 kap. 3 § biobankslagen), dels när det gäller registrering av personuppgifter i (5 kap. 7 § andra stycket). Enligt den förstnämnda bestämmelsen får vävnadsprover från en underårig inte samlas in och bevaras i en biobank utan att den underåriges vårdnads- havare har informerats om avsikten och om det eller de ändamål för vilka biobanken får användas och därefter lämnat sitt samtycke. Om den underåriga har uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan gäller vad som sagts den underårige själv. Ett annat exempel är lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen), som innehåller en uttrycklig reglering om underårigas samtycke till forskning (18 §). I promemorian föreslås en bestämmelse som reglerar vem som avses med den registrerade när det är fråga om underåriga. Av bestämmelsen framgår också vad som ska gälla i fråga om samtycke när det är fråga om underåriga. Majoriteten av remissinstanserna, bl.a. Datainspektionen har inte haft någon invändning mot promemorians lagförslag i denna del. 2012/13:163 Enligt regeringens bedömning motsvarar promemorians förslag i sak det som ändå gäller enligt personuppgiftslagen i fråga om samtycke när den registrerade är underårig. Detta har också påpekats av , som anser att bestämmelsen är så självklar att den kan utgå. Regeringen delar universitets uppfattning att det inte behövs någon sär- skild bestämmelse om vad som ska gälla om den registrerade är underårig. JK ifrågasätter om inte förslagen från utredningen om beslutsoför- mögna personers ställning i hälso- och sjukvård, socialtjänst och forsk- ning borde inväntas. Regeringen konstaterar att den särskilde utredarens förslag enligt direktiven (dir. 2012:72 s. 15) inte bör omfatta underåriga, men att utredaren dock ska överväga om det, av tydlighetsskäl, finns behov av att i den sektorsspecifika lagstiftningen erinra om vad som gäller enligt beträffande samtycke för underåriga. Rege- ringen anser inte att det finns behov av att införa en sådan erinran i den nu föreslagna lagen. 5.7.2.2Information till den registrerade när han eller hon fyller Regeringens bedömning: Om en registrerad som fyllt inte dess- förinnan själv har fått information om eller samtyckt till registreringen av uppgifter om honom eller henne, får ytterligare uppgifter inte samlas in utan att den registrerade har informerats och uttryckligen samtyckt till detta. Detta följer av det föreslagna regelverket och det behövs ingen särskild bestämmelse om det. Promemorians förslag: Överensstämmer inte med regeringens bedömning. I promemorian föreslås att om en registrerad som var underårig när uppgifter lämnades eller upptagningar eller undersökningar gjordes inte själv har fått information , ska informationen lämnas till den registrerade själv från det att han eller hon har fyllt . Information behöver enligt förslaget dock inte lämnas om myndigheten inte med rimliga ansträngningar kan nå den registrerade. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. Datainspektionen anser att det är tveksamt om uppgifter som samlats in med stöd av vårdnadshavares samtycke kan fortsätta behandlas med stöd av detta samtycke när den registrerade är myndig och vårdnads- havare är behöriga att samtycka för de registrerades räkning. Det bör krävas ett samtycke av den registrerade för att fortsätta behandla uppgifterna när den registrerade blir myndig. Datainspektionen och anser att det inte bör gå att behandla uppgifter om enskilda som registrerats med stöd av vårdnadshavares samtycke om den personuppgiftsansvariga inte kan nå de registrerade när denne blir myndig och lämna information om registreringen. Detta eftersom den registrerade i dessa fall inte kan utnyttja det integritets- skydd, t.ex. rätten till rättelse, rätten till registerutdrag och rätten till 2012/13:163 utplånande av uppgifter, som enligt förslaget är en förutsättning för att registrering ska få ske. Skälen för regeringens förslag: Av avsnitt 5.7.1.1 framgår att för en underårig som inte har uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan om behandling av personuppgifter är det vårdnadshavarna som ska informeras och lämna samtycke. Eftersom den som har fyllt normalt är kapabel att själv ta ställning till samtyckesfrågan har i regel en registrerad som fyllt fått information och själv samtyckt till personuppgiftsbehandlingen före sin 18-årsdag. Datainspektionen anser att det är tveksamt om uppgifter som samlats in med stöd av vårdnadshavares samtycke kan fortsätta behandlas med stöd av detta samtycke när den registrerade är myndig och vårdnads- havare är behöriga att samtycka för de registrerades räkning. Det bör enligt inspektionen krävas ett samtycke av den registrerade för att fortsätta behandla uppgifterna när den registrerade blir myndig. Datainspektionen och anser att det inte bör gå att behandla uppgifter om enskilda som registrerats med stöd av vårdnadshavares samtycke om den personuppgiftsansvariga inte kan nå de registrerade när denne blir myndig och lämna information om registre- ringen. Detta eftersom den registrerade i dessa fall inte kan utnyttja det integritetsskydd, t.ex. rätten till rättelse, rätten till registerutdrag och rätten till utplånande av uppgifter, som enligt förslaget är en förutsättning för att registrering ska få ske. Information ska enligt den föreslagna lagen lämnas före det att ett uttryckligt samtycke inhämtas. Regeringen gör bedömningen att ett uttryckligt samtycke som har lämnats av vårdnadshavarna för en under- årigs medverkan i registren och som inte har återkallats av föräldrarna eller den underårige är giltigt även efter det att den registrerade har fyllt (jfr och , Personuppgiftslagen en kommentar, 4:e uppl. s. 109). Regeringen anser därför att en sådan bestämmelse som föreslås i promemorian inte är nödvändig. Efter den registrerades 18 års- dag får dock naturligtvis inte ytterligare uppgifter om den registrerade samlas in utan att den enskilde såväl informerats som uttryckligen samtyckt till behandling av sådana uppgifter. Den registrerade kan vidare utnyttja alla sina rättigheter beträffande de tidigare insamlade upp- gifterna, t.ex. rätten att begära att de ska utplånas. Några särskilda bestämmelser om detta behöver dock inte införas i lagen, utan det följer av de övriga bestämmelser som regeringen har föreslagit. Information om utlämnande av uppgifter till forskningsprojekt och rätten att få person- Regeringens förslag: Den registrerade ska ha rätt att på begäran få information om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut. Den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska utplånas. En sådan begäran ska göras skriftligen hos den personuppgiftsansvarige och vara under- tecknad av den registrerade själv. Om begäran innefattar utplåning av uppgifter om till vilka forskningsprojekt uppgifter om den registrerade har lämnats ut, ska detta särskilt anges. Den personuppgiftsansvarige ska från det att begäran gjordes utplåna uppgifterna i enlighet med begäran och sända den registrerade en bekräftelse på att så har skett. Om den registrerade inte har begärt utplåning även av uppgifterna om till vilka forsknings- projekt som uppgifter om honom eller henne har lämnats ut, ska en kopia på dessa uppgifter bifogas bekräftelsen med en påminnelse om att den registrerade även har rätt att begära att få dem utplånade. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Enligt promemorian ska den personuppgiftsansvarige för varje registrerad föra anteckningar om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. läns landsting har anfört att om anteckningar om vilka forsk- ningsprojekt som uppgifterna lämnats ut till ska fylla någon funktion måste rimligen även samtliga uppgifter som identifierar personen ifråga kvarstå i registret oaktat en begäran om utplåning. läns landsting ifrågasätter att utplåning av uppgifter i registret verkligen görs om det fortfarande sparas väsentlig information på individnivå. anser att möjligheten för den enskilde att få sina uppgifter raderade är viktig ur integritetssynpunkt men att det innebär att innehållet i registren därmed inte hålls intakt och att man aldrig kan gå tillbaka och granska en forskares underlag, t.ex. vid utredningar om forskningsfusk, eftersom uppgifter kan ha raderats i mellantiden, tillsammans med uppgifterna om vilka forskningsprojekt de lämnats ut till. påpekar att den enskilde kan begära att få sina uppgifter i registret utplånade, men att de uppgifter som redan har skickats iväg för forskningsändamål kommer att finnas kvar där. Det innebär att det fortfarande finns möjligheter att kontrollera de uppgifterna i ett forskningsprojekt. har anfört att det är sällsynt att någon begär att få sina uppgifter utplånade i den nu aktuella typen av studier. anser att förslaget innebär en stor administrativ omgång för varje universitet och högskola som har upprättat en forskningsdatabas i enlighet med den nya lagen och ifrågasätter det egentliga syftet och nyttan med en sådan ordning. Skälen för regeringens förslag: Behandlingen av personuppgifter i register som förs med stöd av den föreslagna lagen ska, som redan har nämnts, vila på frivillig grund. Därför bör den registrerade alltid ha rätt att på begäran få uppgifter i registret om honom eller henne utplånade. För att säkerställa att det är rätt person som gör begäran bör den vara skriftlig och undertecknad av den registrerade själv. Det motsvarar vad som gäller för att få ett s.k. registerutdrag enligt 26 § personuppgifts- lagen. De uppgifter om den registrerade som den personuppgiftsansvarige redan har lämnat ut för viss forskning har den personuppgiftsansvarige däremot inte längre någon kontroll över. ningen av behandlingen av personuppgifter i det mottagande forsknings- projektet kan dock ha förenats med bl.a. villkor om strykningsrätt så att den registrerade efter begäran hos forskningshuvudmannen kan få upp- gifterna utplånade (prop. 2007/08:44 s. 26). Det är därför viktigt att den registrerade kan få reda på för vilka forskningsprojekt som uppgifter om honom eller henne har lämnats ut. I promemorian föreslås att den personuppgiftsansvarige för varje registrerad ska föra anteckningar om till vilka forskningsprojekt upp- gifter om honom eller henne har lämnats ut samt att den personuppgifts- ansvarige ska vara skyldig att på begäran av den registrerade lämna ut dessa anteckningar till honom eller henne. Det föreslås vidare att sådana anteckningar får registreras. Förslaget kan tolkas som att anteckningarna måste föras på individnivå. Regeringen anser att det väsentliga i förslaget är att den enskilde har rätt att på begäran få information om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut samt att det är detta som bör komma till uttryck i lagtexten. Regeringen anser att den personuppgiftsansvarige själv bör få avgöra på vilket sätt upp- gifter bör registreras för att kunna tillgodose denna rättighet. läns landsting har anfört att om anteckningar om vilka forsk- ningsprojekt som uppgifterna lämnats ut till ska fylla någon funktion måste rimligen även samtliga uppgifter som identifierar personen ifråga kvarstå i registret trots en begäran om utplåning. Regeringen delar inte denna uppfattning. Förslaget, såväl i promemorian som i propositionen, innebär att om en registrerad, som har begärt att uppgifter om honom eller henne i registret ska utplånas, särskilt begär det ska även uppgifter om till vilka forskningsprojekt som uppgifter om honom eller henne har lämnats ut, utplånas. Vid en begäran om utplåning ska vidare den personuppgiftsansvarige vara skyldig att från det att begäran gjordes dels utplåna uppgifterna, dels sända den registrerade en bekräftelse på att så har skett. Om den registrerade inte särskilt har begärt att även uppgifter om till vilka forskningsprojekt som uppgifter om honom eller henne har lämnats ut ska utplånas, ska en kopia på dessa uppgifter bifogas till bekräftelsen med en påminnelse om att den registre- rade även har rätt att få dessa utplånade. Bestämmelserna om utplånande är sådana bestämmelser om gallring som enligt 10 § tredje stycket arkivlagen tar över skyldigheten enligt den lagen att bevara allmänna handlingar. Bestämmelserna innebär att de registrerade uppgifterna ska förstöras så att de inte går att återskapa. Det är således inte tillåtet att t.ex. skriva ut datalagrade uppgifter och spara dessa på papper och sedan förstöra det datalagrade. anser att möjligheten för den enskilde att få sina uppgifter raderade är viktig ur integritetssynpunkt men att det innebär att innehållet i registren därmed inte hålls intakt och att man aldrig kan gå tillbaka och granska en forskares underlag, t.ex. vid utred- ningar om forskningsfusk, eftersom uppgifter kan ha raderats i mellan- tiden, tillsammans med uppgifterna om till vilka forskningsprojekt de har lämnats ut. har anfört är det sällsynt att någon begär att få sina uppgifter utplånade i nu aktuell typ av studier. De nu aktuella registren kommer vidare att föras med samtycke och det är därför sannolikt att bortfallet i registret inte blir särskilt stort. Den typ av forskning som kommer att använda sig av de aktuella registren bygger vidare sina slutsatser på ett stort befolkningsunderlag och bortfall av Prop. 2012/13:163 enstaka individer lär knappast påverka utfallet av resultatet. Mot denna bakgrund anser regeringen att övervägande skäl talar för att integritetsintresset bör få företräde framför insynsintresset och att en registrerad bör ha en rätt att få uppgifter om honom eller henne utplå- nade. Vid ett eventuellt framtida överlämnande av uppgifter från registret till en arkivmyndighet övergår hela ansvaret för materialet till arkiv- myndigheten. Detta följer av 9 § tredje stycket arkivlagen. Detta innebär att arkivmyndigheten även måste hantera en eventuell begäran av den registrerade att utplåna dennes personuppgifter. Regeringens bedömning: Det bör inte finnas en skyldighet för den personuppgiftsansvarige att lämna information till den enskilde om hans eller hennes hälsotillstånd. Promemorians förslag: Överensstämmer inte med regeringens bedömning. I promemorian föreslås att om det vid behandling av personuppgifter enligt den föreslagna lagen kan antas att en underrättelse krävs för att en registrerad ska få nödvändig förebyggande åtgärd, vård eller sjukdomsbehandling för ett allvarligare sjukdomstillstånd, ska den personuppgiftsansvarige genast lämna en sådan underrättelse till den registrerade. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. anser att förslaget om underrättelseskyldighet innebär en radikal avvikelse från det som har varit etablerad internationell forskningspraxis, och där det uppfattas som oetiskt att forskare direkt kontaktar personer som i annat syfte donerat blodprover eller fyllt i frågeformulär. anser vidare att handläggningen av denna typ av ärende rimligen är en fråga för ansvarig läkare, etik- prövningsnämnd eller ansvarig forskare att ta ställning till och verkställa. påminner om att inte står under sjukvårdshuvudmannens lagstiftning och inte heller kan utkrävas ansvar i enlighet med de ansvarsbestämmelser som tillkommer sjukvårdshuvud- mannen. menar att det, mot bakgrund av att det är den personuppgiftsansvarige som har bevisbördan i vad mån underrättelse- skyldigheten har fullgjorts, måste framgå vad som menas med allvar- ligare sjukdomstillstånd. Cancerfonden anser att information om oväntad sjukdom är en forsk- ningsetiskt kontroversiell fråga, i synnerhet när den som får under- rättelseskyldigheten inte själv representerar hälso- och sjukvården. Lag- förslagets definition av begreppet allvarliga sjukdomstillstånd som tillstånd som kan leda till en mer påtaglig sänkning av livskvaliteten leder enligt Cancerfonden till gränsdragningsproblematik, eftersom vi alla bär på en mer eller mindre uttalad t.ex. genetisk mottaglighet för Cancerfonden finner det dessutom oklart i vilken mån 2012/13:163 denna underrättelseskyldighet följer med data från registret även vid senare bruk av forskare inom forskningsprojekt. Cancerfonden undrar om graden av underrättelseskyldighet i stället för att vara absolut skulle kunna regleras eller specificeras i det underliggande samtycket. frågar när, hur och av vem avvikande värden ska hanteras. Det kan vara problematiskt att det är den person- uppgiftsansvarige som ska skicka ett sådant meddelande till en enskild person. lyfter också frågor kring under- rättelseskyldighet när det gäller underåriga som inte har fått information om att de finns registrerade eller när det handlar om sjukdomar som det inte finns behandling för. Skälen för regeringens bedömning: Promemorian innehåller ett för- slag om en underrättelseskyldighet för den personalansvarige i förhållande till den registrerade, om det vid personuppgiftsbehandlingen kan antas att en underrättelse krävs för att den registrerade ska få nödvändig förebyggande åtgärd, vård eller sjukdomsbehandling för ett allvarligare sjukdomstillstånd. Vissa remissinstanser har ifrågasatt att en sådan underrättelse ska lämnas av den personuppgiftsansvarige. menar att det i stället är en fråga för ansvarig läkare, etikprövningsnämnd eller ansvarig forskare att ta ställning till och verk- ställa. Register som kommer att föras enligt den föreslagna lagen kommer att innehålla en stor mängd uppgifter om de registrerades hälsotillstånd. Det kommer att vara fråga om uppgifter som den enskilde själv lämnat, men det kan också vara fråga om uppgifter som kommit fram vid under- sökningar och upptagningar eller vid senare analys av dessa. Det kommer bl.a. att vara information som normalt förekommer vid vanliga hälso- undersökningar, t.ex. kostvanor, blodtryck, syn och hörsel. Dessutom kommer vissa resultat från genetiska analyser att kunna registreras under förutsättning att regeringen eller den myndighet som regeringen bestäm- mer meddelar föreskrifter om det. Det innebär att många uppgifter i registret är av sådan art att den enskilde normalt kan få samma informa- tion vid en hälsoundersökning inom hälso- och sjukvården. Det får för- utsättas att de nu aktuella undersökningarna, även om de utförs utanför hälso- och sjukvården, utförs av legitimerad hälso- och sjukvårdsper- sonal, samt att den som utför undersökningen, om den så anser befogat, kommer att föra en dialog med den registrerade om undersökningens resultat. De resultat som förs in i registret efter genomgången analys kommer att finnas tillgängliga för den enskilde som har möjlighet att begära ut sina uppgifter ur registren. Regeringen instämmer i den kritik som riktats mot förslaget om en underrättelse- skyldighet för den personuppgiftsansvarige i förhållande till den registrerade och anser att en sådan skyldighet inte bör införas. Regeringens förslag: Bestämmelserna i personuppgiftslagen om skadestånd ska tillämpas på motsvarande sätt i fråga om behandling av personuppgifter som har skett i strid med den föreslagna lagen. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har kommenterat förslaget. Skälen för regeringens förslag: På det sätt som är brukligt i särskilda registerförfattningar bör det i den föreslagna lagen föreskrivas att bestämmelserna i personuppgiftslagen om skadestånd ska tillämpas i fråga om behandling av personuppgifter som har skett i strid med den Skadeståndsansvaret enligt 48 § personuppgiftslagen gäller nämligen endast för behandling av personuppgifter i strid med Bestämmelsen i den föreslagna lagen bör, i likhet med bestämmelsen om rättelse och av motsvarande skäl som har angivits i avsnitt 5.6, formuleras på ett sådant sätt som Lagrådet har föreslagit. Lagrådet har vidare ställt sig till frågande till om det inte bör göras ett undantag för bestämmelsen om jämkning i 48 § andra stycket person- uppgiftslagen med hänsyn till den mycket känsliga karaktären hos de register som avses i den föreslagna lagen. Regeringen konstaterar att det finns ett flertal särskilda registerförfattningar som reglerar behandling av känsliga personuppgifter där personuppgiftslagens bestämmelser om skadestånd har gjorts tillämpliga på behandling av personuppgifter i strid med den särskilda registerförfattningen, utan att jämkningsbestämmelsen Jämkningsbestämmelsen är vidare mycket strängt utfor- mad, strängare än vad som krävs enligt det s.k. dataskyddsdirektivet (95/46/EG) som ligger till grund för personuppgiftslagen. bestämmelsen lämnar således bara utrymme för jämkning när den personuppgiftsansvarige kan visa att det inte är dennes fel att uppgifterna har behandlats i strid med lagen och endast i den utsträckning det är Mot denna bakgrund anser regeringen att det inte bör göras undantag från denna bestämmelse. Offentlighetsprincipen och offentlighets- och sekretesslagen I register som kommer att föras enligt den lag som föreslås i avsnitt 5 kan bl.a. uppgifter om mat- och motionsvanor, sjukdomar, hälsotillstånd i övrigt samt genetisk information föras in. Det är alltså fråga om sådana personuppgifter som typiskt sett är av mycket känslig natur.