sou · H2B345 · 2014-06-25 00:00:00 — Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjlig- heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga uppgifterna är. Bestämmelsen behandlas i avsnitt 9.4.23. Paragrafen gäller gallring av personuppgifter i en forskningsdatabas. Personuppgifter som inte längre behövs för ändamålen att utgöra underlag för olika forskningsprojekt och för att lämnas ut till forsk- ningsprojekt som godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor ska gallras om inte regeringen eller den myndighet som regeringen bestämmer har meddelat före- skrifter om eller i ett särskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen innebär att uppgifterna ska utplånas eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. Uppgifterna får med andra ord inte längre utgöra personuppgifter i personuppgiftslagens (1998:204) bemärkelse. Paragrafen utgör en sådan bestämmelse om gallring i annan författning som enligt 10 § tredje stycket arkivlagen (1990:782) ska gälla före arkivlagens bestämmelser om bevarande av allmänna handlingar. Bestämmelsen innebär att personuppgifter i en forskningsdatabas ska förstöras när den inte längre behövs för de primära ändamålen. Eftersom ändamålet är att utgöra underlag för framtida forskning medger det i sig att uppgifterna vanligtvis kan bevaras . Det kan dock uppstå att situationer där det framgår att uppgifter- na inte kommer att vara användbara för framtida forskning. De ska då som huvudregel gallras. Bestämmelserna om gallring blir också aktuella vid avvecklingen av en databas. Personuppgifterna i databasen ska då som huvud- regel gallras, om inte särskilda föreskrifter eller ett särskilt beslut om bevarande finns. Paragrafen gäller även för sådana kodnycklar som behandlas i 9 §. När den föreskrivna passerat och förlängning inte begärts ska de som huvudregel gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett särskilt fall beslutat att de ska bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen behandlas i avsnitt 9.4.24. I paragrafen anges att 26 § personuppgiftslagen (1998:204) om in- formation efter ansökan inte gäller i fråga om personuppgifter som inte direkt kan hänföras till en person. Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande be- handlas eller inte. För att stärka integritetsskyddet ska som huvud- regel uppgifter i en forskningsdatabas som hämtats från myndig- hetsregister behandlas i anonymiserad form. Ett informationskrav enligt 26 § personuppgiftslagen skulle dock innebära att den person- uppgiftsansvarige skulle vara tvungen att identifiera enskilda personer i materialet. Bestämmelsen slår fast att informationskravet i 26 § personuppgiftslagen inte gäller i de fall den personuppgiftsansvarige inte själv har möjlighet att identifiera enskilda individer i materialet. Bestämmelsen behandlas i 9.4.26. I bestämmelsen anges vilken information den enskilde har rätt till när uppgifter samlas in direkt från den enskilde. Informationen ska lämnas innan samtycke ges. I personuppgiftslagen (1998:204) finns inga särskilda regler om vem som kan lämna ett giltigt samtycke. Den som faktiskt kan till- godogöra sig informationen och som faktiskt kan avge en frivillig viljeyttring anses kunna lämna samtycke. För underåriga gäller som huvudregel bestämmelser. Av 6 kap. 11 § föräldra- balken följer att den som är underårig och inte själv kan tillgodogöra sig information och ta ställning till frågan företräds av sin vårdnads- havare. Om det finns två vårdnadshavare ska båda få information och lämna samtycke. Är en av vårdnadshavarna till följd av frånvaro, sjukdom eller annan orsak förhindrad att ta del av beslutet sam- tycke och kan detta inte utan olägenhet uppskjutas kan samtycket lämnas av den andre ensam (6 kap. 13 § ). I avsnitt 9.4.25. anges närmare vilken information som ska lämnas. Bestämmelsen är inte uttömmande. Om det i något fall framkom- mer att det är lämpligt att någon ytterligare information än den som anges i bestämmelsen bör ges kan det anges i den särskilda förordning som ska gälla för respektive forskningsdatabas. I paragrafen finns en bestämmelse om rättelse och skadestånd. Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid överträdelser av den lagen. Genom denna bestämmelse görs personuppgiftslagen bestämmelser tillämpliga på motsvarande sätt i fråga om personuppgifter som har behandlats i strid med denna lag. Bestämmelsen behandlas i 9.4.27. I paragrafen anges att den som bryter mot förbudet mot olovlig identifiering i 13 § ska dömas för olovlig identifiering till böter eller fängelse i högst , om gärningen inte är belagd med straff i eller personuppgiftslagen (1998:204). Om uppgifterna som framkommit om den enskilde till exempel har använts för att utsätta någon för ärekränkning ska således bestämmelserna i 5 kap. tillämpas. Vidare finns bestämmelser om straff i 49 § personuppgiftslagen. Enligt bestämmelsen ska det i ringa fall inte dömas till ansvar. Vad som avses med ringa får bedömas med hänsyn till samtliga om- ständigheter i det enskilda fallet. Vid bedömningen kan till exempel vägas in uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som bakvägsidentifieringen inneburit. Bestämmelsen behandlas i 9.4.22. Bestämmelsen innehåller upplysning om vilka föreskrifter regeringen kan meddela när det gäller forskningsdatabaser. Regeringen får för det första meddela ytterligare föreskrifter om vilka statliga univer- sitet och högskolor eller andra statliga myndigheter som får föra forskningsdatabaser enligt denna lag och vilka forskningsdatabaser enligt lagen som får föras. Regeringen får vidare meddela begräns- ning av ändamål för vilka personuppgifter får behandlas och vilka uppgifter som en forskningsdatabas enligt 9 § får innehålla. Rege- ringen får vidare meddela begränsningar av behandling av uppgifter i en forskningsdatabas. Detta innefattar bland annat vilka källor uppgifterna i databasen ska hämtas från och vilken information den personuppgiftsansvarige ska vara skyldig att lämna till den som registreras i forskningsdatabasen. Regeringen får också meddela be- gränsningar vid behandling genom utlämnande av uppgifter från en forskningsdatabas, till exempel att endast anonymiserade uppgifter får lämnas ut till ett enskilt forskningsprojekt. Regeringen får också meddela bestämmelser om uppgiftsskyldighet för myndigheter avseende uppgifter till en forskningsdatabas och begränsningar i rätten till intern elektronisk åtkomst. Bestämmelsen regleras i avsnitt 9.4.29. 12.6Förslaget till lag om I paragrafen anges att får utföra helt eller delvis automatiserad behandling av uppgifter i Nationella biobanks- registret. Med behandling avses enligt 3 § personuppgiftslagen (1998:204) varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller änd- ring, återvinning, inhämtande, användning, utlämnande genom över- sändande, spridning eller annat tillhandahållande av uppgifter, sam- manställning eller samkörning, blockering, utplåning eller förstöring. Personuppgift definieras i 3 § personuppgiftslagen som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Ett vävnadsprov enligt lagen (2002:297) om biobanker i hälso- och sjukvåden m.m. kan emellertid vara hämtat både från levande och avlida personer samt . Även uppgifter om prover från avlidna och ännu inte födda personer får behandlas av i . Lagen ska avse behandling av uppgifter som är helt eller delvis automatiserad. Av bestämmelsen framgår att registret ska heta Nationella bio- banksregistret. Bestämmelsen behandlas i avsnitt 9.5.14.2. I paragrafen framgår att är personuppgiftsansvarig för behandlingen av personuppgifter i . Personuppgiftsansvarig är enligt 3 § personuppgiftslagen (1998:204) den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den person- uppgiftsansvarige ansvarar också för att behandlingen i övrigt är förenlig med denna lag och personuppgiftslagens bestämmelser. Bestämmelsen behandlas i avsnitt 9.5.14.3 Paragrafen reglerar hur lagen förhåller sig till personuppgiftslagen (1998:204). Enligt 2 § personuppgiftslagen gäller bestämmelser i annan lag eller i en förordning som avviker från denna lag framför bestämmelserna i personuppgiftslagen. Av förevarande bestämmelse följer att personuppgiftslagens bestämmelser gäller vid behandling av personuppgifter, om inte annat följer av lagen eller föreskrifter som meddelats med stöd av lagen. Bestämmelsen behandlas i avsnitt 9.5.14.5. Paragrafen innehåller bestämmelser om den enskildes inställning till registrering av personuppgifter i . Be- stämmelsen avser uppgift om vävnadsprover i biobanker enligt 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m., det vill säga en biobank som inrättats i i en vårdgivares hälso- och sjukvårdsverksamhet eller vävnadsprover från en sådan bio- bank, vilka lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person och vilka även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Bestämmelsen är inte tillämplig på prover som rutinmässigt tas i vården för analys och som ute- slutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas . I bestämmelsen görs skillnad mellan uppgifter om vävnadsprover i en biobank som redan har samlats in och behandlas vid lagens ikraft- trädande och sådana som samlas in och behandlas först efter lagens ikraftträdande. Enligt första stycket får uppgifter om vävnadsprover i en biobank som behandlas när lagen träder i kraft inte behandlas i om den registrerade motsätter sig det. Det innebär att uppgifterna om proverna får föras över till Nationella biobanks- registret utan den enskildes samtycke. Om den registrerade motsätter sig behandling ska hans eller hennes uppgifter strykas Detta så kallade optout-system kräver således inte den enskildes samtycke för registrering men ger alltid den enskilde rätt att motsätta sig fortsatt behandling. Bestämmelsen hindrar inte att samtycke inhämtas från den enskilde om det är möjligt. Särskilda bestämmelser gäller enligt 5 § för underåriga. Enligt andra stycket får uppgifter om vävnadsprover från en biobank som börjar behandlas efter det att lagen trätt i kraft inte registreras i utan att den som uppgifter- na avser uttryckligen har samtyckt till det. Med samtycke avses här detsamma som i personuppgiftslagen (1998:204) det vill säga varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det finns inget krav på att samtycket ska vara skriftligt. I kravet att det ska vara en otve- tydig viljeyttring ligger att dock att samtycket ska ha kommit till uttryck på något sätt som en utomstående kan iaktta. För att det inte ska råda något tvivel om vad den enskilde har samtyckt till kan det vara lämpligt att samtycket avges skriftligen. Vilken informa- tion den enskilde ska ha fått del av innan han eller hon avger sitt samtycke anges i 12 §. Särskilda bestämmelser gäller enligt 5 § för underåriga. Bestämmelsen behandlas i avsnitt 9.5.14.6. I paragrafen regleras registrering av uppgifter som rör underåriga i . I bestämmelsens första stycke slås fast att uppgifter om vävnads- prover i en biobank enligt lag (2002:297) om biobanker i hälso- och sjukvården m.m. som avser en underårig som behandlas när denna lag träder i kraft inte får behandlas i om den underåriges vårdnadshavare motsätter sig det. När det gäller uppgifter om vävnadsprover i en biobank enligt biobankslagen som avser en underårig och som börjar behandlas efter ikraftträdandet av denna lag gäller enligt andra stycket att registre- ring inte får ske utan att den underåriges vårdnadshavare har fått sådan information som anges i 12 § och därefter lämnat sitt samtycke. Av tredje stycket framgår att om den underårige uppnått en sådan ålder och mognad att han eller hon kan ta ställning till frågan gäller vad som sagt den underårige själv. Personuppgiftslagen (1998:204) innehåller inte någon särskild reglering när det gäller underåriga. 10 § personuppgiftslagen föreskrivs att personuppgiftsbehandling endast är tillåten under vissa förutsättningar, bland annat att den registrerade har lämnat sitt samtycke till behandlingen. Den som faktiskt kan tillgodogöra sig information och som faktiskt kan avge en frivillig viljeyttring anses kunna lämna ett rättsligt giltigt sam- tycke. Frågan om när någon har uppnått sådan ålder och mognad att han eller hon förstår vad samtycket innebär får avgöras med beaktande av omständigheterna i varje särskilt fall. Föräldrar och andra ställ- företrädare har antagits kunna lämna samtycke för den som inte kan bli informerad eller avge en viljeyttring. Enligt Datainspektionen kan den som är underårig lämna giltigt samtycke till en tilltänkt be- handling om han eller hon är kapabel att förstå innebörden av sam- tycket. Huruvida även den underåriges vårdnadshavare måste lämna sitt samtycke varierar från fall till fall och beror på faktorer som ålder, uppgifternas art och ändamålet med behandlingen. Data- inspektionen har ansett att den som fyllt normalt är kapabel att själv ta ställning till samtyckesfrågan. Bestämmelsen behandlas i avsnitt 9.5.14.7. I paragrafen anges för vilka primära ändamål uppgifter i får behandlas. Ändamålsbestämmelsen är av central betydelse, eftersom den anger den allmänna ramen för registrets innehåll och vad det får användas till. Det är den personuppgiftsansvarige som har ansvar för att upp- gifterna i registret behandlas i enlighet med registrets ändamål. Bestämmelsen gäller den personuppgiftsbehandling som ska ut- föras i . För behandling av personupp- gifter avseende vävnadsprover inom hälso- och sjukvåden eller i forskningsverksamhet gäller patientdatalagen (2008:355) och person- uppgiftslagen (1998:204). Personuppgifter i får behandlas för att säkerställa spårbarhet för vävnadsprover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjuk- vården m.m. för vissa i bestämmelsen angivna syften. Det huvud- sakliga ändamålet med är således att göra det möjligt att lokalisera var ett specifikt vävnadsprov förvaras. Med vävnadsprov avses detsamma som i 1 kap. 2 § lagen om bio- banker i hälso- och sjukvården m.m., det vill säga biologiskt material Bestämmelsen omfattar både uppgifter som i person- uppgiftslagen betecknas som känsliga och andra personuppgifter. Enligt första punkten får uppgifter behandlas för att säkerställa spårbarhet för vävnadsprover i syfte att möjliggöra vård och behand- ling av den registrerade. Exempel på när prov kan behöva sökas för vårdändamål är om en patient har vårdats på olika håll i landet eller vid misstanke om ärftliga sjukdomar som fordrar utredning av släk- tingars prover. Att hitta prover för kvalitetssäkringsändamål är också viktigt i vårdsammanhang, exempelvis för att hitta referensprover med en sällsynt blodgrupp eller en ovanlig antikropp eller för att hitta alla gynekologiska cellprover på en patient som senare utvecklat cancer. Av andra punkten framgår att uppgifter i registret får behandlas i syfte att göra det möjligt att hitta prover som behövs för forskning, kvalitetssäkring och framställning av statistik. När det gäller forsk- ning gör registret det till exempel möjligt att hitta prover för en grupp personer med en viss sjukdom eller prover från samma person som tagits vid olika tillfällen. Registret gör det också möjligt att ta reda på vilka som motsatt sig att deras vävnadsprover används för forskning. För forskning som innefattar behandling av känsliga per- sonuppgifter gäller krav på etikgodkännande enligt 13 och 19 §§ i personuppgiftslagen och lagen (2003:460) om etikprövning av forsk- ning som avser människor. Enligt 31 § hälso- och sjukvårdslagen (1982:763) ska kvaliteten inom hälso- och sjukvåden systematiskt och fortlöpande utvecklas och säkras. Uppgifterna i registret ska kunna användas för sådant ändamål. Bestämmelsen gör det också möjligt att behandla personuppgifter för statistikändamål, till exem- pel för statistikproduktion. I tredje punkten anges att uppgifter i registret får behandlas i syfte att möjliggöra förstörande eller avidentifiering av vävnadsprover när den registrerade återkallat sitt samtycke. Av 3 kap. 1 § lagen om biobanker i hälso- och sjukvården m.m. följer att vävnadsprover endast får samlas in och bevaras i en biobank om provgivaren lämnat sitt samtycke. Samtycket kan när som helst återkallas och avser åter- kallelsen all användning ska provet ska förstöras eller avidentifieras. ska göra det möjligt att samla de registre- rades samtycken centralt för att enklare kunna hitta vävnadsprover oavsett var i landet provet förvaras i de fall den enskilde återkallar sitt samtycke. Med avidentifiering menas i detta sammanhang att kopplingen mellan person och vävnadsprov tas bort så att det inte längre går att härleda vem provet är taget från. Bestämmelsen behandlas i avsnitt 9.5.14.10. I första meningen anges att anges att uppgifter, utöver vad som anges i 6 §, får lämnas ut om det finns en skyldighet i lag att göra det. Sådan skyldighet kan till exempel uppkomma enligt reglerna om allmänna handlingar och offentlighetsprincipen i tryckfrihetsför- ordningen. Utlämnande av uppgifter med stöd av bestämmelserna i tryckfrihetsförordningen kan ske utan hinder av bestämmelserna i personuppgiftslagen (1998:204). Det följer av 8 § första stycket personuppgiftslagen. Ett annat exempel är skyldighet att enligt 43 § personuppgiftslagen lämna uppgifter i samband med Datainspek- tionens tillsyn av personuppgiftsbehandlingen. Av andra meningen framgår genom en hänvisning till person- uppgiftslagen att den så kallade finalitetsprincipen gäller vid person- uppgiftsbehandling enligt lagen. Enligt principen, som framgår av 9 § första stycket d personuppgiftslagen, får personuppgifter inte lämnas ut för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Av andra stycket samma bestämmelse fram- går att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. Bestämmelsen medför att uppgifter i alltid får behandlas för historiska, statsistiska och vetenskapliga ändamål, oavsett för vilket ändamål uppgifterna ursprungligen samlades in. Bestämmelsen behandlas i avsnitt 9.5.14.10. Paragrafen anger vilka uppgifter får innehålla. Enligt första punkten får uppgift om provgivarens identitet re- gistreras. Med identitet avses namn, personnummer eller samord- ningsnummer eller koder som ersätter dessa uppgifter. Till identitets- uppgifter hör också kontaktuppgifter till den registrerade, såsom adress, telefonnummer och mailadress. Av andra punkten framgår att uppgift om vilka andra personer som har att ta ställning till bevarande av vävnadsprover får registreras. Det gäller främst identitetsuppgift för vårdnadshavare till en person som inte själv kan lämna ett giltigt samtycke. Med identitetsuppgift avses detsamma som i första punkten. I tredje punkten anges att uppgift om ställningstagande till beva- rande av vävnadsprover får registreras. Det handlar om alla typer av ställningstagande avseende vävnadsprover, såsom att provgivaren lämnat sitt samtycke till att vävnadsprovet bevaras och används för samtliga de ändamål för vilka en biobank får användas enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. eller att vävnadsprover endast får bevaras och användas för vissa ändamål. Det kan också avse uppgift om att provgivaren motsatt sig bevarande av vävnadsprover eller att det saknas uppgift om provgivarens ställ- ningstagande, vilket kan vara aktuellt om patienten var oförmögen att lämna samtycke vid provtagningstillfället. Enligt fjärde punkten får uppgift om provets identitet, karaktär och hantering registreras. Med provets identitet avses uppgift om provernas koder eller andra identitetsbeteckningar. Uppgift om pro- vets karaktär avser till exempel information om var på kroppen provet är taget och vilket material som proverna består av. Med begreppet avses också vilken provtagningsmetod som använts och hur proverna är lagrade, till exempel uppgift om i vilken temperatur provet förvaras. Bestämmelsen tillåter även att uppgifter om provets hantering registreras. I begreppet innefattas uppgift om när provet togs, var det förvaras, till vem det har överlämnats och övriga upp- gifter om utlämnande, överlåtelse, förstörande eller avidentifiering. När vävnadsprover har lämnats ut för forskningsändamål bör forsk- ningsstudien anges. För att möjliggöra spårbarhet av vävnadsprover får även enligt femte punkten uppgift om vem som behandlar vävnadsprover eller uppgifter om vävnadsprover registreras. Det kan gälla uppgift om vem som har tagit ett prov, vem som har beställt en analys av ett prov, vem som utfört analysen av provet eller vem som hanterar provet i samband med preparering eller förvaring av provet. Uppgift om till vem vävnadsprov utlämnats eller överlåtits får enligt sjätte punkten registreras i . Av sjunde punkten följer att uppgift om diagnos och analys- resultat får registreras i registret. Med diagnos avses en bestämning och benämning av sjukdom, skada, störning eller förändring i kropps- funktion. Diagnosen anges vanligen i form av en diagnoskod, en statistisk kod för klassificering av sjukdomar och relaterade hälso- problem. Denna klassifikation kan även innehålla symtom, onormala fynd och besvär. Bestämmelsen behandlas i avsnitt 9.5.14.11. Paragrafen reglerar vilka sökbegrepp som får användas vid sökning i . Av bestämmelsen följer att det inte finns någon begränsning av att använda uppgifter i registret som sök- begrepp. Bestämmelsen behandlas i avsnitt 9.5.14.12. Av paragrafen följer att har ansvar för att begränsa sina anställdas och uppdragstagares elektroniska åtkomst till person- uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om . Med upp- dragstagare avses bland annat personuppgiftsbiträde enligt 3 § person- uppgiftslagen (1998:204). Syftet med begränsningen är att stärka skyddet för den personliga integriteten genom att se till att upp- gifterna i registret sprids till så få personer som möjligt. Utöver denna bestämmelse gäller personuppgiftslagens regler om lämpliga säker- hetsåtgärder vid personuppgiftsbehandling (30–31 §§). Av dessa bestämmelser framgår bland annat att den eller de personer som arbetar under den personuppgiftsansvariges ledning bara får behandla personuppgifter i enlighet med instruktioner från den personupp- giftsansvarige. Det framgår också att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjlig- heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga uppgifterna är. Bestämmelsen behandlas i avsnitt 9.5.14.14.