sou · H5B366 · 2017-08-31 00:00:00 — I avsnitt 10.1.17 under rubriken information som ska läm- nas självmant konstaterar utredningen att det inte framkommit att det skulle innebära några beaktansvärda svårigheter för personupp- giftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförord- ningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför, som anges i avsnitt 9.15.2, inte anledning att överväga en begränsning av de registrerades nya rättig- heter. Utredningen föreslår därför att nu gällande krav på information till registrerade i 7 kap. 3 § tas bort i den utsträckningen de mot- svarar eller begränsar krav på information som gäller enligt data- skyddsförordningen. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelserna om kvalitetsregis- ters ändamål i 7 kap. 4–6 §§ patientdatalagen är förenliga med dataskyddsförordningen och kan och bör behållas. Även be- gränsningen av tillåtna ändamål kan behållas. I 7 kap. 4–6 §§ patientdatalagen anges för vilka ändamål person- uppgifter får behandlas i kvalitetsregister. Personuppgifter får en- ligt 7 kap. 4 § patientdatalagen behandlas för ändamålet systematisk och fortlöpande utveckling och kvalitetssäkring av vården. Person- uppgifter som behandlas för sådana ändamål får enligt 7 kap. 5 § även behandlas för ändamålen statistikframställning, forskning samt utlämnande av uppgifter för något av angivna ändamål eller för fullgörande av uppgiftsskyldighet enligt lag eller förordning. Utredningen har gjort bedömningen att stora delar av den be- handling av personuppgifter som utförs enligt patientdatalagen görs för att fullgöra en rättslig förpliktelse. När det gäller behand- ling i kvalitetsregister är det mer tveksamt om sådan behandling kan anses ske med stöd av grunden fullgörande av en rättslig för- pliktelse, i vart fall när det gäller ändamålen att systematiskt och fortlöpande utveckla och kvalitetssäkra vården enligt 7 kap. 4 § samt framställning av statistik, forskning inom hälso- och sjuk- vården och utlämnande i statistik- och forskningssyfte eller utläm- nande i utvecklings- och kvalitetssäkringssyfte enligt 7 kap. 5 § 1–3. Bestämmelserna i patientdatalagen innebär inte någon skyldighet att föra kvalitetsregister. Kvalitetsregister förs inte heller till följd av annan författning utan har ofta skapats genom frivilliga initiativ av specialistföreningar för att användas som stöd för kvalitets- utveckling i det kliniska arbetet. Inrapportering av uppgifter till kvalitetsregister sker till följd av frivilliga åtaganden från vårdgiv- arna.18 innehåller patientdatalagen tydliga regler för den behandling av personuppgifter som får ske i nationella och regio- nala kvalitetsregister där både arten av och syftet med behandlingen anges. 2007/08:126 s. 176. Författningar som reglerar en verksamhet Utredningen gör, mot bakgrund av att bestämmelserna överlåter åt vårdgivaren att avgöra om kvalitetsregister ska föras eller inte och vilka uppgifter som i så fall ska ingå i registret, bedömningen att behandlingen i registren inte kan anses ske med anledning av en rättslig förpliktelse. Däremot kan sådan behandling anses nödvän- dig för att utföra en arbetsuppgift av allmänt intresse enligt arti- kel 6.1 e i dataskyddsförordningen. Även Datainspektionen har bedömt att de nationella och regionala kvalitetsregistren, eftersom de normalt syftar till att förbättra kvaliteten i hälso- och sjukvår- den, kan föras med stöd av den grunden.19 Behandling som sker för att fullgöra en uppgiftsskyldighet en- ligt 7 kap. 5 § 4 får däremot anses nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. De krav på den rättsliga grunden för be- handlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i ovan nämnda av- snitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade . Behandling för de ändamål som anges i 7 kap. 4 och 5 §§ patientdatalagen är alltså laglig enligt dataskydds- förordningen och de befintliga ändamålen kan och bör därmed behållas. Finalitetsprincipen är inte tillämplig Personuppgifter i nationella och regionala kvalitetsregister får en- ligt 7 kap. 6 § inte behandlas för några andra ändamål än de som anges i 7 kap. 4 och 5 §§. Det innebär att det inte är tillåtet att be- handla personuppgifter i nationella och regionala kvalitetsregister för andra ändamål även om dessa inte är oförenliga med det ända- mål för vilket uppgifterna har samlats in. Finalitetsprincipen gäller alltså inte vid behandling av personuppgifter i nationella eller regio- nala kvalitetsregister. Däremot kan personuppgifter behandlas för andra ändamål än de som räknas upp i dessa bestämmelser med 19 , Datainspektionens rapport 2002:1 s. 9. Författningar som reglerar en verksamhet stöd av patientens samtycke. Detta följer av den allmänna bestäm- melsen i 2 kap. 3 § patientdatalagen. Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in. Medlemsstaterna får, i enlighet med vad utredningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen, t.ex. regler om för vilka ändamål personuppgifter får behandlas och ändamålsbegränsningar. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Enligt utredningens bedöm- ning kan därför bestämmelsen i 7 kap. 6 § patientdatalagen behållas. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 7 kap. 7 § patientdatalagen kan och bör behållas. Endast myndigheter inom hälso- och sjukvården får enligt 7 kap. 7 § patientdatalagen vara personuppgiftsansvariga för central be- handling av personuppgifter i ett nationellt eller regionalt kvalitets- register. Regeringen eller den myndighet som regeringen bestäm- mer får besluta om undantag. Bestämmelsen får anses innebära att endast myndigheter inom hälso- och sjukvården får centralt föra nationella eller regionala kvalitetsregister, om inte något undantag beslutats, även om detta inte anges uttryckligen. Av förarbetena till bestämmelsen anges nämligen att regeringen föreslår att endast en eller flera myndigheter inom hälso- och sjukvården ska få driva ett sådant register, dvs. administrera och hantera personuppgifterna på den centrala registernivån.20 I enlighet med vad utredningen angett i avsnitt 9.7 kan och bör bestämmelser i registerförfattningar om vem som är personupp- giftsansvarig behållas. Även den nu aktuella bestämmelsen, som i 2007/08:126 s. 183. Författningar som reglerar en verksamhet praktiken utesluter enskilda från möjligheten att behandla person- uppgifter, kan behållas eftersom behandlingen enligt patientdata- lagen sker med stöd av artikel 6.1 e i dataskyddsförordningen (all- mänt intresse). Personuppgifter som får behandlas Utredningens förslag: Förbudet i 7 kap. 8 § tredje stycket patient- datalagen mot att behandla andra känsliga personuppgifter än uppgifter som rör hälsa, om inte annat har medgetts av reger- ingen eller den myndighet som regeringen bestämmer i ett enskilt fall, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Patientdata- lagen kompletteras med en bestämmelse som påminner om kra- vet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Hänvisningen till personuppgiftslagen i 7 kap. 8 § tredje stycket patientdatalagen ersätts med en hänvisning till 2 kap. 7 § patientdatalagen. Utredningens bedömning: Bestämmelsen i 7 kap. 8 § patient- datalagen om vilka personuppgifter som får behandlas kan och bör i övrigt behållas. Endast sådana personuppgifter som behövs för ändamål som anges i 7 kap. 4 §, dvs. systematisk och fortlöpande utveckling och kvalitets- säkring av vården, får enligt 7 kap. 8 § första stycket behandlas i ett nationellt eller regionalt kvalitetsregister. En enskilds personnum- mer eller namn får enligt andra stycket behandlas i ett nationellt eller regionalt kvalitetsregister endast om det inte är tillräckligt för de ändamål som anges i 7 kap. 4 § att använda kodade person- uppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde. Känsliga personuppgifter enligt personuppgifts- lagens definition som inte rör hälsa samt uppgifter om lagöverträ- delser m.m. enligt personuppgiftslagen får enligt tredje stycket behandlas endast om regeringen eller den myndighet som reger- ingen bestämmer i enskilda fall medger det. Författningar som reglerar en verksamhet Begränsning av vilka personuppgifter som får behandlas Att behandling endast får ske av sådana personuppgifter som be- hövs för de ändamål de behandlas för stämmer överens med den grundläggande principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Bestämmelsen om att endast person- uppgifter som behövs för de ändamål som anges i 7 kap. 4 § får behandlas är därför förenlig med dataskyddsförordningen. Med- lemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan även införa begränsningar för sina myndigheter. I enlighet med utredningens bedömning i avsnitt 9.13 kan och bör bestämmelsen om behandling av personnummer i patientdatalagen behållas. Bestämmelsen om behandling av personnummer i patientdatalagen omfattar även behandling av namn. Dataskyddsförordningen inne- håller inte några särskilda bestämmelser om behandling av uppgifter om namn. Som redan nämnts har medlemsstaterna enligt artikel 6.2 och 6.3 i dataskyddsförordningen, eller därför att bestämmelserna endast omfattar en myndighets behandling av personuppgifter, möjlighet att ha specifika bestämmelser i den nationella lagstift- ningen om bl.a. vilken typ av uppgifter som ska behandlas. Patient- datalagens reglering av under vilka förutsättningar namn får be- handlas stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Bestämmelsen kan och bör därmed behållas. Författningar som reglerar en verksamhet Utredningen har i avsnitt 10.1.10 konstaterat att hälso- och sjuk- vården även fortsättningsvis kan behandla känsliga personuppgifter enligt artikel 9.2 h i dataskyddsförordningen. Bedömningen om- fattar även behandlingen i de nationella kvalitetsregistren. Det är således möjligt att ha kvar bestämmelsen som innebär att uppgifter om hälsa får behandlas i registren. Av samma skäl kan möjligheten för regeringen eller den myndighet regeringen bestämmer att i en- skilda fall tillåta att behandling av andra känsliga personuppgifter än hälsa får ske behållas. Eftersom 7 kap. patientdatalagen innehåller en egen reglering av behandling av känsliga personuppgifter i nationella och regionala kvalitetsregister, vilket innebär att den generella regleringen i 2 kap. inte är tillämplig, bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in även i 7 kap. 8 § patientdatalagen. Genom dataskyddsförordningen har, som redan nämnts i av- snitt 9.11.6, några nya kategorier av känsliga personuppgifter till- kommit, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Förbudet att behandla känsliga personuppgifter bör i enlighet med den bedömning som redovisas i det nämnda avsnittet, omfatta också dessa nya kategorier av uppgifter. Skulle det upp- komma ett behov av att behandla sådana uppgifter i ett kvalitets- register, har regeringen, eller den myndighet regeringen bestäm- mer, enligt bestämmelsen möjlighet att medge det. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla så- dana känsliga uppgifter som rör hälsa i kvalitetsregistren, om inte föreskrifter meddelas om att andra kategorier av uppgifter får be- handlas. Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga personuppgifter överlappar varandra. Sådana person- uppgifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa kan enligt utredningens bedömning behandlas med stöd av bestämmelsen i 7 kap. 8 § tredje stycket patientdatalagen utan att särskilda föreskrifter har meddelats om det. Utredningen har övervägt om detta behöver förtydligas i be- stämmelsen på så sätt att det anges att personuppgifter som rör Författningar som reglerar en verksamhet hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning, får behandlas, på samma sätt som anges i av- snitt 10.1.11 och 12.8.4. Eftersom det inte har framkommit något behov av att behandla sådana personuppgifter om hälsa, som sam- tidigt omfattas av någon av de nya kategorierna av känsliga person- uppgifter, saknas det dock enligt utredningens bedömning anled- ning att införa ett sådant förtydligande. I enlighet med den bedömning utredningen har gjort i avsnitt 9.12 kan och bör förbudet mot att behandla personuppgifter om lag- överträdelser i 7 kap. 8 § patientdatalagen även fortsättningsvis om- fatta de uppgifter som avses i 21 § personuppgiftslagen. Detta eftersom bestämmelserna avser behandling som grundar sig på arti- kel 6.1 c och e (rättslig förpliktelse och allmänt intresse) i data- skyddsförordningen eller avser myndigheters behandling. Eftersom personuppgiftslagen kommer att upphöra, måste dock hänvis- ningen till personuppgiftslagen ersättas med en hänvisning till defi- nitionen av vilka uppgifter som avses i 2 kap. 7 § patientdatalagen. Det finns inte något som hindrar att regeringen eller den myn- dighet regeringen bestämmer i enskilda fall medger behandling av sådana uppgifter. Utredningens bedömning: Bestämmelsen om direktåtkomst i 7 kap. 9 § patientdatalagen kan behållas. Bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske utgör som angetts i avsnitt 9.16.2 en form av säkerhetsåtgärder enligt dataskydds- förordningen. Bestämmelsen om direktåtkomst i 7 kap. 9 § patient- datalagen kan därför i enlighet med vad som anges i det avsnittet behållas. Författningar som reglerar en verksamhet Utredningens förslag: Bestämmelsen i 7 kap. 10 § patientdata- lagen om gallring behålls i sak men befintlig formulering av historiska, statistiska eller vetenskapliga ändamål ändras till den som används i dataskyddsförordningen. Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska enligt 7 kap. 10 § första stycket patientdatalagen gallras när de inte längre behövs för det ändamål de behandlas för. En arkivmyndighet inom ett landsting eller en kommun samt regeringen eller den myndighet regeringen föreskriver får dock enligt andra och tredje stycket föreskriva att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Utredningen har i avsnitt 9.17.2 kommit till den slutsatsen att bestämmelser i registerförfattningar om gallring och bevarande inte behöver ändras under förutsättning att den ursprungliga behand- lingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 c och e i dataskyddsförordningen. Detsamma gäller delega- tionsbestämmelser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för och för vissa ändamål. Bestäm- melserna i 7 kap. 10 § patientdatalagen kan alltså behållas. Formu- leringarna av ändamålen i andra och tredje stycket bör dock anpassas till dataskyddsförordningens lydelse. 10.1.17 Rättigheter för den enskilde Rätt att ta del av uppgifter Utredningens bedömning: Bestämmelserna om rätten att ta del av uppgifter i 8 kap. 1 och 2 §§ patientdatalagen påverkas inte av dataskyddsförordningen. I 8 kap. 1 § patientdatalagen upplyses om att det framgår av tryck- frihetsförordningen och offentlighets- och sekretesslagen (2009:400) att en myndighet inom allmän hälso- och sjukvård under vissa förutsättningar är skyldig att lämna ut journalhandlingar och andra Författningar som reglerar en verksamhet handlingar och uppgifter till en patient. Då denna bestämmelse endast upplyser om annan lagstiftning behöver någon bedömning mot dataskyddsförordningens bestämmelser inte göras. Bestämmelsen i 8 kap. 2 § patientdatalagen om utlämnande av journalhandlingar inom enskild hälso- och sjukvård är inte en be- stämmelse om dataskydd. Bestämmelsen talar inte heller om på vilket sätt uppgifterna ska lämnas ut, dvs. om utlämnande ska ske manuellt eller elektroniskt. Någon prövning mot dataskyddsförord- ningen bedöms därför inte heller behöva göras när det gäller denna bestämmelse. Utredningens förslag: Bestämmelsen om rättelse i 8 kap. 3 § patientdatalagen upphävs. Bestämmelsen i 8 kap. 3 § första stycket patientdatalagen, som hänvisar till bestämmelsen om rättelse i 28 § personuppgiftslagen, kan i enlighet med vad som anges i avsnitt 9.15.1 upphävas. I 8 kap. 3 § andra stycket patientdatalagen upplyses om att upp- gifter i en journalhandling enligt 3 kap. 14 § inte får utplånas eller göras oläsliga i andra fall än som avses i 8 kap. 4 §. Eftersom detta endast är en upplysning om vad som följer av den paragraf som kommer direkt efter, kan även bestämmelsen i 8 kap. 3 § andra stycket upphävas. Utredningens bedömning: Bestämmelsen om förstörande av patientjournal i 8 kap. 4 § patientdatalagen kan behållas. I 8 kap. 4 § patientdatalagen finns en specialregel om förstörande av patientjournal. Av den bestämmelsen följer att Inspektionen för vård och omsorg under vissa förutsättningar får besluta att journa- len ska förstöras. Dataskyddsförordningen innehåller som angetts i avsnitt 9.15.1 en rätt till radering. I det avsnittet gör utredningen bedömningen Författningar som reglerar en verksamhet att radering får anses innebära detsamma som utplåning. I patient- datalagen används omväxlande begreppen utplåning respektive för- störande utan att någon skillnad i sak synes avsedd. Begreppet ut- plåning används t.ex. i 3 kap. 14 § som hänvisar till bestämmelsen i 8 kap. 4 § där begreppet förstörande används. Utredningen utgår därför från att det är samma åtgärd som avses med dessa begrepp. Eftersom utredningen har konstaterat att behandling som sker enligt patientdatalagen sker med stöd av de rättsliga grunderna rättslig förpliktelse och allmänt intresse, gäller inte rätten till rader- ing inom patientdatalagens tillämpningsområde. Möjligheten att få en patientjournal förstörd är alltså en utvidgning av den registrera- des rättigheter enligt dataskyddsförordningen. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskydds- förordningen. Att på detta sätt utvidga den registrerades rätt till radering kan därför inte anses strida mot dataskyddsförordningen. Vid bedömning av en ansökan om förstörande måste förstås rätten till begränsning av behandling (se avsnitt 9.15.1) beaktas, om något sådant har begärts. Information som ska lämnas på begäran Utredningens bedömning: Bestämmelsen i 8 kap. 5 § patient- datalagen, som innehåller en skyldighet att lämna ytterligare information på begäran av den registrerade, kan behållas. En vårdgivare ska enligt 8 kap. 5 § första stycket patientdatalagen på begäran av en patient lämna information om den direktåtkomst och elektroniska åtkomst till uppgifter om patienten som förekom- mit. Regeringen eller den myndighet som regeringen bestämmer får enligt andra stycket meddela närmare föreskrifter. Skyldigheten enligt 8 kap. 5 § patientdatalagen att lämna infor- mation om den åtkomst till patientens uppgifter som förekommit motsvarar ingen bestämmelse i dataskyddsförordningen utan utgör en utökning av den skyldighet att lämna information som föreskrivs i artikel 15 i dataskyddsförordningen. Bestämmelser som föreskriver att mer information än vad som krävs enligt dataskydds- förordningen ska lämnas kan enligt utredningens bedömning be- Författningar som reglerar en verksamhet hållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen i 8 kap. 5 § patientdatalagen behöver därmed inte ändras. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras. Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 8 kap. 6 § patientdatalagen som motsvarar krav som finns i data- skyddsförordningen tas bort. Krav som innebär att fler upplys- ningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till patientdatalagens bestämmelse om skadestånd ersätts med en hänvisning till dataskyddsförord- ningen och dataskyddslagen. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt data- skyddsförordningen. Utredningens bedömning: Upplysningsbestämmelsen i 8 kap. 6 § sista stycket patientdatalagen bör vara kvar. Enligt 8 kap. 6 § patientdatalagen ska den personuppgiftsansvarige se till att den registrerade får viss information om behandlingen av personuppgifter. Bestämmelsen i 8 kap. 6 § utgör en precisering av 25 § personuppgiftslagen, som anger vilken information som ska lämnas till den registrerade. I övrigt gäller bestämmelserna i 23–25 och 27 §§ personuppgiftslagen om information som ska lämnas självmant. Detta eftersom personuppgiftslagens bestämmelser gäl- ler om inget annat sägs i patientdatalagen.21 Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Regleringen av vilken information den personuppgiftsansvarige ska lämna enligt patient- datalagen sammanfaller till stora delar med den i dataskyddsförord- 21 SOU 2006:82 s. 506. Författningar som reglerar en verksamhet Informationsskyldigheten i patientdatalagen innebär dock att ett antal upplysningar som inte omfattas av dataskyddsförord- ningens reglering ska lämnas, nämligen den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestäm- melser som gäller för uppgifterna och behandlingen, rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras, rätten enligt 8 kap. 5 § att få information om den direktåtkomst och elektro- niska åtkomst som förekommit, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns också krav på upplysningar som ska lämnas enligt dataskyddsförordningen som inte anges i patientdatalagen. De bestämmelser i patientdatalagen som föreskriver att mer in- formation än vad som krävs enligt dataskyddsförordningen ska läm- nas kan, i enlighet med utredningens bedömning i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Det har inte framkommit att det skulle innebära några beak- tansvärda svårigheter för personuppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförordningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför, som anges i avsnitt 9.15.2, inte anledning att överväga en begränsning av de registrerades nya rättigheter.