sou · H5B366 · 2017-08-31 00:00:00 — Att dessa uppgifter får användas som sökbegrepp bör tydliggöras genom att det anges i 2 kap. 8 § att uppgifter om hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning, får användas. Någon skillnad i sak är således inte avsedd utan förslaget syftar endast till att tydliggöra att samma sökningar som får göras även får göras fortsättningsvis. Gene- tiska och biometriska uppgifter samt uppgifter om sexuell läggning som inte utgör uppgifter om hälsa får däremot inte an- vändas som sökbegrepp. Eftersom hänvisningarna till personuppgiftslagen inte kan vara kvar när den lagen upphör, bör de ersättas med hänvisningar till definitionerna av uppgifter om lagöverträdelser och känsliga person- uppgifter i 2 kap. 7 § respektive den föreslagna 7 a § patientdata- lagen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom detta område och inte heller att föreskriftsrätten delegeras. Möjligheten för regeringen att meddela föreskrifter kan därför be- hållas. 10.1.12 Skyldigheten att föra patientjournal Utredningens bedömning: Bestämmelserna i 3 kap. patientdata- lagen om skyldigheten att föra patientjournal kan och bör be- hållas. Bestämmelser som inte gäller behandling av personuppgifter I 3 kap. patientdatalagen regleras skyldigheten att föra patientjournal. Bestämmelserna i kapitlet är tillämpliga oavsett om patientjour- nalen förs automatiserat eller manuellt. Till den del bestämmelserna tillämpas på helt eller delvis automatiserad behandling eller behandling av personuppgifter som ingår i eller kommer att ingå i ett register omfattas behandlingen av dataskyddsförordningens regler- Författningar som reglerar en verksamhet Flera bestämmelser i kapitlet utgör inte några egentliga data- skyddsbestämmelser utan avser i stället att reglera förfarandet vid journalföring. Detta gäller bestämmelserna i 1–4, 13 och 16 §§. Någon prövning mot dataskyddsförordningen bedöms inte behöva göras när det gäller dessa bestämmelser. Detsamma gäller den bestämmelse i 3 kap. 19 § angående patientjournaler i krig m.m. som endast innehåller en föreskriftsrätt för regeringen. Kapitlet innehåller emellertid också bestämmelser som reglerar behandling av personuppgifter i patientjournaler. För dessa bestämmelser görs nedan en analys av om de behöver anpassas till dataskyddsförord- ningen. En patientjournal får enligt 3 kap. 5 § patientdatalagen innehålla endast de uppgifter som behövs för de ändamål som anges i 2 kap. 4 § första stycket 1 och 2, dvs. om det behövs för att fullgöra skyl- digheten att föra patientjournal och upprätta annan dokumentation som behövs i och för vården av patienter eller administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall. Att endast personuppgifter som behövs för de ändamål för vilka journalföring är tillåten får behandlas följer av den grundläggande principen om uppgiftsmini- mering enligt artikel 5.1 c i dataskyddsförordningen, som också finns i artikel 6.1 c i dataskyddsdirektivet. I den artikeln anges att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Bestämmelsen stämmer därför väl överens med dataskyddsförordningen. I 3 kap. patientdatalagen finns också ett antal bestämmelser som preciserar vad en patientjournal ska innehålla. En patientjournal ska t.ex. enligt 3 kap. 6 § innehålla de uppgifter som behövs för en god och säker vård av patienten. I bestämmelsen räknas vidare upp vilka uppgifter en patientjournal alltid ska innehålla. Av 3 kap. 7 § fram- går att en patientjournal även får innehålla de uppgifter som enligt lag eller annan författning ska antecknas i en patientjournal. I 3 kap. 10 § finns ett krav på signering av journalanteckningar. Om en journalhandling har lämnats ut till någon, ska detta enligt 3 kap. 11 § dokumenteras i patientjournalen. Författningar som reglerar en verksamhet serna specificerar vilka uppgifter som får behandlas i en patient- journal. Att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas följer som nämnts redan av principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. De nu berörda bestämmelserna i patientdatalagen kan sägas utgöra ett utflöde av denna princip. Medlemsstaterna tillåts som redan nämnts att införa mer speci- fika bestämmelser i den nationella lagstiftningen antingen eftersom behandlingen stödjer sig på de rättsliga grunderna enligt 6.1 c eller e i dataskyddsförordningen eller därför att den endast avser myndig- heter. Överväganden kring vilka uppgifter som behöver antecknas i en patientjournal har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de uppgifter som anges i dessa bestämmelser behövs för de ändamål för vilka uppgifterna i patient- journalen behandlas. Bestämmelserna kan och bör därför behållas. Om patienten anser att en uppgift i patientjournalen är oriktig eller missvisande, ska det enligt 3 kap. 8 § antecknas i journalen. Bestämmelsen är ett komplement till bestämmelserna om rättelse och journalförstöring i 8 kap. 3 och 4 §§. Av förarbetena framgår att det behövdes ett komplement till de bestämmelserna eftersom det för rättelse av en journaluppgift på patientens begäran krävs att den som ansvarar för uppgiften är överens med patienten om fel- aktigheten och journaluppgifter kan förstöras endast i undantags- fall.11 Enligt artikel 16 i dataskyddsförordningen införs en ny rätt för registrerade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga person- uppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Bestämmelsen i 3 kap. 8 § patientdatalagen utgör möjligen en ut- vidgning av den registrerades rättigheter i förhållande till dataskydds- förordningens bestämmelser. Medlemsstaterna tillåts emellertid som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen. Att på detta sätt möjligen utvidga den regi- strerades rätt att få sina synpunkter på behandlingen antecknade får anses förenligt med dataskyddsförordningen. Uppgifter som ska antecknas enligt 3 kap. 6–8 §§ ska enligt 3 kap. 9 § föras in i journalen . Bestämmelsen överensstämmer med principen om korrekthet i artikel 5.1 d i data- 2007/08:126 s. 93. Författningar som reglerar en verksamhet skyddsförordningen som anger att uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Av de skäl som anges ovan bedöms även den bestämmelsen förenlig med dataskyddsförordningen. Regeringen har enligt 3 kap. 12 § möjlighet att meddela undan- tag från vissa av bestämmelserna i 3 kap. samt föreskrifter om en journalhandlings innehåll och utformning. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom detta område eller att föreskriftsrätten delegeras. Sammanfattningsvis gör alltså utredningen bedömningen att de nu berörda bestämmelserna om patientjournalers innehåll kan och bör behållas. I 3 kap. 14 § första stycket anges att uppgifter i en journalhandling inte får utplånas eller göras oläsliga i andra fall än som avses i 8 kap. 4 §, som handlar om förstörande av patientjournal. Bestämmelsen innehåller endast en upplysning om att bestämmelsen om förstö- rande av patientjournal gäller. Den bestämmelsen berörs i av- snitt 10.1.17. Av 3 kap. 14 § andra stycket framgår att vid rättelse av en felaktighet ska det anges när rättelsen skett och vem som har gjort den. Bestämmelsen i andra stycket gäller inte rättelsen i sig, den framgår av 8 kap. 3 § patientdatalagen som också den berörs i avsnitt 10.1.17. I stället handlar bestämmelsen om ytterligare upp- gifter som ska finnas i en patientjournal, nämligen uppgift om när en rättelse skett och vem som gjort den. Som anförts ovan har över- väganden kring vilka uppgifter som behöver antecknas i en patient- journal gjorts vid tidigare lagstiftningsarbeten. Utredningen utgår därför från att de uppgifter som enligt regleringen i patientdata- lagen ska finnas i patientjournalen behövs för de ändamål för vilka uppgifterna i patientjournalen behandlas. Utredningen bedömer där- för på samma skäl som anges ovan att även denna bestämmelse är förenlig med dataskyddsförordningen. Regeringen eller den myndighet som regeringen bestämmer får enligt 3 kap. 15 § meddela föreskrifter om hur journalhandlingar ska hanteras och förvaras. Dataskyddsförordningen hindrar inte en sådan föreskriftsrätt. Bestämmelsen behöver därför inte ändras. Författningar som reglerar en verksamhet Bestämmelsen i 3 kap. 17 § patientdatalagen reglerar bevarande av journalhandlingar. I 3 kap. 18 § anges att för journalhandlingar som utgör allmänna handlingar gäller, med de undantag som följer av 17 §, arkivlagen (1990:782) samt de bestämmelser som meddelas med stöd av arkivlagen. Bestämmelser om bevarande behöver, i enlighet med vad som anges i avsnitt 9.17.2, inte ändras under förutsättning att den ur- sprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Bestäm- melserna om bevarande i patientdatalagen kan således behållas. I 3 kap. 17 § patientdatalagen ges även regeringen rätt att med- dela vissa föreskrifter om bevarande. Dataskyddsförordningen hindrar inte en sådan föreskriftsrätt. Bestämmelsen kan därför behållas. Bestämmelserna i 3 kap. 17 § andra stycket och 18 § är endast upplysningsbestämmelser varför det saknas skäl att göra någon prövning av dessa. Utredningens bedömning: Bestämmelserna om säkerhetsåtgär- der i form av begränsningar av åtkomst till personuppgifter och utlämnande av uppgifter i 4 och 5 kap. patientdatalagen kan be- hållas. I 4 kap. 1–3 §§ patientdatalagen finns ett antal bestämmelser som på olika sätt reglerar den interna tillgången till personuppgifter inom hälso- och sjukvården. Bestämmelserna innebär bl.a. att en medarbetare får ta del av uppgifter om patienter endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete. En vårdgivare ska också begränsa behö- righeten till uppgifter till vad som behövs för att en medarbetare ska kunna fullgöra sina arbetsuppgifter samt se till att åtkomst Författningar som reglerar en verksamhet dokumenteras och kontrolleras. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter. Som anges i avsnitt 9.16.2 är styrning av tilldelning och begräns- ning av behörigheter samt loggkontroll säkerhetsåtgärder enligt dataskyddsförordningen. I enlighet med vad som anges i det av- snittet behöver den typ av bestämmelser det nu är fråga om inte ändras med anledning av dataskyddsförordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras. Patientens möjlighet att begränsa elektronisk åtkomst för vårdsyfte Patienten har enligt 4 kap. 4 § patientdatalagen en möjlighet att motsätta sig elektronisk åtkomst till uppgifter i patientjournalen för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare. Av 4 kap. 5 § följer att en spärr får hävas om patienten samtycker till det, eller patientens samtycke inte kan inhämtas och informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver. Som redan angetts har den registrerade enligt artikel 21.1 i data- skyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, en rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f (arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning och intresseavvägning). Behandling för de ändamål som avses i 4 kap. 4 § patientdata- lagen, att fullgöra skyldigheten att föra patientjournal och upprätta annan dokumentation som behövs i och för vården av patienter samt upprätta annan dokumentation som följer av författning, sker enligt utredningens bedömning för att den är nödvändig för att fullgöra rättsliga förpliktelser. Vid behandling som sker med stöd av en rättslig förpliktelse har den registrerade enligt dataskyddsför- ordningen inte någon rätt att göra invändningar. Patientens möjlig- het att motsätta sig att personuppgifter görs tillgängliga genom elektronisk åtkomst innebär således en utvidgning av rätten att göra invändningar enligt dataskyddsförordningen. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den Författningar som reglerar en verksamhet nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen eller därför att de endast avser en myndighets behandling av personuppgifter. Att på detta sätt utvidga den registrerades rätt att göra invändningar och få sina personuppgifter spärrade kan därför inte anses strida mot dataskyddsförordningen. Eftersom rätten att motsätta sig behandling enligt 4 kap. 4 § innebär en utvidgning av den registrerades rätt enligt dataskyddsförordningen, ser utred- ningen inte heller några problem med att behålla bestämmelsen i 4 kap. 5 § om att spärren får hävas om patienten själv tar tillbaka sin invändning eller om det inte är möjligt att inhämta samtycke. Skydd för identitet i vissa fall Bestämmelsen i 4 kap. 6 § första stycket patientdatalagen upplyser om att det i 14 § lagen (1996:1156) om receptregister finns be- stämmelser om att ska lämna ut vissa uppgif- ter till landstingen om förskrivning av läkemedel och andra varor och att uppgifter om patientens identitet ska vara krypterade vid utlämnandet. Sådana uppgifter om patientens identitet får enligt 4 kap. 6 § andra stycket patientdatalagen inte behandlas i syfte att röja en patients identitet utan att patienten samtycker till det. Av tredje stycket framgår att uppgifter om en patients identitet som har dokumenterats inom hälso- och sjukvården och som landstingen ska sambearbeta med sådana uppgifter om patientens identitet som har lämnats ut från , ska vara krypterade så att patientens identitet skyddas vid behandlingen. Syftet med att lämnar ut uppgifter till landstingen är att landstingen i sin verksamhet för medicinsk upp- följning ska kunna använda uppgifter om enskilda patienters uttag av förskrivna läkemedel och andra varor tillsammans med uppgifter som finns i landstingens vårddokumentation.12 Förbudet i andra stycket mot att behandla de uppgifter om patientens identitet som lämnats ut från i syfte att röja en patients identitet har införts för att säkerställa att krypteringen består hos landstingen. Med kryptering avses s.k. envägskryptering vilket inne- bär att man genom användning av en algoritm krypterar identitets- 2009/10:138 s. 22 ff. Författningar som reglerar en verksamhet uppgifter så att de är läsbara på normalt sätt. Vid kryp- teringen får varje personnummer en unik kod. När samma krypter- ingsmetod används av landstingen är det möjligt att koppla ihop uppgifter som kommer från med uppgifter om samma person som redan finns hos landstingen. På så sätt kan uppgifterna sambearbetas i landstingens uppföljning. Krypteringen innebär alltså inte en total avidentifiering utan det är fortfarande fråga om personuppgifter. Bestämmelsen i andra stycket medger att ett landsting med patientens samtycke genom s.k. bakvägsidentifie- ring kan söka efter uppgifter om denne genom att använda den kod som erhållits vid krypteringen. På så sätt kan landstingen även upp- rätta ett registerutdrag enligt 26 § personuppgiftslagen.13 Som utredningen konstaterat i avsnitt 9.16.2 utgör kryptering en sådan säkerhetsåtgärd som nämns i artikel 32 i dataskyddsförord- ningen. Bestämmelserna om kryptering i 4 kap. 6 § patientdatalagen kan i enlighet med vad som anges i avsnittet behållas. När det gäller bestämmelsen i 4 kap. 6 § andra stycket om att uppgifter om patientens identitet får röjas om denne samtycker till det bör bestämmelserna i artikel 11 i dataskyddsförordningen näm- nas. Artikel 11.1 i dataskyddsförordningen innebär att om de ända- mål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare informa- tion för att identifiera den registrerade endast i syfte att följa data- skyddsförordningen. Av artikel 11.2 i dataskyddsförordningen följer vidare att om den personuppgiftsansvarige, i de fall som avses i artikel 11.1, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig. Av skäl 57 i dataskyddsförordningen framgår att om de personuppgifter som behandlas av en person- uppgiftsansvarig inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den regi- 2009/10:138 s. 32 ff. Författningar som reglerar en verksamhet strerade, om ändamålet endast är att följa någon av bestämmelserna i förordningen. Bestämmelsen i artikel 11 innebär alltså bl.a. att den personuppgiftsansvarige inte behöver behandla ytterligare informa- tion för att identifiera den registrerade endast i syfte att lämna ut ett registerutdrag enligt artikel 15. Den personuppgiftsansvarige bör dock inte enligt dataskyddsförordningen vara förhindrad att behandla sådana ytterligare uppgifter om den registrerade sam- tycker till det. Utredningen gör därför den bedömningen att någon ändring i bestämmelsen i 4 kap. 6 § andra stycket, som bara gäller landsting, inte behöver göras med anledning av artikel 11 i data- skyddsförordningen eller annars. Bestämmelsen om att patienten kan samtycka till att dennes identitet röjs har införts för att möjliggöra för landstingen att full- göra skyldigheten att lämna ut registerutdrag enligt 26 § person- uppgiftslagen. Motsvarande skyldighet följer av artikel 15 i data- skyddsförordningen. Någon annan anledning att röja patientens identitet torde knappast komma i fråga. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen kan mot bakgrund av vad som anförts ovan inte anses strida mot dataskyddsförordningen. Utlämnande genom direktåtkomst och på medium för automatiserad behandling I 5 kap. 4 § första stycket patientdatalagen slås fast att utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Enligt bestämmel- sens andra stycke och 5 kap. 5 § medges viss direktåtkomst inom landsting eller kommuner som bedriver hälso- och sjukvård genom flera myndigheter och direktåtkomst för enskilda. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid en enskilds direkt- åtkomst. Av 5 kap. 6 § patientdatalagen framgår att om en personuppgift får lämnas ut, kan det ske på medium för automatiserad behandling. Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske utgör, som angetts i avsnitt 9.16.2, en form av säkerhetsåtgärder enligt data- Författningar som reglerar en verksamhet Bestämmelserna om direktåtkomst och ut- lämnande på medium för automatiserad behandling behöver i enlig- het med vad som anges i det avsnittet inte ändras med anledning av dataskyddsförordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras. 10.1.14Upplysningsbestämmelser och allmän bestämmelse om utlämnande Utredningens bedömning: Bestämmelserna i 5 kap. 1 och 2 §§ patientdatalagen påverkas inte av dataskyddsförordningen. Bestämmelserna i 5 kap. 1 och 2 §§ patientdatalagen upplyser om att det finns bestämmelser om utlämnande av uppgifter i tryck- frihetsförordningen, offentlighets- och sekretesslagen (2009:400) och patientsäkerhetslagen (2010:659). Då dessa bestämmelser endast upplyser om annan lagstiftning behöver någon bedömning mot dataskyddsförordningens bestämmelser inte göras. Enligt 5 kap. 3 § har en myndighet, som enligt 9 kap. har hand om en patientjournal upprättad inom enskild hälso- och sjukvård, samma skyldighet som den som ansvarat för journalen före över- lämnandet att lämna ut en uppgift ur journalen som begärs för sär- skilt fall. Bestämmelsen är inte en dataskyddsbestämmelse och den talar inte heller om på vilket sätt uppgifterna ska lämnas ut, dvs. om det ska ske manuellt eller elektroniskt. Någon prövning mot data- skyddsförordningen bedöms därför inte heller behöva göras när det gäller denna bestämmelse. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelserna om sammanhållen journalföring i 6 kap. patientdatalagen kan behållas. Direktåtkomst till uppgifter hos en annan vårdgivare En vårdgivare får enligt 6 kap. 1 § patientdatalagen, under de förut- sättningar som anges i 6 kap. 2 §, ha direktåtkomst till vissa person- uppgifter som behandlas av andra vårdgivare. Begreppet samman- hållen journalföring används i patientdatalagen som benämning för ett elektroniskt system som på detta sätt möjliggör att vårddoku- mentation görs åtkomlig för andra vårdgivare genom direktåtkomst. Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske utgör som angetts i avsnitt 9.16.2 en form av säkerhetsåtgärder enligt data- skyddsförordningen. Utredningen har i det avsnittet gjort bedöm- ningen att bestämmelser om direktåtkomst inte behöver ändras med anledning av dataskyddsförordningen. Skede 1 – patientens inflytande när uppgifterna görs tillgängliga Patienten har enligt 6 kap. 2 § första stycket en rätt att motsätta sig att uppgifter görs tillgängliga för andra vårdgivare genom samman- hållen journalföring. Om patienten motsätter sig, får enligt andra stycket endast uppgift om att det finns spärrade uppgifter samt upp- gift om vilken vårdgivare som har spärrat uppgifterna göras tillgäng- liga för andra vårdgivare. En förutsättning för att uppgifter om en patient ska få göras tillgängliga för andra vårdgivare är enligt tredje stycket att patien- ten i förväg har informerats om vad den sammanhållna journal- föringen innebär och om att patienten kan motsätta sig att andra uppgifter än dem som anges i andra stycket görs tillgängliga för andra vårdgivare. Om en patient motsätter sig att uppgifter görs tillgängliga för andra vårdgivare, ska uppgifterna enligt fjärde stycket spärras. Vård- nadshavaren till ett barn kan dock inte spärra uppgifter om barnet. Författningar som reglerar en verksamhet En patient kan när som helst begära att den vårdgivare som har spärrat uppgifterna häver spärren. Ospärrade uppgifter om patienten ska enligt femte stycket göras tillgängliga för de vårdgivare som är anslutna till systemet med sammanhållen journalföring. Det ska vidare införas en uppgift i systemet om att det finns ospärrade uppgifter om patienten. Andra vårdgivare ska kunna ta del av uppgiften om att det finns ospärrade uppgifter utan att ta del av uppgift om vilken vårdgivare som har gjort uppgiften tillgänglig och övriga uppgifters innehåll.