sou · H5B366 · 2017-08-31 00:00:00 — Bestämmelsen i 6 kap. 2 § patientdatalagen kompletteras av en sekretessbrytande bestämmelse i 25 kap. 11 § offentlighets- och sekretesslagen (2009:400) som innebär att hälso- och sjukvårds- sekretessen enligt 25 kap. 1 § inte hindrar att uppgift lämnas till en myndighet som bedriver verksamhet inom hälso- och sjukvården eller till en enskild vårdgivare enligt vad som föreskrivs om samman- hållen journalföring i patientdatalagen. I 25 kap. 2 § första stycket offentlighets- och sekretesslagen finns vidare en bestämmelse som innebär att det råder absolut sekretess för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare enligt bestämmelserna om sammanhållen journalföring i patientdata- lagen, om det saknas förutsättningar enligt 6 kap. 3, 3 a eller 4 § samma lag för att myndigheten ska få behandla uppgiften. I 6 kap. 2 a § patientdatalagen finns det ett undantag till bestäm- melsen i 6 kap. 2 §. En vårdgivare får göra uppgifter om en patient som inte endast tillfälligt saknar förmåga att ta ställning enligt 2 § tillgängliga för de vårdgivare som är anslutna till systemet med sam- manhållen journalföring, om patientens inställning till sådan behand- ling av personuppgifter så långt som möjligt klarlagts och det inte finns anledning att anta att patienten skulle ha motsatt sig behand- lingen av personuppgifter. En första förutsättning för att uppgifter om patienten ska få göras tillgängliga genom sammanhållen journalföring är alltså att patienten har fått viss information. Vilken information den person- uppgiftsansvarige enligt dataskyddsförordningen är skyldig att lämna i olika situationer framgår av artiklarna 13 och 14, vilka utred- ningen har redogjort för i avsnitt 9.15.1. Här konstateras endast att den information som ska lämnas enligt 6 kap. 2 § tredje stycket patientdatalagen kan sägas omfattas av den personuppgiftsansvari- ges informationsplikt enligt dataskyddsförordningen. Författningar som reglerar en verksamhet ligare information som kan komma att behöva lämnas återkommer utredningen till i avsnitt 10.1.17 nedan. Att på detta sätt uppställa ett krav på att patienten blir informerad för att personuppgifterna ska få behandlas på visst sätt kan enligt utredningens bedömning inte anses strida mot dataskyddsförordningen. Enligt artikel 6.2 och 6.3 i dataskyddsförordningen är det nämligen tillåtet med så- dana särskilda bestämmelser när det gäller personuppgifter som be- handlas med stöd av de rättsliga grunder som är aktuella eller vid behandling som utförs av en myndighet. Patienten har vidare en rätt enligt patientdatalagen att motsätta sig att dennes uppgifter görs tillgängliga för andra vårdgivare genom sammanhållen journalföring. Som framgår av avsnitt 9.15.1 har den registrerade enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e, dvs. behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Den be- handling av personuppgifter som utförs vid utlämnande genom sammanhållen journalföring grundar sig på ändamålet att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Eftersom vårdgivare inte är skyldiga att lämna ut person- uppgifter genom sammanhållen journalföring, utgör utlämnandet en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen, se avsnitt 10.1.7. Patientens rätt att motsätta sig att uppgifter om denne görs tillgängliga genom sammanhållen journalföring stämmer enligt utredningens bedömning till viss del överens med rätten att göra invändningar enligt artikel 21.1 i data- skyddsförordningen. Det finns dock vissa skillnader. Den person- uppgiftsansvarige får, till skillnad från vad som gäller enligt data- skyddsförordningen, inte lov att göra uppgifterna tillgängliga genom sammanhållen journalföring även om denne skulle kunna påvisa sådana tvingande berättigade skäl som avses i artikel 21.1 i data- skyddsförordningen. Vidare har patienten möjlighet att på förhand motsätta sig behandling, något som inte dataskyddsförordningen ger rätt till. Det finns inte heller någon reglering i dataskydds- förordningen som avser registrerade som inte har förmåga att ta ställning till om deras uppgifter ska få behandlas. Författningar som reglerar en verksamhet Bestämmelserna innebär, i jämförelse med artikel 21.1 i data- skyddsförordningen en viss utvidgning av den registrerades rättig- heter. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser enligt artikel 6.2 och 6.3 i dataskydds- förordningen. Bestämmelserna kan därför behållas. Bestämmelsen om att uppgift om att det finns spärrade uppgif- ter om en patient och uppgift om vilken vårdgivare som har spärrat dessa görs tillgängliga oavsett vilken inställning patienten har till detta innebär dock en viss begränsning av rätten att göra invänd- ningar enligt artikel 21.1 i dataskyddsförordningen. En sådan be- gränsning är, som anges i avsnitt 9.15.2, bara tillåten om den upp- fyller kraven i artikel 23 i dataskyddsförordningen. Utredningen har i avsnitt 10.1.5 bedömt att det är möjligt att begränsa patientens invändningsrätt inom patientdatalagens tillämpningsområde. Det saknas anledning att göra någon annan bedömning när det gäller den nu aktuella begränsningen. Bestämmelsen kan därmed behållas. Av samma skäl kan bestämmelsen om att en vårdnadshavare inte får spärra uppgifter om sitt barn behållas. Dataskyddsförordningen hindrar inte heller att patientens möj- lighet att häva spärren genom att ta tillbaka sin invändning och möjligheten i 6 kap. 2 a § att under vissa förutsättningar göra upp- gifter om en patient som saknar förmåga att ta ställning tillgängliga behålls. Bestämmelsen i 6 kap. 2 § femte stycket patientdatalagen om att andra vårdgivare ska kunna ta del av en uppgift om att det finns ospärrade uppgifter om patienten utan att ta del av övriga uppgifter har införts för att vårdgivare inte ska behöva ta del av ospärrade uppgifter när förutsättningar för detta saknas enligt bestämmel- serna i 6 kap. patientdatalagen.14 Bestämmelsen gör det möjligt för en vårdgivare att pröva om en begäran om att få del av en allmän handling kan avslås redan på den grunden att det inte förvaras någon sådan handling hos vårdgivaren utan att denne behöver ta del av ospärrade uppgifter. Vårdgivaren behöver inte heller, när förut- sättningar för att behandla uppgifterna saknas, ta del av ospärrade uppgifter för att avslå en begäran om allmän handling på grund av bestämmelsen om absolut sekretess i 25 kap. 2 § offentlighets- och sekretesslagen. Bestämmelsen i 6 kap. 2 § femte stycket möjliggör 2007/08:126 s. 130–131. Författningar som reglerar en verksamhet alltså för vårdgivaren att endast ta del av uppgifter som denne behö- ver, vilket överensstämmer med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen, och bestämmelsen kan därför behållas såsom en precisering enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Skede 2 – patientens inflytande när en annan vårdgivare ska ta del av de uppgifter som gjorts tillgängliga En vårdgivare får behandla uppgifter som en annan vårdgivare gjort tillgängliga i systemet med sammanhållen journalföring antingen i vårdsyfte eller om det behövs för att utfärda intyg om vården. För att få behandla uppgifterna krävs dock att de förutsättningar som anges i 6 kap. 3 § patientdatalagen är uppfyllda. Vårdgivaren får enligt första stycket i den bestämmelsen behandla uppgifter som en annan vårdgivare gjort tillgängliga om uppgifterna rör en patient som det finns en aktuell patientrelation med, uppgifterna kan antas ha betydelse för att förebygga, utreda eller behandla sjukdomar och skador hos patienten inom hälso- och sjukvården och patienten samtycker till det. Vårdgivaren får enligt andra stycket även be- handla sådana uppgifter om de rör en patient som det finns eller har funnits en patientrelation med, uppgifterna kan antas ha bety- delse för att utfärda sådant intyg om vården som avses i 3 kap. 16 § och patienten samtycker till det. För att en vårdgivare ska få be- handla sådana uppgifter om barn som en vårdnadshavare inte har rätt att spärra enligt 6 kap. 2 § fjärde stycket andra meningen krävs inte något samtycke. I 6 kap. 3 a § finns ytterligare undantag från kravet på samtycke för patienter som saknar förmåga att ta ställ- ning. I 6 kap. 4 § första stycket regleras möjligheten att häva spärren när det föreligger fara för patientens liv eller hälsa och de spärrade uppgifterna kan antas ha betydelse för den vård som patienten be- höver. I andra stycket finns det ett undantag från kravet på sam- tycke gällande ospärrade uppgifter när det föreligger fara för patien- tens liv eller hälsa. En vårdgivare får enligt 6 kap. 5 § patientdatalagen inte behandla en annan vårdgivares uppgifter om en patient i systemet med sam- manhållen journalföring under andra förutsättningar än de som anges i 6 kap. 3–4 §§, även om patienten uttryckligen samtycker till det. Detta är ett undantag i förhållande till den allmänna bestämmel- Författningar som reglerar en verksamhet sen i 2 kap. 3 § första stycket som anger att behandling av person- uppgifter som inte är tillåten enligt patientdatalagen ändå får ske om den enskilde lämnat ett uttryckligt samtycke till behandlingen. För att en vårdgivare ska få ta del av de uppgifter som gjorts till- gängliga i systemet med sammanhållen journalföring krävs alltså som huvudregel samtycke från patienten. Kravet på samtycke utgör en skyddsåtgärd och kan enligt den bedömning utredningen gjort i avsnitt 9.16.2 behållas för myndigheter. Även för enskilda är sådana restriktioner tillåtna, eftersom behandlingen enligt patientdatalagen sker med stöd av artikel 6.1 c eller e (rättslig förpliktelse och arbets- uppgift av allmänt intresse) i dataskyddsförordningen. Utredningen gör således bedömningen att bestämmelserna om krav på samtycke i 6 kap. 3 och 3 a § patientdatalagen är förenliga med dataskyddsförordningens reglering och därmed kan behållas. Även de övriga villkor som enligt dessa bestämmelser måste vara uppfyllda för att vårdgivaren ska få ta del av uppgifter som gjorts tillgängliga i systemet för sammanhållen journalföring utgör tillåtna preciseringar. Eftersom kravet på samtycke utgör en inskränkning i förhållande till dataskyddsförordningen, bedömer utredningen att det inte finns något hinder mot att ha kvar de undantag från kravet på samtycke som finns i 6 kap. 3 och 3 a §§. Bestämmelsen i 6 kap. 4 § första stycket som anger att en vård- givare under vissa förutsättningar kan ta del av spärrade uppgifter innebär en viss inskränkning av rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. En sådan begränsning är, som anges i avsnitt 9.15.2, bara tillåten om den uppfyller kraven i arti- kel 23 i dataskyddsförordningen. Utredningen har i avsnitt 10.1.5 bedömt att det är möjligt att begränsa patientens invändningsrätt inom patientdatalagens tillämpningsområde. Det saknas anledning att göra någon annan bedömning när det gäller den nu aktuella be- gränsningen. Bestämmelsen kan därmed behållas. Även möjligheten att enligt andra stycket ta del av ospärrade uppgifter utan samtycke kan behållas. Detta eftersom kravet på samtycke som angetts ovan utgör en inskränkning i förhållande till dataskyddsförordningen. Det är som framgår av avsnitt 9.10.2 inte möjligt att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt sam- tycke från den registrerade annat än när det gäller känsliga person- uppgifter (artikel 9.2 a) och personuppgifter om lagöverträdelser (artikel 10), vilket motsvarar vad som gäller . Författningar som reglerar en verksamhet gifter som behandlas i patientjournaler utgör uppgifter om hälsa. Bestämmelsen i 6 kap. 5 § om att en vårdgivare inte får behandla en annan vårdgivares uppgifter om inte förutsättningarna i 6 kap. 3–4 §§ är uppfyllda även om patienten samtycker till det har alltså alltjämt stöd i dataskyddsförordningen och kan behållas. Personuppgiftsansvar vid sammanhållen journalföring Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten dele- geras. Bestämmelsen i 6 kap. 6 § patientdatalagen om att det är möjligt att meddela föreskrifter om vem som ska ha personuppgifts- ansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen journalföring kan och bör där- för behållas. I 6 kap. 7 § patientdatalagen anges att bestämmelserna i 4 kap. 2 och 3 §§ gäller även för behörighetstilldelning och åtkomstkontroll vid sammanhållen journalföring. Som framgått av avsnitt 10.1.13 kan dessa bestämmelser behållas. Därmed kan även bestämmelsen i 6 kap. 7 § patientdatalagen vara kvar. När patientjournaler är tillgängliga för flera vårdgivare genom sam- manhållen journalföring gäller enligt 6 kap. 8 § patientdatalagen skyldigheten enligt 3 kap. 17 § att bevara en journalhandling bara den vårdgivare som ansvarar för handlingen. Om en journalhandling eller annan handling är tillgänglig för en myndighet bara genom sammanhållen journalföring och myndigheten inte ansvarar för den, får myndigheten gallra handlingen från sitt arkiv. Bestämmelsen om bevarande i 3 kap. 17 § patientdatalagen har i avsnitt 10.1.12 bedömts förenlig med dataskyddsförordningen. Författningar som reglerar en verksamhet Bestämmelsen i 6 kap. 8 § patientdatalagen innebär att uppgifter inte lagras på fler ställen än vad som behövs, eftersom den vårdgivare som endast har tillgång till uppgifterna genom den sammanhållna journalföringen inte lagrar dessa uppgifter. Bestämmelsen kan därmed sägas vara ett utslag av principen om uppgiftsminimering i artikel 5.1 c dataskyddsförordningen och en tillåten precisering enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen är därmed förenlig med dataskyddsförordningen och kan behållas. 10.1.16 Nationella och regionala kvalitetsregister Utredningens bedömning: Dataskyddsförordningen påverkar inte den inledande bestämmelsen om nationella och regionala kvalitets- register i 7 kap. 1 § patientdatalagen. I 7 kap. patientdatalagen finns det bestämmelser om nationella och regionala kvalitetsregister. Med kvalitetsregister avses enligt 7 kap. 1 § en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöp- ande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska möjliggöra jämförelse inom hälso- och sjukvården på nationell eller regional nivå. Bestämmelserna i 7 kap. gäller för nationella och regionala kvalitetsregister till vilka personuppgifter samlas in från flera vårdgivare. För lokala kvalitetsregister gäller däremot de all- männa reglerna i patientdatalagen. Definitionen av nationella och regionala kvalitetsregister i 7 kap. 1 § föranleder inte några över- väganden i förhållande till dataskyddsförordningen. Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelserna i 7 kap. 2 och 2 a §§ patientdatalagen om den enskildes inställning till behandling i kvalitetsregister kan behållas. Författningar som reglerar en verksamhet Personuppgifter får enligt 7 kap. 2 § patientdatalagen inte behand- las i ett nationellt eller regionalt kvalitetsregister, om den enskilde motsätter sig det. Om den enskilde motsätter sig behandlingen av personuppgifter sedan den påbörjats, ska uppgifterna utplånas ur registret . I 7 kap. 2 a § finns det ett undantag för personer som saknar förmåga att ta ställning. Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller om behand- lingen sker med stöd av en intresseavvägning (se vidare avsnitt 9.15.1). Utredningen har nedan i avsnittet om kvalitetsregisters ändamål gjort bedömningen att behandlingen av personuppgifter i kvalitets- registren i huvudsak grundar sig på artikel 6.1 e (allmänt intresse) i dataskyddsförordningen. Patientens rätt att motsätta sig att uppgifter om denne behand- las i ett nationellt eller regionalt kvalitetsregister och rätten att få uppgifter utplånade stämmer enligt utredningens bedömning till viss del överens med rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen. Det finns dock vissa skillnader. Den per- sonuppgiftsansvarige får, till skillnad från vad som gäller enligt dataskyddsförordningen, inte lov att fortsätta att behandla person- uppgifterna även om denne skulle kunna påvisa sådana tvingande berättigade skäl som avses i artikel 21 i dataskyddsförordningen. Vidare innebär bestämmelsen i 7 kap. 2 § första stycket att patien- ten har möjlighet att på förhand motsätta sig behandling, något som inte dataskyddsförordningen ger rätt till. Det finns inte heller någon reglering i dataskyddsförordningen som avser registrerade som inte har förmåga att ta ställning till om deras uppgifter ska få behandlas. Bestämmelsen om patientens ovillkorliga rätt att på förhand motsätta sig behandling i nationella och regionala kvalitetsregister och att få personuppgifter som redan behandlas utplånade har införts mot bakgrund av att det ansågs vara i den då gällande hälso- och sjukvårdslagens15 anda att ge patienten inflytande över om uppgif- 15 Se 2 a § hälso- och sjukvårdslagen (1982:763). Motsvarande bestämmelse finns i 5 kap. 1 § i den nu gällande hälso- och sjukvårdslagen (2017:30). Författningar som reglerar en verksamhet ter om denne behandlas i sådana register. Detta särskilt mot bak- grund av att vårdgivarens deltagande i registerföringen inte är en direkt författningsreglerad skyldighet.16 Bestämmelsen i 7 kap. 2 a § patientdatalagen, som avser patienter som saknar förmåga att ta ställning till behandlingen av personuppgifter i nationella eller regionala kvalitetsregister, tillkom eftersom lagstiftaren ville skapa förutsättningar för förbättring av vården och patientsäkerheten även för personer med nedsatt beslutsförmåga och för att dessa patienter inte skulle behöva riskera sämre vård än andra patienter. Bestämmelsen har utformats med beaktande av att regleringen måste tillgodose det grundläggande behovet av integritetsskydd även för dessa personer.17 Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelserna är enligt utredningens bedömning förenliga med dataskyddsförordningen och kan därför behållas. När det gäller behandling av personuppgifter för ändamålet att fullgöra en uppgiftsskyldighet som följer av lag eller förordning i 7 kap. 5 § 4 har utredningen nedan gjort bedömningen att sådan behandling sker för att den är nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Vid be- handling som sker med stöd av den rättsliga grunden har den regi- strerade enligt dataskyddsförordningen inte någon rätt att göra in- vändningar. Patientens möjlighet att motsätta sig att dennes upp- gifter behandlas i nationella och regionala kvalitetsregister, till vilka uppgifter samlas in med stöd av artikel 6.1 e i dataskyddsförord- ningen, gäller dock behandling över huvud taget i sådana register och inte specifikt författningsreglerat utlämnande av uppgifter. En patient som inte motsatt sig behandlingen i registren kan alltså inte motsätta sig att uppgifterna i registren lämnas ut när det finns en skyldighet enligt författning att göra det. Däremot kan patienten i efterhand motsätta sig behandlingen varpå uppgifterna i registren, men inte de redan utlämnade uppgifterna, ska utplånas. När patien- ten väl motsatt sig behandling, finns det således inga uppgifter att lämna ut. Rätten att göra invändningar gäller alltså inte sådan be- 2007/08:126 s. 188–189. 2013/14:202 s. 32. Författningar som reglerar en verksamhet handling som är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse. Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 7 kap. 3 § patientdatalagen som motsvarar eller begränsar krav på information som finns i dataskyddsförordningen tas bort. Utredningens bedömning: I övrigt kan och bör bestämmelsen i 7 kap. 3 § patientdatalagen behållas. Innan personuppgifter behandlas i ett nationellt eller regionalt kva- litetsregister ska den som är personuppgiftsansvarig enligt 7 kap. 3 § patientdatalagen se till att den enskilde, utöver den information som ska lämnas enligt 8 kap. 6 §, får information om rätten att när som helst få uppgifter om sig själv utplånade ur registret, i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal och vilka katego- rier av mottagare som personuppgifter kan komma att lämnas ut till. Om det inte är möjligt att lämna informationen innan behand- lingen av personuppgifter påbörjas, ska den lämnas därefter. Bestämmelsen i 7 kap. 3 § patientdatalagen kompletterar och gäller således utöver 8 kap. 6 § patientdatalagen och – när data- skyddsförordningen börjar tillämpas – artikel 13 och 14 i data- skyddsförordningen. Vilken information den personuppgiftsansva- rige enligt dataskyddsförordningen är skyldig att lämna i olika situa- tioner framgår av avsnitt 9.15.1. Den information den personuppgiftsansvarige ska lämna till den registrerade enligt 7 kap. 3 § patientdatalagen är i huvudsak sådan information som ska lämnas enligt dataskyddsförordningen. Infor- mationsskyldigheten i 7 kap. 3 § omfattar dock även en upplysning som inte omfattas av dataskyddsförordningens reglering, nämligen information om rätten att när som helst få uppgifter om sig själv utplånade ur registret (se föregående avsnitt om 7 kap. 2 § patient- datalagen). Sådana bestämmelser som föreskriver att mer informa- tion än vad som krävs enligt dataskyddsförordningen ska lämnas, Författningar som reglerar en verksamhet kan i enlighet med utredningens ställningstagande i avsnitt 9.15.1 behållas, om skyldigheten avser myndigheter eller den ursprungliga behandlingen grundas på artikel 6.1 c eller e i dataskyddsförord- ningen. Behandling av personuppgifter i nationella och regionala kvalitetsregister sker med stöd av artikel 6.1 c och e i dataskydds- förordningen (se nästa avsnitt). Den kompletterande informations- skyldigheten kan därmed behållas. Eftersom det rör sig om en kompletterande informationsskyl- dighet, kan informationen lämnas som bedöms lämplig i nationell rätt. Bestämmelsen i 7 kap. 3 § andra stycket om när informationen ska lämnas, påverkas därför inte av dataskydds- förordningen. Enligt 7 kap. 3 § 2 ska den registrerade få information om i vil- ken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal. Att den regi- strerade har rätt att få information om varifrån personuppgifterna kommer, när de inte lämnats av den enskilde själv, framgår av arti- kel 13 och 14.2 f i dataskyddsförordningen. Uppgifter i en patient- journal kommer dock inte alltid från den enskilde själv. Nuvarande reglering i patientdatalagen medför i förhållande till dataskyddsför- ordningen därför en begränsning av skyldigheten att lämna infor- mation.