sou · H5B366 · 2017-08-31 00:00:00 — Utredningens förslag: Bestämmelsen i 12 § lagen om register över nationella vaccinationsprogram, som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd, upp- hävs. Enligt 12 § lagen om register över nationella vaccinationsprogram ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt lagen om register över nationella vaccinationsprogram eller föreskrifter som med- delats i anslutning till lagen. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas. 11.7.11 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 13 § lagen om register över nationella vaccinationsprogram som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till be- stämmelsen om skadestånd i lagen om register över nationella vaccinationsprogram ersätts med en hänvisning till dataskydds- förordningen och dataskyddslagen. Bestämmelserna komplette- ras med en upplysning om att information även ska lämnas en- ligt dataskyddsförordningen. Av 13 § lagen om register över nationella vaccinationsprogram framgår vilken information ska lämna till den enskilde. Bestämmelsen preciserar bestämmelserna om infor- mation i personuppgiftslagen. I övrigt gäller alltså personuppgifts- lagens bestämmelser i 23–27 §§ även vid behandling av personupp- gifter i registret över hälso- och sjukvårdspersonal. Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens bestämmelser om den personuppgiftsansvariges skyl- dighet att lämna information till den registrerade. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 13 § lagen om register över nationella Författningar som reglerar ett register eller en informationssamling Det finns dock vissa upplysningar som inte omfattas av skyldigheten att lämna information enligt dataskydds- förordningen. Det rör sig om upplysningar om uppgiftsskyldighet som kan följa av lag eller förordning, de tystnadsplikts- och säker- hetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd vid behandling av personuppgifter i strid med denna lag och vad som gäller i fråga om sökbegrepp. Att den regi- strerade ska få upplysning om att registreringen inte är frivillig framgår enbart av artikel 13 i dataskyddsförordningen, dvs. det gäller endast när uppgifterna samlas in från den registrerade. Enligt dataskyddsförordningen ska den personuppgiftsansvarige även lämna viss information som inte anges i lagen om register över nationella vaccinationsprogram. Utredningen har i avsnitt 9.15.1 konstaterat att bestämmelser i registerförfattningar som anger att information till registrerade ska lämnas utöver vad som följer av dataskyddsförordningen kan och bör behållas. Att uppfylla dataskyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den person- uppgiftsansvarige. Det finns därför, enligt den bedömning utred- ningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerades rätt till information. Den personuppgiftsansvarige bör följaktligen lämna både den information som följer av dataskyddsförordningen och av lagen om register över nationella vaccinationsprogram. Bestämmelsen i 13 § lagen om register över nationella vaccinationsprogram bör, på det sätt som anges i avsnitt 9.15.1, komplettera och hänvisa till reglerna om information i dataskyddsförordningen. Hänvisningen till bestäm- melsen om skadestånd, som utredningen i avsnitt 11.7.10 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hän- visningen till dataskyddsförordningen bör vara av dynamisk karak- tär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Författningar som reglerar ett register eller en informationssamling 11.8Förordningen (1992:62) om bevarande av registret rörande vissa alkoholbrott m.m. Utredningens bedömning: Registret rörande vissa alkoholbrott kan även fortsättningsvis bevaras hos med hänsyn till forskningens behov. Av förordningen (1992:62) om bevarande av registret rörande vissa alkoholbrott m.m. framgår att regeringen föreskrivit att registret enligt den upphävda förordningen (1955:513) om register rörande vissa alkoholbrott m.m. med hänsyn till forskningens behov ska bevaras hos . Utredningen har i avsnitt 9.17.2 konstaterat att bestämmelser om bevarande för historiska, statistiska eller vetenskapliga ändamål inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Registret rörande vissa alkoholbrott m.m. har inte tillförts några nya uppgifter sedan innan dataskyddsdirektivet trädde i kraft. Regist- ret har således – sett utifrån europeisk dataskyddslagstiftning – aldrig förts för något annat syfte än ett forskningssyfte. fördes registret för behov inom allmän verksamhet.12 Den ur- sprungliga behandlingen av personuppgifter i registret får därmed anses ha grundat sig på en arbetsuppgift av allmänt intresse. 12 Utdrag ur SOU 1974:90 s. 200 f: ”Kontrollstyrelsen () har fört fortlöpande statistik över avdömda fylleriförseelser och fört ett särskilt register över alla personer som blivit dömda för fylleri. Detta register utgör stommen 1940 inrättade s.k. särskilda straffregistret, som förs av . Bestämmelser om detta register har upptagits i tre författningar, nämligen kungörelsen 1955:513 om särskilt straff- register rörande fylleri och vissa andra brott, kungörelsen 1955:512 om skyldighet att med- dela vissa uppgifter till samt kungörelsen 1961:186 om skyldighet att in- hämta utdrag av det hos kontrollstyrelsen (numera ) förda straffregistret. I sammanhanget bör även beaktas kungörelsen 1971:316 om utlämnande för forsknings- ändamål av uppgifter om brott m.m. Såväl domare och åklagare som tjänstemän inom nykterhetsvården har i sin verksamhet ofta anledning att inhämta uppgifter från registret. Det särskilda straffregistret har dessutom betydelse som underlag för bedömningar av nykterhetstillståndets utveckling eller som källa för alkoholforskning och utrednings- verksamhet på det alkoholpolitiska området. Det särskilda straffregistret innehåller såvitt gäller fylleriet uppgifter endast om dem som genom dom eller godkänt straff – eller ordningsföreläggande befunnits skyldiga till fylleri.” Författningar som reglerar ett register eller en informationssamling Även om det föreskrivna bevarandet hos skulle inne- bära sådan behandling som avses i dataskyddsförordningen, kan förordningen om bevarande av registret rörande vissa alkoholbrott m.m. således behållas. 12Författningar som bl.a. reglerar behandling av personuppgifter 12.1Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och förordningen (2002:746) om biobanker i hälso- och sjukvården m.m. I lagen om biobanker i hälso- och sjukvården m.m. och den tillhör- ande förordningen finns det bestämmelser om hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. Med biobank avses enligt definitionen i 1 kap. 2 § lagen om bio- banker i hälso- och sjukvården m.m. biologiskt material från en eller flera människor (vävnadsprov) som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. Personuppgifter som för- varas i patientjournaler eller register i anslutning till vävnadsprov- erna omfattas alltså inte av begreppet biobank. De vävnadsprover som förvaras i biobanken är märkta med ett identifieringsnummer. Identifieringsnumret kan i sin tur kopplas till de personuppgifter som finns i patientjournaler och register i anslutning till biobanken. Definitionen av biobank innebär, enligt den bedömning som gjordes vid lagens tillkomst, att en biobank med material från levande personer är att anse som personuppgifter. Förvaringen av vävnads- proverna i en biobank har däremot inte ansetts utgöra en sådan helt eller delvis automatiserad behandling som omfattas av dataskydds- regleringen även om behandlingen av personuppgifter i journaler och register är automatiserad. Detta eftersom den automatiserade behandlingen endast anses hänförlig till själva registret och inte till biobanken. Vävnadsproverna i en biobank är endast sökbara på ett kriterium, identifieringsnumret. Biobanken anses därför inte heller Författningar som bl.a. reglerar behandling av personuppgifter utgöra sådana personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, eftersom det krävs mer än en sökingång för att omfattas av dataskyddsregler- ingen.1 Det innebär att varken personuppgiftslagen eller dataskydds- förordningen är tillämplig på själva biobanken. Såväl personuppgifts- lagen som dataskyddsförordningen är däremot tillämplig på auto- matiserad behandling i patientjournaler eller register som finns i anslutning till biobanken. Regeringen har uttalat att hanteringen av vävnadsprover i en biobank ändå är så integritetskänslig att den i allt väsentligt bör uppfylla krav på integritetsskydd motsvarande de i dataskydds- direktivet och personuppgiftslagen. Det ingår inte i utredningens uppdrag att se över de bestämmelser som inte berör sådan behand- ling av personuppgifter som omfattas av dataskyddsförordningen. Utredningen om regleringen av biobanker har i uppdrag att göra en översyn av lagen om biobanker i hälso- och sjukvården m.m. i sin helhet.2 Förutom reglering av biobanker innehåller lagen om biobanker i hälso- och sjukvården m.m. och den tillhörande förordningen vissa bestämmelser om behandling av personuppgifter, nämligen bestäm- melser om vissa register som ska föras, patientjournaler, rättelse, skadestånd, uppgiftsskyldighet, tillsynsmyndighet och överklagande. I detta avsnitt analyseras om de bestämmelser som berör behand- ling av personuppgifter behöver ändras med anledning av data- skyddsförordningen. Skyldighet att föra register Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 2 kap. 6 § första stycket första meningen lagen om biobanker i hälso- och sjukvården m.m. kan behållas. 2001/02:44 s. 31–32. 2S 2016:04, dir. 2016:41, delbetänkande SOU 2017:40. Författningar som bl.a. reglerar behandling av personuppgifter Inspektionen för vård och omsorg ska enligt 2 kap. 6 § första stycket första meningen lagen om biobanker i hälso- och sjukvår- den m.m. föra ett automatiserat register över biobanker. Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskyddsförord- ningens bestämmelser. Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Bestämmelsen om ändamål i 2 kap. 6 § första stycket andra meningen lagen om biobanker i hälso- och sjukvården m.m. kan behållas. Registret över biobanker ska enligt 2 kap. 6 § första stycket andra meningen lagen om biobanker i hälso- och sjukvården m.m. använ- das för tillsyn, i forskningen och för framställning av statistik. I avsnitt 9.10.1 har utredningen konstaterat att behandling av personuppgifter för ändamål som anges i registerförfattningar redan i tidigare lagstiftningsarbeten måste bedömts ha stöd i de rättsliga grunder som anges i artikel 7 i dataskyddsdirektivet. Ända- målen har, förutom eventuella ändamål som stödjer sig på intresse- avvägningar vid myndigheters behandling, motsvarande stöd i artikel 6.1 i dataskyddsförordningen. Skyldigheten att föra det aktu- ella registret är en rättslig förpliktelse. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen. Bestämmelserna uppfyller, i enlighet med vad som anges i av- snitt 9.10.1, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed behållas. Personuppgifter som får behandlas Utredningens bedömning: Bestämmelserna om registrets inne- håll i 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvården m.m. och 3 § andra stycket förordningen om bio- banker i hälso- och sjukvården m.m. kan och bör behållas. Författningar som bl.a. reglerar behandling av personuppgifter I 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvår- den m.m. anges att registret ska innehålla de uppgifter som en an- mälan om inrättande av en biobank ska innehålla, nämligen ända- målet med biobanken, var biobanken ska förvaras, vem som ska ansvara för biobanken och vilken omfattning biobanken avses få. Registret får inte innehålla uppgifter om enskilda från vilka prov tagits. Av 3 § andra stycket förordningen om biobanker i hälso- och sjukvården framgår att registret även ska innehålla vissa upp- gifter om huvudmannen för biobanken och den som ansvarar för biobanken. Registret ska därutöver innehålla uppgift om vissa beslut av Inspektionen för vård och omsorg och uppgift om när material ur en biobank har lämnats ut. En precisering av vilka personuppgifter som får behandlas i ett register är förenlig med principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. Principen innebär att uppgif- terna ska vara adekvata, relevanta och inte för omfattande i för- hållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas i registret som har gjorts vid tidigare lagstiftningsarbeten. Medlems- staterna tillåts som redan framgått att införa preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsför- ordningen eller därför att de begränsar en myndighets möjligheter till behandling av personuppgifter. Bestämmelserna i 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvården m.m. och 3 § andra stycket förordningen om biobanker i hälso- och sjukvår- den m.m. kan alltså behållas. Eftersom uppgifter om de enskilda från vilka prov har tagits inte får behandlas i registret, ska det inte finnas några känsliga person- uppgifter där. Det finns därför inte någon anledning att ta ställning till om det är tillåtet att behandla känsliga personuppgifter i registret. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 2 kap. 6 § tredje stycket lagen om biobanker i hälso- och sjuk- vården m.m. Författningar som bl.a. reglerar behandling av personuppgifter Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Utredningen gör samma bedömning när det gäller bestämmelsen om personuppgiftsansvar i lagen om bio- banker i hälso- och sjukvården m.m. Bestämmelsen i 2 kap. 6 § tredje stycket lagen om biobanker i hälso- och sjukvården m.m. kan och bör därför behållas. Utredningens bedömning: Bestämmelserna om direktåtkomst i 2 kap. 6 § fjärde stycket lagen om biobanker i hälso- och sjuk- vården m.m. samt 3 a § och 3 b § andra stycket förordningen om biobanker i hälso- och sjukvården m.m. kan behållas. Regeringen får enligt 2 kap. 6 § fjärde stycket lagen om biobanker i hälso- och sjukvården m.m. meddela föreskrifter om vilken myn- dighet som får ha direktåtkomst till uppgifterna i Inspektionen för vård och omsorgs register. Av 3 a § förordningen om biobanker i hälso- och sjukvården m.m. framgår att får medges direktåtkomst till uppgifterna i registret om uppgifterna behövs hos för kunskapsutveckling, statistikframställning, uppföljning, utvärdering eller epidemiologiska studier. Vidare an- ges i 3 b § andra stycket förordningen om biobanker i hälso- och sjukvården m.m. att har rätt att ta del av uppgifterna i registret genom direktåtkomst. Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Bestämmelserna om direktåtkomst kan, i enlighet med vad utred- ningen kommit fram till i det avsnittet, behållas. Dataskyddsför- ordningen hindrar inte heller att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Även bemyn- digandet kan därmed vara kvar. Författningar som bl.a. reglerar behandling av personuppgifter Utredningens bedömning: Bestämmelsen om uppgiftsskyldig- het i 3 b § första stycket förordningen om biobanker i hälso- och sjukvården m.m. kan behållas. I 3 b § första stycket förordningen om biobanker i hälso- och sjuk- vården m.m. finns det en bestämmelse som anger att Inspektionen för vård och omsorg under vissa förutsättningar ska lämna uppgif- ter ur registret till . Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. 12.1.3Skyldigheten att dokumentera i patientjournal Utredningens bedömning: Bestämmelsen om vilka uppgifter som ska dokumenteras i en patientjournal i 3 kap. 7 § lagen om biobanker i hälso- och sjukvården m.m. kan och bör behållas. I 3 kap. 7 § lagen om biobanker i hälso- och sjukvården m.m. anges att vissa uppgifter ska antecknas i provgivarens patientjournal. Att på det sättet precisera vilka personuppgifter som ska be- handlas i en patientjournal stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen som innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen för sina myndigheter. Det är också tillåtet att införa sådana bestämmelser för enskilda under förutsättning att den aktuella behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i data- skyddsförordningen. Författningar som bl.a. reglerar behandling av personuppgifter Lagen om biobanker i hälso- och sjukvården m.m. är enligt 1 kap. 3 § tillämplig på en biobank som inrättats i i en vård- givares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Med hälso- och sjukvård avses enligt 1 kap. 2 § verksamhet som omfattas av hälso- och sjukvårdslagen (2017:30) eller tandvårdslagen (1985:125). Lagen är också tillämplig på väv- nadsprover från en vårdgivares biobank som har lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forsk- ning eller diagnostik, en offentlig forskningsinstitution, ett läke- medelsbolag eller en annan juridisk person och vilka även efter ut- lämnandet kan härledas till den eller de människor från vilka de här- rör. Lagen gäller i tillämpliga delar även för vävnadsprover som tas och samlas in för transplantationsändamål enligt lagen (1995:831) om transplantation m.m. Patientdatalagen (2008:355) är enligt 1 kap. 1 § den lagen tillämplig vid vårdgivares behandling av per- sonuppgifter inom hälso- och sjukvården. I likhet med vad som gäller enligt lagen om biobanker i hälso- och sjukvården avses med hälso- och sjukvård enligt 1 kap. 3 § patientdatalagen bl.a. verksam- het enligt hälso- och sjukvårdslagen och tandvårdslagen. Patient- datalagen gäller i vårdgivarens kärnverksamhet, dvs. då vårdgivaren tillhandahåller hälso- och sjukvård åt patienter, såsom åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos män- niskor. I kärnverksamheten ingår även annan närliggande patient- verksamhet som insemination, abort, sterilisering, omskärelse, transplantationsingrepp på givare och blodgivning m.m. Behandling av personuppgifter som sker vid forskning omfattas däremot inte av patientdatalagens tillämpningsområde, om det inte är fråga om en vårdgivares s.k. patientnära eller kliniska forskning som inne- fattar patientjournalföring eller annan dokumentation som hör till vården.3 När det gäller den nu aktuella skyldigheten att anteckna uppgifter i patientjournalen torde alltså patientdatalagen vara tillämp- lig på behandlingen av personuppgifter i patientjournalen oavsett i vilket syfte vävnadsproverna hanteras. Att en del av patientens kropp tagits bort för att förvaras i en biobank förefaller i vart fall relevant att för hälso- och sjukvårdsändamål notera i patientens journal, liksom andra kroppsliga ingrepp. 2007/08:126 s. 222. Författningar som bl.a. reglerar behandling av personuppgifter Utredningen har i avsnitt 10.1.7 gjort bedömningen att behand- ling av personuppgifter som sker i syfte att fullgöra skyldigheten att föra patientjournal eller annan dokumentation är nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen. Samma bedömning görs när det gäller dokumentations- skyldigheten enligt lagen om biobanker i hälso- och sjukvård m.m. Eftersom behandlingen sker med stöd av den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen, är det alltså tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen att precisera vilka upp- gifter som ska antecknas i journalen även för privata subjekt. Utredningen utgår från de överväganden kring vilka uppgifter som behöver antecknas i en patientjournal som har gjorts vid tidigare lagstiftningsarbeten. Skyldigheten att anteckna uppgifter i en patientjournal innebär att känsliga personuppgifter som rör hälsa kan komma att behand- las där. Utredningen har i avsnitt 10.1.10 gjort bedömningen att behandling av känsliga personuppgifter i den verksamhet som patient- datalagen omfattar kan ske med stöd av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Samma bedömning görs beträffande de nu aktuella uppgifterna. Utredningen har i av- snitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Någon sådan bestämmelse behöver därför inte tas in i lagen om biobanker i hälso- och sjukvården m.m. Bestäm- melsen om vad som ska antecknas i patientjournalen kan och bör därmed behållas. Utredningens förslag: Hänvisningen i 4 kap. 4 a § lagen om bio- banker i hälso- och sjukvården m.m. till personuppgiftslagen ersätts med en hänvisning till dataskyddsförordningen och den föreslagna forskningsdatalagen. Utredningens bedömning: Bestämmelsen om utlämnande av journalhandling i 4 kap. 4 a § lagen om biobanker i hälso- och sjukvården m.m. kan behållas i övrigt. Bestämmelsen om pröv- ning av utlämnandefrågan i 4 kap. 6 a § lagen om biobanker i Författningar som bl.a. reglerar behandling av personuppgifter hälso- och sjukvården m.m. påverkas inte av dataskyddsförord- ningen. Skyldighet att lämna ut journalhandlingar I 4 kap. lagen om biobanker i hälso- och sjukvården m.m. regleras utlämnande av vävnadsprover ur en biobank. Vävnadsproverna ska som huvudregel vara avidentifierade eller kodade när de lämnas ut. I kapitlet regleras också utlämnande av journalhandlingar från en- skilt bedriven vård.