sou · H5B3104 · 2017-12-15 00:00:00 — Frivilliga försökspersoner jämställs därför med patienter. Detsamma gäller för friska personer som donerar organ eller annat biologiskt material för transplantation eller annat medicinskt ändamål (prop. 1995/96:187 s. 79). Uttrycket hälso- och sjukvård ska inte ges en alltför vid tolkning; hälso- och sjukvården bör i princip begränsas till att omfatta sådana vårdbehov som bedöms kräva insatser av medicinskt utbildad per- sonal eller av sådan personal i samarbete med personal med admi- nistrativ, teknisk, farmaceutisk, psykologisk eller social kompetens. Med medicinskt utbildad personal avses även personal, vars utbild- ning inriktas på patientomvårdnad och rehabilitering (prop. 1981/82:97 s. 44). En utgångspunkt för patientskadelagen är att ut- trycket hälso- och sjukvård ska stämma med denna beskrivning (prop. 1995/96:187 s. 82). Sålunda ingår förebyggande vård, vacci- nering, blodgivning, arbetsterapi, medicinsk rehabilitering och annan motsvarande verksamhet som t.ex. insemination, fastställande av könstillhörighet, åtgärder i samband med abort och sterilisering samt vissa åtgärder mot smittsamma sjukdomar. Det är fråga bara om vård med ett medicinskt innehåll som riktar sig direkt till enskilda per- soner, inte åtgärder som tar sikte på större grupper i samhället och som inte är direkt medicinska. Med annan liknande medicinsk verk- samhet avses t.ex. vad som brukar benämnas levandeundersökningar i rättsmedicinskt syfte samt rättspsykiatriska undersökningar. Dit hör också medicinsk forskning på människor. Med vårdgivare avses statlig myndighet, landsting eller kommun i fråga om sådan hälso- och sjukvård som myndigheten, eller kommunen har ansvar för (offentlig verksamhet) samt enskild som bedriver hälso- och sjukvård (privat vårdgivare). Vårdgivare ska ha en patientförsäkring som täcker ersättning för skador som omfattas av lagen. Bedrivs verksamheten av privat vård- givare efter avtal med offentlig vårdgivare, är det den offentlige vårdgivaren som ska ha försäkringen. Ersättning lämnas samman- fattningsvis för skada som orsakas av undersökning, vård och behandling, oriktiga diagnoser, fel hos eller felaktig hantering av medicintekniska produkter och sjukvårdsutrustning, smittämnen som överförts i samband med vården och som lett till infektion, olycksfall som inträffat i samband med vården samt oriktig hanter- ing av läkemedel. Enligt huvudregeln åläggs alla vårdgivare, såväl offentliga som privata, en skyldighet att teckna försäkring som täcker ersättnings- skyldigheten. För att tillgodose patientskyddsintresset då en vård- givare inte har fullgjort sin patientförsäkringsplikt åläggs alla försäk- ringsgivare som meddelar patientförsäkring ett solidariskt ansvar för ersättningen för skador som inträffar hos vårdgivare som saknat patientförsäkring. Inom EU regleras behandling av personuppgifter i Europaparlamen- tets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är enligt artikel 1.1 att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i sam- band med behandling av personuppgifter. Det anges i artikel 1.2 att medlemsstaterna inte får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna på grund av detta skydd. Målet med direktivet är att skapa en gemensam, hög nivå på integri- tetsskyddet för att därigenom möjliggöra ett fritt flöde av person- uppgifter mellan medlemsländerna. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behand- ling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller bara behandling av personuppgifter om fysiska personer och inte på områden som faller utanför unionsrätten, så- som försvar och allmän säkerhet. Dataskyddsdirektivet kompletteras av andra rättsakter, bland annat rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, även kallat dataskyddsrambeslutet. 3.7.2Syfte och förhållande till annan lagstiftning Dataskyddsdirektivet har genomförts i svensk rätt genom personupp- giftslagen (1998:2004) och personuppgiftsförordningen (1998:1191). Personuppgiftslagen följer i huvudsak dataskyddsdirektivets text och disposition och innehåller bland annat bestämmelser om behandling av personuppgifter, personuppgiftsansvar, information till den regi- strerade, skadestånd och straff. Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter. Lagen är subsidiär i förhållande till andra författningar. Det innebär att om det finns en annan lag eller förordning som avviker från personuppgiftslagen, ska de bestämmelserna tillämpas i stället (1–2 §§ personuppgiftslagen). Sådana avvikande bestämmelser finns ofta i så kallade registerförfattningar som reglerar behandling av per- sonuppgifter på sektorsspecifika områden inom offentlig verksam- het. I 3 § personuppgiftslagen definieras vissa grundläggande begrepp. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Som exempel på behandling anges i bestämmelsen insamling, registrering, organisering, lagring, bearbet- ning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av upp- gifter, sammanställning eller sambearbetning, blockering, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Definitionen av personuppgifter innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Det bör dock till- läggas att en uppgift om en avliden person i vissa fall kan säga något om en levande person och därmed också utgöra en personuppgift. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den registrerade är den som en personuppgift avser. Av definitio- nen av personuppgifter framgår att den registrerade måste vara en fysisk person som är i livet. Med samtycke avses enligt definitionen varje slag av frivillig, sär- skild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt (SOU 1997:39 s. 341). Personuppgiftslagen gäller för all behandling av personuppgifter som är helt eller delvis automatiserad (5 §). Enligt förarbetena är behand- ling i datorer av personuppgifter som finns i datorformat (i binär form), inklusive överföringen av personuppgifter till sådant format, som regel att betrakta som automatiserad behandling (SOU 1997:39 s. 344). Så snart en personuppgift har kommit in i en dator eller mot- svarande skulle det alltså vara fråga om sådan automatiserad behand- ling som omfattas av lagen. Av punkt 14 och 15 i ingressen till data- skyddsdirektivet framgår att även ljud eller bilduppgifter om fysiska personer omfattas om det sker med hjälp av automatisk databe- handling eller om uppgifterna ingår eller avses att ingå i ett register. Av 5 § andra stycket personuppgiftslagen framgår att lagen i vissa fall gäller även för sådan behandling av personuppgifter som inte är automatiserad. Den behandling som avses är manuellt behandlade personuppgifter som ingår i eller är avsedda att ingå i ett register. I lagen används inte begreppet register utan i stället definitionen av ett register, det vill säga en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I 5 a § personuppgiftslagen finns undantag från huvudregeln i 5 §. Enligt bestämmelsen behöver vissa angivna hanteringsregler i per- sonuppgiftslagen inte tillämpas på behandling av personuppgifter som inte ingår eller är avsedda att ingå i en samling av personupp- gifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, så kallat ostrukturerat material. Personuppgiftslagen gäller inte för personuppgiftsbehandling som en fysisk person utför som ett led i en verksamhet av helt privat natur (6 §). 3.7.5Krav på behandlingen av personuppgifter I 9 § personuppgiftslagen anges vissa grundläggande krav på behand- lingen av personuppgifter. Uppfylls inte kraven är behandlingen olag- lig. Bestämmelsen är tillämplig även om den registrerade gett sitt samtycke till att personuppgifter behandlas i strid med den. Den regi- strerades samtycke befriar alltså inte den personuppgiftsansvarige från att se till att kraven i bestämmelsen är uppfyllda. Den personuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och alltid behandlas på ett korrekt sätt och i enlighet med god sed. I vilka fall det är lagligt att behandla personuppgifter framgår av personuppgiftslagen, till exempel 10 och 13–20 §§, och av anknytande lagstiftning (9 § a–b). Personuppgifter får enbart samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Bestämmelsen innebär att ändamå- len med en behandling av personuppgifter måste bestämmas redan när SOU 2017:104 Gällande rätt uppgifterna samlas in (SOU 1997:39 s. 350 och prop. 1997/98:44 s. 120)(9 § c). Personuppgifter får inte behandlas för ett ändamål som är oför- enligt med det för vilket uppgifterna samlades in. Denna så kallade finalitetsprincip innebär att det, när behandling för nya ändamål ska ske, måste göras en prövning av om dessa ändamål är oförenliga med de ursprungligen angivna. Vad som är oförenligt med de ursprung- liga ändamålen får enligt förarbetena bestämmas genom praxis och kompletterande föreskrifter (SOU 1997:39 s. 351) (9 § d). De personuppgifter som behandlas ska vara adekvata, relevanta och nödvändiga i förhållande till ändamålen med behandlingen. Uppgifterna ska vara riktiga och aktuella. Den personuppgiftsan- svarige ska självmant vidta rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullstän- diga med hänsyn till ändamålen med behandlingen (9 § e–h). Personuppgifter får inte bevaras länge än nödvändigt med hänsyn till ändamålen med behandlingen (9 i §). Därefter måste person- uppgifterna avidentifieras eller förstöras (SOU 1997:39 s. 351). Det är det ursprungliga ändamålet som bestämdes vid insamlingen som avgör hur länge personuppgifterna får bevaras i identifierbart skick. I 9 § andra–fjärde styckena personuppgiftslagen finns särskilda bestämmelser som avser behandling av personuppgifter för histo- riska, statistiska eller vetenskapliga ändamål. Med behandling för vetenskapliga ändamål menas enligt förarbetena sådan behandling som har koppling till den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väl- s. 198, SOU 1997:39 s. 127). epidemiologiska undersökningar omfattas. Utgångspunkten är att det måste finnas ett samhällsintresse av att forskningen bedrivs och att den måste vara vetenskaplig i någon mening. Enligt 9 § andra stycket ska en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Det innebär att personuppgifter kan användas för till exempel veten- skaplig forskning oavsett för vilka ändamål uppgifterna ursprung- ligen samlades in. Personuppgifter som samlats in för ett visst forsk- ningsprojekt kan således senare också användas i ett annat sådant projekt (SOU 1997:39 s. 309). Det följer av tredje stycket att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål än som följer av första stycket i. Personuppgifter som inte längre behövs för de ursprungligen bestämda ändamålen får således bevaras för att användas för historiska, statistiska eller vetenskapliga ända- mål. När uppgifterna har använts färdigt för dessa ändamål måste de emellertid avidentifieras eller utplånas. Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen (9 § fjärde stycket). I 9 § personuppgiftslagen anges de krav som ställs på den person- uppgiftsansvarige vid behandling av personuppgifter. För att behand- ling av personuppgifter ska vara tillåten måste dessutom något av de förhållanden som anges i 10 § personuppgiftslagen vara för handen. Personuppgifter får som huvudregel bara behandlas om den registrerade har lämnat sitt samtycke till behandlingen. Om något samtycke inte finns får behandling endast ske om den är nödvändig för något av de förhållanden som anges i 10 § a–f, dvs. för att ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, den per- sonuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, vitala intressen för den registrerade ska kunna skyddas, en arbetsuppgift av allmänt intresse ska kunna utföras, den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning eller ett ända- mål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna ämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registre- rades intresse av skydd mot kränkning av den personliga integri- teten. Bestämmelsen i 10 § anger uttömmande i vilka fall personuppgif- ter över huvud taget får behandlas. Vid behandling av känsliga per- sonuppgifter, uppgifter om lagöverträdelser med mera, personnum- mer eller samordningsnummer krävs det dessutom att behandlingen är tillåten enligt de bestämmelser som gäller för behandling av sådana uppgifter enligt 13–22 §§ personuppgiftslagen. Enligt 13 § personuppgiftslagen råder ett principiellt förbud mot att behandla känsliga personuppgifter. Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening och sådana uppgifter som rör hälsa eller sexualliv. Enligt 14 § personuppgiftslagen är det trots förbudet i 13 § tillåtet att behandla känsliga personuppgifter i de fall som anges i 15–19 §§ personuppgiftslagen. Så kan till exempel ske om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 § personuppgiftslagen). Enligt 18 § personuppgiftslagen får känsliga personuppgifter behandlas för hälso- och sjukvårdsändamål om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård. I 19 § personuppgiftslagen finns bestämmelser som rör behandling av känsliga personuppgifter för forskning- och statistikändamål. Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt etikprövningslagen. Det framgår av bestämmelsens ordalydelse att det är själva behandlingen av person- uppgifter som ska godkännas. Det är således inte tillräckligt att forsk- ningen i sig har godkänts vid etikprövningen. 3.7.8Personuppgifter om lagöverträdelser m.m. Det är förbjudet för andra än myndigheter att behandla personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den. Andra än myndigheter får dock behandla sådana personupp- gifter om det sker för forskningsändamål och om behandlingen har godkänts enligt etikprövningslagen (21 § personuppgiftslagen). Personuppgiftslagen medför vissa skyldigheter för den personupp- giftsansvarige. Den personuppgiftsansvarige ska, om personuppgif- ten samlas in från personen själv, självmant lämna den registrerade information om behandlingen av uppgifterna. Om uppgifterna har samlats in från någon annan källa ska sådan information lämnas till den registrerade när uppgifterna registreras. Den information som lämnas till den registrerade ska innehålla uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som kan behövas för att den registrerade ska kunna ta tillvara sina rättigheter under behandlingen. Den personuppgiftsansvarige är också skyldig att till den som ansöker om det en gång gratis lämna besked om huruvida per- sonuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska information lämnas om vilka uppgifter som behandlas, varifrån de har hämtats, ändamålen med behandlingen och vem som tagit emot dem. På begäran av den registrerade är den personuppgiftsansvarige skyldig att rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som meddelats med stöd av lagen. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Datainspektionen får i enskilda fall besluta om vilka säkerhets- åtgärder som den personuppgiftsansvarige ska vidta. Datainspek- tionen har möjlighet att förena ett sådant beslut med vite (23–26, 28 och 31–32 §§ personuppgiftslagen). 3.7.10Rättelse, skadestånd och straff Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande får myndigheten vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Datainspektionen får ansöka hos för- valtningsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Den personuppgiftsansvarige är skyldig att ersätta den registre- rade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. I personuppgiftslagen finns bestämmelser om straff vid överträ- delse av vissa bestämmelser i lagen. Den som uppsåtligen eller av grov oaktsamhet till exempel behandlar personuppgifter i strid med 13–21 §§ personuppgiftslagen kan dömas till böter eller fängelse , eller vid grovt brott högst (45–49 §§ per- sonuppgiftslagen). 3.7.11En ny dataskyddsförordning och ett nytt dataskyddsdirektiv Både dataskyddsdirektivet och dataskyddsrambeslutet har varit före- mål för ett omfattande reformarbete inom EU och förhandlingar har pågått . antogs en ny allmän dataskydds- förordning.9 Förordningen utgör en ny generell reglering för person- uppgiftsbehandling inom EU och ersätter det nuvarande dataskydds- direktivet när den börjar tillämpas . antogs ett nytt direktiv med särskilda regler om data- skydd för den brottsbekämpande verksamheten.10 Direktivet ska vara implementerat . Det huvudsakliga syftet med den nya dataskyddsförordningen är att ytterligare harmonisera och effektivisera skyddet för personupp- gifter för att förbättra den inre marknadens funktion och öka enskil- das kontroll över sina personuppgifter. Förordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll, men innebär även en rad nyheter såsom en utökad informationsskyldighet, administra- tiva sanktionsavgifter och inrättandet av Europeiska dataskydds- styrelsen. 9Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 10Europaparlamentets och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Förordningen är direkt tillämplig i medlemsländerna men förut- sätter och möjliggör kompletterande nationella bestämmelser av olika slag. I innebär det framför allt att personuppgiftslagen kom- mer att upphävas. (Ju 2016:04, dir. 2016:15) överlämnade betänkandet Ny dataskyddslag – komplette- rande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Ett direktiv ska genomföras i medlemsstaterna genom nationell lagstiftning. Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06, dir. 2016:21) lämnar i delbetänkandet Brottsdatalag (SOU 2017:29) och slutbetänkandet Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) förslag på hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. En utredning, , ska se över regleringen för personuppgiftsbehandling för forskningsändamål (U 2016:04, dir. 2016:65, 2017:29, 2017:61 och 2017:87). Den ska analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den generella reglering som Data- skyddsutredningen kommer att föreslå. Utredningen ska också analy- sera vilka anpassningar av lagen (2003:460) om etikprövning av forsk- ning som avser människor som behöver göras. Vissa frågor redo- visades i delbetänkandet Personuppgiftsbehandling för forskningsända- mål . Uppdraget i övrigt ska slutredovisas . Patientdatalagen (2008:355) och patientdataförordningen (2008:360) reglerar vårdgivares behandling av personuppgifter inom hälso- och sjukvården. I lagen finns det också bestämmelser om skyldighet att föra patientjournal. Lagens syfte är att informationshantering inom hälso- och sjukvården ska vara organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnadseffektivitet. Personuppgifter ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. Dokumenterade per- sonuppgifter ska hanteras och förvaras så att obehöriga inte får till- gång till dem. Med hälso- och sjukvård menas verksamhet som avses i hälso- och sjukvårdslagen, tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (1972:119) om fastställande av könstillhörighet i vissa fall, lagen (2006:351) om genetisk integritet m.m. samt den upphävda lagen (1944:133) om kastrering. Med jour- nalhandling avses framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel och som upprättas eller inkommer i samband med vården av en patient och som innehåller uppgifter om patien- tens hälsotillstånd eller andra personliga förhållanden eller om vid- tagna eller planerade vårdåtgärder. Vårdgivare är statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvård som myndigheten, eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare). Personuppgiftslagen gäller vid automatiserad behandling av per- sonuppgifter inom hälso- och sjukvården, om inte annat följer av patientdatalagen eller föreskrifter som meddelats av lagen. I patient- datalagen finns bland annat särskilda bestämmelser om den enskildes inställning till personuppgiftsbehandling, för vilka ändamål person- uppgifter får behandlas inom hälso- och sjukvården, personuppgifts- ansvar, vilka personuppgifter som får behandlas och vilka person- uppgifter som får användas som sökbegrepp.