sou · H5B366 · 2017-08-31 00:00:00 — Enligt 3 § förordningen om register över hälso- och sjukvårds- personal har en registrerad inte rätt att motsätta sig sådan behand- ling av personuppgifter som är tillåten enligt samma förordning. Enligt dataskyddsförordningen har den registrerade rätt att invända mot behandling av personuppgifter när det rör sig om sådan be- handling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, alternativt sådan behandling som sker med stöd av en intresseavvägning (se vidare avsnitt 9.15.1). Eftersom behandling av personuppgifter i registret över hälso- och sjukvårds- personal sker med stöd av en rättslig förpliktelse (se avsnitt 11.5.5), omfattas behandlingen inte av rätten att göra invändningar. Bestäm- melsen i 3 § förordningen om register över hälso- och sjukvårds- personal är därmed förenlig med dataskyddsförordningens bestäm- melser. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelsen i 3 a § förordningen om register över hälso- och sjukvårdspersonal kan och bör be- hållas. Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. 11.5.5Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Ändamålsbestämmelserna i 4 och 5 §§ förordningen om register över hälso- och sjukvårdspersonal är förenliga med dataskyddsförordningen och kan och bör be- hållas. I 4 och 5 §§ förordningen om register över hälso- och sjukvårds- personal anges de ändamål för vilka personuppgifter i registret får behandlas. Eftersom det enligt 1 § samma förordning finns en skyl- dighet att föra registret för de angivna ändamålen, baseras ända- målen på en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen. De krav på den rättsliga grunden för behandlingen som till- kommit i artikel 6.3 i dataskyddsförordningen får, i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda utan vidare analys. Behandling för de ändamål som anges i 4 och 5 §§ förordningen om register över hälso- och sjukvårdspersonal är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas. Finalitetsprincipen är inte tillämplig Av 5 § förordningen om register över hälso- och sjukvårdspersonal framgår att personuppgifterna i registret endast får behandlas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att behandla personuppgifter i registret för Författningar som reglerar ett register eller en informationssamling andra ändamål än de som anges i bestämmelsen, även om dessa ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in. Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i dataskyddsdirekti- vet. Medlemsstaterna får, i enlighet med vad utredningen konstate- rat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas. 11.5.6Personuppgifter som får behandlas Utredningens bedömning: Bestämmelserna om registrets inne- håll i 6 § förordningen om register över hälso- och sjukvårds- personal kan och bör behållas. I 6 § förordningen om register över hälso- och sjukvårdspersonal anges vilka uppgifter registret får innehålla. Det rör sig inte om några känsliga personuppgifter; däremot ska registret bl.a. innehålla uppgift om personnummer. Som anges i avsnitt 9.13 kan och bör bestämmelser om behandling av personnummer behållas. När det i övrigt gäller den precisering av vilka personuppgifter som får be- handlas i registret stämmer denna väl överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen som inne- bär att uppgifterna ska vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas. Utred- ningen utgår från de överväganden kring vilka uppgifter som be- höver behandlas i registret som har gjorts vid tidigare lagstiftnings- arbeten. Sådana preciseringar är som redan nämnts tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de be- gränsar en myndighets möjligheter till behandling av personuppgifter. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelserna i 7–7 b §§ förord- ningen om register över hälso- och sjukvårdspersonal behöver inte ändras med anledning av dataskyddsförordningen. I 7–7 b §§ förordningen om register över hälso- och sjukvårds- personal finns det bestämmelser om utlämnande på medium för automatiserad behandling, direktåtkomst och skyldighet att tillse behörighets- och säkerhetsfrågor. Sådana bestämmelser avser säker- hetsåtgärder enligt dataskyddsförordningen. Krav på säkerhetsåtgär- der för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskydds- förordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i natio- nell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelserna i 7–7 b §§ förordningen om register över hälso- och sjukvårdspersonal kan därmed behållas. Utredningens bedömning: Bestämmelserna i 7 c–7 e §§ förord- ningen om register över hälso- och sjukvårdspersonal behöver inte ändras med anledning av dataskyddsförordningen. Enligt 7 c–7 e §§ förordningen om register över hälso- och sjuk- vårdspersonal ska olika myndigheter ha rätt att ta del av uppgifter i registret. I enlighet med vad som anges i avsnitt 9.21 är det utred- ningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirek- tivet. Bestämmelserna i 7 c–7 e §§ förordningen om register över hälso- och sjukvårdspersonal behöver därmed inte ändras med an- ledning av dataskyddsförordningen. När uppgiftsskyldigheten full- görs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Författningar som reglerar ett register eller en informationssamling 11.5.9Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 8 § förordningen om register över hälso- och sjukvårdspersonal som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer dataskyddsförordningen behålls. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Av 8 § förordningen om register över hälso- och sjukvårdspersonal framgår att ska lämna viss information till den regi- strerade om registret. Bestämmelsen preciserar bestämmelserna om information i personuppgiftslagen. I övrigt gäller alltså personupp- giftslagens bestämmelser i 23–27 §§ även vid behandling av person- uppgifter i registret över hälso- och sjukvårdspersonal. Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens bestämmelser om den personuppgiftsansvariges skyl- dighet att lämna information till den registrerade. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 8 § förordningen om register över hälso- och sjukvårdspersonal. Det finns dock vissa upplysningar som inte omfattas av skyldigheten att lämna information enligt dataskydds- förordningen. Det rör sig om de sekretess- och säkerhetsbestäm- melser som gäller för registret, rätten till skadestånd och vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling. Det finns också vissa upplysningar som bara omfattas av antingen artikel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilken typ av uppgifter som registret får innehålla och om registreringen är frivillig eller inte. Enligt dataskyddsförordningens reglering ska den personuppgiftsansvarige även lämna viss information som inte anges i förordningen om register över hälso- och sjukvårdspersonal. Utredningen har i avsnitt 9.15.1 konstaterat att bestämmelser i registerförfattningar som anger att information till registrerade ska lämnas utöver vad som följer av dataskyddsförordningen kan och bör behållas. Författningar som reglerar ett register eller en informationssamling Att uppfylla dataskyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den person- uppgiftsansvarige. Det finns därför, enligt den bedömning utred- ningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerade rätt till information. Den personuppgiftsansvarige bör följaktligen lämna både den information som följer av dataskyddsförordningen och av förord- ningen om register över hälso- och sjukvårdspersonal. Bestämmelsen i 8 § förordningen om register över hälso- och sjukvårdspersonal bör därför, på det sätt som anges i avsnitt 9.15.1, komplettera och hänvisa till reglerna om information i dataskyddsförordningen. De krav som innebär att informationen ska innehålla sådana upplys- ningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. 11.5.10 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 9 § förordningen om regis- ter över hälso- och sjukvårdspersonal, som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd, upp- hävs. Enligt 9 § förordningen om register över hälso- och sjukvårds- personal ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt förord- ningen om register över hälso- och sjukvårdspersonal. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas. Författningar som reglerar ett register eller en informationssamling 11.6Lagen (1998:543) om hälsodataregister och tillhörande förordningar Utredningens bedömning: De bemyndiganden som ges i 12 § lagen om hälsodataregister kan och bör behållas. Regleringen av s.k. hälsodataregister består av en lag och ett antal olika förordningar6. Enligt förarbetena till lagen om hälsodata- register är tanken att de frågor som är gemensamma för alla hälso- dataregister ska regleras i en lag medan närmare föreskrifter om enskilda hälsodataregister ska meddelas av regeringen inom de ramar som lagen drar upp.7 I 12 § lagen om hälsodataregister be- myndigas därför regeringen att meddela föreskrifter som medför begränsningar av sådan behandling av personuppgifter som är tillåten enligt lagen om hälsodataregister. Regeringens rätt att meddela föreskrifter omfattar vilka myndig- heter som får föra hälsodataregister, begränsningar av i lagen an- givna ändamål, begränsningar av de uppgifter som ett hälsodata- register får innehålla, begränsningar av samkörning, uppgiftsskyl- digheter och begränsningar i rätten att bevara uppgifter. Data- skyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyn- diganden som ges i 12 § lagen om hälsodataregister är således för- enliga med dataskyddsförordningen och behöver inte ändras. De föreskrifter regeringen har meddelat inom ramen för bemyn- digandet kommer utredningen att gå igenom nedan. Det hälsodata- register som får föras av enligt 3 kap. 14 § läke- medelsförordningen berörs i avsnitt 12.8.5. 6Förordningen (2001:707) om patientregister hos , förordningen (2001:708) om medicinskt födelseregister hos , förordningen (2001:709) om cancer- register hos , förordningen (2005:363) om läkemedelsregister hos Social- styrelsen, förordningen (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården, förordningen (2008:194) om tandhälsoregister hos Social- styrelsen och förordningen (2011:116) om register hos över läkemedel som lämnats ut från apotek i . 1997/98:108 s. 44. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelsen om förande av hälso- dataregister i 1 § lagen om hälsodataregister behöver inte ändras. I 1 § första meningen lagen om hälsodataregister anges att centrala förvaltningsmyndigheter inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister. Dataskyddsförordningen påverkar inte möjligheten att föreskriva att ett visst register får föras. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Utredningens bedömning: Bestämmelserna i lagen om hälso- dataregister och de tillhörande förordningarna om vem som är personuppgiftsansvarig kan och bör behållas. I 1 § andra meningen lagen om hälsodataregister anges att den centrala förvaltningsmyndighet som utför behandlingen av person- uppgifter är personuppgiftsansvarig. I 12 § 1 samma lag bemyndi- gas regeringen att meddela föreskrifter om vilka myndigheter som får föra hälsodataregister, vilket även medför ett fastställande av vilken myndighet som ska vara personuppgiftsansvarig. Bestämmel- ser om personuppgiftsansvar finns i 2 § förordningen om patient- register hos , 2 § förordningen om medicinskt födelse- register hos , 2 § förordningen om cancerregister hos , 2 § förordningen om läkemedelsregister hos Social- styrelsen, 2 § förordningen om register hos över insatser inom den kommunala hälso- och sjukvården, 2 § förord- ningen om tandhälsoregister hos och 2 § förord- ningen om register hos över läkemedel som lämnats ut från apotek i . Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Regleringen innebär att andra än centrala förvalt- ningsmyndigheter inte får föra hälsodataregister. Författningar som reglerar ett register eller en informationssamling handlingen enligt lagen om hälsodataregister sker med stöd av arti- kel 6.1 e i dataskyddsförordningen, kan regleringen, i enlighet med vad som framgår av det ovan nämnda avsnittet, behållas. 11.6.4Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 2 § lagen om hälsodata- register ska innehålla en upplysning om att författningen kom- pletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om hälsodataregister eller föreskrifter som har meddelats med stöd av den. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 11.6.5Ändamål och grund för behandling av personuppgifter Utredningens bedömning: De angivna ändamålen i lagen om hälsodataregister och de tillhörande förordningarna är förenliga med dataskyddsförordningen och bör inte ändras. I 3 § lagen om hälsodataregister anges för vilka ändamål person- uppgifter får behandlas i hälsodataregister. Ändamålen är fram- ställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska under- sökningar. De utgör ramen för de ändamål regeringen får före- skriva om för de enskilda hälsodataregistren i enlighet med bemyn- digandet i 12 § 2 lagen om hälsoregister. Regeringen har utnyttjat sitt bemyndigande och utfärdat ända- målsbestämmelser i 3 § förordningen om patientregister hos Social- styrelsen, 3 § förordningen om medicinskt födelseregister hos , 3 § förordningen om cancerregister hos Socialsty- relsen, 3 § förordningen om läkemedelsregister hos , 3 § förordningen om register hos över insatser inom den kommunala hälso- och sjukvården, 3 § förordningen om tand- hälsoregister hos och 3 § förordningen om register Författningar som reglerar ett register eller en informationssamling hos över läkemedel som lämnats ut från apotek i . Samtliga ändamål är inom ramen för de ändamål som anges i 3 § lagen om hälsodataregister. Vanligast är att ändamålen är desamma som i lagen men att behandlingen endast får ske inom ett begränsat verksamhetsområde – inom den slutna hälso- och sjuk- vården och den del av den öppna vården som inte är primärvård, inom cancerområdet, inom hälso- och sjukvård som avses i 12 kap. 1 och 2 §§ och 14 kap. 1 § hälso- och sjukvårdslagen (2017:30), inom tandvårds- och tandhälsoområdet etc. Ändamålen är till sin karaktär vida och möjliggör en omfattande behandling av personuppgifterna i de olika registren. Å andra sidan innehåller registren endast i förväg preciserade och till antalet be- gränsade kategorier av uppgifter (se avsnitt 11.6.6 nedan) vilket i sig ger en avgränsning av ändamålen. Av artikel 5.1 b i dataskydds- förordningen framgår dessutom att ytterligare behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Samma princip finns i artikel 6.1 b i dataskyddsdirektivet. Regleringen antyder att bevarande av personuppgifter för ändamål som avser bl.a. statistik och forskning anses ha en grundläggande legitimitet. I förarbetena till lagen om hälsodataregister bedöms samtliga ända- mål vara av ett högt samhälleligt intresse.8 Även i efterhand har regering och riksdag bedömt att ändamålsangivelserna avseende forskning är förenliga med dataskyddsdirektivet.9 Det saknas an- ledning att göra en annan bedömning i förhållande till dataskydds- förordningen. Ändamålen får därmed anses ha grund i ett allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. I artikel 6.3 i dataskyddsförordningen har tillkommit krav på den rättsliga grunden för behandling av personuppgifter, som be- skrivs i avsnitt 9.10.1. Kraven får, i enlighet med vad utredningen konstaterat i de aktuella avsnitten, anses vara uppfyllda utan vidare analys. 1997/98:108 s. 48. 2012/13:163 s. 26 f. Författningar som reglerar ett register eller en informationssamling 11.6.6Personuppgifter som får behandlas Utredningens bedömning: Bestämmelser om vilka personupp- gifter som får behandlas i hälsodataregister kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas Ett hälsodataregister får enligt 4 § lagen om hälsodataregister inne- hålla endast de uppgifter som behövs för de ändamål för vilka person- uppgifter får behandlas. I 12 § 3 samma lag bemyndigas regeringen att meddela föreskrifter om begränsningar av de uppgifter som ett hälsodataregister enligt 4 § får innehålla. Bestämmelser om vilka personuppgifter som får behandlas i registren finns i 4 och 5 §§ för- ordningen om patientregister hos , 4 och 5 §§ för- ordningen om medicinskt födelseregister hos , 4 och 5 §§ förordningen om cancerregister hos , 4 § för- ordningen om läkemedelsregister hos , 4 § förord- ningen om register hos över insatser inom den kommunala hälso- och sjukvården, 4 § förordningen om tandhälso- register hos och 4 § förordningen om register hos över läkemedel som lämnats ut från apotek i . Bestämmelserna utesluter behandling av andra person- uppgifter än de som räknas upp i paragraferna, vilket är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i dataskydds- förordningen. Utredningen utgår från de bedömningar som gjorts i tidigare lagstiftningsarbeten när det gäller vilka uppgifter som be- höver behandlas. Sådana begränsningar är tillåtna för myndigheters behandling av personuppgifter eller därför att de avser behandling som stödjer sig på artikel 6.1 c eller e i dataskyddsförordningen. Bestämmelserna om vilka uppgifter hälsodataregistren ska innehålla kan och bör därmed behållas. En del av de personuppgifter som får ingå i hälsodataregistren är känsliga personuppgifter om hälsa. För att känsliga personuppgifter ska få behandlas, krävs att ett undantag i artikel 9 i dataskyddsför- ordningen är tillämpligt. Författningar som reglerar ett register eller en informationssamling Syftet med hälsodataregister är bl.a. att följa upp, utvärdera och kvalitetssäkra hälso- och sjukvård. Behandlingen får anses falla under undantaget i artikel 9.2 h i dataskyddsförordningen i den mån behandlingen är nödvändig av skäl som hör samman med till- handahållande av hälso- och sjukvård m.m. Enligt artikel 9.3 i data- skyddsförordningen ska de känsliga personuppgifterna då behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Social- styrelsens verksamhet med hälsodataregistren omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). Personuppgifterna i hälsodataregistren är också avsedda att be- handlas för framställning av statistik samt för forskning och epi- demiologiska undersökningar. Av artikel 9.2 j i dataskyddsförord- ningen framgår att känsliga personuppgifter får behandlas för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Även detta ska ske på grundval av unions- rätten eller medlemsstaternas nationella rätt, vilken ska stå i pro- portion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Utredningen konstaterar att lagen om hälsodataregister med an- knytande förordningar innehåller flera olika skyddsåtgärder, bl.a. begränsning av vilka personuppgifter som får behandlas, regler om samkörning, sökbegrepp samt reglering av direktåtkomst och ut- lämnande på medium för automatiserad behandling. Uppgifterna omfattas dessutom av absolut sekretess enligt 24 kap. 8 § offentlig- hets- och sekretesslagen. Sekretessen kan visserligen brytas för forskningsändamål, men då krävs i de flesta fall ett godkännande av studien av en etikprövningsnämnd enligt lagen (2003:460) om etik- prövning av forskning som avser människor. Uppgifterna får enligt 21 kap. 7 § offentlighets- och sekretesslagen inte lämnas ut om det kan antas att ett utlämnande skulle medföra att uppgifterna behand- las i strid med dataskyddslagstiftningen (personuppgiftslagen). Vad gäller kravet på proportionalitet och förenlighet med det väsentliga innehållet i rätten till dataskydd får det, på samma sätt som när det gäller undantag med stöd av artikel i data- skyddsförordningen (viktigt allmänt intresse), förutsättas att reger- ingen gjort en avvägning mellan behovet av olika hälsodataregister Författningar som reglerar ett register eller en informationssamling och intrånget i den personliga integriteten innan beslut fattades om att utfärda förordningar om de olika registren. De krav på åtgärder för att skydda den registrerades rättigheter och friheter som dataskyddsförordningen ställer får därmed anses uppfyllda. Eftersom känsliga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter, påverkar det inte reg- leringen av hälsodataregistren att det, som anges i avsnitt 9.11.6, har tillkommit nya kategorier av känsliga personuppgifter.