prop · H503171 · 2018-03-19 00:00:00 — Regeringens förslag: Patientdatalagen gäller inte vid sådan behand- ling av personuppgifter som avses i den ursprungliga lydelsen av artikel 2.2 d i EU:s dataskyddsförordning. Regeringens bedömning: Någon ändring av patientdatalagens tillämpningsområde föranleds inte av EU:s dataskyddsförordning. förslag och bedömning: Överens- stämmer delvis med regeringens. Utredningen föreslår att patientdata- lagen kompletteras med en bestämmelse som innebär att vissa bestäm- melser i lagen inte ska tillämpas vid behandling av personuppgifter inom rättspsykiatrisk vård. Utredningen lämnar dock inte något förslag till vilka bestämmelser som inte ska tillämpas, utan förslaget ska ses som en markering av att det i det fortsatta lagstiftningsarbetet bör övervägas vilken anpassning av patientdatalagen som krävs med anledning av det nya dataskyddsdirektivet. Utredningen föreslår också att den föreslagna brottsdatalagen ska gälla inom rättspsykiatrisk vård i stället för data- skyddsförordningen, om inte annat följer av patientdatalagen eller föreskrifter som har meddelats med stöd av den lagen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Datainspektionen framför att det inom hälso- och sjukvården finns delar av verksamheten som utgör verkställighet av påföljder inom rätts- väsendet. Den personuppgiftsbehandling som utförs för dessa ändamål omfattas inte av dataskyddsförordningen utan i stället av ett direktiv, som i har föreslagits implementeras genom en brottsdatalag. anser att det är väsentligt att en sammanhållen reglering motsvarande patientdatalagen fortsatt kan gälla för all hälso- och sjuk- vård oavsett om grunden för vården är frivillig vård, vård enligt lagen om psykiatrisk tvångsvård eller vård enligt lagen om rättspsykiatrisk vård. delar utredningens bedömning att patientdata- lagen bör fortsätta att gälla vid behandling av personuppgifter inom rätts- psykiatrisk vård och att den föreslagna brottsdatalagen ska komplettera patientdatalagen vid sådan personuppgiftsbehandling. Rättsmedicinal- verket vill dock lyfta fram att utredningens resonemang vad gäller den hälso- och sjukvård som tillhandahålls av Kriminalvården och också blir relevant för delar av den hälso- och sjuk- vård som tillhandahåller inom ramen för den rätts- psykiatriska verksamheten. Det förekommer att ger vård både enligt lagen om rättspsykiatrisk vård och enligt hälso- och sjukvårdslagen till frihetsberövade personer som är intagna på en rättspsykiatrisk undersökningsenhet. Kommuner och Landsting, läns landsting ställer sig bakom utredningens förslag att patientdatalagen ska gälla utöver den föreslagna brottsdatalagen vid behandling av personuppgifter inom rätts- psykiatrisk vård. Det behövs klargöras vilka bestämmelser i patientdata- lagen som inte ska gälla vid behandling av personuppgifter inom rätts- psykiatrisk vård och vilka övriga anpassningar som behövs. förutsätter att den föreslagna lagtexten kommer att kompletteras vad gäller förslaget till lag om ändring i 1 kap. 1 § patientdatalagen där det angetts att undantag för behandling av personuppgifter inom rättspsykiatrisk vård ska gälla, men inte i vilka avseenden undantagen ska gälla för sådan behandling. delar utredningens bedömning att patientdatalagen i huvud- sak får anses förenlig med dataskyddsförordningens bestämmelser och därför inte behöver bli föremål för några ingripande förändringar. läns landsting kan inte tillstyrka förslaget. Personuppgiftsbe- handlingen i den psykiatriska vården kommer att regleras av dataskydds- förordningen, dataskyddslagen, patientdatalagen. Den personuppgiftsbe- handling som sker inom den rättspsykiatriska vården kommer emellertid 2017/18:171 att styras av brottsdatalagen och delar av patientdatalagen, dock att det är oklar vilka delar som avses. Olika lagstiftningar kommer att gälla för personuppgiftsbehandling på en och samma avdelning beroende på om patienten är dömd till vård eller inte, vilket medför att lagstiftningen blir svår att tillämpa. Skälen för regeringens förslag och bedömning Patientdatalagens tillämpningsområde behöver inte ändras till följd av dataskyddsförordningen Patientdatalagen ska tillämpas vid vårdgivares behandling av person- uppgifter inom hälso- och sjukvården (1 kap. 1 §). Lagen är tillämplig hos såväl offentliga vårdgivare, dvs. statliga myndigheter, landsting och kommuner, som privata vårdgivare, dvs. andra juridiska personer eller enskilda näringsidkare som bedriver hälso- och sjukvård. Dataskyddsförordningen föranleder inte någon ändring av patientdata- lagens tillämpningsområde. Patientdatalagen ska inte tillämpas för behandling av personuppgifter som avses i artikel 2.2 d i EU:s dataskyddsförordning Dataskyddsförordningen är inte tillämplig på behandling av personupp- gifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, se artikel 2.2 d i dataskyddsförordningen. Sådan behandling omfattas av den brottsdatalag som föreslås i lagrådsremissen Brottsdatalag. Behand- ling av personuppgifter för syften som ska regleras i den föreslagna brottsdatalagen kan förekomma inom patientdatalagens tillämpnings- område, t.ex. i den rättspsykiatriska vården. Patientdatalagen kommer i dessa fall inte att kompletteras av dataskyddsförordningen utan av den föreslagna brottsdatalagen. föreslår att vissa bestämmelser i patient- datalagen inte ska tillämpas vid behandling av personuppgifter inom rättspsykiatrisk vård. Utredningen lämnar dock inte något förslag till vilka bestämmelser som skulle undantas på detta sätt, utan utredningens förslag är en markering att det i det fortsatta lagstiftningsarbetet bör över- vägas vilken anpassning av patientdatalagen som krävs med anledning av det nya dataskyddsdirektivet. föreslår ock- så att inom den rättspsykiatriska vården ska brottsdatalagen gälla om inte annat skulle följa av patientdatalagen eller föreskrifter som har meddelats med stöd av den lagen. Mot bakgrund av beredningsläget (dvs. till- räckligt underlag saknas i fråga om anpassningar av patientdatalagen till följd av nämnda direktiv och dess implementering genom brottsdata- lagen) är det inte möjligt att föreslå en sådan reglering som Socialdata- skyddsutredningen tar upp. Regeringen håller med om att patient- datalagen, på samma sätt som vid annan hälso- och sjukvård, bör fort- sätta att gälla vid behandling av personuppgifter inom den rättspsykia- triska vården, och håller med om att det är väsentligt att en sammanhållen reglering motsvarande patientdatalagen fortsatt kan gälla för all hälso- och sjukvård oavsett grunden för vården. anser att detta behövs för hälso- och sjukvårdens syften och ändamål, se t.ex. 2 kap. 4–5 §§ patientdatalagen. I lagrådsremissen föreslogs att patientdatalagen inte gäller vid behand- ling av personuppgifter i vårdgivares verksamhet som omfattas av brotts- datalagens tillämpningsområde. Lagrådet framför att eftersom någon lagrådsremiss med förslag till brottsdatalag ännu inte föreligger kan Lagrådet inte ta ställning till för- slaget. Regeringen anser att förslaget till ändring i patientdatalagen i stället lämpligen kan utformas på ett sätt som anknyter till det materiella tillämpningsområdet för dataskyddsförordningen. Av artikel 2.2 d i data- skyddsförordningen följer att förordningen inte ska tillämpas på be- handling av personuppgifter som behöriga myndigheter utför i syfte att bl.a. förebygga, förhindra, utreda, avslöja eller lagföra brott eller verk- ställa straffrättsliga påföljder. Regeringen föreslår därför att det i 1 kap. 1 § patientdatalagen införs en bestämmelse om att lagen inte gäller vid sådan behandling som avses i artikel 2.2 d i EU:s dataskyddsförordning. Liksom i övergångsbestämmelserna i förslaget till dataskyddslag, se propositionen Ny dataskyddslag (prop. 2017/18:105), bör det framgå att det är artikel 2.2 d i den ursprungliga lydelsen som avses, dvs. en statisk hänvisning. I annat fall kan en framtida ändring av artikel 2.2 d få till följd att viss behandling personuppgiftsbehandling, , inte kommer att omfattas av någon författning alls. Behandling av personuppgifter som avses i artikel 2.2 d i dataskydds- förordningen kommer därmed inte att omfattas av patientdatalagen utan av den kommande brottsdatalagen som föreslås träda i kraft . I verksamheter som bedriver hälso- och sjukvård bedöms regleringen i den föreslagna brottsdatalagen främst komma att aktualiseras vid be- handling av personuppgifter som rör verkställigheten av påföljder. Inom rättspsykiatrisk vård kan det handla om t.ex. beslut om den rätts- psykiatriska vården och om tvångsåtgärder som fattas av chefsöver- läkaren. När det gäller behandling av personuppgifter för hälso- och sjuk- vårdens syften omfattas sådan personuppgiftsbehandling inte av den föreslagna brottsdatalagen. Personuppgiftsbehandlingen regleras i stället av dataskyddsförordningen och av de kompletterande bestämmelserna som finns i dataskyddslagen och den sektorsspecifika patientdatalagen. Den omständigheten att t.ex. rättspsykiatrisk vård avser såväl verk- ställigheten av påföljder som hälso- och sjukvård medför att det kan förekomma fall där det finns vissa svårigheter att avgöra vilken rättslig reglering som ska tillämpas. För det fall fråga uppkommer om vilken reglering som är tillämplig kan vägledning hämtas i lagrådsremissen (och den kommande propositionen) Brottsdatalag och delbetänkandet SOU 2017:29. Har behandlingen flera syften kan de olika regelverken vara tillämpliga parallellt. Regeringen anser därför att det inte finns behov av att ha särskilda bestämmelser som reglerar behandling av personupp- gifter inom rättspsykiatrisk vård. 2017/18:171 7.1.2 Förhållandet till annan dataskyddsreglering Regeringens förslag: Bestämmelsen i 1 kap. 4 § patientdatalagen ska innehålla en upplysning om att lagen kompletterar EU:s dataskydds- förordning. Det ska också upplysas om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av patientdatalagen eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer delvis med regeringens. Utredningen föreslår att inom rättspsykiatrisk vård ska i stället den föreslagna brottsdatalagen gälla om inte annat följer av patientdatalagen eller föreskrifter som har meddelats med stöd av den lagen. Remissinstanserna: vill betona vikten av att gräns- dragningen mellan den föreslagna brottsdatalagen och patientdatalagen tydliggörs och att dubbelreglering undviks när det gäller behandling av personuppgifter inom den rättspsykiatriska vården. läns landsting vill framhålla att det är av stor vikt att det i det fortsatta lagstiftningsarbetet klargörs vilka bestäm- melser i patientdatalagen som inte ska tillämpas. läns landsting anför att olika lagstiftning kommer att gälla för personuppgiftsbehand- ling på en och samma avdelning beroende på om patienten är dömd till vård eller inte, vilket medför att lagstiftningen blir svår att tillämpa. Till detta kommer att det är oklart vilka regler i patientdatalagen som blir tillämpliga på personuppgiftsbehandlingen inom den rättspsykiatriska vården. kan inte tillstyrka förslaget. vill framhålla att komplexiteten i den nya reglering som föreslås till följd av dataskyddsförordningen väsentligen ökar eftersom regleringen innebär att personuppgifter i samma journal- föringssystem kommer att omfattas av olika regelverk, vilket inte varit fallet tidigare. framhåller vikten av att förhållandet mellan de olika EU-rättsakterna och svensk lagstiftning inom detta område klargörs i det fortsatta lagstiftningsarbetet. Kommuner och Landsting understryker att det är av stor vikt att det i det fortsatta lagstiftnings- arbetet klargörs vilka bestämmelser i patientdata- lagen som inte ska tillämpas vid rättspsykiatrisk vård. Skälen för regeringens förslag Förhållandet till dataskyddsförordningen och den föreslagna Enligt 1 kap. 4 § patientdatalagen gäller personuppgiftslagen vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, om inte annat följer av patientdatalagen eller föreskrifter som har meddelats med stöd av den lagen. Som anges i avsnitt 6.3 bör även en upplysningsbestämmelse om att Prop. 2017/18:171 patientdatalagen kompletterar dataskyddsförordningen tas in i lagen. Regeringen föreslår att 1 kap. 4 § patientdatalagen ska innehålla en upp- lysning om att patientdatalagen kompletterar dataskyddsförordningen. Vidare bör, som anges i avsnitt 6.3, registerförfattningarna alltjämt gälla utöver den nationella generella regleringen. I patientdatalagen ska förhållandet till dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen liksom endast regleras för automatiserad behandling eller sådan behandling där uppgifterna ingår i eller är avsedda att ingå i ett register. Förhållandet till den föreslagna brottsdatalagen Flera remissinstanser efterfrågar klargöranden om förhållandet mellan patientdatalagen och den föreslagna brottsdatalagen. Enligt 1 kap. 1 § tillämpas patientdatalagen vid vårdgivares behandling av personuppgifter i hälso- och sjukvården. I förarbetena till lagen benämns tillämpningsom- rådet som vårdgivarnas kärnverksamhet och anges omfatta den individ- inriktade patientvården inom hälso- och sjukvården (prop. 2007/08:126 s. 48 f.). I 2 kap. 4–5 §§ patientdatalagen anges ändamål som personupp- gifter får behandlas för. I avsnitt 7.1.1 föreslår regeringen att patientdatalagen inte ska gälla vid sådan behandling av personuppgifter som avses i artikel 2.2 d i EU:s dataskyddsförordning, dvs. behandling av personuppgifter som behöriga myndigheter utför i syfte att bl.a. förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrätts- liga påföljder. I den mån behandling av personuppgifter som om- fattas av patientdatalagen utförs för sådana syften kommer patientdata- lagen inte att gälla. Har behandlingen flera olika syften kan olika regel- verk vara tillämpliga parallellt för respektive syfte. Aktörer som bedriver verksamhet behöver noga överväga för vilka syften personuppgifter behandlas och vilket regelverk som ska tillämpas på behandlingen. Regeringen föreslår därför inte en sådan reglering av förhållandet till brottsdatalagen som föreslår. 7.1.3Samtycke som grund för behandlingen Regeringens bedömning: Bestämmelsen i 2 kap. 3 § patientdatalagen om att den registrerades samtycke kan utgöra grund för behandling av personuppgifter kan behållas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att de registerförfattningar som innehåller be- stämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation den registrerade befinner sig i förhållande till den person- 2017/18:171 uppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de person- uppgiftsansvariga om och under vilka förutsättningar samtycke kan ges och hur samtycket påverkar övriga regler i aktuell registerförfattning. Det saknas sådana överväganden. Avseende 2 kap. 3 § patientdatalagen anges att enligt den bedömning utredningen har gjort i visst avsnitt behöver någon ny avvägning angående huruvida det är lämpligt att grunda en be- handling av personuppgifter på samtycke inte göras. Någon kommentar gällande privata vårdgivare görs inte. Skälen för regeringens bedömning: Som anges i avsnitt 6.5.2 före- kommer det att myndigheter och enskilda tillåts att med stöd av samtycke behandla personuppgifter för andra ändamål eller i andra fall än de i för- fattningen angivna. En sådan regel finns i 2 kap. 3 § första stycket patientdatalagen, se prop. 2007/08:126 s. 227. Enligt den bedömning som redovisas i samma avsnitt kan sådana bestämmelser behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen och skäl 8 i dataskyddsförordningen om att det är tillåtet att införliva delar av förordningen i nationell rätt. Regeringen delar därför inte Datainspek- tionens bedömning att ytterligare analys är nödvändig. 7.1.4Ändrad hänvisning i fråga om finalitetsprincipen Regeringens förslag: Hänvisningen till personuppgiftslagen i 2 kap. 5 § andra meningen patientdatalagen tas bort. I stället införs en be- stämmelse där det anges att personuppgifterna får även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag: Överensstämmer huvudsak- ligen med regeringens. Utredningen föreslår en annan formulering av bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Övriga synpunkter, se avsnitt 6.5.3. Skälen för regeringens förslag: I 2 kap. 5 § patientdatalagen hänvisas till 9 § första stycket d och andra stycket personuppgiftslagen, vilket innebär att den s.k. finalitetsprincipen gäller vid behandling enligt patientdatalagen. Hänvisningen syftar till att klargöra att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Hänvis- ningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Eftersom personuppgiftslagen kommer att upphävas, måste hänvis- ningen till bestämmelsen om finalitetsprincipen i den lagen ändras. Det bör ske i enlighet med vad som redovisas i avsnitt 6.5.3. Personuppgifter som får behandlas i fråga om Regeringens förslag: Hänvisningen till personuppgiftslagen i 2 kap. 7 § patientdatalagen tas bort. I stället ska det uttryckligen anges vilka uppgifter om lagöverträdelser som får behandlas. Dessa ska vara samma som , dvs. personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelser i registerförfattningar som tillåter enskilda och myndigheter att behandla uppgifter om lagöver- trädelser kan och bör behållas, se avsnitt 6.7. Som också framgår av det avsnittet kan begränsningar av möjligheten att behandla uppgifter om friande brottmålsdomar och administrativa frihetsberövanden behållas för myndigheter och enskilda eftersom behandlingen inom patientdata- lagens tillämpningsområde grundar sig på artikel 6.1 c och e (rättslig för- pliktelse och allmänt intresse) i dataskyddsförordningen. Bestämmelsen i patientdatalagen bör därför omfatta samma uppgifter som , dvs. personuppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel och administrativa frihetsberövan- den. Eftersom personuppgiftslagen kommer att upphöra, bör det anges i bestämmelsen vilka uppgifter det rör sig om. Regeringens förslag: Patientdatalagen kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i EU:s dataskydds- förordning på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Regeringens bedömning: Behandling av känsliga personuppgifter inom patientdatalagens tillämpningsområde kan alltjämt ske med stöd av ändamålsbestämmelserna i patientdatalagen. förslag och bedömning: Överens- stämmer med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. läns landsting befarar att underbiträden och leverantörer inom e-hälsa inte lagligen kommer att få behandla personuppgifter utan att en lagstadgad tystnadsplikt gäller för deras behandling. Det behöver skynd- samt utredas om formuleringen i artikel 9.3 i dataskyddsförordningen innebär att det är tillräckligt att den personuppgiftsansvarige omfattas av en lagreglerad tystnadsplikt eller om kravet även gäller personuppgifts- 2017/18:171 biträden som utför personuppgiftsbehandling för den personuppgifts- ansvariges räkning. Om en sådan analys skulle visa att kravet även gäller sådana personuppgiftsbiträden måste det införas en lagstadgad tystnads- plikt för dessa biträden i berörda registerförfattningar eller på annat lämpligt sätt. Exempelvis skulle det då kunna införs en lagstadgad tyst- nadsplikt för juridiska och fysiska personer som behandlar personupp- gifter för vårdgivarens räkning i patientdatalagen. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse med artikel 9. Det är inte förenligt med dataskyddsförordningen att förut- sätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. I betänkandet är utgångspunkten att alla verksamheter som har tillåtits att be- handla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. Skälen för regeringens förslag och bedömning Som anges i avsnitt 6.6.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Behandling av känsliga personuppgifter, inklusive de nya kategorierna Känsliga personuppgifter får behandlas med stöd av 2 kap. 4, 5 och 7 §§ patientdatalagen som anger att en vårdgivare endast får behandla sådana personuppgifter som behövs för vissa uppräknade ändamål. Den regleringen ersätter bestämmelsen om behandling av känsliga personupp- gifter i 18 § personuppgiftslagen. I avsnitt 6.6.4 redogör regeringen för vad som omfattas av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regeringen gör mot bakgrund av vad som anges där bedömningen att den behandling som sker enligt patientdatalagen ryms inom de syften som nämns i artikel 9.2 h i dataskyddsförordningen. Patientdatalagens reglering bedöms således vara förenlig med dataskyddsförordningen och känsliga personuppgifter kan även fortsättningsvis ske med stöd av ända- målsbestämmelserna. Som anges i avsnitt 6.6.6 anser regeringen att bestämmelser i särskilda registerförfattningar på område som tillåter be- handling av alla kategorier av känsliga personuppgifter enligt nuvarande definition bör avse också de nya kategorier av känsliga personuppgifter som tillkommer med dataskyddsförordningen. Vad gäller specifikt patientdatalagen noterar regeringen också att det i lagens förarbeten be- dömdes att det skulle innebära tillämpningsproblem att närmare specifi- cera vilka personuppgifter som får behandlas, inklusive känsliga person- uppgifter. Lagen utformades därför på det sättet att ändamålsbestäm- ningen ska styra över vilka personuppgifter som får behandlas (prop. 2017/18:171 2007/08:26 s. 63). Regeringens förslag: Möjligheten att använda uppgifter om hälsa som sökbegrepp ska även avse sådana genetiska uppgifter och biomet- riska uppgifter för att entydigt identifiera en fysisk person och upp- gifter om sexuell läggning som kan anses utgöra uppgifter om hälsa.