prop · H503171 · 2018-03-19 00:00:00 — Hänvisningar till personuppgiftslagen i 2 kap. 8 § patient- datalagen ersätts med hänvisningar till 2 kap. 7 § respektive den före- slagna 7 a § till dataskyddslagen. Regeringens bedömning: I övrigt kan och bör bestämmelserna om sökbegrepp behållas. förslag: Överensstämmer i stort med regeringens. I utredningens förslag användes formuleringen biometriska uppgifter, och inte hela formuleringen biometriska uppgifter för att entydigt identifiera en fysisk person. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Skälen för regeringens förslag och bedömning: I 2 kap. 8 § patient- datalagen finns det ett förbud mot att använda känsliga personuppgifter eller uppgifter om lagöverträdelser som sökbegrepp. Som sökbegrepp får inte heller uppgifter om att någon fått bistånd eller varit föremål för andra insatser inom eller enligt utlänningslagen (2005:716) användas. Vissa undantag från förbudet anges i bestämmelsen, bl.a. får uppgifter om hälsa användas som sökbegrepp, och regeringen får meddela föreskrifter om vissa ytterligare undantag. Som anges i avsnitt 6.9.2 utgör sökbegränsningar skyddsåtgärder enligt dataskyddsförordningen. Bestämmelser om skyddsåtgärder är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller behand- ling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c eller e i dataskyddsförordningen. Sökbegränsningarna behöver därmed, i enlighet med vad som anges i det avsnittet, inte ändras med anledning av dataskyddsförordningen. Regeringen anser att sökbegränsningarna, i enlighet med bedömningen i avsnitt 6.7, bör avse samma uppgifter om lagöverträdelser som . När det gäller sökbegränsningar avseende känsliga personuppgifter är det, som anges i avsnitt 6.6.6, regeringens bedömning att dessa även bör omfatta de nytillkomna kategorierna av känsliga personuppgifter, dvs. genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Bara om det är nöd- vändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten att befintliga skyddsåtgärder inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. Som anges i avsnitt 6.6.6 kan kategorierna av känsliga personuppgifter i viss mån överlappa varandra. Genetiska uppgifter kan t.ex. avslöja en persons hälsotillstånd. Sådana uppgifter utgör uppgifter om hälsa och är 2017/18:171 således tillåtna som sökbegrepp enligt regleringen i 2 kap. 8 § patient- datalagen. Regeringen anser att det är nödvändigt för en ändamålsenlig behand- ling av personuppgifter inom hälso- och sjukvården att sådana genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning som kan anses utgöra uppgifter om hälsa, kan fortsätta att användas som sökbegrepp. Regeringen anser till skillnad från att detta inte behöver tydliggöras på det sätt som utredningen föreslår genom att det anges i 2 kap. 8 § att uppgifter om hälsa, inklusive genetiska och bio- metriska uppgifter och uppgifter om sexuell läggning, tillåts att användas som sökbegrepp. Regeringen anser att uppgifter om hälsa får användas som sökbegrepp även om dessa också kan avse annan känslig person- uppgift t.ex. genetiska uppgifter. Det som avgör om uppgiften är tillåten som sökbegrepp är om den hör till uppgifter om hälsa. Även om regeringen i avsnitt 6.6.6 har bedömt att införandet av begreppet sexuell läggning i dataskyddsförordningen inte innebär någon egentlig utvidgning jämfört med nuvarande reglering är det en ny skriv- ning. Regeringen bedömer därför att det bör tydliggöras att även upp- gifter om sexuell läggning som kan anses utgöra uppgifter om hälsa får användas som sökbegrepp. Detta bör ske på samma sätt som för genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Någon skillnad i sak är inte avsedd med de föreslagna förtydligandena utan förslaget syftar endast till att tydliggöra att samma sökningar som får göras även får göras fortsättningsvis. Genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning som inte utgör uppgifter om hälsa får däremot inte användas som sökbegrepp. Eftersom hänvisningarna till personuppgiftslagen inte kan vara kvar när den lagen upphör, bör de ersättas med hänvisningar till definitionerna av uppgifter om lagöverträdelser och känsliga personuppgifter i 2 kap. 7 § respektive den föreslagna 7 a § patientdatalagen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom detta område och inte heller att föreskriftsrätten delegeras. Möjligheten för regeringen att meddela föreskrifter kan därför behållas. 7.1.8Nationella och regionala kvalitetsregister Information som ska lämnas självmant Regeringens förslag: Krav på information till registrerade i 7 kap. 3 § patientdatalagen som motsvarar eller begränsar krav på information som finns i EU:s dataskyddsförordning tas bort. Därmed tas det bort att information ska lämnas om i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal och vilka kategorier av mottagare som person- uppgifter kan komma att lämnas ut till. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Innan personuppgifter behandlas i ett nationellt eller regionalt kvalitetsregister ska den som är personuppgifts- ansvarig enligt 7 kap. 3 § patientdatalagen se till att den enskilde, utöver den information som ska lämnas enligt 8 kap. 6 §, får information om rätten att när som helst få uppgifter om sig själv utplånade ur registret, i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal och vilka kategorier av mottagare som personuppgifter kan komma att lämnas ut till. Om det inte är möjligt att lämna informationen innan behandlingen av personuppgifter påbörjas, ska den lämnas därefter. Bestämmelsen i 7 kap. 3 § patientdatalagen kompletterar och gäller så- ledes utöver 8 kap. 6 § patientdatalagen och – när dataskyddsförord- ningen börjar tillämpas – artikel 13 och 14 i dataskyddsförordningen. Vilken information den personuppgiftsansvarige enligt dataskydds- förordningen är skyldig att lämna i olika situationer framgår av avsnitt 6.8.1. Den information den personuppgiftsansvarige ska lämna till den regi- strerade enligt 7 kap. 3 § patientdatalagen är i huvudsak sådan informa- tion som ska lämnas enligt dataskyddsförordningen. Informations- skyldigheten i 7 kap. 3 § omfattar dock även en upplysning som inte om- fattas av dataskyddsförordningens reglering, nämligen information om rätten att när som helst få uppgifter om sig själv utplånade ur registret. Sådana bestämmelser som föreskriver att mer information än vad som krävs enligt dataskyddsförordningen ska lämnas, kan i enlighet med regeringens ställningstagande i avsnitt 6.8.1 behållas, om den ursprung- liga behandlingen grundas på artikel 6.1 c eller e i dataskyddsförordning- en. Behandling av personuppgifter i nationella och regionala kvalitets- register sker med stöd av artikel 6.1 c och e i dataskyddsförordningen. Den kompletterande informationsskyldigheten kan därmed behållas. Eftersom det rör sig om en kompletterande informationsskyldighet, kan informationen lämnas som bedöms lämplig i nationell rätt. Bestämmelsen i 7 kap. 3 § andra stycket om när informationen ska lämnas, påverkas därför inte av dataskyddsförordningen. Enligt 7 kap. 3 § 2 ska den registrerade få information om i vilken ut- sträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal. Att den registrerade har rätt att få information om varifrån personuppgifterna kommer, när de inte läm- nats av den enskilde själv, framgår av artikel 14.2 f i dataskyddsförord- ningen. Uppgifter i en patientjournal kommer dock inte alltid från den enskilde själv. Nuvarande reglering i patientdatalagen medför i för- hållande till dataskyddsförordningen därför en begränsning av skyldig- heten att lämna information. I avsnitt 6.8.2 under rubriken ”Information som ska lämnas självmant” bedömer regeringen att det inte framkommit att det skulle innebära några beaktansvärda svårigheter för personuppgiftsansvariga att uppfylla de nyheter som dataskyddsförordningen innebär när det gäller den informa- tion som ska lämnas till den registrerade. Det finns därför, som anges i 2017/18:171 avsnitt 6.8.2, inte anledning att överväga en begränsning av de registrera- des nya rättigheter. Regeringen föreslår därför att nu gällande krav på information till registrerade i 7 kap. 3 § tas bort i den utsträckningen de motsvarar eller begränsar krav på information som gäller enligt dataskyddsförordningen. Därmed tas det bort att information ska lämnas om i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal och vilka kategorier av mottagare som personuppgifter kan komma att lämnas ut till. Personuppgifter som får behandlas Regeringens förslag: Förbudet i 7 kap. 8 § tredje stycket patientdata- lagen mot att behandla andra känsliga personuppgifter än uppgifter som rör hälsa, om inte annat har medgetts av regeringen eller den myndighet som regeringen bestämmer i enskilda fall, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i EU:s dataskyddsförordning. Patientdatalagen kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Hänvisningen till personuppgiftslagen i 7 kap. 8 § tredje stycket patientdatalagen ersätts med en hänvisning till 2 kap. 7 § patientdata- lagen. Bestämmelsen om att uppgifter om lagöverträdelser får behandlas i nationella och regionala kvalitetsregister endast om regeringen eller den myndighet regeringen bestämmer i enskilda fall medger det placeras i en ny paragraf. Regeringens bedömning: Bestämmelsen i 7 kap. 8 § patientdata- lagen om vilka personuppgifter som får behandlas kan och bör i övrigt behållas. förslag och bedömning: Överens- stämmer huvudsakligen med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen som avser påminnelse om kravet på tystnadsplikt. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Vad gäller remissynpunkter om tystnadspliktskravet i artikel 9.3 i EU:s dataskyddsförordning, se avsnitt 6.6.4, och om att fler uppgifter blir känsliga personuppgifter, se avsnitt 6.6.6. Skälen för regeringens förslag och bedömning Regeringen bedömer att hälso- och sjukvården även fortsättningsvis kan behandla känsliga personuppgifter enligt artikel 9.2 h i dataskyddsförord- ningen. Bedömningen omfattar även behandlingen i de nationella kvalitetsregistren. Det är således möjligt att ha kvar bestämmelsen som innebär att uppgifter om hälsa får behandlas i registren. Av samma skäl kan möjligheten för regeringen eller den myndighet regeringen bestäm- mer att i enskilda fall tillåta att behandling av andra känsliga personupp- gifter än hälsa får ske behållas. Eftersom 7 kap. patientdatalagen innehåller en egen reglering av be- handling av känsliga personuppgifter i nationella och regionala kvalitets- register, vilket innebär att den generella regleringen i 2 kap. inte är till- lämplig, bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in även i 7 kap. 8 § patientdatalagen. Angående bestämmelsens utformning, se slutet av avsnitt 6.6.4. Genom dataskyddsförordningen har, som redan nämnts i avsnitt 6.6.6, några nya kategorier av känsliga personuppgifter tillkommit, nämligen genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Förbudet att behandla känsliga personuppgifter bör i enlighet med den bedömning som redovisas i det nämnda avsnittet, omfatta också dessa nya kategorier av uppgifter. Skulle det uppkomma ett behov av att behandla sådana uppgifter i ett kvalitetsregister, har regeringen, eller den myndighet regeringen be- stämmer, enligt bestämmelsen möjlighet att medge det. Det kommer även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa i kvalitetsregistren, om inte föreskrifter meddelas om att andra kategorier av uppgifter får behandlas. Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgifts- lagen får behandlas endast om regeringen eller den myndighet som regeringen bestämmer i enskilda fall medger det (7 kap. 8 § tredje stycket patientdatalagen). I 6 § patientdataförordningen (2008:360) anges att frågor om medgivande till behandling enligt 7 kap. 8 § tredje stycket patientdatalagen prövas av Datainspektionen efter att ha hört . I enlighet med den bedömning regeringen har gjort i avsnitt 6.7 kan och bör förbudet mot att behandla personuppgifter om lagöverträdelser i 7 kap. 8 § patientdatalagen även fortsättningsvis omfatta de uppgifter som avses i 21 § personuppgiftslagen. Detta eftersom bestämmelserna avser behandling som grundar sig på artikel 6.1 c och e i dataskyddsför- ordningen (rättslig förpliktelse och allmänt intresse) eller avser myndig- heters behandling. Eftersom personuppgiftslagen kommer att upphöra, måste dock hänvisningen till personuppgiftslagen ersättas med en hänvis- ning till definitionen av vilka uppgifter som avses i 2 kap. 7 § patient- datalagen. Lagrådet anser att regleringens överskådlighet förbättras om känsliga personuppgifter och uppgifter om lagöverträdelser behandlas i var sin paragraf. Regeringen instämmer i denna bedömning och föreslår att bestämmelsen om att uppgifter om lagöverträdelser får behandlas i nationella och regionala kvalitetsregister endast om regeringen eller den myndighet regeringen bestämmer i enskilda fall medger det placeras i en ny paragraf. Regeringens förslag: Bestämmelsen i 7 kap. 10 § patientdatalagen om gallring behålls i sak men befintlig formulering om historiska, statistiska eller vetenskapliga ändamål ändras till den som används i EU:s dataskyddsförordning. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska enligt 7 kap. 10 § första stycket patient- datalagen gallras när de inte längre behövs för det ändamål de behandlas för. En arkivmyndighet inom ett landsting eller en kommun samt regeringen eller den myndighet regeringen föreskriver får dock enligt andra och tredje stycket föreskriva att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Regeringen har i likhet med i avsnitt 6.10 kommit till den slutsatsen att bestämmelser i registerförfattningar om gallring och bevarande inte behöver ändras under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse (artikel 6.1 c) och en arbetsuppgift av allmänt intresse eller som ett led i myndig- hetsutövning (artikel 6.1 e). Detsamma gäller delegationsbestämmelser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för och för vissa ändamål. Bestämmelserna i 7 kap. 10 § patient- datalagen kan behållas. Formuleringarna av ändamålen i andra och tredje stycket bör dock anpassas till dataskyddsförordningens lydelse. 7.1.9Rättigheter för den enskilde Regeringens förslag: Bestämmelsen om rättelse i 8 kap. 3 § patient- datalagen upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 8 kap. 3 § första stycket patientdatalagen, som hänvisar till bestämmelsen om rättelse i 28 § personuppgiftslagen, kan i enlighet med vad som anges i avsnitt 6.8.1 upphävas. I 8 kap. 3 § andra stycket patientdatalagen upplyses om att uppgifter i en journalhandling enligt 3 kap. 14 § inte får utplånas eller göras oläsliga i andra fall än som avses i 8 kap. 4 §. Eftersom detta endast är en upplysning om vad som följer av den paragraf som kommer direkt efter, kan även bestämmelsen i 8 kap. 3 § andra stycket upphävas. Information som ska lämnas självmant Regeringens förslag: Bestämmelserna i 8 kap. 6 § patientdatalagen kompletteras med en upplysning om att information även ska lämnas enligt EU:s dataskyddsförordning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort. Därmed tas det bort att information ska lämnas om vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kategorier av uppgifter som behandlas, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rätten till rättelse och underrättelse av tredje man enligt 28 § personuppgiftslagen, vad som gäller i fråga om bevarande och gallring samt huruvida person- uppgiftsbehandlingen är frivillig eller inte. Hänvisningen till patientdatalagens bestämmelse om skadestånd er- sätts med en hänvisning till dataskyddsförordningen och dataskydds- lagen. Regeringens bedömning: Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Upplysningsbestämmelsen i 8 kap. 6 § sista stycket patientdatalagen bör vara kvar. förslag och bedömning: Överens- stämmer med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. anser att det finns en risk med att flera regler utgår ur patientdatalagen för att i stället hänvisa till dataskyddsförord- ningen och till de kompletterande bestämmelserna i den föreslagna data- skyddslagen. Risken består i att möjligheten att särskilt reglera ett utökat skydd för den registrerade inte utnyttjas i tillräcklig grad. Det kan t.ex. vara lämpligt att införa en mer långtgående och konkret informations- skyldighet än den som följer av dataskyddsförordningen när det gäller behandling av personuppgifter inom hälso- och sjukvården. Skälen för regeringens förslag och bedömning: Enligt 8 kap. 6 § patientdatalagen ska den personuppgiftsansvarige se till att den regi- strerade får viss information om behandlingen av personuppgifter. Be- stämmelsen i 8 kap. 6 § utgör en precisering av 25 § personuppgifts- lagen, som anger vilken information som ska lämnas till den registrerade. I övrigt gäller bestämmelserna i 23–25 och 27 §§ personuppgiftslagen om information som ska lämnas självmant. Detta eftersom personupp- giftslagens bestämmelser gäller om inget annat sägs i patientdatalagen. Regeringen har i avsnitt 6.8.1 redogjort för dataskyddsförordningens reglering av den personuppgiftsansvariges skyldighet att lämna informa- tion till den registrerade. Regleringen av vilken information den person- uppgiftsansvarige ska lämna enligt patientdatalagen sammanfaller till stora delar med den i dataskyddsförordningen. Informationsskyldigheten i patientdatalagen innebär dock att ett antal upplysningar som inte omfattas av dataskyddsförordningens reglering ska lämnas, nämligen den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestämmelser som gäller för upp- 2017/18:171 gifterna och behandlingen, rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras, rätten enligt 8 kap. 5 § att få information om den direktåtkomst och elektroniska åtkomst som förekommit, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns också krav på upplysningar som ska lämnas enligt dataskyddsförord- ningen som inte anges i patientdatalagen. De bestämmelser i patientdatalagen som föreskriver att mer informa- tion än vad som krävs enligt dataskyddsförordningen ska lämnas kan, i enlighet med bedömningen i avsnitt 6.8.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Det har inte framkommit att det skulle innebära några beaktansvärda svårigheter för personuppgiftsansvariga att uppfylla de nyheter som data- skyddsförordningen innebär när det gäller den information som ska läm- nas till den registrerade. Det finns därför, som anges i avsnitt 6.8.2, inte anledning att överväga en begränsning av de registrerades nya rättig- heter. Slutsatsen är att vårdgivare ska lämna den information som följer av dataskyddsförordningen och den ytterligare information som ska lämnas enligt patientdatalagen. Detta bör regleras genom en bestämmelse i patientdatalagen som kompletterar och hänvisar till dataskyddsförord- ningens reglering på det sätt som anges i avsnitt 6.8.1. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd, som regeringen i avsnitt 7.1.10 föreslår ska upphävas, bör dock ersättas med en hänvisning till bestämmelserna om skadestånd i dataskydds- förordningen och dataskyddslagen. Hänvisningen till dataskyddsförord- ningen bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav på att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Upplysningsbestämmelsen i 8 kap. 6 § sista stycket bör av tydlighets- skäl vara kvar, medan den generella regeln i första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får informa- tion om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och formuleringen att den personupp- giftsansvarige ska lämna viss angiven information utöver vad som fram- går av dataskyddsförordningen. Andra rättigheter för den enskilde – upplysning till den enskilde Regeringens bedömning: Nuvarande bestämmelse i 8 kap. 7 § patientdatalagen som upplyser om vissa rättigheter enligt den lagen kan behållas. Det finns dock inte anledning att införa en upplysande bestämmelse om de rättigheter som följer av EU:s dataskyddsförord- ning. förslag och bedömning: Överens- stämmer inte med regeringens bedömning. bestämmelsen kompletteras med en hänvisning till rättigheter i EU:s Prop. 2017/18:171 dataskyddsförordning. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning: I 8 kap. 7 § patientdatalagen upplyses om att det i lagen finns föreskrifter om andra rättigheter för den enskilde i vissa andra bestämmelser. Vad gäller de angivna rättigheterna och deras förenlighet med dataskyddsförordningen bedömer utredningen att dessa kan behållas, se avsnitt 10.1.12–13 och 10.1.15 i SOU 2017:66. Till skillnad från anser regeringen att det inte finns anledning att införa en sådan upplysande bestämmelse i lagen med innehållet att ytterligare rättigheter för den enskilde finns i data- skyddsförordningen. Detta framgår av det förhållandet att patientdata- lagen innehåller kompletterande bestämmelser till dataskyddsförord- ningen, se avsnitt 7.1.2. Regeringens förslag: Bestämmelsen i 10 kap. 1 § patientdatalagen som hänvisar till personuppgiftslagens bestämmelse om skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 10 kap. 1 § patient- datalagen som hänvisar till personuppgiftslagens bestämmelse om skade- stånd bör i enlighet med vad regeringen kommit fram till i avsnitt 6.11.1 upphävas. 7.1.11Bestämmelsen om överklagande upphävs